Stephan VossISO (Information Security Officer)stephan.voss@stephan-voss.deLinkedIn
ISMS-GRC-WEBGOVERNANCE · RISK · COMPLIANCE · ASSURANCE
CURRENT · TARGET · GAP

Zustände sichtbar machen, ohne Reife und Wirksamkeit zu vermischen

Current und Target beschreiben Zustände. Der Gap beschreibt die Differenz. Umsetzung, Reife und Wirksamkeit werden separat bewertet.

ROTER FADEN · RENTENZAHLUNG
09
Soll und Ist vergleichen

Target: Wiederherstellung in höchstens 8 Stunden. Current: Restore-Test benötigt 14 Stunden. Gap: 6 Stunden plus konkrete Ursachen.

Gesamten Fall ansehen →
VIER GETRENNTE BEWERTUNGEN

Nicht alles ist „Reifegrad“

1Umsetzungsstatus

nicht begonnen · geplant · in Umsetzung · umgesetzt

2Ist / Ziel / Lücke

heutiger Zustand · Zielzustand · Differenz

3Wirksamkeit

nicht geprüft · unwirksam · teilweise wirksam · wirksam

4Fähigkeit / Reife

optional: institutionalisierte Ausprägung auf definierter Skala

ARBEITSLOGIK

Gap führt zu Maßnahme – nicht direkt zu „nicht compliant“

Arbeitskreislauf aus Ist-Zustand, Zielzustand, Lücke, Priorisierung, Maßnahmenplan, Umsetzung und Neubewertung.
Ist, Ziel und Lücke sind Zustände und Differenzen – kein Reifegrad.

Ein Gap kann eine Verbesserung, ein Risiko, eine Ausnahme, einen Ressourcenbedarf oder eine Compliance-Abweichung darstellen. Erst der Bezug zu Anforderung, Risiko und Toleranz entscheidet über die Bedeutung.

DENKFEHLER

Eine Lücke sagt noch nicht, wie kritisch sie ist

Die Differenz zwischen Ist und Ziel wird erst durch Kontext entscheidungsfähig. Eine kleine Lücke kann kritisch sein, wenn eine verbindliche Mindestanforderung unterschritten wird. Eine große Lücke kann als geplanter Entwicklungsschritt akzeptabel sein, wenn Risiko, Zeitplan und Mandat passen.

Praxisregel: Gap beschreiben → Bedeutung gegenüber Ziel, Risiko und Verpflichtung bewerten → Entscheidung treffen → Maßnahme und Review festlegen.