Wie führen Sie ein ISO-27001-Assessment so durch, dass am Ende mehr steht als eine ausgefüllte Checkliste? Klären Sie zuerst Geltungsbereich, Ziel und Beteiligte, übersetzen Sie die Norm in prüfbare Fragen und bewerten Sie jede Anforderung mit einer einheitlichen Skala und einem Beleg. Danach priorisieren Sie die Lücken und überführen sie in Massnahmen mit Verantwortlichen und Fristen, offene Risiken in ein Risikoregister. Dieser Leitfaden führt durch Gap-Analyse, Checkliste und die Frage, ob Excel oder eine Software besser passt.

Was ein ISO-27001-Assessment leistet

Ein Assessment, oft auch Gap-Analyse genannt, vergleicht den heutigen Stand Ihres Informationssicherheits-Managementsystems (ISMS) mit den Anforderungen von ISO 27001:2022. Es zeigt, was bereits vorhanden ist, was nur informell gelebt wird, was fehlt und wo die Nachweise nicht ausreichen.

Ein gutes Assessment betrachtet drei Ebenen zugleich:

• Die Anforderungen der Norm: Was verlangt ISO 27001 an dieser Stelle?
• Die Umsetzung im Betrieb: Wird es im Alltag tatsächlich so gemacht?
• Die Nachvollziehbarkeit: Kann eine aussenstehende Person den Stand anhand von Belegen prüfen?

Beide Schieflagen kommen häufig vor: Eine Richtlinie ist sauber formuliert, aber niemand kennt sie. Oder eine Organisation ist operativ weit, hat ihre Nachweise aber nirgends festgehalten. Erst das Zusammenspiel der drei Ebenen ergibt ein realistisches Bild.

Ein internes Assessment ersetzt kein Zertifizierungsaudit. Es bereitet darauf vor. Wie Sie aus den Ergebnissen eine belastbare Nachweisführung für den Audittag machen, beschreibt der Leitfaden Auditvorbereitung für ISO 27001.

Wann sich ein Assessment lohnt

Der naheliegende Anlass ist ein geplantes Zertifizierungsprojekt. Ebenso sinnvoll ist ein Assessment:

• vor einer Re-Zertifizierung oder als jährliche Standortbestimmung,
• bei der Umstellung von der Ausgabe 2013 auf ISO 27001:2022,
• nach grösseren organisatorischen Veränderungen, etwa einer Übernahme, einem neuen Standort oder einer Cloud-Migration,
• nach einem Sicherheitsvorfall,
• wenn die Verantwortung für Informationssicherheit wechselt,
• wenn bereits andere Vorgaben genutzt werden, etwa der IKT-Minimalstandard, ein internes Kontrollsystem oder NIST CSF 2.0, und Sie wissen wollen, was davon für ISO 27001 wiederverwendbar ist.

Unterscheiden Sie zwischen einer schnellen Standortbestimmung und einer auditnahen Gap-Analyse. Wer nur priorisieren will, kommt mit weniger Tiefe aus. Wer zertifizierungsbereit werden will, muss Rollen, Freigaben, Wirksamkeitsnachweise und die Verbindung zum Risikomanagement genau prüfen. Wer noch ganz am Anfang steht, kann mit einem kürzeren Einstieg beginnen. Der Cyber Security Basis Check ordnet seine Fragen unter anderem den Controls aus Anhang A von ISO/IEC 27001:2022 zu. Wann er genügt und wann ISO 27001 der richtige Rahmen ist, vergleicht der Leitfaden ISO 27001 oder Basis Check?.

Vorbereitung: Scope, Ziel und Beteiligte

Viele Assessments werden unnötig aufwendig, weil der Geltungsbereich zu spät feststeht. Legen Sie vor der ersten Frage fest, welche Organisationseinheiten, Standorte, Prozesse, Systeme und Informationswerte dazugehören. Ohne diese Festlegung prüfen Sie entweder zu viel oder übersehen Schnittstellen, etwa zum externen IT-Betreiber oder zu zentralen Cloud-Diensten.

Klären Sie dann das Ziel, denn es bestimmt die Tiefe:

Ziel	Tiefe	Schwerpunkt
Erstbewertung	breit, pragmatisch	Überblick, grösste Lücken, erste Prioritäten
Vorbereitung Zertifizierung	eng an der Norm	Nachweise, Wirksamkeit, Erklärung zur Anwendbarkeit
Re-Assessment	Vergleich mit dem Vorjahr	Fortschritt, erledigte und neue Lücken
Prüfung einzelner Massnahmen	gezielt	Wirksamkeit einer bestimmten Verbesserung

Benennen Sie schliesslich die Beteiligten. ISO 27001 ist keine reine IT-Aufgabe. HR liefert Nachweise zu Ein- und Austritten und Schulungen, der Einkauf zu Lieferanten, Fachbereiche zu ihren Prozessen, die Geschäftsleitung zu Zielen, Ressourcen und Risikoentscheiden, der Datenschutz zu Personendaten. Wer erst spät eingebunden wird, verzögert das ganze Assessment.

Das Assessment in sechs Schritten

1. Anforderungen in prüfbare Fragen übersetzen

Fragen wie «Ist der Prozess angemessen?» lassen sich nicht einheitlich beantworten. Prüfbar wird eine Anforderung, wenn Sie konkret fragen: Ist eine Vorgabe definiert und freigegeben? Ist eine verantwortliche Person benannt? Gibt es einen Nachweis? Ist eine regelmässige Überprüfung eingeplant und durchgeführt?

Trennen Sie dabei die Anforderungen an das Managementsystem aus den Kapiteln 4 bis 10 von den Controls aus Anhang A. Wer beides vermischt, erhält schwer vergleichbare Ergebnisse. Bewerten Sie je Themenblock. Welche Controls Anhang A enthält und wie Sie die anwendbaren auswählen, steht im Leitfaden Welche Controls fordert ISO 27001 konkret?.

2. Ein Bewertungsmodell festlegen

«Erfüllt», «teilweise erfüllt» und «nicht erfüllt» klingen eindeutig und führen ohne Kriterien doch zu Missverständnissen. Was für das eine Team «erfüllt» ist, verlangt für das andere einen geprüften Nachweis. Dann verlieren alle Kennzahlen ihre Aussagekraft.

Besser ist eine Reifegradskala, die beschreibt, ob eine Anforderung gar nicht, punktuell, wiederholbar, etabliert oder systematisch gesteuert umgesetzt ist. Halten Sie zu jeder Stufe fest, woran man sie erkennt. Legen Sie ausserdem je Bereich ein Ziel fest (SOLL), denn nicht jede Anforderung muss die höchste Stufe erreichen. Die Lücke ist dann der Abstand zwischen IST und SOLL.

Regeln Sie auch «nicht anwendbar». Diese Wahl gilt für Anforderungen, die für Ihre Organisation nicht relevant sind, und braucht eine Begründung. Ein fehlender Prozess gehört auf die Stufe «nicht umgesetzt».

3. Den Ist-Zustand mit Belegen erheben

Für jede Frage erfassen Sie die Bewertung, eine kurze Begründung und den Beleg. Belege können Richtlinien, Systemauszüge, Protokolle, Schulungsnachweise, Risikoanalysen, Rollenbeschreibungen oder Freigaben sein. Entscheidend ist ihre Relevanz für die Frage, die Menge spielt keine Rolle.

Ein Beispiel: Bei einer Frage zum Notfallmanagement genügt die Aussage «Notfallplan vorhanden» nicht. Relevant ist auch, ob er getestet wurde, wer ihn freigegeben hat und ob die Kontaktdaten aktuell sind.

Kombinieren Sie Dokumentenprüfung und Gespräche. Wer nur Papier bewertet, übersieht operative Schwächen. Wer nur Interviews führt, übersieht fehlende Nachweise. Bei kritischen Themen wie privilegierten Zugängen, Datensicherung oder der Reaktion auf Vorfälle lohnt es sich, genauer hinzuschauen als bei formalen Punkten.

4. Lücken bewerten und priorisieren

Nicht jede Abweichung ist gleich kritisch. Eine fehlende formale Prozessbeschreibung wiegt anders als fehlende Mehrfaktor-Authentisierung für Administratorkonten. Ordnen Sie die Lücken deshalb nach nachvollziehbaren Kriterien:

Kriterium	Leitfrage
Risiko	Wie wahrscheinlich ist ein Schaden, und wie gross wäre er für Vertraulichkeit, Integrität oder Verfügbarkeit?
Auditrelevanz	Betrifft die Lücke eine Kernanforderung des Managementsystems oder ein ausgewähltes Control?
Abhängigkeiten	Hängen andere Massnahmen davon ab, etwa eine Berechtigungsrichtlinie vom zentral verwalteten Benutzerverzeichnis?
Aufwand	Lässt sich die Lücke rasch schliessen, oder braucht es ein Projekt mit Budget?
Nachweisqualität	Fehlt die Umsetzung oder nur der Beleg?

Ein teilweise erfüllter Punkt mit hohem Risiko verdient mehr Aufmerksamkeit als eine formal offene Anforderung mit geringer operativer Bedeutung.

5. Massnahmen prüfbar formulieren

Definieren Sie Massnahmen erst, wenn klar ist, wie gross die Lücke ist und welcher Nachweis am Ende erwartet wird. Sonst entstehen Doppelarbeit und Aufgaben, die sich nie abschliessen lassen.

«Informationssicherheit verbessern» ist keine Massnahme. «Verfahren für die jährliche Überprüfung von Benutzerberechtigungen dokumentieren, Verantwortliche bestimmen und die erste Überprüfung durchführen» ist eine. Jede Massnahme braucht eine verantwortliche Person, eine Frist, einen Status und einen definierten Nachweis, an dem der Abschluss erkennbar ist. Grosse Vorhaben teilen Sie in Etappen.

6. Offene Lücken ins Risikoregister überführen

Nicht jede Lücke lässt sich sofort schliessen. Budget, technische Abhängigkeiten oder laufende Projekte verzögern die Umsetzung. Dann gehört der Befund ins Risikoregister: welches Risiko besteht, wie es bewertet ist, welche Massnahme geplant ist und wer das Restrisiko trägt. So zeigen Sie, dass offene Punkte bewusst behandelt werden. Die Felder eines solchen Eintrags finden Sie in der Vorlage für ein Risikoregister.

Eine Checkliste nach Themenblöcken

Eine Checkliste, die nur die Kapitel der Norm abschreibt, hilft im Alltag wenig. Eine thematische Gliederung zeigt Teams schneller, wo sie stehen. Fragen Sie in jedem Block nach dem Vorhandensein und ebenso nach Freigabe, Umsetzung, Überprüfung und Aktualisierung.

Organisatorischer Rahmen

• Ist der Geltungsbereich mit Standorten, Prozessen, Systemen und Schnittstellen dokumentiert und begründet?
• Sind die interessierten Parteien und ihre Anforderungen erfasst?
• Gibt es freigegebene Informationssicherheitsziele und eine Leitlinie?
• Ist nachvollziehbar, wer entscheidet, wer umsetzt und wer Nachweise pflegt, auch bei Abwesenheit?

Risikosteuerung

• Ist die Methode zur Risikobewertung festgelegt?
• Sind die Risiken aktuell bewertet?
• Ist für jedes wesentliche Risiko eine Behandlung entschieden, mit Massnahme, Frist und Verantwortlichem?
• Sind akzeptierte Risiken von der zuständigen Stelle freigegeben?

Dokumentierte Information

• Sind Richtlinien und Prozesse aktuell, freigegeben und bekannt?
• Gibt es widersprüchliche Versionen oder veraltete Vorlagen?
• Sind Nachweise zu Schulungen, Kontrollen und Prüfungen einer Anforderung zugeordnet?

