Prüfprogramm Cloud-Nutzung und Auslagerung.
Wie Sie prüfen, ob Cloud-Dienste nach einer festgelegten Strategie ausgewählt, vertraglich abgesichert, sicher konfiguriert und überwacht werden und ob ein Ausstieg möglich bleibt.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation die Nutzung von Cloud-Diensten steuert: von der Entscheidung und Risikobewertung über die Vertragsgestaltung und die Aufgabenteilung mit dem Anbieter bis zur sicheren Konfiguration, zur laufenden Überwachung und zum geordneten Ausstieg. Sie beurteilt außerdem, ob die zusätzlichen Anforderungen für Finanzunternehmen berücksichtigt sind, soweit sie gelten.
Geltungsbereich
- Software, Plattformen und Infrastruktur als Dienst, die von der Organisation genutzt werden, einschließlich Schatten-IT, die bekannt wird
- Entscheidungs-, Vertrags- und Betriebsprozesse für Cloud-Dienste
- Konfiguration und Zugriffe der Mandanten der Organisation beim Anbieter
- Nicht Gegenstand: die interne Sicherheit der Rechenzentren des Anbieters, sofern nicht über Zertifikate oder Berichte gesondert betrachtet
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Cloud-Strategie oder Richtlinie legt fest, für welche Daten und Prozesse Cloud-Dienste genutzt werden dürfen und nach welchen Kriterien Anbieter ausgewählt werden. | ISO/IEC 27001:2022 Anhang A 5.23; BSI OPS.2.2 | Strategie und Richtlinie lesen, Freigabe prüfen und mit den tatsächlich genutzten Diensten abgleichen. | Cloud-Richtlinie mit Freigabe, Liste der genutzten Cloud-Dienste |
| 2 | Vor der Nutzung wird der Schutzbedarf der betroffenen Daten festgestellt und das Risiko bewertet, einschließlich der Frage, ob die Funktion kritisch oder wichtig ist. | ISO/IEC 27001:2022 Anhang A 5.23; DORA Art. 28(4) | Für drei Cloud-Dienste die Risikobewertung vor der Einführung ansehen und die Einstufung der Funktion nachvollziehen. | Risikobewertungen, Schutzbedarfsfeststellung, Entscheidungsvorlagen |
| 3 | Die Aufgaben zwischen Organisation und Anbieter sind schriftlich abgegrenzt, sodass klar ist, wer Konfiguration, Zugriffe, Datensicherung und Protokolle verantwortet. | ISO/IEC 27001:2022 Anhang A 5.23; BSI OPS.2.2 | Verantwortungsmatrix und Vertragsunterlagen lesen und für zwei Dienste prüfen, ob die Aufgaben tatsächlich wahrgenommen werden. | Verantwortungsmatrix, Verträge und Leistungsbeschreibungen |
| 4 | Die Verträge enthalten Regelungen zu Informationssicherheit, Standort der Daten, Unterauftragnehmern, Meldung von Vorfällen, Prüfrechten und Beendigung. | DORA Art. 30(2); ISO/IEC 27001:2022 Anhang A 5.20 | Verträge der wesentlichen Cloud-Anbieter anhand einer Checkliste auf die genannten Punkte durchsehen. | Verträge, Anlagen zu Sicherheit und Datenverarbeitung, ausgefüllte Checkliste |
| 5 | Ein Register erfasst alle ausgelagerten Dienste mit Vertragsdaten und Einstufung; es wird aktuell gehalten. | DORA Art. 28(3) | Register mit Beschaffungsunterlagen und Rechnungen abgleichen, um nicht erfasste Dienste zu finden. | Register der Auslagerungen, Rechnungsauswertung, Liste der Beschaffungen |
| 6 | Zugänge zu Cloud-Konsolen sind auf Berechtigte beschränkt und durch Mehrfaktor-Authentifizierung abgesichert, privilegierte Rollen werden regelmäßig überprüft. | ISO/IEC 27001:2022 Anhang A 8.2; § 30 Abs. 2 Nr. 10 BSIG | Administratorrollen in zwei Mandanten auslesen und Authentifizierung sowie letzte Überprüfung nachvollziehen. | Rollen- und Benutzerauszüge, Richtlinie zur Authentifizierung, Überprüfungsprotokoll |
