Muster-Prüfprogramme für die IT-Revision.
Prüfungsziel, Geltungsbereich, Prüfzeilen mit Prüfhandlung und erwarteten Nachweisen, dazu die Unterlagenliste und typische Feststellungen. Als Ausgangspunkt für Ihre nächste IT-Prüfung.
Stand: 13. Oktober 2026
Was ein Prüfprogramm leistet
Ein Prüfprogramm übersetzt ein Prüfungsziel in einzelne Prüfzeilen. Jede Zeile nennt ein Kriterium, die Prüfhandlung, mit der Sie es beurteilen, und die Nachweise, die Sie dafür erwarten. So bleibt die Prüfung nachvollziehbar und lässt sich von mehreren Prüfern gleich durchführen.
Die Muster auf diesen Seiten sind bewusst kompakt gehalten. Sie ersetzen nicht die Prüfungsplanung, geben aber einen belastbaren Start, auch wenn ein Thema neu auf Ihrem Prüfplan steht.
Die Muster im Überblick
-
NIS2
NIS2: Berechtigungsmanagement
Wie Sie prüfen, ob Zugriffsrechte nur an Berechtigte vergeben, regelmäßig überprüft und rechtzeitig entzogen werden, einschließlich privilegierter Konten und Mehrfaktor-Authentifizierung.
13 Prüfzeilen
-
DORA
DORA: IKT-Drittparteienrisiko
Wie Sie prüfen, ob ein Finanzunternehmen die Risiken aus IKT-Dienstleistern steuert: Strategie, Informationsregister, vorvertragliche Bewertung, Vertragsinhalte und Ausstieg.
14 Prüfzeilen
-
BSI-Grundschutz
BSI-Grundschutz: Backup und Wiederherstellung
Wie Sie prüfen, ob Datensicherungen vollständig, geschützt und tatsächlich wiederherstellbar sind, orientiert am IT-Grundschutz-Baustein CON.3 Datensicherungskonzept.
13 Prüfzeilen
Muster ansehen: BSI-Grundschutz: Backup und Wiederherstellung
-
NIS2, ISO 27001
Patch- und Schwachstellenmanagement
Wie Sie prüfen, ob Schwachstellen erkannt, nach Risiko bewertet und innerhalb festgelegter Fristen behoben werden, bezogen auf NIS2, den Baustein OPS.1.1.3 und Anhang A der ISO/IEC 27001.
13 Prüfzeilen
-
BSI 200-4, NIS2
Notfallmanagement und BCM
Wie Sie prüfen, ob eine Organisation kritische Prozesse bei Störungen fortführen oder rechtzeitig wiederherstellen kann, orientiert am BSI-Standard 200-4 und am Baustein DER.4.
14 Prüfzeilen
-
BSI, ISO 27001
Change Management
Wie Sie prüfen, ob Änderungen an IT-Systemen beantragt, bewertet, genehmigt, getestet und dokumentiert werden und ob keine Änderung am Verfahren vorbei erfolgt.
13 Prüfzeilen
-
ISO 27001, BSI, DORA
Logging und Monitoring
Wie Sie prüfen, ob sicherheitsrelevante Ereignisse vollständig protokolliert, geschützt aufbewahrt, ausgewertet und bei Auffälligkeiten rechtzeitig verfolgt werden.
12 Prüfzeilen
-
ISO 27001, DORA, BSI
Cloud-Nutzung und Auslagerung
Wie Sie prüfen, ob Cloud-Dienste nach einer festgelegten Strategie ausgewählt, vertraglich abgesichert, sicher konfiguriert und überwacht werden und ob ein Ausstieg möglich bleibt.
12 Prüfzeilen
-
NIS2, ISO 27001, BSI
Privilegierte Zugriffe
Wie Sie prüfen, ob Administrator- und andere privilegierte Konten erfasst, begrenzt, besonders abgesichert und nachvollziehbar genutzt werden.
12 Prüfzeilen
-
ISO 27001, NIS2
Dienstleistersteuerung
Wie Sie prüfen, ob Dienstleister und Lieferanten nach Risiko ausgewählt, vertraglich verpflichtet, laufend überwacht und beim Ende der Beziehung sauber abgelöst werden.
12 Prüfzeilen
-
NIS2, DORA, ISO 27001
Sicherheitsvorfälle und Meldewesen
Wie Sie prüfen, ob Sicherheitsvorfälle erkannt, eingestuft, behandelt und fristgerecht an die zuständigen Stellen gemeldet werden und ob die Organisation daraus lernt.
13 Prüfzeilen
-
ISO 27001, BSI
Netzwerksicherheit und Segmentierung
Wie Sie prüfen, ob Netze sicher gestaltet, in Zonen getrennt, über Firewalls kontrolliert und in Betrieb und Änderung beherrscht werden.
12 Prüfzeilen
-
DSGVO
Datenschutz: technisch-organisatorische Maßnahmen
Wie Sie prüfen, ob die Sicherheit der Verarbeitung personenbezogener Daten dem Risiko angemessen ist und ob die Wirksamkeit der Maßnahmen regelmäßig überprüft wird.
12 Prüfzeilen
Muster ansehen: Datenschutz: technisch-organisatorische Maßnahmen
-
BSIG
KRITIS: Nachweisprüfung
Wie Sie prüfen, ob die Risikomanagementmaßnahmen eines Betreibers kritischer Anlagen umgesetzt sind und so belegt werden, dass ein Nachweis gegenüber dem Bundesamt trägt.
