ProAuditMap

Was NIS2 und DORA für die Prüfungsplanung 2027 der Internen Revision bedeuten.

Die BAIT laufen aus, DORA und das neue BSI-Gesetz bringen eine eigene Systematik. Was sich daraus für Prüfungsuniversum, Turnus und Nachverfolgung ergibt.

Stand 14. Oktober 2026

Kurzfassung

Mit dem Jahreswechsel 2026/2027 verliert die IT-Prüfungsplanung vieler Revisionsabteilungen ihren vertrauten Bezugsrahmen. Der Beitrag zeigt, welche Vorschriften die Revision ausdrücklich ansprechen, welche Pflichten der Geschäftsleitung sich als Prüfgegenstand eignen und welche Schritte für den Prüfplan 2027 sinnvoll sind.

Ausgangslage

Die Deutsche Bundesbank gibt an, dass die BAIT mit Ablauf des 31. Dezember 2026 vollständig aufgehoben werden [1]. DORA gilt in Deutschland seit dem 17. Januar 2025 unmittelbar. Das Finanzmarktdigitalisierungsgesetz bezieht weitere Institute ein, Finanzdienstleistungsinstitute bis zum 1. Januar 2027 [1]. Außerhalb des Finanzsektors gilt mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz das neue BSI-Gesetz, verkündet am 5. Dezember 2025 [2]. Die Frist zur Registrierung beim BSI ist nach Angabe des Amtes abgelaufen [3].

Wer den Prüfplan 2027 aufstellt, plant damit nicht mehr gegen ein vertrautes Rundschreiben, sondern gegen zwei Rechtsakte mit eigener Gliederung. Bestehende Prüfprogramme mit BAIT-Fundstellen bleiben als Dokumentation früherer Prüfungen gültig. Für Prüfungen ab 2027 brauchen sie neue Bezüge.

DORA spricht die Revision ausdrücklich an

Art. 6 Abs. 6 DORA verlangt, dass der IKT-Risikomanagementrahmen eines Finanzunternehmens, ausgenommen Kleinstunternehmen, regelmäßig von Prüfern intern geprüft wird, und zwar im Einklang mit dem Prüfplan. Die Prüfer brauchen ausreichende Kenntnisse zu IKT-Risiken und angemessene Unabhängigkeit. Häufigkeit und Schwerpunkt der Prüfungen richten sich nach dem IKT-Risiko [4]. Art. 6 Abs. 7 verlangt auf Grundlage der Prüfungsergebnisse ein formales Verfahren zur Nachverfolgung, einschließlich Regeln für die zeitnahe Überprüfung und Behebung kritischer Feststellungen [4].

Für die Planung folgen daraus vier Punkte.

Der Rahmen ist Prüfobjekt. Es genügt nicht, einzelne Systeme zu prüfen. Das Prüfungsuniversum sollte den IKT-Risikomanagementrahmen als Ganzes und seine Bausteine abbilden.

Der Turnus braucht eine Begründung. Wenn Häufigkeit und Schwerpunkt dem IKT-Risiko folgen, muss die Risikobewertung hinter dem Turnus dokumentiert und für Aufsicht und Abschlussprüfer nachvollziehbar sein.

Nachverfolgung ist ein Verfahren, keine Liste. Fristen, Zuständigkeiten, Eskalation und eine eigene Behandlung kritischer Feststellungen sollten schriftlich geregelt sein, bevor die ersten Prüfungen 2027 abgeschlossen werden.

Drittparteien werden zum festen Prüffeld. Art. 28 Abs. 3 DORA verlangt ein Informationsregister zu allen vertraglichen Vereinbarungen über IKT-Dienstleistungen, auf Ebene des Unternehmens sowie teil- und vollkonsolidiert. Vereinbarungen für kritische oder wichtige Funktionen sind gesondert auszuweisen, und der Behörde ist mindestens jährlich zu berichten [4]. Prüfbar sind etwa die Vollständigkeit des Registers gegenüber Verträgen und Kreditoren, die Einstufung der Funktionen und die Aktualität der Einträge.

Hinzu kommt für Unternehmen, die von der Behörde dazu bestimmt werden, der bedrohungsorientierte Penetrationstest mindestens alle drei Jahre (Art. 26 Abs. 1 DORA) [4]. Die Revision sollte früh festlegen, ob sie Vorbereitung und Nachbereitung begleitet oder die Umsetzung der Erkenntnisse später gesondert prüft.

NIS2: Pflichten der Geschäftsleitung als Ansatzpunkt

§ 30 Abs. 1 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Ihre Einhaltung ist zu dokumentieren [5]. § 30 Abs. 2 nennt zehn Bereiche, die die Maßnahmen mindestens umfassen, von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen und die Sicherheit der Lieferkette bis zur Multi-Faktor-Authentifizierung. Nr. 6 verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen [5]. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und ihre Umsetzung überwachen, nach Abs. 3 regelmäßig an Schulungen teilnehmen [6]. § 32 BSIG regelt die Meldungen erheblicher Sicherheitsvorfälle: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach [7].

Daraus ergibt sich für die Planung:

Die zehn Bereiche taugen als Raster. Legt man sie neben das bestehende Prüfungsuniversum, werden Lücken sichtbar. Nicht jeder Bereich muss jedes Jahr geprüft werden, aber der Plan sollte zeigen, wann welcher Bereich an der Reihe ist und warum.

Dokumentation ist prüfbar. Weil das Gesetz die Dokumentation der Einhaltung verlangt, lässt sich prüfen, ob sie vollständig, aktuell und von der Leitung zur Kenntnis genommen ist.

Die Revision ist Teil der Wirksamkeitsbewertung, nicht die ganze. Nr. 6 verlangt Konzepte und Verfahren. Die Revision kann prüfen, ob es sie gibt und ob sie greifen. Sie sollte vermeiden, selbst zum einzigen Verfahren zu werden.

Die Überwachung durch die Leitung braucht Grundlagen. Berichte der Revision an Geschäftsleitung und Aufsichtsgremium können einen Teil der Überwachung nach § 38 belegen. Das spricht für eine Berichtsform, die je Bereich Stand, offene Feststellungen und Fristen zeigt. Schulungsnachweise der Leitung sind ein einfacher, oft übersehener Prüfgegenstand.

Meldefristen lassen sich testen. Eine Übung oder die Akte eines echten Vorfalls zeigt, ob die Kette aus Erkennen, Bewerten und Melden in den Fristen von § 32 funktioniert.

Konzerne mit beiden Regimen

Gruppen mit Finanz- und Nichtfinanzgesellschaften planen mit beiden Rastern. Welche Vorschrift für welche Gesellschaft maßgeblich ist, sollte vor der Planung mit Recht und Compliance geklärt und im Prüfplan vermerkt werden. Sonst entstehen doppelte Prüfungen oder Lücken an den Schnittstellen.

Schritte für den Prüfplan 2027

  1. Bestand aufnehmen: Welche Prüfprogramme und Berichtsvorlagen nennen BAIT-Fundstellen?
  2. Raster anlegen: DORA-Themen und die zehn Bereiche aus § 30 Abs. 2 BSIG gegen das Prüfungsuniversum legen und Lücken markieren.
  3. Risikobewertung und Turnus je Prüfobjekt dokumentieren.
  4. Kapazität und Kenntnisse prüfen. DORA verlangt ausreichende Kenntnisse zu IKT-Risiken. Fehlen sie im Team, gehört Co-Sourcing in die Planung, nicht erst in die Durchführung.
  5. Das Verfahren zur Nachverfolgung schriftlich festlegen, mit eigener Regel für kritische Feststellungen.
  6. Den Plan gegenüber dem Gremium mit den neuen Grundlagen begründen.

Fazit

2027 ändert sich weniger die Arbeit der Revision als ihr Bezugsrahmen. DORA spricht die Revision direkt an und verlangt einen risikoorientierten Turnus und ein formales Verfahren zur Nachverfolgung. Das BSI-Gesetz liefert mit den zehn Bereichen und den Pflichten der Geschäftsleitung ein brauchbares Raster. Wer beides jetzt in Prüfungsuniversum und Prüfplan übersetzt, beginnt das Jahr mit begründeten Prüfungen statt mit einer Umstellung im laufenden Betrieb.

Muster-Prüfprogramme, unter anderem zu NIS2 Berechtigungsmanagement und DORA IKT-Drittparteienrisiko, stehen frei zur Verfügung: Muster-Prüfprogramme.

Betroffenheits-Check NIS2 und DORA

Prüfplan-Entwurf erzeugen

Quellen (abgerufen am 14. Oktober 2026)

  1. Deutsche Bundesbank, BAIT und DORA (englische Fassung der Seite): https://www.bundesbank.de/en/tasks/banking-supervision/individual-aspects/risk-management/bait
  2. BGBl. 2025 I Nr. 301 vom 5. Dezember 2025 (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz): https://www.recht.bund.de/bgbl/1/2025/301/VO.html
  3. BSI, NIS-2-regulierte Unternehmen: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html
  4. Verordnung (EU) 2022/2554 (DORA), Art. 6 Abs. 6 und 7, Art. 26 Abs. 1, Art. 28 Abs. 3: https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2554
  5. § 30 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__30.html
  6. § 38 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__38.html
  7. § 32 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__32.html

Dieser Beitrag gibt einen Überblick und ist keine Rechtsberatung. Maßgeblich ist der Wortlaut der genannten Vorschriften.