Wissen, wo Sie stehen – bevor das Audit kommt

Ob Zertifizierung, Kundenanforderung oder neue Regulierung: Unsere GAP-Analysen sind eine objektive Evaluation Ihrer aktuellen Position gegenüber den Vorgaben des jeweiligen Standards oder Gesetzes. Sie zeigen, welche Anforderungen Sie bereits erfüllen, wo Lücken bestehen und mit welchen Massnahmen Sie diese effizient schliessen. Mit den Ergebnissen entwickeln Sie einen realistischen Projektplan und bereiten sich zielgerichtet auf Audit, Attestierung oder Konformitätsnachweis vor.

Viele Anforderungen überschneiden sich. Deshalb kombinieren wir bei Bedarf mehrere Frameworks in einer Analyse: Ein gemeinsames Control-Mapping verhindert Doppelarbeit und schafft eine Basis, auf der Sie weitere Nachweise schrittweise aufbauen können.

Zertifizierungen und Attestierungen

• ISO/IEC 27001: Bewertung Ihres Informationssicherheits-Managementsystems gegenüber ISO 27001:2022 unter Einbezug der Controls aus ISO 27002 – auf Wunsch inklusive ISO 27017/27018 (Cloud) oder ISO 27701 (Datenschutz).
• SOC 2 Readiness: Für SaaS-, Cloud- und IT-Dienstleister mit internationalen Kunden. Wir prüfen Ihre Kontrollen gegenüber den Trust Services Criteria, definieren den Scope und bereiten Sie auf einen Type-I- oder Type-II-Bericht vor.
• SOC for Cybersecurity: Für Organisationen, die Verwaltungsrat, Investoren, Versicherern oder Partnern die Wirksamkeit ihres Cybersecurity-Risikomanagement-Programms transparent aufzeigen wollen.
• ISO/IEC 42001: Strukturierter Rahmen für den verantwortungsvollen Einsatz von künstlicher Intelligenz – und eine solide Grundlage für den EU AI Act.
• PCI DSS v4.0.1: Für Unternehmen, die Kartenzahlungsdaten verarbeiten, speichern oder übertragen.

Regulatorische Anforderungen Schweiz und EU

• EU Cyber Resilience Act (CRA): Für Hersteller von Hard- und Software mit digitalen Elementen, die auf dem EU-Markt angeboten werden – auch aus der Schweiz. Seit dem 11. September 2026 gelten die Meldepflichten, ab dem 11. Dezember 2027 alle Anforderungen. Wir analysieren Produktklassifizierung, Secure Development, Schwachstellen- und Update-Management, SBOM, Dokumentation und Meldeprozesse.
• NIS2: Für Schweizer Unternehmen mit Niederlassungen oder Kunden in der EU sowie für Zulieferer betroffener Organisationen. Wir klären die Betroffenheit und bewerten Ihren Umsetzungsstand.
• DORA und FINMA-Rundschreiben 2023/1: Für Finanzinstitute und deren IKT-Dienstleister – mit Fokus auf IKT-Risikomanagement, Incident-Management, Resilienztests und Drittparteienrisiken.
• ISG und IKT-Minimalstandard: Betreiber kritischer Infrastrukturen müssen Cyberangriffe innerhalb von 24 Stunden dem BACS melden. Wir prüfen Ihre Erkennungs- und Meldeprozesse und bewerten Ihr Sicherheitsniveau anhand des IKT-Minimalstandards.
• revDSG und DSGVO: Beurteilung der technischen und organisatorischen Massnahmen zum Schutz von Personendaten sowie der Prozesse bei Datenschutzverletzungen.

Branchenstandards und Reifegrad-Assessments

• IEC 62443: Für Betreiber, Integratoren und Hersteller industrieller Automatisierungs- und Steuerungssysteme – zugleich eine wichtige Grundlage für die CRA-Konformität vernetzter Industrieprodukte.
• TISAX: Vorbereitung von Zulieferern der Automobilindustrie auf das Assessment anhand des VDA-ISA-Katalogs.
• NIST CSF 2.0 und CIS Controls: Reifegrad-Assessment ohne konkretes Zertifizierungsziel – zeigt dem Management auf einen Blick, wo Investitionen am meisten bewirken.

Unser Vorgehen: Zu Beginn legen wir gemeinsam Ziel, Geltungsbereich und relevante Frameworks fest und klären bei Regulierungen zuerst, ob und wie Sie betroffen sind. Anschliessend ermitteln wir den Ist-Zustand aus Security-Sicht: Wir prüfen vorhandene Policies, Guidelines und Procedures und berücksichtigen bereits durchgeführte Security Assessments, Audits sowie Ihre IT-Strategie. Um die internen Prozesse zu evaluieren, führen wir Interviews mit Ihren Mitarbeitenden und anschliessend ein Architekturreview durch. Das Ergebnis präsentieren wir Ihnen in einem kompakten und nachvollziehbaren Format mit priorisierten Massnahmen und einer Roadmap bis zum Audit. Bei Bedarf übernimmt Blueguard die Umsetzung der vorgeschlagenen Massnahmen. Die Zertifizierung bzw. Attestierung selbst erfolgt durch eine akkreditierte Stelle oder einen unabhängigen Prüfer (bei SOC-Berichten durch eine CPA-Firma) – wir sorgen dafür, dass Sie optimal darauf vorbereitet sind.

Vorteile für Ihr Unternehmen

Unsere GAP-Analysen bieten Ihnen eine objektive Bewertung Ihres aktuellen Sicherheitsniveaus gegenüber dem gewählten Standard oder Gesetz. So erhalten Sie nicht nur eine klare Übersicht Ihrer Lücken, sondern auch konkrete Massnahmen, um Ihre Organisation effizient auf Zertifizierung, Attestierung oder regulatorische Prüfung vorzubereiten.

• Klarheit vor der Investition: Sie wissen genau, wo Sie stehen, und planen Budget und Ressourcen auf Basis von Fakten statt Schätzungen.
• Schnelle Ergebnisse: Durch unsere Erfahrung und strukturierte Vorgehensweise führen wir die GAP-Analyse zielgerichtet und in einem überschaubaren Zeitraum durch.
• Vorbereitet: Nach unserem Pre-Assessment erhalten Sie eine konkrete Liste mit Findings und einen Plan zur Behebung – ideal, um ohne Überraschungen ins Audit zu gehen.
• Einmal analysieren, mehrfach nutzen: Dank Control-Mapping über mehrere Standards hinweg vermeiden Sie Doppelaufwand bei ISO 27001, SOC 2, NIS2 oder CRA.
• Weniger Risiko: Sie reduzieren Haftungs-, Geschäfts- und Reputationsrisiken und erfüllen regulatorische Pflichten fristgerecht.
• Vertrauen bei Kunden und Partnern: Zertifikate und Attestierungen beantworten Security-Fragebögen und öffnen Türen zu neuen Märkten und Ausschreibungen.
• Kosten: Bei einer professionellen Durchführung liegt der Aufwand einer GAP-Analyse zumeist kaum über dem anderer Sicherheitsprüfungen und kann deswegen gut in das IT-Budget integriert werden.
• Expertenwissen: Auf unsere Branchenerfahrung können Sie sich verlassen. Ihre Projekte setzen wir deswegen zeitnah und nach aktuellen Best Practices um.
• Kein Ping-Pong: Wir halten Kommunikationswege kurz und vermeiden durch gezielte Planung Unklarheiten.
• Immer im Blick: Durch geeignete Tools sind Sie jederzeit über den aktuellen Stand der Arbeit informiert.