11 Prüfzeilen
-
ISO 27001, BSI, NIS2
Sichere Softwareentwicklung
Wie Sie prüfen, ob Software mit festgelegten Sicherheitsanforderungen entwickelt, geprüft und getestet wird und ob Quellcode und Umgebungen geschützt sind.
12 Prüfzeilen
-
ISO 27001, DORA, NIS2
IT-Asset- und Konfigurationsmanagement
Wie Sie prüfen, ob Hardware, Software, Cloud-Ressourcen und Informationswerte vollständig erfasst, Verantwortlichen zugeordnet und mit ihren Abhängigkeiten aktuell gehalten werden.
12 Prüfzeilen
-
BSI, ISO 27001
Endgeräte- und Mobilgerätesicherheit
Wie Sie prüfen, ob Arbeitsplatzrechner, Laptops, Smartphones und Tablets einheitlich verwaltet, gehärtet, verschlüsselt und bei Verlust schnell gesperrt werden.
12 Prüfzeilen
-
BSI, ISO 27001, RFC
E-Mail-Sicherheit
Wie Sie prüfen, ob die E-Mail-Domänen gegen Fälschung geschützt sind, Nachrichten verschlüsselt transportiert werden und Phishing und Schadprogramme wirksam abgefangen werden.
12 Prüfzeilen
-
NIS2, DORA, BSIG
IT-Governance und IT-Strategie
Wie Sie prüfen, ob die IT aus der Unternehmensstrategie gesteuert wird, die Geschäftsleitung ihre Verantwortung wahrnimmt und Ziele, Risiken und Ressourcen nachvollziehbar gelenkt werden.
12 Prüfzeilen
-
ISO 27001, BSI
ISMS nach ISO/IEC 27001
Wie Sie prüfen, ob das Managementsystem für Informationssicherheit die Anforderungen der Kapitel 4 bis 10 erfüllt und im Alltag wirkt, nicht nur auf dem Papier.
13 Prüfzeilen
-
NIS2, BSI, ISO 27001
Kryptografie und Schlüsselmanagement
Wie Sie prüfen, ob Verschlüsselung nach einem Konzept mit anerkannten Verfahren eingesetzt wird und Schlüssel und Zertifikate über ihren gesamten Lebenszyklus geschützt sind.
12 Prüfzeilen
-
ISO 27001, BSI
Physische Sicherheit Rechenzentrum
Wie Sie prüfen, ob Rechenzentrum, Serverräume und Technikräume gegen unbefugten Zutritt, Feuer, Wasser, Überhitzung und Stromausfall geschützt sind.
12 Prüfzeilen
-
BSI, ISO 27001, BSIG
Active Directory und Entra ID
Wie Sie prüfen, ob die zentralen Verzeichnisdienste gegen Übernahme geschützt sind, privilegierte Rechte eng begrenzt bleiben und eine Wiederherstellung nach einem Angriff möglich ist.
13 Prüfzeilen
-
ISO 27001, BSI
Software-Lizenzmanagement
Wie Sie prüfen, ob eingesetzte Software vollständig erfasst, ordnungsgemäß lizenziert und wirtschaftlich genutzt wird und ob die Organisation auf ein Herstelleraudit vorbereitet ist.
12 Prüfzeilen
-
BSI, ISO 27001, GoBD
SAP-Berechtigungen
Wie Sie prüfen, ob Berechtigungen im SAP-System nach einem Konzept vergeben, Funktionstrennungen eingehalten und kritische Rechte, Notfallzugriffe und Änderungen am Produktivsystem kontrolliert werden.
13 Prüfzeilen
-
ISO 27001, DSGVO, GoBD
IT-Projekte
Wie Sie prüfen, ob ein IT-Projekt geordnet gesteuert wird, Sicherheit und Datenschutz von Anfang an berücksichtigt und mit geprüfter Abnahme und Datenmigration in den Betrieb übergeht.
12 Prüfzeilen
-
GoBD, AO, HGB
Archivierung und GoBD
Wie Sie prüfen, ob steuerlich und handelsrechtlich relevante Unterlagen vollständig, unveränderbar und für die gesamte Frist lesbar aufbewahrt werden und ob die Verfahrensdokumentation das belegt.
12 Prüfzeilen
-
NIS2, ISO 27001, BSI
Security Awareness und Schulung
Wie Sie prüfen, ob Mitarbeitende, Führungskräfte und IT-Personal regelmäßig und passend zu ihren Aufgaben sensibilisiert und geschult werden und ob das messbar wirkt.
13 Prüfzeilen
-
BSI, ISO 27001, NIS2
Fernzugriff und mobiles Arbeiten
Wie Sie prüfen, ob Zugriffe von außen über abgesicherte Wege mit starker Anmeldung erfolgen, nur auf das Nötige reichen und das Arbeiten zu Hause und unterwegs geregelt ist.
12 Prüfzeilen
Zur Verwendung
Die Muster verweisen auf Gesetze, Verordnungen und Standards nur als Fundstelle und geben keine Normtexte wieder. Sie sind Arbeitsgrundlagen und keine Rechtsberatung. Passen Sie Umfang und Tiefe an Ihre Organisation, Ihre Risiken und die für Sie geltenden Vorschriften an.
Abdeckung der Revisionsstandards
Betroffenheits-Check NIS2 und DORA
Fachartikel: IT-Prüfprogramm erstellen
Fachartikel: Prüfungsplanung 2027 unter NIS2 und DORA
Fachartikel: Feststellungen nachverfolgen nach DORA, MaRisk und IIA-Standards
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Vollständiges Beispielpaket ansehen Preise ansehen Produkt im Überblick