Prüfprogramm Change Management.
Wie Sie prüfen, ob Änderungen an IT-Systemen beantragt, bewertet, genehmigt, getestet und dokumentiert werden und ob keine Änderung am Verfahren vorbei erfolgt.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob Änderungen an produktiven IT-Systemen kontrolliert erfolgen: mit einem Antrag, einer Bewertung der Auswirkungen, einer Genehmigung vor der Umsetzung, einem Test, einem Rückfallplan und einer Dokumentation. Sie beurteilt außerdem, ob tatsächlich alle Änderungen durch das Verfahren laufen.
Geltungsbereich
- Änderungen an Anwendungen, Infrastruktur, Konfigurationen und Netzwerkkomponenten im produktiven Betrieb
- Standardänderungen, normale Änderungen und Notfalländerungen
- Rollen im Verfahren, etwa Antragsteller, Genehmiger und Umsetzer, sowie Entwicklungs-, Test- und Produktivumgebung
- Nicht Gegenstand: die Methodik der Softwareentwicklung selbst, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Change-Prozess besteht, ist freigegeben und unterscheidet Standard-, normale und Notfalländerungen. | BSI OPS.1.1.3; ISO/IEC 27001:2022 Anhang A 8.32 | Prozessbeschreibung lesen und prüfen, ob Kategorien, Rollen und Abläufe je Kategorie festgelegt sind. | Prozessbeschreibung mit Freigabe, Katalog der Standardänderungen |
| 2 | Jede Änderung wird mit Beschreibung, Begründung, betroffenen Systemen und Rückfallplan beantragt. | BSI OPS.1.1.3 | Zehn Änderungen der letzten sechs Monate auswählen und die Anträge auf Vollständigkeit prüfen. | Änderungsanträge oder Tickets |
| 3 | Auswirkungen und Risiken, auch für die Informationssicherheit, werden vor der Genehmigung bewertet. | ISO/IEC 27001:2022 Anhang A 8.32 | In der Stichprobe prüfen, ob und wie Auswirkungen und Sicherheitsaspekte bewertet wurden. | Bewertungsvermerke, Risikoeinstufung im Ticket |
| 4 | Änderungen werden vor der Umsetzung von einer befugten Stelle genehmigt. | ISO/IEC 27001:2022 Anhang A 8.32 | Genehmigungszeitpunkt mit dem Zeitpunkt der Umsetzung vergleichen und Befugnisse der Genehmigenden prüfen. | Genehmigungen mit Zeitstempel, Befugnisliste, Protokolle des Änderungsgremiums |
| 5 | Antragsteller, Genehmiger und Umsetzer sind getrennt, Entwicklung, Test und Produktion sind voneinander getrennt. | ISO/IEC 27001:2022 Anhang A 8.31 | Rollen in der Stichprobe vergleichen und Zugriffsrechte auf die Umgebungen prüfen. | Rollenmatrix, Berechtigungsauszug der Umgebungen |
| 6 | Vor der Inbetriebnahme finden Tests und eine dokumentierte Abnahme statt. | BSI OPS.1.1.3 | Für die Stichprobe Testplan, Ergebnisse und Abnahme ansehen. | Testprotokolle, Abnahmevermerke |
| 7 | Ein Rückfallplan besteht und wird bei kritischen Änderungen getestet oder zumindest geprüft. | BSI OPS.1.1.3 | Rückfallpläne der Stichprobe lesen und bei fehlgeschlagenen Änderungen prüfen, ob sie angewendet wurden. | Rückfallpläne, Protokolle fehlgeschlagener Änderungen |
| 8 | Notfalländerungen folgen festgelegten Kriterien und werden nachträglich innerhalb einer Frist genehmigt und dokumentiert. | BSI OPS.1.1.3 | Alle Notfalländerungen des letzten Halbjahres auswählen und Begründung, Nachgenehmigung und Dokumentation prüfen. | Liste der Notfalländerungen, nachträgliche Genehmigungen |
| 9 | Nach einer Änderung werden Konfigurations- und Systemdokumentation aktualisiert. | ISO/IEC 27001:2022 Anhang A 8.9 | In der Stichprobe prüfen, ob die Konfigurationsverwaltung die geänderten Daten enthält. | Auszug der Konfigurationsverwaltung vor und nach der Änderung |
| 10 | Alle tatsächlichen Änderungen laufen durch das Verfahren; nicht erfasste Änderungen werden erkannt. | ISO/IEC 27001:2022 Anhang A 8.32 | Protokolle der Systeme, Bereitstellungen und Konfigurationsänderungen eines Zeitraums mit den Änderungsanträgen abgleichen. | Systemprotokolle, Bereitstellungsprotokolle, Abgleichsliste |
| 11 | Betroffene Stellen werden rechtzeitig informiert, Wartungsfenster sind abgestimmt. | BSI OPS.1.1.3 | Kommunikation zu den Änderungen der Stichprobe prüfen. | Ankündigungen, Wartungskalender |
| 12 | Der Zugriff auf Änderungen an der Produktion ist auf befugte Personen beschränkt und wird protokolliert. | ISO/IEC 27001:2022 Anhang A 8.2 | Berechtigte für Änderungen an der Produktion auslesen, mit den Rollen vergleichen und die Protokollierung prüfen. | Berechtigungsauszug, Protokollkonfiguration |
| 13 | Abgeschlossene Änderungen werden nachbetrachtet, Kennzahlen zu Erfolgsquote und Notfalländerungen werden ausgewertet. | ISO/IEC 27001:2022 Anhang A 8.32 | Nachbetrachtungen fehlgeschlagener Änderungen und die Kennzahlenberichte der letzten zwölf Monate ansehen. | Nachbetrachtungen, Kennzahlenberichte, Maßnahmenliste |
Unterlagen zur Anforderung
- Prozessbeschreibung zum Change Management mit Katalog der Standardänderungen
- Liste aller Änderungen der letzten sechs bis zwölf Monate mit Kategorie und Status
- Änderungsanträge, Genehmigungen und Testprotokolle der Stichprobe
- Liste der Notfalländerungen mit nachträglicher Genehmigung
- Rollenmatrix und Berechtigungsauszug für die produktiven Umgebungen
- Systemprotokolle und Bereitstellungsprotokolle für den Abgleich
- Protokolle des Änderungsgremiums
- Kennzahlenberichte zu Änderungen
Typische Feststellungen
- Änderungen werden nach der Umsetzung beantragt, die Genehmigung liegt zeitlich hinter der Änderung.
- Anträge enthalten keinen Rückfallplan, bei fehlgeschlagenen Änderungen fehlt der Nachweis der Wiederherstellung.
- Administratoren ändern Systeme direkt, ohne Ticket; der Abgleich mit den Systemprotokollen zeigt Lücken.
- Antragsteller und Genehmiger sind dieselbe Person.
- Notfalländerungen machen einen hohen Anteil aus und werden nicht nachträglich genehmigt.
- Die Konfigurationsverwaltung wird nach Änderungen nicht aktualisiert.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen