Prüfprogramm IT-Governance und IT-Strategie.
Wie Sie prüfen, ob die IT aus der Unternehmensstrategie gesteuert wird, die Geschäftsleitung ihre Verantwortung wahrnimmt und Ziele, Risiken und Ressourcen nachvollziehbar gelenkt werden.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob eine freigegebene IT-Strategie aus den Unternehmenszielen abgeleitet ist und ob Rollen, Gremien, Richtlinien, Kennzahlen und Berichtswege eine wirksame Steuerung der IT durch die Geschäftsleitung ermöglichen. Sie beurteilt außerdem, ob die Leitung die Maßnahmen zum Management von Cyberrisiken billigt, überwacht und sich dazu schulen lässt.
Geltungsbereich
- IT-Strategie, IT-Gremien und Entscheidungsprozesse der Organisation
- Rollen der Geschäftsleitung, der IT-Leitung, der Informationssicherheit und der Kontrollfunktionen
- Planung von Budget und Ressourcen, Kennzahlen und Berichterstattung an die Leitung
- Nicht Gegenstand: die fachliche Prüfung einzelner Projekte oder Systeme
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine IT-Strategie liegt vor, ist aus der Unternehmensstrategie abgeleitet, von der Leitung freigegeben und wird regelmäßig überprüft. | DORA Art. 6 Abs. 8 | Strategie lesen, Freigabe und Datum prüfen und die Ableitung aus den Unternehmenszielen an drei Zielen nachvollziehen. | IT-Strategie mit Freigabe, Unternehmensziele, Protokoll der letzten Überprüfung |
| 2 | Die Geschäftsleitung billigt die Maßnahmen zum Management von Cyberrisiken und überwacht deren Umsetzung. | NIS2-Richtlinie Art. 20 Abs. 1; § 38 Abs. 1 BSIG | Protokolle der Leitungssitzungen der letzten zwölf Monate auf Billigung, Berichte und Beschlüsse zu Sicherheitsthemen durchsehen. | Sitzungsprotokolle, Beschlussvorlagen, Statusberichte |
| 3 | Rollen, Verantwortlichkeiten und Befugnisse für IT und Informationssicherheit sind festgelegt und besetzt. | ISO/IEC 27001:2022 Anhang A 5.2; DORA Art. 5 Abs. 2 lit. c | Organigramm, Geschäftsordnungen der Gremien und Stellenbeschreibungen abgleichen; Lücken und Doppelzuständigkeiten notieren. | Organigramm, Geschäftsordnungen, Rollenbeschreibungen |
| 4 | Die Organisation hat festgelegt, welches IT-Risiko sie zu tragen bereit ist, und diese Toleranz ist mit der Risikoneigung abgestimmt. | DORA Art. 6 Abs. 8 lit. b | Dokument zur Risikotoleranz lesen und prüfen, ob Schwellen in Entscheidungen und Berichten tatsächlich verwendet werden. | Festlegung der Risikotoleranz, Risikobericht mit Schwellenwerten |
| 5 | Für die Ziele der IT und der Informationssicherheit sind Kennzahlen festgelegt, gemessen und berichtet. | DORA Art. 6 Abs. 8 lit. c | Kennzahlenkatalog ansehen und für drei Kennzahlen Messmethode, Datenquelle und letzte Berichterstattung nachvollziehen. | Kennzahlenkatalog, Kennzahlenbericht, Datenquellen |
| 6 | Budget und Ressourcen für IT, Sicherheit und Qualifizierung werden geplant und regelmäßig überprüft. | DORA Art. 5 Abs. 2 lit. g | Budgetplanung und Ist-Werte ansehen und prüfen, ob Sicherheits- und Schulungsbedarf ausgewiesen ist. | Budgetplanung, Budgetbericht, Ressourcenplanung |
| 7 | Ein Rahmenwerk von Richtlinien ist freigegeben, bekannt gemacht und wird in festen Abständen überprüft. | ISO/IEC 27001:2022 Anhang A 5.1 | Richtlinienverzeichnis auswerten: Freigabe, Verantwortliche, Datum der letzten Überprüfung. | Richtlinienverzeichnis, Freigabevermerke |
| 8 | Mitglieder der Geschäftsleitung nehmen regelmäßig an Schulungen zu Cyberrisiken teil. | NIS2-Richtlinie Art. 20 Abs. 2; § 38 Abs. 3 BSIG | Teilnahmenachweise der Leitung anfordern und Inhalte der Schulung auf Risikobewertung und Auswirkungen prüfen. | Teilnahmenachweise, Schulungsunterlagen |
| 9 | Die Leitung wird regelmäßig über wesentliche Vorfälle, Dienstleisterverträge und geplante Änderungen bei kritischen Dienstleistern unterrichtet. | DORA Art. 5 Abs. 2 lit. i | Berichte an die Leitung der letzten vier Quartale auf diese Inhalte prüfen. | Leitungsberichte, Verteiler, Protokolle |
| 10 | Eine Zielarchitektur ist beschrieben, und Investitionen und Projekte werden daran ausgerichtet. | DORA Art. 6 Abs. 8 lit. d | Zielarchitektur und Projektportfolio vergleichen und für drei Vorhaben die Begründung im Portfolio nachvollziehen. | Zielarchitektur, Projektportfolio, Entscheidungsvorlagen |
| 11 | Die Steuerung der IT und der Informationssicherheit wird unabhängig überprüft, etwa durch die interne Revision. | ISO/IEC 27001:2022 Anhang A 5.35; DORA Art. 6 Abs. 6 | Prüfungsplan und Berichte der letzten zwei Jahre ansehen und den Stand der Maßnahmen nachverfolgen. | Prüfungsplan, Prüfberichte, Maßnahmenverfolgung |
| 12 | Unvereinbare Aufgaben, etwa Betrieb und Kontrolle derselben Systeme, sind getrennt. | ISO/IEC 27001:2022 Anhang A 5.3 | Rollenzuschnitte der IT auf Konflikte prüfen und bei Restkonflikten die ausgleichenden Kontrollen nachvollziehen. | Rollenbeschreibungen, Konfliktmatrix, Nachweise ausgleichender Kontrollen |
Unterlagen zur Anforderung
- IT-Strategie mit Freigabe und Überprüfungsnachweis
- Organigramm und Geschäftsordnungen der IT-Gremien
- Festlegung der Risikotoleranz
- Kennzahlenkatalog und Kennzahlenberichte
- Budgetplanung und Budgetbericht der IT
- Richtlinienverzeichnis
- Berichte an die Geschäftsleitung der letzten vier Quartale
- Schulungsnachweise der Geschäftsleitung
Typische Feststellungen
- Die IT-Strategie ist veraltet oder nie von der Leitung freigegeben worden.
- Die Geschäftsleitung erhält keine regelmäßigen Berichte zu Cyberrisiken.
- Kennzahlen sind festgelegt, werden aber nicht gemessen oder nicht berichtet.
- Die Risikotoleranz ist nicht beschrieben, Entscheidungen bleiben ohne Maßstab.
- Mitglieder der Geschäftsleitung haben keine Schulung zu Cyberrisiken besucht.
- Richtlinien werden nicht überprüft, Verantwortliche sind nicht benannt.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen