Lückenanalyse zwischen zwei Frameworks: Vorgehen und Tracker

Jedes zweite Framework beginnt mit derselben Frage: Wie viel davon haben wir bereits? Eine Lückenanalyse beantwortet sie. Schlecht gemacht, ergibt sie eine Tabelle, die bei allem „teilweise konform“ vermerkt und nie wieder geöffnet wird. Gut gemacht, ergibt sie eine kostenbewertete Liste von Aufgaben mit Verantwortlichen. Hier ist das Vorgehen, das wir empfehlen.

Schritt 1: Geltungsbereich und Richtung festlegen

Eine Lückenanalyse hat eine Richtung: Haben ein Framework (oder Ihre aktuellen Kontrollen), brauchen ein anderes. Halten Sie beides schriftlich fest, jeweils mit Versionsstand, sowie den organisatorischen Geltungsbereich: welche Gesellschaft, Services und Standorte. Lückenanalysen scheitern am häufigsten, weil die beiden Geltungsbereiche nicht zusammenpassen, etwa wenn ein ISO-Zertifikat nur eine Produktlinie abdeckt und es gegen eine NIS2-Pflicht für die gesamte Gesellschaft verglichen wird.

Schritt 2: Den Vergleich Anforderung für Anforderung erstellen

Beginnen Sie mit einer Zuordnung, nicht mit einem leeren Blatt. Die Lückenanalyse von ControlMapping listet jede Anforderung des benötigten Frameworks auf, jeweils mit ihrer Entsprechung im Framework, das Sie bereits haben:

• Zugeordnet: Ein veröffentlichtes Crosswalk oder unsere redaktionelle Einschätzung verknüpft sie mit etwas, das Sie haben.
• Lose verwandt: Sie teilt lediglich ein Ergebnis mit etwas, das Sie haben. Behandeln Sie sie wahrscheinlich als neue Arbeit.
• Keine Zuordnung in unseren Daten: wahrscheinlich neue Arbeit, es sei denn, die Abdeckung dieses Frameworks ist unvollständig.

Beispiel für den Übergang von ISO 27001 zu NIS2:

Von den 49 NIS2-Anforderungspunkte sind 49 (100%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Schritt 3: Die Zuordnungen mit der Realität abgleichen

Eine Zuordnung besagt, dass zwei Anforderungen zusammenhängen. Sie besagt nicht, dass Ihre Umsetzung beide erfüllt. Fragen Sie bei jeder zugeordneten Zeile:

1. Tun wir tatsächlich das, dem wir zugeordnet haben? Eine Zuordnung zu ISO A.8.8 hilft nur, wenn Ihr Schwachstellenmanagement funktioniert.
2. Ist die neue Anforderung konkreter? Fristen, Häufigkeiten, benannte Techniken und Geltungsbereiche weichen oft ab.
3. Ist die Verknüpfung redaktionell? Prüfen Sie die angezeigte Begründung und entscheiden Sie, ob Sie zustimmen.

Kennzeichnen Sie jede Zeile als erfüllt, teilweise erfüllt oder nicht erfüllt. Seien Sie ehrlich: Eine großzügige Lückenanalyse verschiebt die Entdeckung nur in das Audit.

Schritt 4: Als Tracker exportieren

Drücken Sie in der Lückenansicht e (oder die Schaltfläche „CSV exportieren“), um das Ergebnis herunterzuladen. Jede Zeile enthält die Anforderung, ihren Abschnitt, die Entsprechung, die Grundlage und die Begründung, dazu vier leere Spalten für die Arbeit: Verantwortliche(r), Umsetzungsstatus, Nachweisreferenz und Anmerkungen. Öffnen Sie die Datei in Ihrer Tabellenkalkulation oder importieren Sie sie in Ihr GRC-Tool.

Schritt 5: Zeilen in Arbeit umwandeln

• Nach Verantwortlichem und Thema gruppieren, nicht nach Anforderungsnummer: „Lieferantenverträge“ ist eine Aufgabe, die womöglich sechs Zeilen schließt.
• Jede Gruppe aufwandsschätzen und zeitlich einplanen: Governance- und Richtlinienänderungen entsperren meist die technische Arbeit.
• Die Nachweisspalte laufend füllen, damit der Tracker zu Ihrer Auditakte wird.
• Die Analyse erneut ausführen, wenn sich eines der beiden Frameworks ändert; unsere Daten werden aktualisiert, sobald sich die Grundlage ändert.

Wichtigste Erkenntnisse

• Zuerst Geltungsbereich und Richtung festlegen: A haben, B brauchen, jeweils mit Versionsstand.
• Von einer Zuordnung ausgehen und jede Übereinstimmung mit dem abgleichen, was Sie tatsächlich tun.
• Das Ergebnis als Tracker mit Verantwortlichen, Status und Nachweisspalten exportieren und die Zeilen in gruppierte Arbeit überführen.

Häufige Fehler

• Gegen eine abgelöste Version vergleichen (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1).
• „Lose verwandt“ als abgedeckt werten.
• Anforderungen außerhalb der Zuordnung komplett ignorieren: Gesetzliche Pflichten wie Fristen für die Meldung von Vorfällen stehen oft in keinem Kontrollkatalog.

Ausgearbeitete Beispiele finden Sie unter ISO 27001 vs. NIS2 Punkt für Punkt und in den Vergleichen; jeder davon ist eine fertige Lückenanalyse in beide Richtungen.

Fragen

Was ist eine Compliance-Lückenanalyse?

Ein Vergleich Anforderung für Anforderung zwischen dem, was Sie bereits umsetzen (bzw. dem Framework, das Sie bereits erfüllen), und den Anforderungen eines Frameworks, das Sie benötigen. Dabei wird ermittelt, was abgedeckt, teilweise abgedeckt und nicht vorhanden ist.

Wie lange dauert eine Lückenanalyse?

Die Zuordnung lässt sich mit einem Tool wie der Lückenanalyse von ControlMapping in wenigen Minuten erstellen. Die eigentliche Arbeit ist die Validierung gegen Ihre tatsächlichen Kontrollen und Nachweise; sie dauert je nach Umfang typischerweise einige Tage bis wenige Wochen.

Was bedeutet „lose verwandt“ in einer Lückenanalyse?

Die beiden Anforderungen teilen lediglich ein Ergebnis aus dem NIST CSF 2.0; niemand hat sie einander zugeordnet. Behandeln Sie sie als Hinweis, dem nachzugehen ist, und in der Regel als neue Arbeit, nicht als Abdeckung.