Vad är en gap-analys? Betydelse, steg och exempel
En gap-analys är en strukturerad jämförelse mellan hur något ser ut i dag och hur det borde se ut. Skillnaden däremellan är gapet. Måttstocken kan vara ett affärsmål, en standard som ISO 27001, en lagtext eller en kompetensprofil; resultatet är en lista över vad som saknas, formulerad så att bristerna går att prioritera och åtgärda.
Begreppet används i allt från ekonomistyrning till HR, men principen är densamma: definiera börläget, mät nuläget ärligt och dokumentera skillnaden. Vanligast i Sverige just nu är analysen inom informationssäkerhet, där den blivit det etablerade första steget mot ISO 27001 och NIS2. Vi börjar med själva ordet.
Vad betyder gap-analys?
Ordet kommer från engelskans gap analysis, där gap betyder glapp eller lucka. På svenska förekommer även stavningarna gapanalys och GAP-analys, och ibland används nulägesanalys som ett närliggande begrepp. Skillnaden är att en nulägesanalys stannar vid att beskriva läget, medan gap-analysen alltid jämför mot ett definierat börläge.
Tre komponenter ingår alltid: ett nuläge (var ni faktiskt står), ett börläge (var ni ska vara) och gapet, alltså skillnaden mellan de två. Utan ett tydligt börläge finns det inget gap att mäta, bara ett allmänt missnöje.
Så gör ni en gap-analys i fem steg
Metoden är enkel. Disciplinen är det svåra.
- 1. Välj måttstock. Bestäm exakt vad ni jämför mot. En luddig måttstock ger en luddig analys.
- 2. Avgränsa. Bestäm vilken del av verksamheten analysen täcker innan ni bedömer något; annars blir varje svar ”det beror på”.
- 3. Kartlägg nuläget ärligt. Prata med dem som gör jobbet, inte bara med dokumenten. Att en rutin finns på papper betyder inte att den följs.
- 4. Dokumentera varje gap med en motivering. Ett halvår senare är motiveringen det enda som förklarar bedömningen.
- 5. Prioritera och sätt en handlingsplan. Börja med de gap som exponerar er mest, ge varje åtgärd en ägare och ett måldatum, och mät om efter en tid. Trenden mellan två mätningar säger mer än någon enskild ögonblicksbild.
Gap-analys eller riskanalys?
De två blandas ihop hela tiden. Gap-analysen mäter avståndet till en yttre måttstock. Riskanalysen utgår i stället från er egen verksamhet och frågar vad som kan gå fel, hur troligt det är och hur illa det vore. Inom ISO 27001 behövs båda: gap-analysen visar var ni står mot standardens krav, riskbedömningen avgör vilka säkerhetsåtgärder just er organisation behöver.
Behöver ni välja ordning: gör gap-analysen först. Den är billigare, går snabbare och ger beslutsunderlaget för om och hur ni ska gå vidare.
Exempel: gap-analys inom informationssäkerhet
Det vanligaste sammanhanget där svenska organisationer möter begreppet i dag är informationssäkerhet. Där jämförs verksamheten mot ISO 27001, med 93 kontroller i bilaga A och ledningssystemkraven i kapitel 4–10, eller mot cybersäkerhetslagens riskhanteringsåtgärder. Sedan lagen trädde i kraft i januari 2026 har frågan dessutom fått ett datum: kraven på säkerhetsåtgärder och ledningens utbildning börjar gälla den 1 oktober 2026, och en gap-analys är det snabbaste sättet att ta reda på hur långt ifrån ni står.
Vill ni gå på djupet finns en praktisk guide till gap-analys enligt ISO 27001, med en gratis Excel-mall som täcker samtliga 93 kontroller och ledningssystemkraven, och en checklista för cybersäkerhetslagen för er som omfattas av NIS2. I Aquil är arbetssättet inbyggt: Compliance Assistant håller bedömningen per kontroll med status, motivering och bevis, och GDPR-nivån är kostnadsfri om ni vill prova modellen innan ni ger er på ISO 27001.
En sista sak, den som oftast missas: en gap-analys är färskvara. Den beskriver er organisation den dag den gjordes, och värdet sitter i att mäta om mot samma måttstock med jämna mellanrum. Varför det förändrar hela arbetssättet skriver vi om i er gap-analys ska vara levande.