| 7 | Cloud-Ressourcen werden nach festgelegten Vorgaben konfiguriert, Abweichungen werden erkannt und behoben. | ISO/IEC 27001:2022 Anhang A 5.23 und 8.9; BSI OPS.2.2 | Konfigurationsvorgaben mit den Einstellungen eines Mandanten vergleichen, insbesondere öffentliche Freigaben und Verschlüsselung. | Konfigurationsstandards, Auswertung der Konfigurationsprüfung, Auszug der Einstellungen |
| 8 | Daten sind im Ruhezustand und bei der Übertragung geschützt, Schlüssel werden kontrolliert verwaltet. | ISO/IEC 27001:2022 Anhang A 5.23 | Verschlüsselungseinstellungen und Verwaltung der Schlüssel für zwei Dienste prüfen. | Konfigurationsauszüge, Schlüsselverwaltungskonzept |
| 9 | Leistung, Verfügbarkeit und Sicherheitsvorfälle der Anbieter werden überwacht; Berichte und Zertifikate werden ausgewertet. | ISO/IEC 27001:2022 Anhang A 5.22; DORA Art. 30(3)(a) und (b) | Berichte der letzten zwölf Monate ansehen und prüfen, ob Abweichungen verfolgt wurden. | Leistungsberichte, Zertifikate und Prüfberichte, Besprechungsprotokolle |
| 10 | Konzentrationsrisiken, etwa durch die Abhängigkeit von einem Anbieter für mehrere wesentliche Dienste, sind erkannt und bewertet. | DORA Art. 28(4); DORA Art. 29 | Verteilung der wesentlichen Dienste auf Anbieter auswerten und die Bewertung des Konzentrationsrisikos ansehen. | Auswertung nach Anbietern, Risikobewertung, Entscheidungen der Leitung |
| 11 | Für kritische Dienste bestehen dokumentierte und getestete Ausstiegs- und Rückführungspläne. | DORA Art. 28(8); ISO/IEC 27001:2022 Anhang A 5.23 | Ausstiegspläne lesen und nachvollziehen, ob Datenexport und Alternativen geprüft oder erprobt wurden. | Ausstiegspläne, Testprotokolle, Nachweis des Datenexports |
| 12 | Notfall- und Wiederherstellungspläne berücksichtigen den Ausfall eines Cloud-Anbieters. | ISO/IEC 27001:2022 Anhang A 5.30 | Notfallpläne auf die Berücksichtigung der Cloud-Dienste prüfen und Ergebnisse der letzten Übung ansehen. | Notfallpläne, Übungsprotokolle, Wiederanlaufzeiten |
Unterlagen zur Anforderung
- Cloud-Strategie oder Richtlinie zur Nutzung von Cloud-Diensten
- Register der genutzten und ausgelagerten Dienste mit Einstufung
- Verträge, Leistungsbeschreibungen und Anlagen zur Datenverarbeitung
- Risikobewertungen und Entscheidungsvorlagen zu den Diensten der Stichprobe
- Verantwortungsmatrix zwischen Organisation und Anbieter
- Rollen- und Konfigurationsauszüge aus den Mandanten
- Berichte, Zertifikate und Prüfberichte der Anbieter
- Ausstiegs- und Notfallpläne
Typische Feststellungen
- Cloud-Dienste werden von Fachbereichen ohne Beteiligung der Informationssicherheit beschafft und sind nicht im Register erfasst.
- Die Verantwortung für Datensicherung und Protokolle ist zwischen Organisation und Anbieter nicht geklärt.
- Verträge enthalten keine Prüfrechte und keine Regelung zu Unterauftragnehmern.
- Öffentliche Freigaben oder schwache Konfigurationen werden nicht durch eine laufende Prüfung erkannt.
- Administratorzugänge zur Cloud-Konsole sind nicht durch Mehrfaktor-Authentifizierung geschützt.
- Ein Ausstiegsplan fehlt oder wurde nie erprobt, der Datenexport ist unklar.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen