Prüfprogramm IT-Asset- und Konfigurationsmanagement.
Wie Sie prüfen, ob Hardware, Software, Cloud-Ressourcen und Informationswerte vollständig erfasst, Verantwortlichen zugeordnet und mit ihren Abhängigkeiten aktuell gehalten werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation ein vollständiges und aktuelles Inventar ihrer Informationswerte und IT-Komponenten führt, jedem Wert einen Verantwortlichen zuordnet und Kritikalität, Konfiguration und Abhängigkeiten nachvollziehbar dokumentiert. Sie beurteilt außerdem, ob Inventar und Konfigurationsverwaltung mit dem Änderungsprozess verzahnt sind und ausgesonderte Geräte sicher gelöscht werden.
Geltungsbereich
- Server, Clients, Netzkomponenten, mobile Geräte, Software und Cloud-Ressourcen der Organisation
- Inventar und Konfigurationsdatenbank (CMDB) einschließlich der Prozesse zur Pflege und zum Abgleich
- Aussonderung, Rückgabe und Wiederverwendung von Geräten und Datenträgern
- Nicht Gegenstand: die bilanzielle Anlagenbuchhaltung, soweit sie nicht als Quelle des Inventars dient
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Richtlinie regelt, welche Werte zu inventarisieren sind, wer das Inventar pflegt und in welchem Turnus es überprüft wird. | ISO/IEC 27001:2022 Anhang A 5.9; NIS2-Richtlinie Art. 21 Abs. 2 lit. i | Richtlinie lesen, Freigabe und Aktualität feststellen und die festgelegten Inventarklassen mit der gelebten Praxis vergleichen. | Richtlinie zum Asset-Management mit Freigabevermerk, Rollenbeschreibung |
| 2 | Das Inventar ist vollständig und umfasst auch Geräte an Außenstandorten, mobile Geräte, Netzressourcen und Cloud-Ressourcen. | ISO/IEC 27001:2022 Anhang A 5.9; DORA Art. 8 Abs. 4 | Stichprobe in beide Richtungen ziehen: zehn Geräte vor Ort im Inventar suchen und zehn Inventareinträge physisch oder technisch nachweisen lassen. | Inventarauszug, Abgleichprotokoll der Stichprobe |
| 3 | Jedem Wert ist ein verantwortlicher Eigentümer zugeordnet, der Schutzbedarf und Nutzung kennt. | ISO/IEC 27001:2022 Anhang A 5.9 | Für die Stichprobe prüfen, ob ein Eigentümer eingetragen ist, und bei drei Eigentümern die Kenntnis ihrer Rolle erfragen. | Inventarauszug mit Eigentümerfeld, Interviewnotizen |
| 4 | Werte sind nach Kritikalität und Schutzbedarf eingestuft; kritische Werte sind gekennzeichnet. | ISO/IEC 27001:2022 Anhang A 5.12; DORA Art. 8 Abs. 1 und 4 | Einstufungsschema ansehen und für fünf Werte nachvollziehen, ob die Einstufung begründet und aktuell ist. | Klassifizierungsschema, Schutzbedarfsfeststellung, Inventarauszug |
| 5 | Konfigurationen und Abhängigkeiten zwischen Systemen, Diensten und Geschäftsprozessen sind in der Konfigurationsverwaltung abgebildet. | ISO/IEC 27001:2022 Anhang A 8.9; DORA Art. 8 Abs. 4 | Für einen wesentlichen Geschäftsprozess die Abhängigkeitskette in der CMDB nachvollziehen und mit dem Betrieb abstimmen. | Auszug aus der CMDB mit Beziehungen, Architekturübersicht |
| 6 | Inventar und Konfigurationsverwaltung werden bei Änderungen zeitnah aktualisiert und regelmäßig überprüft. | DORA Art. 8 Abs. 6; ISO/IEC 27001:2022 Anhang A 8.32 | Fünf abgeschlossene Änderungen auswählen und prüfen, ob die CMDB den neuen Stand zeigt; Nachweise der letzten Überprüfung ansehen. | Änderungstickets, Änderungshistorie der CMDB, Überprüfungsprotokoll |
| 7 | Unbekannte Geräte im Netz werden automatisch erkannt, mit dem Inventar abgeglichen und geklärt. | BSI NET.3.4 | Funktionsweise der Netzwerkerkennung erläutern lassen und die Abweichungsliste der letzten drei Monate auf Bearbeitung prüfen. | Berichte der Erkennungswerkzeuge, Abweichungsliste mit Klärungsvermerken |
| 8 | Für Systemklassen gibt es dokumentierte Sicherheitskonfigurationen, deren Einhaltung überwacht wird. | ISO/IEC 27001:2022 Anhang A 8.9 | Konfigurationsvorgaben für zwei Systemklassen lesen und Berichte zur Abweichung von der Vorgabe auswerten. | Konfigurationsvorgaben, Compliance-Berichte der Konfigurationsüberwachung |
| 9 | Regeln zur zulässigen Nutzung sind bekannt, und Werte werden bei Austritt oder Rollenwechsel zurückgegeben. | ISO/IEC 27001:2022 Anhang A 5.10 und 5.11 | Für fünf Austritte der letzten sechs Monate die Rückgabe der zugeordneten Geräte nachvollziehen. | Nutzungsrichtlinie, Austrittschecklisten, Rückgabeprotokolle |
| 10 | Ausgesonderte Geräte und Datenträger werden vor Entsorgung oder Wiederverwendung nachweisbar gelöscht oder vernichtet. | ISO/IEC 27001:2022 Anhang A 7.14 und 8.10; BSI CON.6 | Aussonderungsprozess ansehen und für fünf ausgesonderte Geräte Lösch- oder Vernichtungsnachweise anfordern. | Aussonderungsliste, Löschprotokolle, Vernichtungszertifikate des Dienstleisters |
| 11 | Abhängigkeiten von IKT-Drittdienstleistern sind erfasst, besonders für kritische oder wichtige Funktionen. | DORA Art. 8 Abs. 5 | Prüfen, ob in der CMDB oder im Dienstleisterregister erkennbar ist, welche Werte von welchem Dienstleister abhängen. | Dienstleisterregister, Verknüpfung von Diensten und Dienstleistern in der CMDB |
| 12 | Altsysteme sind als solche gekennzeichnet, und ihre Risiken werden regelmäßig bewertet. | DORA Art. 8 Abs. 7 | Liste der Altsysteme anfordern und die letzte Risikobewertung sowie die geplanten Maßnahmen ansehen. | Liste der Altsysteme, Risikobewertung, Maßnahmenplan zur Ablösung |
Unterlagen zur Anforderung
- Richtlinie zum Asset- und Konfigurationsmanagement
- Aktueller Inventarauszug mit Eigentümer und Einstufung
- Klassifizierungsschema und Schutzbedarfsfeststellung
- Auszug aus der CMDB mit Beziehungen für einen wesentlichen Geschäftsprozess
- Berichte der Netzwerkerkennung und Abweichungsliste
- Konfigurationsvorgaben je Systemklasse
- Aussonderungsliste mit Lösch- und Vernichtungsnachweisen
- Liste der Altsysteme mit Risikobewertung
Typische Feststellungen
- Mehrere Inventare werden parallel geführt und widersprechen sich.
- Cloud-Ressourcen und mobile Geräte fehlen im Inventar.
- Eigentümer sind nicht eingetragen oder haben das Unternehmen verlassen.
- Die CMDB bildet Abhängigkeiten nicht ab und wird bei Änderungen nicht gepflegt.
- Für ausgesonderte Datenträger gibt es keine Löschnachweise.
- Altsysteme sind bekannt, ihre Risiken aber nie bewertet worden.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen