Die Schritte
- Das Rahmenwerk und seine Ausgabe wählen und den Anwendungsbereich festlegen.
- Es in Anforderungen zerlegen, die sich einzeln prüfen lassen.
- Das Vorhandene sammeln: Dokumente, Aufzeichnungen, Konfigurationen.
- Die Menschen befragen, die die Arbeit machen.
- Jede Anforderung mit einer einfachen Skala bewerten.
- Die Lücken nach Risiko und nach gesetzlichen oder vertraglichen Fristen priorisieren.
- Den Maßnahmenplan mit Verantwortlichen und Terminen schreiben.
Eine Bewertungsskala
- Erfüllt: umgesetzt, mit Nachweis.
- Teilweise erfüllt: vorhanden, aber unvollständig, undokumentiert oder unbewiesen.
- Nicht erfüllt: fehlt.
- Nicht anwendbar: mit Begründung.
Was der Bericht enthält
- Anwendungsbereich, Rahmenwerk und Datum.
- Eine Zusammenfassung nach Bereich.
- Jede Lücke: die Anforderung, was gesehen wurde und was fehlt.
- Die Prioritäten und den Maßnahmenplan.
Gap-Analyse oder Audit?
Eine Gap-Analyse bereitet Sie vor und soll alles finden. Ein Audit gibt eine unabhängige Schlussfolgerung anhand von Kriterien. Eine Gap-Analyse bringt Ihnen kein Zertifikat, aber sie sagt Ihnen, wann Sie bereit für eines sind.
Fragen
- Wer sollte eine Gap-Analyse durchführen?
- Jemand, der das Rahmenwerk kennt und die Nachweise sehen kann. Interne Teams können das; ein Blick von außen hilft, wenn das Team die Kontrollen selbst aufgebaut hat.
- Wie lange ist eine Gap-Analyse gültig?
- Sie ist eine Momentaufnahme zu einem Datum. Wiederholen Sie sie nach wesentlichen Änderungen oder wenn sich das Rahmenwerk ändert.