Prüfprogramm Patch- und Schwachstellenmanagement.
Wie Sie prüfen, ob Schwachstellen erkannt, nach Risiko bewertet und innerhalb festgelegter Fristen behoben werden, bezogen auf NIS2, den Baustein OPS.1.1.3 und Anhang A der ISO/IEC 27001.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation bekannte Schwachstellen in Systemen und Software systematisch erkennt, nach Risiko bewertet und rechtzeitig behebt, und ob Ausnahmen kontrolliert und nachvollziehbar behandelt werden. Sie beurteilt außerdem, ob der Patchstand durch Auswertungen belegt wird.
Geltungsbereich
- Server, Arbeitsplatzsysteme, Netzwerk- und Sicherheitskomponenten, Datenbanken und Anwendungen in der Verantwortung der Organisation
- Firmware, Drittsoftware und Bibliotheken, soweit sie in Eigenentwicklungen eingesetzt werden
- Schwachstellenscans und die Verfahren zu Bewertung, Test, Einspielung und Ausnahmen
- Nicht Gegenstand: Penetrationstests, sofern nicht gesondert vereinbart; Systeme, die vollständig vom Dienstleister betrieben werden, nur über die Steuerung des Dienstleisters
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Prozess für Patch- und Schwachstellenmanagement besteht, ist freigegeben und legt Fristen nach Kritikalität fest. | BSI OPS.1.1.3; ISO/IEC 27001:2022 Anhang A 8.8 | Prozessbeschreibung lesen und prüfen, ob Fristen, Rollen, Ausnahmen und Eskalation festgelegt sind. | Prozessbeschreibung mit Freigabe, Fristenmatrix |
| 2 | Ein aktuelles Inventar der Systeme und der eingesetzten Software dient als Grundlage. | ISO/IEC 27001:2022 Anhang A 5.9 | Inventar mit Netzwerkscan oder Verzeichnisdaten abgleichen und nicht erfasste Systeme feststellen. | Inventar, Vergleichsliste |
| 3 | Informationsquellen zu Schwachstellen sind festgelegt und werden von benannten Personen ausgewertet. | BSI OPS.1.1.3 | Quellen und Zuständige erfragen und für eine aktuelle Schwachstelle den Weg von der Meldung bis zur Bewertung nachvollziehen. | Quellenliste, Zuständigkeiten, Bewertungsnotiz zu einem Beispiel |
| 4 | Neue Schwachstellen werden auf ihre Relevanz und ihr Risiko bewertet, die Bewertung ist dokumentiert. | BSI OPS.1.1.3; ISO/IEC 27001:2022 Anhang A 8.8 | Aus einem Quartal fünf Schwachstellen mit hoher Kritikalität auswählen und die Bewertung nachvollziehen. | Bewertungsprotokolle, Tickets |
| 5 | Schwachstellenscans laufen regelmäßig und decken die Systeme im Geltungsbereich ab. | ISO/IEC 27001:2022 Anhang A 8.8 | Scanplan und Scanbereiche mit dem Inventar vergleichen und die letzten Berichte ansehen. | Scanplan, Scanberichte, Abdeckungsübersicht |
| 6 | Kritische Schwachstellen werden innerhalb der festgelegten Frist behoben, Fristüberschreitungen werden verfolgt. | BSI OPS.1.1.3 | Für eine Stichprobe kritischer Schwachstellen die Zeit von der Kenntnis bis zur Behebung ermitteln und mit der Frist vergleichen. | Auswertung offener und geschlossener Schwachstellen, Tickets, Eskalationen |
| 7 | Patches werden vor dem Einspielen in der Produktion getestet, Rückfallmöglichkeiten sind vorhanden. | BSI OPS.1.1.3 | Ablauf des Tests und der Freigabe an zwei aktuellen Patches nachvollziehen. | Testprotokolle, Freigaben, Rückfallplan |
| 8 | Ausnahmen werden begründet, durch eine zuständige Stelle genehmigt, befristet und durch Ersatzmaßnahmen abgesichert. | BSI OPS.1.1.3; ISO/IEC 27001:2022 Anhang A 8.8 | Liste der Ausnahmen ansehen und für eine Stichprobe Begründung, Genehmigung, Befristung und Ersatzmaßnahmen prüfen. | Ausnahmeliste mit Genehmigungen und Ersatzmaßnahmen |
| 9 | Systeme und Software ohne Herstellerunterstützung sind erkannt und werden mit einem Plan behandelt. | BSI OPS.1.1.3 | Inventar nach Systemen ohne Unterstützung filtern und Pläne zur Ablösung oder Absicherung prüfen. | Liste der Systeme ohne Unterstützung, Ablösepläne, Risikoakzeptanz |
| 10 | Der Patchstand umfasst alle Arten von Komponenten: Betriebssysteme, Anwendungen, Netzwerkgeräte, Firmware und Drittsoftware. | ISO/IEC 27001:2022 Anhang A 8.8 | Patchstandsberichte je Komponentenart ansehen und Lücken in der Abdeckung ermitteln. | Patchstandsberichte, Abdeckungsübersicht |
| 11 | Die Wirksamkeit wird durch erneute Scans oder Berichte zum Patchstand belegt. | NIS2-Richtlinie Art. 21 Abs. 2 lit. f | Für behobene Schwachstellen prüfen, ob ein erneuter Scan den Erfolg bestätigt. | Folgescans, Abschlussvermerke |
| 12 | Kennzahlen zu Patchstand und Fristeinhaltung werden an die Verantwortlichen berichtet und führen zu Maßnahmen. | NIS2-Richtlinie Art. 21 Abs. 2 lit. f | Berichte der letzten zwölf Monate lesen und Entscheidungen zu Abweichungen nachvollziehen. | Kennzahlenberichte, Protokolle, Maßnahmenlisten |
| 13 | Für Schwachstellen in eigenen Produkten und Diensten gibt es, soweit zutreffend, ein Verfahren zur Entgegennahme und Bearbeitung von Meldungen. | NIS2-Richtlinie Art. 21 Abs. 2 lit. e | Meldeweg, Zuständigkeiten und die Bearbeitung eines Beispiels prüfen. | Verfahrensbeschreibung, Kontaktadresse, Bearbeitungsnachweis |
Unterlagen zur Anforderung
- Prozessbeschreibung zum Patch- und Schwachstellenmanagement mit Fristenmatrix
- Inventar der Systeme und Software
- Scanplan und Schwachstellenberichte der letzten Quartale
- Auswertung offener und geschlossener Schwachstellen mit Behebungsdauer
- Patchstandsberichte je Komponentenart
- Liste der Ausnahmen mit Genehmigungen und Ersatzmaßnahmen
- Liste der Systeme ohne Herstellerunterstützung und Ablösepläne
- Kennzahlenberichte an die Verantwortlichen
Typische Feststellungen
- Das Inventar ist unvollständig, deshalb fehlen Systeme im Scan und im Patchprozess.
- Fristen sind festgelegt, werden für kritische Schwachstellen aber regelmäßig überschritten, ohne Eskalation.
- Netzwerkgeräte und Firmware sind nicht Teil des Patchprozesses.
- Ausnahmen laufen unbefristet und ohne Ersatzmaßnahmen.
- Systeme ohne Herstellerunterstützung sind in Betrieb, ein Ablöseplan fehlt.
- Die Behebung wird nicht durch einen erneuten Scan bestätigt.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen