GAP-Analyse für Managementsysteme

Eine GAP-Analyse ist eine strukturierte Bestandsaufnahme, die den aktuellen Reifegrad eines Managementsystems gegen die Anforderungen einer Zielnorm abgleicht. Das Ergebnis zeigt, welche Anforderungen bereits erfüllt sind, wo Abweichungen bestehen und welche Maßnahmen für die Normkonformität erforderlich sind. SECURAM führt GAP-Analysen für alle 15 Standards in vier Säulen durch.

Die typische Durchlaufzeit einer GAP-Analyse beträgt fünf Werktage von der Scope-Definition bis zur Übergabe des GAP-Reports. Bei Organisationen mit bestehenden Managementsystemen oder guter Dokumentationslage kann sich die Dauer auf drei bis vier Werktage verkürzen. Komplexe Scopes mit mehreren Standorten oder parallelen Normen erfordern entsprechend mehr Zeit.

Die Kosten einer GAP-Analyse hängen vom Scope ab: Anzahl der Standorte, Komplexität der Prozesse und Anzahl der betrachteten Normen. SECURAM erstellt nach einem kostenlosen Vorgespräch ein verbindliches Festpreisangebot. Typische Projekte im Mittelstand bewegen sich im niedrigen bis mittleren fünfstelligen Bereich. Das Vorgespräch klärt den Umfang und die erwarteten Ergebnisse.

SECURAM arbeitet normübergreifend über vier Säulen hinweg: ISMS, BCMS, AIMS und Risikomanagement. Die GAP-Analyse deckt 15 Standards ab und identifiziert Überschneidungen zwischen Normen. Dadurch entfallen Doppelarbeiten bei der späteren Implementierung. In unseren Projekten liefern wir keine generischen Checklisten, sondern einen projektspezifischen GAP-Report mit konkreten Maßnahmen, Aufwandsschätzungen und einer Roadmap bis zur Zertifizierungsreife.

SECURAM führt GAP-Analysen für 15 Standards in vier Säulen durch: ISMS (ISO 27001, CISIS12, TISAX, BSI IT-Grundschutz, KRITIS, DORA, CRA, NIS-2), BCMS (ISO 22301, BSI 200-4), AIMS (ISO 42001, EU AI Act) und Risikomanagement (ISO 27005, BSI 200-3, MaRisk). Bei Bedarf werden mehrere Normen in einer kombinierten Analyse betrachtet.

Die wichtigste Vorbereitung ist die Bereitstellung bestehender Dokumentation: Richtlinien, Prozessbeschreibungen, Risikoanalysen, Auditberichte und Organigramme. SECURAM stellt im Rahmen der Scope-Definition eine strukturierte Dokumentenanfrage bereit. Zudem sollten die relevanten Prozessverantwortlichen für Interviews eingeplant werden. Ein vollständiger Dokumentensatz verkürzt die Analysephase erheblich.

Der GAP-Report bildet die Grundlage für die weitere Projektplanung. In der Regel folgt die Implementierung der identifizierten Maßnahmen, begleitet durch SECURAM oder das interne Team. Die Roadmap im GAP-Report enthält priorisierte Arbeitspakete mit Aufwandsschätzungen und Verantwortlichkeiten. Auf Wunsch begleitet SECURAM den gesamten Weg bis zur Zertifizierungsreife.

Der Dokumenten-Review und ein Teil der Interviews können remote stattfinden. In unseren Projekten hat sich eine Kombination aus Remote-Vorbereitung und einem Vor-Ort-Tag für Interviews und Begehungen bewährt. Die physische Präsenz ermöglicht die Prüfung von Zutrittskontrollen, Serverräumen und weiteren organisatorischen Maßnahmen, die sich nur vor Ort verifizieren lassen.

Eine GAP-Analyse ist keine formale Pflicht für eine Zertifizierung. Keine Norm schreibt sie als Voraussetzung vor. In der Praxis ist sie jedoch der effizienteste Einstieg in jedes Normkonformitätsprojekt, weil sie den tatsächlichen Handlungsbedarf quantifiziert und eine realistische Zeitplanung ermöglicht. Ohne Bestandsaufnahme fehlt die Grundlage für eine belastbare Projektplanung.