Prüfprogramm Informationssicherheitsvorfälle und Meldewesen.
Wie Sie prüfen, ob Sicherheitsvorfälle erkannt, eingestuft, behandelt und fristgerecht an die zuständigen Stellen gemeldet werden und ob die Organisation daraus lernt.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation einen Prozess für Informationssicherheitsvorfälle betreibt, der Meldung, Bewertung, Einstufung, Eindämmung, Wiederherstellung und Nachbereitung umfasst. Sie beurteilt außerdem, ob die Meldepflichten gegenüber Behörden, Aufsicht und Betroffenen mit ihren Fristen erfüllt werden können und ob Verantwortlichkeiten und Vertretungen geklärt sind.
Geltungsbereich
- Sicherheitsvorfälle in IT, Anwendungen, Netzen und bei Dienstleistern, die Auswirkungen auf Vertraulichkeit, Integrität oder Verfügbarkeit haben
- Meldewege innerhalb der Organisation und an Behörden, Aufsicht, Kunden und Betroffene
- Beteiligte Stellen: Informationssicherheit, IT-Betrieb, Datenschutz, Recht, Kommunikation und Leitung
- Nicht Gegenstand: die technische Forensik im Einzelfall und die Vorfallbehandlung im Bereich der physischen Sicherheit
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Prozess zur Behandlung von Sicherheitsvorfällen besteht, ist freigegeben und legt Rollen, Abläufe und Eskalation fest. | ISO/IEC 27001:2022 Anhang A 5.24; BSI DER.2.1; NIS2-Richtlinie Art. 21 Abs. 2 lit. b | Prozessbeschreibung lesen, Freigabe und Aktualität prüfen und Rollen mit der Organisation abgleichen. | Prozessbeschreibung mit Freigabe, Rollenübersicht, Eskalationsplan |
| 2 | Beschäftigte und Dienstleister kennen den Meldeweg für Ereignisse und können Auffälligkeiten jederzeit melden. | ISO/IEC 27001:2022 Anhang A 6.8 | Meldekanal und Bekanntmachung prüfen und bei zwei Fachbereichen erfragen, wie gemeldet wird. | Meldeweg im Intranet, Schulungsunterlagen, Befragungsnotizen |
| 3 | Ereignisse werden bewertet und anhand festgelegter Kriterien als Vorfall eingestuft; die Einstufung berücksichtigt Auswirkungen, Dauer und betroffene Daten oder Dienste. | ISO/IEC 27001:2022 Anhang A 5.25; DORA Art. 18(1) | Zehn Ereignisse der letzten zwölf Monate auswählen und die Einstufung anhand der Kriterien nachvollziehen. | Einstufungsschema, Ereignis- und Vorfallsregister |
| 4 | Alle Vorfälle werden in einem Register erfasst, mit Ursache, Auswirkung, Maßnahmen und Status. | DORA Art. 17(2); ISO/IEC 27001:2022 Anhang A 5.26 | Register auf Vollständigkeit der Angaben prüfen und mit Meldungen aus Überwachung und Service Desk abgleichen. | Vorfallsregister, Auswertung von Service Desk und Überwachung |
| 5 | Für die Behandlung stehen Reaktionspläne zur Verfügung, die Eindämmung, Beseitigung und Wiederherstellung beschreiben und Entscheidungsbefugnisse festlegen. | ISO/IEC 27001:2022 Anhang A 5.26; DORA Art. 17(3) | Reaktionspläne lesen und an zwei abgeschlossenen Vorfällen prüfen, ob sie angewendet wurden. | Reaktionspläne, Vorfallsakten, Entscheidungsprotokolle |
| 6 | Beweise werden gesichert, sodass Vorfälle später nachvollziehbar und rechtlich verwertbar bleiben. | ISO/IEC 27001:2022 Anhang A 5.28; BSI DER.2.2 | Verfahren zur Beweissicherung und seine Anwendung in zwei Vorfällen prüfen. | Verfahrensbeschreibung, Nachweise der Sicherung, Protokoll der Beweiskette |
| 7 | Die Organisation kann erhebliche Sicherheitsvorfälle innerhalb der Fristen melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung nach einem Monat. | NIS2-Richtlinie Art. 23; § 32 Abs. 1 BSIG | Meldeprozess mit Zuständigkeiten, Vorlagen und Erreichbarkeit nachvollziehen und einen Meldefall oder eine Übung auf die Einhaltung der Fristen prüfen. | Meldeprozess, Vorlagen, Kontaktliste der Behörde, Nachweis der Übung oder Meldung |
| 8 | Für Finanzunternehmen: Schwerwiegende IKT-Vorfälle werden an die zuständige Behörde gemeldet, in Erstmeldung, Zwischenbericht und Abschlussbericht. | DORA Art. 19(1) und (4) | Prüfen, ob Meldewege, Vorlagen und Zuständigkeiten für die drei Meldestufen festgelegt sind und angewendet wurden. | Meldeprozess, Vorlagen, Nachweise der Meldungen |
| 9 | Verletzungen des Schutzes personenbezogener Daten werden bewertet und, soweit erforderlich, binnen 72 Stunden an die Aufsichtsbehörde gemeldet; Verletzungen werden dokumentiert. | DSGVO Art. 33(1) und (5) | Verfahren zur Bewertung prüfen, die Zusammenarbeit mit dem Datenschutz klären und Dokumentation sowie Meldungen der letzten zwölf Monate ansehen. | Verfahren zur Meldung von Datenpannen, Dokumentation der Verletzungen, Meldungen |
| 10 | Dienstleister sind verpflichtet, Vorfälle unverzüglich zu melden, und der Meldeweg ist vereinbart. | DSGVO Art. 33(2); ISO/IEC 27001:2022 Anhang A 5.20 | Verträge von drei Dienstleistern auf Meldefristen und Ansprechpersonen prüfen. | Vertragsklauseln, Kontaktlisten |
| 11 | Leitung und betroffene Bereiche werden bei erheblichen Vorfällen unterrichtet, die Kommunikation nach außen ist geregelt. | NIS2-Richtlinie Art. 20; DORA Art. 17(3) | Eskalation und Berichte an die Leitung in den Vorfällen der Stichprobe nachvollziehen und das Kommunikationskonzept lesen. | Eskalationsprotokolle, Berichte an die Leitung, Kommunikationskonzept |
| 12 | Nach erheblichen Vorfällen findet eine Nachbetrachtung statt, deren Ergebnisse in Maßnahmen, Schulung und Anpassung der Prozesse einfließen. | ISO/IEC 27001:2022 Anhang A 5.27; DORA Art. 17(2) | Nachbetrachtungen der letzten zwölf Monate ansehen und die Umsetzung der Maßnahmen prüfen. | Berichte der Nachbetrachtung, Maßnahmenliste, Änderungen an Plänen |
| 13 | Der Vorfallsprozess wird geübt und die Meldefähigkeit regelmäßig getestet. | ISO/IEC 27001:2022 Anhang A 5.24 | Übungsprotokolle der letzten zwölf Monate ansehen und prüfen, ob Meldeweg und Fristen Teil der Übung waren. | Übungsplanung, Übungsprotokolle, Befunde |
Unterlagen zur Anforderung
- Prozessbeschreibung zum Management von Sicherheitsvorfällen
- Einstufungsschema und Reaktionspläne
- Vorfallsregister der letzten zwölf Monate
- Meldeprozess mit Vorlagen, Zuständigkeiten und Kontaktlisten der Behörden
- Nachweise abgesetzter Meldungen oder durchgeführter Übungen
- Dokumentation von Verletzungen des Schutzes personenbezogener Daten
- Vertragsklauseln zur Meldung von Vorfällen bei Dienstleistern
- Berichte der Nachbetrachtung
Typische Feststellungen
- Vorfälle werden in verschiedenen Systemen erfasst, ein vollständiges Register fehlt.
- Es gibt keine festgelegten Kriterien für die Einstufung, die Bewertung hängt von der handelnden Person ab.
- Zuständigkeit und Vertretung für Meldungen an Behörden sind nicht geklärt, Fristen würden nicht eingehalten.
- Der Datenschutz wird bei Vorfällen mit Personenbezug erst spät eingebunden.
- Dienstleister sind nicht zur schnellen Meldung verpflichtet.
- Nachbetrachtungen finden nicht statt oder führen nicht zu verfolgten Maßnahmen.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen