Prüfprogramm Informationssicherheitsmanagementsystem nach ISO/IEC 27001.
Wie Sie prüfen, ob das Managementsystem für Informationssicherheit die Anforderungen der Kapitel 4 bis 10 erfüllt und im Alltag wirkt, nicht nur auf dem Papier.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation ein Managementsystem für Informationssicherheit eingerichtet hat, das Kontext, Geltungsbereich, Führung, Risikobeurteilung und Risikobehandlung, Unterstützung, Betrieb, Bewertung und Verbesserung schlüssig verbindet. Sie beurteilt außerdem, ob internes Audit und Managementbewertung zu Entscheidungen und Korrekturmaßnahmen führen.
Geltungsbereich
- Managementsystem für Informationssicherheit im festgelegten Geltungsbereich
- Prozesse der Kapitel 4 bis 10 der ISO/IEC 27001:2022 einschließlich der Erklärung zur Anwendbarkeit
- Rollen der Leitung, des Informationssicherheitsbeauftragten und der Prozessverantwortlichen
- Nicht Gegenstand: die vertiefte Prüfung einzelner Maßnahmen aus Anhang A, die eigene Prüfprogramme haben
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Interne und externe Themen sowie die Anforderungen interessierter Parteien sind ermittelt und werden aktuell gehalten. | ISO/IEC 27001:2022 Kapitel 4.1 und 4.2 | Kontextanalyse und Liste der interessierten Parteien lesen und prüfen, ob gesetzliche und vertragliche Anforderungen enthalten sind. | Kontextanalyse, Liste interessierter Parteien und ihrer Anforderungen |
| 2 | Der Geltungsbereich ist dokumentiert, begründet und berücksichtigt Schnittstellen und Abhängigkeiten. | ISO/IEC 27001:2022 Kapitel 4.3 | Geltungsbereich mit Organigramm, Standorten und ausgelagerten Diensten abgleichen. | Dokument zum Geltungsbereich, Standortliste, Schnittstellenbeschreibung |
| 3 | Die oberste Leitung zeigt Führung, hat eine Sicherheitsleitlinie freigegeben und stellt deren Bekanntmachung sicher. | ISO/IEC 27001:2022 Kapitel 5.1 und 5.2; BSI-Standard 200-1 | Leitlinie lesen, Freigabe prüfen und im Interview mit der Leitung ihre Beteiligung am Managementsystem erfragen. | Informationssicherheitsleitlinie, Bekanntmachung, Interviewnotizen |
| 4 | Rollen, Verantwortlichkeiten und Befugnisse im Managementsystem sind zugewiesen und bekannt gemacht. | ISO/IEC 27001:2022 Kapitel 5.3 | Bestellung des Informationssicherheitsbeauftragten und Rollenbeschreibungen ansehen, Berichtsweg zur Leitung nachvollziehen. | Bestellungsurkunde, Rollenbeschreibungen, Berichtsweg |
| 5 | Ein festgelegtes Verfahren zur Risikobeurteilung liefert wiederholbare Ergebnisse und wird in geplanten Abständen und bei Änderungen angewandt. | ISO/IEC 27001:2022 Kapitel 6.1 und 8.2; BSI-Standard 200-3 | Methodenbeschreibung lesen und die letzte Risikobeurteilung an drei Risiken auf Bewertung und Begründung prüfen. | Methode zur Risikobeurteilung, Risikoregister, Datum der letzten Beurteilung |
| 6 | Ein Plan zur Risikobehandlung und eine Erklärung zur Anwendbarkeit liegen vor; Restrisiken sind von den Risikoeigentümern akzeptiert. | ISO/IEC 27001:2022 Kapitel 6.1.3 und 8.3 | Erklärung zur Anwendbarkeit auf Begründungen für Ausschlüsse prüfen und Risikoakzeptanzen für drei Restrisiken nachvollziehen. | Erklärung zur Anwendbarkeit, Risikobehandlungsplan, Akzeptanzvermerke |
| 7 | Messbare Sicherheitsziele sind festgelegt, mit Verantwortlichen, Ressourcen und Terminen geplant. | ISO/IEC 27001:2022 Kapitel 6.2 | Zielübersicht ansehen und für drei Ziele Messung, Verantwortliche und Zielerreichung prüfen. | Zielübersicht, Statusberichte zu den Zielen |
| 8 | Ressourcen stehen bereit; Personen mit Sicherheitsaufgaben sind kompetent, und Mitarbeitende kennen ihren Beitrag. | ISO/IEC 27001:2022 Kapitel 7.1, 7.2 und 7.3 | Kompetenznachweise für zwei Schlüsselrollen ansehen und bei fünf Mitarbeitenden die Kenntnis der Leitlinie erfragen. | Qualifikationsnachweise, Schulungsplan, Interviewnotizen |
| 9 | Dokumentierte Information wird gelenkt: Freigabe, Versionierung, Verteilung und Aufbewahrung sind geregelt. | ISO/IEC 27001:2022 Kapitel 7.5 | Für fünf Dokumente des Managementsystems Version, Freigabe und Ablageort prüfen. | Dokumentenlenkungsregel, Dokumentenverzeichnis |
| 10 | Leistung und Wirksamkeit des Managementsystems werden überwacht, gemessen und ausgewertet. | ISO/IEC 27001:2022 Kapitel 9.1 | Festlegungen zu Messgrößen, Methoden und Zeitpunkten ansehen und die letzten Auswertungen prüfen. | Messkonzept, Auswertungen, Kennzahlenberichte |
| 11 | Interne Audits werden nach einem Programm durchgeführt, von objektiven Auditoren, und ihre Ergebnisse werden an die Leitung berichtet. | ISO/IEC 27001:2022 Kapitel 9.2 | Auditprogramm der letzten drei Jahre auf Abdeckung des Geltungsbereichs prüfen und zwei Auditberichte ansehen. | Auditprogramm, Auditberichte, Nachweis der Unabhängigkeit der Auditoren |
| 12 | Die Leitung bewertet das Managementsystem in geplanten Abständen mit den vorgesehenen Eingaben und trifft dokumentierte Entscheidungen. | ISO/IEC 27001:2022 Kapitel 9.3 | Protokoll der letzten Managementbewertung auf Eingaben, Ergebnisse und Beschlüsse prüfen. | Protokoll der Managementbewertung, Beschlussliste |
| 13 | Nichtkonformitäten werden ursächlich behandelt, Korrekturmaßnahmen auf Wirksamkeit geprüft, und das Managementsystem wird fortlaufend verbessert. | ISO/IEC 27001:2022 Kapitel 10.1 und 10.2 | Fünf Nichtkonformitäten aus Audits oder Vorfällen von der Ursachenanalyse bis zur Wirksamkeitsprüfung nachverfolgen. | Register der Nichtkonformitäten, Ursachenanalysen, Wirksamkeitsnachweise |
Unterlagen zur Anforderung
- Kontextanalyse und Liste interessierter Parteien
- Dokument zum Geltungsbereich
- Informationssicherheitsleitlinie und Rollenbeschreibungen
- Methode zur Risikobeurteilung, Risikoregister und Risikobehandlungsplan
- Erklärung zur Anwendbarkeit
- Sicherheitsziele mit Statusberichten
- Auditprogramm und interne Auditberichte
- Protokoll der letzten Managementbewertung
- Register der Nichtkonformitäten und Korrekturmaßnahmen
Typische Feststellungen
- Die Erklärung zur Anwendbarkeit schließt Maßnahmen ohne Begründung aus.
- Die Risikobeurteilung wurde seit Jahren nicht wiederholt, auch nicht nach größeren Änderungen.
- Sicherheitsziele sind nicht messbar formuliert.
- Das Auditprogramm deckt den Geltungsbereich nicht ab, Auditoren prüfen ihre eigene Arbeit.
- Die Managementbewertung ist ein Kurzvermerk ohne Eingaben und ohne Beschlüsse.
- Korrekturmaßnahmen werden abgeschlossen, ohne ihre Wirksamkeit zu prüfen.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen