ISO/IEC 27001 GAP-Analyse
Eine GAP-Analyse nach ISO/IEC 27001 zeigt, wie weit Ihr Informationssicherheits-Managementsystem (ISMS) von der Zertifizierung entfernt ist. Dieser Leitfaden behandelt die Managementabschnitte und die Maßnahmen aus Anhang A, mit kostenloser Checkliste und kostenlosem Tool.
Die Checkliste ist auf Englisch.
01Was die Norm verlangt
ISO/IEC 27001:2022 hat zwei zu bewertende Teile. Die Abschnitte 4 bis 10 legen die Anforderungen an das Managementsystem fest: Anwendungsbereich, Führung, Risikobeurteilung und -behandlung, Unterstützung, Betrieb, Überwachung und Verbesserung. Anhang A listet 93 Maßnahmen in vier Themen: organisatorisch (37), personenbezogen (8), physisch (14) und technologisch (34). Welche Maßnahmen gelten, legen Sie in Ihrer Erklärung zur Anwendbarkeit (SoA) fest.
Eine Änderung von 2024 hat die Anforderung ergänzt, zu prüfen, ob der Klimawandel ein relevantes Thema für Ihren Kontext (Abschnitt 4.1) und für interessierte Parteien (4.2) ist.
02So führen Sie die GAP-Analyse durch
- Vereinbaren Sie Anwendungsbereich und Grenzen des ISMS.
- Prüfen Sie jede Anforderung der Abschnitte 4–10 und bewerten Sie sie mit Nachweisen.
- Überprüfen Sie Ihre Methode der Risikobeurteilung und ob ein aktuelles Risikoregister existiert.
- Gehen Sie die Maßnahmen aus Anhang A durch und erstellen oder aktualisieren Sie die SoA.
- Machen Sie aus den Lücken einen priorisierten Behandlungsplan mit Verantwortlichen und Terminen.
03Häufige Lücken
- 6.1.2–6.1.3: keine wiederholbare Risikobeurteilung, oder Risiken nicht mit Maßnahmen verknüpft.
- SoA ohne Begründungen für ausgeschlossene Maßnahmen.
- 7.5: dokumentierte Information nicht gelenkt.
- 9.2–9.3: kein internes Auditprogramm oder keine Managementbewertung.
- Anhang A 5.23 (Cloud-Dienste) und 8.28 (sichere Programmierung), beide in der Ausgabe 2022 neu, nicht berücksichtigt.
04Warum hier ein privates Tool wichtig ist
Eine Sicherheits-GAP-Analyse ist selbst vertraulich: Sie listet Ihre Schwachstellen auf. Die Lückenbewertung von Paperwing läuft in Ihrem Browser und speichert alles lokal, Ihre Feststellungen werden also nie hochgeladen. Sie können den Bericht und eine verschlüsselte Sicherung exportieren.
Häufig gestellte Fragen
Enthält die Checkliste Anhang A?
Checkliste und Online-Tool decken die Abschnitte 4–10 und die vier Themen von Anhang A ab. Für Details Maßnahme für Maßnahme arbeiten Sie Ihre Erklärung zur Anwendbarkeit durch.
Wie viele Maßnahmen enthält Anhang A?
93 in der Ausgabe 2022, statt 114 in der Ausgabe 2013.
Ist die ISO-27001-Zertifizierung Pflicht?
Im Allgemeinen nicht, aber Kunden und Verträge verlangen sie zunehmend.