Controls aus Anhang A

• Liegen wiederkehrende Nachweise vor, etwa Berechtigungsprüfungen, Backup- und Wiederherstellungstests, Protokollauswertungen, Patchstände, Lieferantenbewertungen, Übungen zu Sicherheitsvorfällen?
• Ist zu jedem Control auch die Wirksamkeit belegt?
• Ist die Erklärung zur Anwendbarkeit konsistent mit der Risikobewertung?

Überwachung und Verbesserung

• Hat ein internes Audit stattgefunden, durchgeführt von jemandem, der den eigenen Bereich nicht selbst prüft?
• Liegt eine Managementbewertung mit dokumentierten Entscheidungen vor?
• Haben alle Feststellungen einen Status, und wurde die Wirksamkeit der Korrekturen geprüft?

Wo Organisationen häufig Lücken haben

Die grössten Defizite liegen selten in der Technik. Firewalls, Backups oder Mehrfaktor-Authentisierung sind oft vorhanden. Häufiger fehlen die steuernden Elemente: dokumentierte Verantwortlichkeiten, ein gepflegtes Risikoregister, die Verbindung zwischen erkannten Schwachstellen und beschlossenen Massnahmen, definierte Kontrollzyklen, aktuelle Schulungsnachweise, interne Audits mit Nachverfolgung und eine Managementbewertung, die zu Entscheidungen führt.

Mit ISO 27001:2022 sind zudem Themen stärker in den Fokus gerückt, etwa Bedrohungsinformationen, die sichere Nutzung von Cloud-Diensten, die Löschung von Informationen oder die Überwachung von Aktivitäten. Oft ist hier bereits einiges umgesetzt, nur die Einbettung ins ISMS fehlt.

Ergebnisse für die Geschäftsleitung aufbereiten

Die Geschäftsleitung braucht keine Diskussion zu jedem Control. Sie will wissen, wie gross die Lücken sind, welche Risiken daraus entstehen, was zuerst umgesetzt werden muss, welche Entscheide zu Budget oder Risikoakzeptanz anstehen und wie sich der Stand seit der letzten Bewertung verändert hat. Ein Gesamtwert allein ist zu grob, denn eine Organisation kann bei der Zugriffskontrolle weit sein und beim Lieferantenmanagement zurückliegen. Zeigen Sie den Reifegrad je Bereich, und sorgen Sie dafür, dass Fachleute vom Bericht bis zur einzelnen Anforderung und ihrem Beleg kommen.

Typische Fehler

• Uneinheitliche Bewertung. Verschiedene Personen legen dieselbe Stufe unterschiedlich aus. Das macht jedes Folgeassessment mühsam.
• Nur Dokumente prüfen. Gute Formulare ersetzen keine gelebten Prozesse.
• Zu viel auf einmal. Gerade kleinere Organisationen fahren besser mit einem stufenweisen Aufbau: Transparenz schaffen, priorisieren, gezielt nachschärfen.
• Massnahmen zu früh verteilen. Aufgaben, bevor die Lücke verstanden ist, erzeugen Doppelarbeit.
• Ergebnisse versanden. Die Bewertung landet als Bericht im Ordner, Verantwortlichkeiten bleiben offen, beim nächsten Review taucht derselbe Punkt wieder auf.
• Die Checkliste nur vor dem Audit öffnen. Dann entsteht Projektdruck statt laufender Steuerung.

Excel oder Software: wonach Sie entscheiden

Viele Gap-Analysen beginnen in Excel. Für eine einmalige Bestandsaufnahme kann das genügen. Schwierig wird es, sobald mehrere Personen bewerten, Nachweise gepflegt werden und aus Befunden Massnahmen werden. Dann werden Kataloge kopiert, ohne dass klar ist, welche Version gilt, Massnahmen liegen in einer anderen Datei, Risiken in einer dritten, und niemand kann ohne Aufwand sagen, welcher Stand aktuell ist. Die ausführliche Abwägung finden Sie im Leitfaden ISMS-Software oder Excel.

Wenn Sie eine Software für ISO-27001-Assessments prüfen, helfen diese Kriterien mehr als lange Funktionslisten:

Kriterium	Woran Sie es erkennen
Bewertungslogik	Verständliche Fragen, eine definierte Skala mit Beschreibung je Stufe, ein Ziel je Bereich
Auswertung	Lücken werden je Bereich sichtbar, ohne dass Sie Formeln pflegen
Massnahmen	Jede Massnahme ist mit der Frage verbunden, aus der sie stammt, mit Frist, Verantwortlichen und Status
Risiken	Offene Lücken lassen sich nach Wahrscheinlichkeit und Auswirkung bewerten, mit Restrisiko
Nachvollziehbarkeit	Änderungen sind mit Person und Zeitpunkt sichtbar, die Zusammenarbeit ist rollenbasiert
Berichte	Ergebnisse lassen sich für Management und Audit exportieren und weiterbearbeiten
Wiederholung	Die Bewertung lässt sich fürs nächste Jahr übernehmen und mit der alten vergleichen
Datenhaltung	Sie wissen, wo die Daten gespeichert werden und wer darauf zugreift
Einführungsaufwand	Das Team kann ohne eigenes Einführungsprojekt beginnen

Prüfen Sie konkret, ob der Prozess nach dem Fragenkatalog weitergeht oder dort endet. Eine reine Fragenliste zeigt, wo Sie stehen. Sie hilft wenig dabei, die Lücke zu schliessen.

Ein ISO-27001-Assessment in SCMC

Das ISO-27001-Modul von SCMC bildet die Anforderungen von ISO/IEC 27001:2022 ab, einschliesslich der 93 Controls aus Anhang A in den vier Themengruppen. Der Ablauf folgt den Schritten oben:

• Zu jeder Frage erfassen Sie IST und SOLL. Das SOLL wird meist vom Bereich übernommen und lässt sich je Frage ändern. Die Stufen zwischen IST und SOLL sind schraffiert, die Lücke ist so auf einen Blick sichtbar. Jede Stufe hat einen Hinweis, was sie bedeutet.
• Dazu kommen eine Begründung und ein Dokumentlink zum Beleg. «Nicht zutreffend» ist eine eigene Wahl, offene Fragen erscheinen als «Noch nicht beantwortet».
• Für Lücken legen Sie Massnahmen an, mit der Empfehlung zur Frage oder Ihrem eigenen Text, mit Status, Frist und verantwortlicher Person. Die Validierung hat eigene Frist und eigenen Verantwortlichen. E-Mail-Erinnerungen und «Meine Aufgaben» halten die Fristen im Blick.
• In der Risikobewertung bewerten Sie Wahrscheinlichkeit und Auswirkung, mit Restrisiko nach den Massnahmen, dargestellt in Risiko- und Restrisikomatrix.
• Die Ergebnisse gibt es als PDF-Bericht, als Word-Dokument für die ganze Bewertung, als Word für Massnahmen und Risikoanalyse und als Excel. Wer lieber gemeinsam in Excel bewertet, liest die Datei wieder ein und sieht vor dem Überschreiben jede Änderung.
• Fürs Re-Assessment duplizieren Sie die Bewertung ins nächste Jahr und vergleichen die Stände in der Ergebnisansicht. Der Verlauf jeder Frage zeigt, wer wann was geändert hat.

Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). SCMC ist ein Werkzeug für die Selbstbeurteilung und stellt kein Zertifikat aus. Ein kurzes Erklärvideo im Hilfe-Center zeigt, wie Sie eine ISO-27001-Bewertung erfassen. Die Preise finden Sie unter /pricing.

Wann ein Assessment gelungen ist

Ein Assessment ist gelungen, wenn es Entscheidungen erleichtert. Danach sollten Sie klar sagen können, welche Anforderungen erfüllt sind, wo belastbare Lücken bestehen, welche Risiken Vorrang haben und wer welche Massnahme bis wann umsetzt. Entsteht stattdessen nur eine umfangreiche Dokumentensammlung, fehlt der eigentliche Nutzen. Wiederholen Sie das Assessment in einem festen Rhythmus und bei wesentlichen Änderungen, dann zeigt der Vergleich, ob die Massnahmen wirken.