Prüfprogramm Notfallmanagement und BCM.
Wie Sie prüfen, ob eine Organisation kritische Prozesse bei Störungen fortführen oder rechtzeitig wiederherstellen kann, orientiert am BSI-Standard 200-4 und am Baustein DER.4.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob ein Notfallmanagement besteht, das kritische Geschäftsprozesse und ihre Abhängigkeiten kennt, Vorsorge und Pläne daraus ableitet und durch Übungen belegt, dass die Pläne im Ernstfall tragen. Sie beurteilt auch, ob die Leitung das Thema verantwortet.
Geltungsbereich
- Notfallmanagement- bzw. BCM-System mit Leitlinie, Rollen, Auswirkungsanalyse, Strategien und Plänen
- IT-Notfallplanung und Wiederanlauf für die kritischen Prozesse
- Krisenkommunikation, Alarmierung und Meldewege
- Nicht Gegenstand: Brandschutz und Arbeitsschutz im Einzelnen, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Eine Leitlinie zum Notfallmanagement ist von der Leitung freigegeben und legt Ziele, Geltungsbereich und Verantwortung fest. | BSI-Standard 200-4; BSI DER.4; NIS2-Richtlinie Art. 20 | Leitlinie lesen, Freigabe und Aktualität prüfen und die Berichtslinie zur Leitung nachvollziehen. | Leitlinie mit Freigabe, Beschlüsse der Leitung |
| 2 | Rollen für das Notfallmanagement sind besetzt, einschließlich Notfallbeauftragten und Krisenstab, mit Vertretungsregelung. | BSI-Standard 200-4; BSI DER.4 | Rollenbeschreibungen, Besetzung und Vertretungen prüfen und stichprobenhaft erreichbare Kontaktdaten testen. | Rollenbeschreibungen, Besetzungsliste, Kontaktliste |
| 3 | Eine Auswirkungsanalyse hat die kritischen Prozesse, ihre Wiederanlaufzeiten und ihre Abhängigkeiten ermittelt. | BSI-Standard 200-4; BSI DER.4 | Methodik und Ergebnisse lesen, Prozesse und Abhängigkeiten stichprobenhaft mit den Fachbereichen bestätigen. | Auswirkungsanalyse, Prozessliste mit Wiederanlaufzeiten, Abhängigkeitsübersicht |
| 4 | Notfallszenarien und ihre Eintrittswahrscheinlichkeit sind bewertet, die Ergebnisse fließen in die Planung ein. | BSI-Standard 200-4 | Risikoanalyse zu Notfällen ansehen und prüfen, ob Szenarien wie Ausfall von Standort, Dienstleister, IT oder Personal enthalten sind. | Risikoanalyse, Szenarienliste |
| 5 | Aus der Analyse sind Fortführungs- und Wiederanlaufstrategien mit den nötigen Ressourcen abgeleitet und beschlossen. | BSI-Standard 200-4 | Strategien und Ressourcenplanung mit den Ergebnissen der Auswirkungsanalyse abgleichen. | Strategiedokumente, Budget- und Ressourcenplanung |
| 6 | Notfall- und Wiederanlaufpläne bestehen für die kritischen Prozesse und stehen im Ernstfall auch ohne die Hauptumgebung zur Verfügung. | BSI DER.4 | Pläne für zwei kritische Prozesse lesen und feststellen, wo sie abgelegt sind und ob sie offline erreichbar sind. | Notfallpläne, Ablagekonzept, Zugriffsnachweis |
| 7 | Wiederanlaufzeiten und zulässiger Datenverlust der IT stimmen mit den Anforderungen der Prozesse überein. | ISO/IEC 27001:2022 Anhang A 5.30; NIS2-Richtlinie Art. 21 Abs. 2 lit. c | Vorgaben der Prozesse mit den technischen Möglichkeiten der IT und den Ergebnissen von Wiederherstellungstests vergleichen. | Gegenüberstellung der Vorgaben, Testprotokolle der IT |
| 8 | Alarmierung, interne und externe Kommunikation sowie die Meldewege für erhebliche Sicherheitsvorfälle sind festgelegt. | BSI DER.4; NIS2-Richtlinie Art. 23 | Kommunikationsplan lesen und den Meldeweg an einem Beispiel nachvollziehen, einschließlich der Fristen. | Kommunikationsplan, Alarmierungsliste, Meldevorlagen |
| 9 | Abhängigkeiten von Dienstleistern sind erfasst und im Notfall durch Zusagen abgesichert. | NIS2-Richtlinie Art. 21 Abs. 2 lit. d | Kritische Dienstleister aus der Auswirkungsanalyse auswählen und vertragliche Zusagen zu Verfügbarkeit und Unterstützung im Notfall prüfen. | Dienstleisterliste, Verträge, Bestätigungen des Anbieters |
| 10 | Übungen und Tests sind geplant, werden durchgeführt und ausgewertet, die Ergebnisse führen zu Verbesserungen. | BSI-Standard 200-4; BSI DER.4; ISO/IEC 27001:2022 Anhang A 5.30 | Übungsplan und Berichte der letzten zwei Jahre prüfen und feststellen, welche Maßnahmen aus den Ergebnissen folgten. | Übungsplan, Übungsberichte, Maßnahmenliste |
| 11 | Beteiligte werden geschult und für ihre Aufgaben im Notfall sensibilisiert. | BSI DER.4 | Schulungsplan und Teilnahmelisten prüfen und stichprobenhaft Beteiligte nach ihren Aufgaben fragen. | Schulungsplan, Teilnahmelisten |
| 12 | Während einer Störung bleiben Sicherheitsmaßnahmen wie Zugriffskontrollen im Notbetrieb wirksam. | ISO/IEC 27001:2022 Anhang A 5.29 | Notbetriebsverfahren auf vorgesehene Ausnahmen bei Zugriffs- und Schutzmaßnahmen und deren Genehmigung prüfen. | Notbetriebsverfahren, Ausnahmegenehmigungen |
| 13 | Pläne werden bei Änderungen und nach Vorfällen aktualisiert und mit Versionsstand geführt. | BSI-Standard 200-4 | Änderungshistorie der Pläne mit Organisationsänderungen und Vorfällen des letzten Jahres abgleichen. | Versionshistorie, Vorfallberichte, Änderungsanträge |
| 14 | Die Leitung überprüft das Notfallmanagement regelmäßig und entscheidet über Verbesserungen. | BSI-Standard 200-4; NIS2-Richtlinie Art. 21 Abs. 2 lit. f | Managementbewertungen und Berichte der letzten zwei Jahre ansehen und Beschlüsse nachverfolgen. | Managementbewertung, Berichte, Beschlüsse |
Unterlagen zur Anforderung
- Leitlinie zum Notfallmanagement
- Rollenbeschreibungen, Besetzungs- und Kontaktliste
- Auswirkungsanalyse mit Prozessliste und Wiederanlaufzeiten
- Risikoanalyse und Szenarienliste
- Notfall- und Wiederanlaufpläne für die kritischen Prozesse
- Kommunikations- und Alarmierungsplan
- Übungsplan und Übungsberichte der letzten zwei Jahre
- Verträge und Zusagen kritischer Dienstleister
- Managementbewertung zum Notfallmanagement
Typische Feststellungen
- Die Auswirkungsanalyse ist veraltet oder deckt wesentliche Prozesse nicht ab.
- Pläne liegen nur auf Systemen, die im Ernstfall ausfallen würden.
- Übungen beschränken sich auf Planspiele am Tisch, ein technischer Wiederanlauf wurde nie getestet.
- Wiederanlaufzeiten der Prozesse und Möglichkeiten der IT passen nicht zusammen.
- Rollen sind nicht besetzt oder Kontaktdaten sind überholt.
- Pläne wurden nach Organisationsänderungen nicht angepasst.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen