Gap ist das englische Wort für Lücke. Eine Gap-Analyse stellt die Frage: Wo stehen wir, wo müssten wir stehen, und was fehlt dazwischen? Sie wird in der Strategie, im Qualitätsmanagement, in IT-Projekten und besonders häufig in der Compliance eingesetzt.
Vier Schritte
Zuerst wird der Soll-Zustand festgelegt, etwa die Anforderungen der DSGVO, von NIS2 oder ISO 27001. Danach wird der Ist-Zustand erhoben, über Unterlagen, Interviews und Stichproben in Systemen. Im dritten Schritt werden die Abweichungen beschrieben und nach Risiko, Dringlichkeit und Aufwand bewertet. Zuletzt entsteht daraus ein priorisierter Massnahmenplan.
Bewertung der Lücken
Nicht jede Lücke ist gleich wichtig. Bewährt hat sich eine Bewertung nach Eintrittswahrscheinlichkeit und Auswirkung, ergänzt um gesetzliche Fristen. Eine fehlende Meldekette für Cybervorfälle wiegt schwerer als eine veraltete Formulierung in einer Richtlinie. Hilfreich ist auch die Frage, ob eine Massnahme mehrere Lücken zugleich schliesst.
Typische Fehler
Häufig wird der Ist-Zustand aus Dokumenten abgeleitet, ohne zu prüfen, ob die Praxis ihnen entspricht. Ebenso häufig fehlt die Abgrenzung des Soll-Zustands: Eine Gap-Analyse gegen eine Norm, die gar nicht gilt, erzeugt Arbeit ohne Nutzen. Deshalb steht in der Compliance vor der Gap-Analyse die Prüfung, welche Regelwerke überhaupt zutreffen.
Gap-Analyse und Anforderungsarbeit
Methodisch ist eine Gap-Analyse verwandt mit dem Requirements Engineering: Anforderungen erheben, präzisieren und gegen eine bestehende Lösung prüfen. Unsere Compliance-Analyse verbindet Betroffenheitsprüfung und Gap-Analyse über mehrere Regelwerke.