Prüfprogramm IT-Projekte.
Wie Sie prüfen, ob ein IT-Projekt geordnet gesteuert wird, Sicherheit und Datenschutz von Anfang an berücksichtigt und mit geprüfter Abnahme und Datenmigration in den Betrieb übergeht.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob ein IT-Projekt mit klarem Auftrag, geeigneter Organisation und wirksamer Steuerung von Zeit, Budget, Umfang und Risiken durchgeführt wird. Sie beurteilt außerdem, ob Anforderungen an Informationssicherheit und Datenschutz eingebracht, Tests und Abnahmen dokumentiert, Daten vollständig und richtig migriert und der Betrieb ordnungsgemäß übergeben werden.
Geltungsbereich
- Ein ausgewähltes laufendes oder kürzlich abgeschlossenes IT-Projekt
- Projektauftrag, Projektorganisation, Planung, Berichterstattung und Änderungssteuerung
- Sicherheits- und Datenschutzanforderungen, Test, Abnahme, Datenmigration und Betriebsübergabe
- Nicht Gegenstand: die fachliche Richtigkeit einzelner Lösungsentscheidungen
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Für Projekte gilt eine verbindliche Methode mit Phasen und Entscheidungspunkten. | ISO 21502:2020; ISO/IEC 27001:2022 Anhang A 5.8 | Methode lesen und für das ausgewählte Projekt prüfen, ob die vorgesehenen Entscheidungspunkte durchlaufen wurden. | Projektmanagementhandbuch, Nachweise der Phasenentscheidungen |
| 2 | Ein freigegebener Projektauftrag beschreibt Ziel, Nutzen, Umfang, Budget und Termine. | ISO 21502:2020 | Projektauftrag und Wirtschaftlichkeitsbetrachtung lesen und Freigabe durch den Auftraggeber prüfen. | Projektauftrag, Wirtschaftlichkeitsbetrachtung, Freigabevermerk |
| 3 | Die Projektorganisation mit Auftraggeber, Lenkungsausschuss und Projektleitung ist festgelegt und arbeitet nachweisbar. | ISO 21502:2020 | Organigramm des Projekts und Protokolle des Lenkungsausschusses auf Entscheidungen und Eskalationen prüfen. | Projektorganigramm, Protokolle des Lenkungsausschusses |
| 4 | Informationssicherheit ist im Projekt verankert: Schutzbedarf und Sicherheitsanforderungen sind früh ermittelt. | ISO/IEC 27001:2022 Anhang A 5.8 und 8.26 | Prüfen, ob Schutzbedarf und Sicherheitsanforderungen dokumentiert und vom Sicherheitsbeauftragten bewertet wurden. | Schutzbedarfsfeststellung, Sicherheitsanforderungen, Stellungnahme der Informationssicherheit |
| 5 | Datenschutz ist durch Technikgestaltung berücksichtigt; wo nötig ist eine Datenschutz-Folgenabschätzung durchgeführt. | Art. 25 und 35 DSGVO | Einbindung des Datenschutzes nachvollziehen und die Schwellwertprüfung oder Folgenabschätzung ansehen. | Stellungnahme des Datenschutzbeauftragten, Schwellwertprüfung, Folgenabschätzung |
| 6 | Projektrisiken einschließlich der Risiken für die Informationssicherheit werden geführt, bewertet und mit Maßnahmen und Verantwortlichen nachverfolgt. | ISO 21502:2020; ISO/IEC 27001:2022 Anhang A 5.8 | Risikoliste auf Aktualität prüfen und für drei Risiken Maßnahmen und Status nachvollziehen. | Risikoliste, Statusberichte |
| 7 | Fortschritt, Budget und Termine werden regelmäßig gemessen und an den Auftraggeber berichtet. | ISO 21502:2020 | Statusberichte mit Plan-Ist-Vergleich von Kosten und Terminen auswerten. | Statusberichte, Projektplan, Budgetübersicht |
| 8 | Änderungen am Projektumfang werden beantragt, bewertet und genehmigt. | ISO 21502:2020 | Änderungsanträge auf Bewertung von Kosten, Zeit und Risiko sowie auf Genehmigung prüfen. | Änderungsanträge, Genehmigungen |
| 9 | Tests und Abnahme erfolgen nach dokumentierten Kriterien; Sicherheitstests sind einbezogen. | ISO/IEC 27001:2022 Anhang A 8.29 | Testkonzept, Testergebnisse und Abnahmeprotokoll ansehen und offene Fehler bei Abnahme bewerten. | Testkonzept, Testprotokolle, Abnahmeprotokoll |
| 10 | Datenmigrationen werden auf Vollständigkeit und Richtigkeit geprüft; Altdaten bleiben für die Aufbewahrungsfrist auswertbar. | GoBD Rz. 142 | Migrationskonzept und Abstimmungsnachweise wie Summen und Satzzahlen prüfen und den Umgang mit dem Altsystem klären. | Migrationskonzept, Abstimmungsprotokolle, Konzept für Altdaten |
| 11 | Die Übergabe in den Betrieb erfolgt über den Änderungsprozess mit Betriebsdokumentation und Verantwortlichen. | ISO/IEC 27001:2022 Anhang A 8.32 | Übergabeprotokoll und Änderungsantrag für die Inbetriebnahme prüfen. | Übergabeprotokoll, Betriebshandbuch, Änderungsantrag |
| 12 | Das Projekt wird formal abgeschlossen; Erfahrungen und Nutzenerreichung werden ausgewertet. | ISO 21502:2020 | Abschlussbericht lesen und prüfen, ob eine Nutzenbewertung geplant oder durchgeführt ist. | Abschlussbericht, Auswertung der Erfahrungen, Nutzenbewertung |
Unterlagen zur Anforderung
- Projektmanagementhandbuch
- Projektauftrag und Wirtschaftlichkeitsbetrachtung
- Protokolle des Lenkungsausschusses und Statusberichte
- Risikoliste und Änderungsanträge
- Schutzbedarfsfeststellung und Sicherheitsanforderungen
- Stellungnahme des Datenschutzes und gegebenenfalls Folgenabschätzung
- Testkonzept, Testprotokolle und Abnahmeprotokoll
- Migrationskonzept mit Abstimmungsnachweisen
Typische Feststellungen
- Der Projektauftrag ist nie formal freigegeben worden.
- Der Lenkungsausschuss tagt selten und trifft keine dokumentierten Entscheidungen.
- Sicherheit und Datenschutz werden erst kurz vor dem Start eingebunden.
- Umfangsänderungen werden ohne Bewertung umgesetzt.
- Die Abnahme erfolgt trotz offener schwerwiegender Fehler.
- Die Datenmigration ist nicht abgestimmt, Altdaten sind nach Abschaltung nicht mehr lesbar.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen