Prüfprogramm Software-Entwicklung und sichere Entwicklung.
Wie Sie prüfen, ob Software mit festgelegten Sicherheitsanforderungen entwickelt, geprüft und getestet wird und ob Quellcode und Umgebungen geschützt sind.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation einen Entwicklungsprozess betreibt, der Sicherheit von Beginn an berücksichtigt: Anforderungen, Architekturprinzipien, sichere Codierung, Prüfung und Test vor der Freigabe, Schutz des Quellcodes und der Entwicklungsumgebungen sowie Steuerung ausgelagerter Entwicklung. Sie beurteilt außerdem, ob Schwachstellen in eigener Software behandelt werden.
Geltungsbereich
- Eigenentwicklungen und angepasste Software, einschließlich Webanwendungen, Schnittstellen und Skripten für den Betrieb
- Entwicklungs-, Test- und Bereitstellungsprozesse, Werkzeuge und Umgebungen
- Ausgelagerte Entwicklung durch Dienstleister
- Nicht Gegenstand: Standardsoftware ohne Anpassung und die Änderungssteuerung im Betrieb, die in einem eigenen Muster behandelt wird
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Rahmen für den Entwicklungsprozess mit Sicherheitsanforderungen an jede Phase ist festgelegt, freigegeben und wird angewendet. | ISO/IEC 27001:2022 Anhang A 8.25; BSI CON.8 | Prozessbeschreibung lesen und an zwei Projekten prüfen, ob die Sicherheitsanforderungen je Phase umgesetzt wurden. | Entwicklungsrichtlinie, Projektunterlagen der Stichprobe |
| 2 | Sicherheitsanforderungen werden für jede Anwendung zu Beginn erhoben, abgestimmt und nachverfolgt, auch zu Schnittstellen und Daten. | ISO/IEC 27001:2022 Anhang A 8.26; BSI APP.3.1 | Anforderungsdokumente von drei Anwendungen auf Sicherheitsanforderungen und deren Umsetzung durchsehen. | Anforderungsdokumente, Rückverfolgung bis zum Test |
| 3 | Architektur- und Konstruktionsprinzipien für sichere Systeme sind festgelegt und werden bei neuen Systemen angewendet und überprüft. | ISO/IEC 27001:2022 Anhang A 8.27 | Architekturvorgaben lesen und für zwei neue Systeme die Anwendung nachvollziehen. | Architekturvorgaben, Entwurfsdokumente, Entscheidungsvermerke |
| 4 | Für sichere Codierung bestehen verbindliche Vorgaben, die Entwickler kennen und anwenden; Schulungen sind nachgewiesen. | ISO/IEC 27001:2022 Anhang A 8.28 | Codierrichtlinie, Schulungsnachweise und Beispiele aus der Code-Prüfung ansehen. | Codierrichtlinie, Schulungsnachweise, Protokolle der Code-Prüfung |
| 5 | Änderungen am Quellcode werden von einer zweiten Person geprüft, bevor sie in den Hauptzweig gelangen; Werkzeuge zur statischen Analyse sind im Einsatz. | ISO/IEC 27001:2022 Anhang A 8.28 und 8.29 | Zehn Änderungen auswählen und prüfen, ob eine Prüfung durch eine zweite Person und ein Lauf der Analysewerkzeuge nachgewiesen sind. | Auszug der Änderungsanfragen, Ergebnisse der Analysewerkzeuge |
| 6 | Sicherheitstests sind Teil der Entwicklung und Abnahme: Test auf Schwachstellen, Abhängigkeiten und Konfiguration vor der Freigabe. | ISO/IEC 27001:2022 Anhang A 8.29; NIS2-Richtlinie Art. 21 Abs. 2 lit. e | Testpläne, Ergebnisse und Behandlung der Befunde für zwei Freigaben prüfen. | Testpläne, Testberichte, Freigabeprotokolle |
| 7 | Bekannte Schwachstellen in Bibliotheken und Komponenten werden erkannt, bewertet und behoben; eingesetzte Komponenten sind erfasst. | NIS2-Richtlinie Art. 21 Abs. 2 lit. e; § 30 Abs. 2 Nr. 5 BSIG | Verfahren zur Erfassung und Prüfung von Abhängigkeiten ansehen und die Behandlung von Befunden der letzten sechs Monate nachvollziehen. | Komponentenliste, Berichte zur Prüfung von Abhängigkeiten, Maßnahmenliste |
| 8 | Entwicklung, Test und Produktion sind getrennt, Produktivdaten werden in Tests nicht oder nur geschützt verwendet. | ISO/IEC 27001:2022 Anhang A 8.31 | Umgebungen und Zugriffsrechte prüfen und feststellen, ob Testumgebungen Produktivdaten enthalten. | Umgebungsübersicht, Berechtigungsauszug, Verfahren zu Testdaten |
| 9 | Der Zugriff auf Quellcode und Entwicklungswerkzeuge ist auf Befugte beschränkt und wird protokolliert; Zugangsdaten und Schlüssel liegen nicht im Quellcode. | ISO/IEC 27001:2022 Anhang A 8.4 | Berechtigungen auf Repositories und Build-Systeme auslesen und Quellcode auf hinterlegte Zugangsdaten durchsuchen. | Berechtigungsauszug, Ergebnis der Suche nach Geheimnissen, Protokolle |
| 10 | Die Bereitstellung in die Produktion erfolgt über einen kontrollierten Ablauf mit Freigabe, nicht über direkte Eingriffe einzelner Personen. | ISO/IEC 27001:2022 Anhang A 8.32; BSI CON.8 | Bereitstellungsprotokolle der letzten drei Monate mit Freigaben abgleichen. | Bereitstellungsprotokolle, Freigaben, Rechte auf Produktivsysteme |
| 11 | Bei ausgelagerter Entwicklung sind Sicherheitsanforderungen vertraglich festgelegt, ihre Einhaltung wird überwacht und das Ergebnis geprüft. | ISO/IEC 27001:2022 Anhang A 8.30 | Verträge und Abnahmen von zwei ausgelagerten Entwicklungen prüfen, insbesondere Prüfrechte und Rechte am Quellcode. | Verträge, Abnahmeprotokolle, Prüfberichte |
| 12 | Schwachstellen in eigener Software werden gemeldet, bewertet und behoben; es gibt einen Weg für Meldungen von außen. | NIS2-Richtlinie Art. 21 Abs. 2 lit. e | Verfahren zur Behandlung gemeldeter Schwachstellen und die Bearbeitung der letzten Meldungen prüfen. | Verfahren, Meldekanal, Schwachstellenregister |
Unterlagen zur Anforderung
- Richtlinie zur sicheren Entwicklung und zum Entwicklungsprozess
- Codierrichtlinie und Schulungsnachweise
- Anforderungsdokumente der Stichprobe mit Sicherheitsanforderungen
- Architekturvorgaben und Entwurfsdokumente
- Auszug der Änderungsanfragen mit Prüfvermerken
- Testpläne, Testberichte und Freigabeprotokolle
- Berechtigungsauszug für Repositories und Build-Systeme
- Verträge und Abnahmen ausgelagerter Entwicklung
Typische Feststellungen
- Sicherheitsanforderungen werden erst kurz vor der Freigabe betrachtet, nicht zu Beginn.
- Änderungen gelangen ohne Prüfung durch eine zweite Person in den Hauptzweig.
- Zugangsdaten und Schlüssel sind im Quellcode hinterlegt.
- Bekannte Schwachstellen in Bibliotheken werden nicht systematisch erkannt, eingesetzte Komponenten sind nicht erfasst.
- Testumgebungen enthalten unverändert Produktivdaten.
- Verträge mit Entwicklungsdienstleistern regeln weder Prüfrechte noch Rechte am Quellcode.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen