Compliance-Checkliste als Vorlage: ein Startpunkt für IT-Teams

Eine Vorlage für eine Compliance-Checkliste listet die Kontrollen, Dokumente und Routinen auf, die eine Organisation braucht, um die für sie geltenden Gesetze, Vorschriften und Verträge einzuhalten. Die Punkte sind nach Bereichen geordnet, und jede Zeile hat einen Verantwortlichen, einen Status und einen Nachweis. Für die IT deckt eine Checkliste, die an kein bestimmtes Framework gebunden ist, zehn Bereiche ab: Geltungsbereich und anwendbare Frameworks, schriftliche Richtlinien, ein Inventar der IT-Assets, Zugriffskontrolle, Gerätesicherheit, Datenschutz, Dienstleister, Schulung, Überwachung und Nachweise sowie Audit-Vorbereitung. Gehen Sie die Liste einmal durch, um Lücken zu finden, halten Sie sie dann aktuell und ordnen Sie jede Zeile dem Framework zu, nach dem Sie geprüft werden. Die vollständige Checkliste und eine kostenlose Vorlage zum Download, mit Excel-Arbeitsmappe und einem Leitfaden in Word und PDF, finden Sie unten.

Steht ein erstes Audit oder der Sicherheitsfragebogen eines Kunden an und Sie wissen nicht, wo Sie anfangen sollen, arbeiten Sie die Checkliste Bereich für Bereich ab. Die Abschnitte danach zeigen, wie Sie sie an Ihr Framework anpassen und die Nachweise bereithalten.

Warum eine Compliance-Checkliste unverzichtbar ist

Compliance-Anforderungen sind über Gesetze, Verträge und Standards verteilt, und die meisten verlangen mit anderen Worten dieselben Grundlagen: Ihre Systeme und Daten kennen, steuern, wer darauf zugreift, Geräte und Daten schützen, Menschen schulen und all das belegen. Eine Checkliste macht aus diesen Anforderungen konkrete Aufgaben mit Verantwortlichen, sodass nichts vom Gedächtnis einer einzelnen Person abhängt. Sie zeigt Auditoren und Kunden außerdem, dass die Arbeit organisiert und wiederholbar ist.

Eine Checkliste allein bringt noch keine Organisation in Einklang mit ihren Vorgaben. Compliance entsteht, indem Sie die Arbeit erledigen und die Nachweise aufbewahren. Die Checkliste zeigt Ihnen, was erledigt ist und was nicht.

Die Compliance-Checkliste, Bereich für Bereich

Übernehmen Sie die Zeilen, die für Sie gelten. Halten Sie für jede einen Verantwortlichen fest, einen Status (erledigt, in Arbeit, nicht begonnen) und wo der Nachweis liegt.

1. Geltungsbereich und Frameworks

• Die geltenden Gesetze, Vorschriften, Verträge und Standards auflisten, etwa Datenschutzrecht, Branchenregeln und Anforderungen von Kunden.
• Festlegen, welche Systeme, Standorte, Personen und Daten im Geltungsbereich liegen.
• Die für Compliance verantwortliche Person benennen und für jeden der folgenden Bereiche einen Verantwortlichen.
• Eine Gap-Analyse gegen das wichtigste Framework durchführen und für jede Lücke einen Plan führen.

2. Richtlinien

• Eine Informationssicherheitsrichtlinie schreiben und freigeben.
• Akzeptable Nutzung, Zugriffskontrolle, Passwörter und MFA, Gerätenutzung, Datenklassifizierung und Aufbewahrung, Reaktion auf Vorfälle, Backup und Dienstleistersteuerung abdecken.
• Festhalten, wer jede Richtlinie wann freigegeben hat, und alle mindestens einmal im Jahr überprüfen.
• Dafür sorgen, dass Mitarbeitende die Richtlinien finden und ihre Kenntnisnahme bestätigt haben.

3. Inventar der IT-Assets

• Eine aktuelle Liste der Geräte, Server, Cloud-Dienste und Anwendungen führen, jeweils mit einem Verantwortlichen.
• Festhalten, wo sensible Daten gespeichert und verarbeitet werden.
• Neue Assets bei Eingang aufnehmen und alte beim Ausscheiden austragen. Mehr dazu unter IT-Asset-Management.

4. Zugriffskontrolle

• Zugriff nach Rolle vergeben, mit den geringsten Rechten, die die jeweilige Aufgabe braucht.
• MFA für E-Mail, Fernzugriff, Cloud-Konsolen und Administratorkonten verlangen.
• Zugriffe am Tag des Austritts in jedem System entfernen.
• Benutzer- und Administratorzugriffe nach Plan überprüfen; wie das geht, zeigt die Vorlage für die Überprüfung von Benutzerzugriffen.

5. Gerätesicherheit

• Jeden Laptop und jedes Smartphone mit Firmendaten verschlüsseln.
• Bildschirmsperre und Code oder Passwort verlangen.
• Betriebssysteme und Apps innerhalb einer festgelegten Frist patchen.
• Auf Computern einen Endpoint-Schutz betreiben.
• Ein verlorenes Gerät sperren oder löschen können.

6. Datenschutz

• Daten klassifizieren, damit alle wissen, was sensibel ist.
• Sensible Daten bei der Übertragung und im Ruhezustand verschlüsseln.
• Kritische Daten sichern, eine Offline- oder unveränderliche Kopie vorhalten und Wiederherstellungen testen.
• Aufbewahrungsfristen festlegen und Daten nach Ablauf löschen.
• Steuern, wie sensible Daten die Organisation verlassen; siehe Data Loss Prevention.

7. Dienstleister

• Eine Liste der Dienstleister führen, die Ihre Daten speichern oder verarbeiten.
• Ihre Sicherheit vor Vertragsschluss prüfen und, wo nötig, Vereinbarungen zum Datenschutz abschließen.
• Kritische Dienstleister einmal im Jahr überprüfen und wenn sie ändern, wie sie mit Ihren Daten umgehen.

8. Schulung und Sensibilisierung

• Alle Mitarbeitenden beim Eintritt und mindestens einmal im Jahr zu Sicherheit und Umgang mit Daten schulen.
• Personen mit Administratorrechten oder Zugriff auf sensible Daten zusätzlich schulen.
• Festhalten, wer welche Schulung wann abgeschlossen hat.

9. Überwachung und Nachweise

• Logs aus Identitätsdiensten, E-Mail, Servern, Firewalls und Cloud-Diensten sammeln und festlegen, wer sie auswertet.
• Aufschreiben, wie Vorfälle gemeldet, bearbeitet und dokumentiert werden, und den Ablauf testen.
• Nachweise laufend sammeln: Screenshots, Exporte, Berichte und Freigaben, jeweils mit Datum.
• Nachweise an einem Ort ablegen, geordnet nach den Bereichen der Checkliste.

10. Audit-Vorbereitung

• Jede Zeile der Checkliste den Abschnitten des Frameworks zuordnen, die sie abdeckt.
• Vor dem externen Audit eine interne Prüfung durchführen; dabei hilft die IT-Audit-Checkliste (englisch).
• Feststellungen mit Verantwortlichen und Terminen bis zum Abschluss verfolgen.
• Die gesamte Checkliste nach jedem Audit und mindestens einmal im Jahr überprüfen.

Kostenlose Vorlage für die Compliance-Checkliste

Der Download enthält drei Dateien. Die Excel-Arbeitsmappe enthält jede Zeile von oben mit Verantwortlichem, Status, Nachweis und Ablageort, dem Datum der letzten Prüfung und dem nächsten Fälligkeitstermin, dazu ein Register der Pflichten, eine Zuordnung zu den Frameworks, eine Nachweisliste, eine Audit-Vorbereitung mit Dokumentenanforderungsliste, ein Register für Ausnahmen und Risiken und ein Dashboard. Neben jedem Tabellenblatt steht ein ausgefülltes Beispiel. Der Leitfaden in Word und PDF enthält die Checkliste Bereich für Bereich, die Anpassung an ein Framework, eine kurze Gliederung für ein Compliance-Programm, eine Checkliste zur Audit-Vorbereitung, eine Dokumentenanforderungsliste und eine Seite für die Freigabe. Ergänzen Sie für jede Zeile Ihre eigenen Verantwortlichen, Status und Ablageorte der Nachweise.

Excel-Checkliste und Word-Leitfaden herunterladen

Die Vorlage (Excel, Word, PDF) steht auf Englisch zur Verfügung.

So passen Sie die Checkliste an Ihr Framework an

Die Bereiche oben haben die meisten Frameworks gemeinsam. Jedes Framework ergänzt dann eigene Formulierungen, einen eigenen Geltungsbereich und spezifische Kontrollen. Ordnen Sie Ihre Checkliste deshalb dem Framework zu, nach dem Sie geprüft werden:

• Gesundheitsdaten in den USA: die HIPAA-Compliance-Checkliste.
• Ein Informationssicherheits-Managementsystem: die ISO-27001-Checkliste (englisch).
• Nachweise für Kunden von Dienstleistern: SOC-2-Compliance.
• Kontrollen der Finanzberichterstattung: SOX-Compliance.

Führen Sie eine Master-Checkliste und ergänzen Sie für jedes geltende Framework eine Spalte. Wo sich Frameworks überschneiden, kann ein Nachweis mehrere Anforderungen abdecken.

Unsere Framework-Checklisten führen die eigenen Anforderungen jedes Frameworks auf:

• HIPAA-Compliance-Checkliste: Gesundheitsdaten in den USA.
• SOC-2-Compliance-Checkliste (englisch): Nachweise für Kunden von Dienstleistern.
• ISO-27001-Checkliste (englisch): ein Informationssicherheits-Managementsystem.
• NIST-Compliance-Checkliste (englisch): NIST CSF 2.0 und SP 800-53 / 800-171.
• PCI-Compliance-Checkliste (englisch): Kartenzahlungen (PCI DSS v4.0.1).
• DSGVO-Checkliste (englisch): personenbezogene Daten von Menschen in der EU.
• CIS Controls v8.1 und IG1-Checkliste: ein priorisierter Satz von Sicherheitsmaßnahmen.
• NCA-ECC-Checkliste (englisch): die Essential Cybersecurity Controls Saudi-Arabiens.
• SAMA-Checkliste (englisch): Finanzinstitute in Saudi-Arabien.

Das Tabellenblatt „Framework Crosswalk“ im Download ordnet die Zeilen oben den IDs von HIPAA, SOC 2, ISO 27001, NIST CSF 2.0, PCI DSS, DSGVO und CIS Controls zu, wo die Zuordnung eindeutig ist. Die Checkliste zeigt die IDs der Frameworks, die Sie als zutreffend markieren.

Die Vorlage einführen

• Anpassen: Streichen Sie Zeilen, die nicht zutreffen, und ergänzen Sie die Anforderungen Ihrer Branche, Ihrer Verträge und Frameworks.
• Verantwortliche benennen: Jede Zeile braucht eine namentlich benannte Person, kein Team.
• Einen Rhythmus festlegen: Prüfen Sie den Status jedes Bereichs monatlich oder vierteljährlich, nicht nur vor einem Audit.
• Nachweise laufend sammeln: Ein Export oder Screenshot vom selben Tag ist mehr wert als eine Rekonstruktion Monate später.
• Verantwortliche schulen: Jede verantwortliche Person sollte wissen, was ihre Zeilen verlangen und welche Nachweise sie aufbewahren muss.

So bereiten Sie sich auf ein Compliance-Audit vor

• Geltungsbereich, Version des Frameworks und Prüfungszeitraum mit dem Auditor abstimmen.
• Die Checkliste auf offene Lücken prüfen und diese schließen oder dokumentieren.
• Die Nachweise für jede Anforderung an einem Ort sammeln, nach Bereichen beschriftet.
• Die Personen vorbereiten, mit denen der Auditor sprechen wird.
• Nach dem Audit jeder Feststellung einen Verantwortlichen und einen Termin zuordnen und die Checkliste aktualisieren.

Verwaltung auf vielen Geräten

Der größte Teil dieser Checkliste betrifft Richtlinien, Menschen, Dienstleister und Abläufe. Damit es klar ist: trio.so nimmt niemandem die Compliance ab und führt Ihr Compliance-Programm nicht. trio.so deckt die Gerätezeilen in den Bereichen 3 und 5 ab: ein Geräteinventar mit Besitzer, Seriennummer und installierten Apps; Richtlinien für Verschlüsselung und Bildschirmsperre, mit dem Verschlüsselungsstatus jedes Geräts; Richtlinien für Betriebssystem-Updates, Schwachstellenbefunde und einen Risikowert von 0 bis 100 je Gerät auf Basis seiner offenen Schwachstellenbefunde; und für jedes Gerät, ob jede Richtlinie angewendet wurde, fehlgeschlagen ist oder noch aussteht. Die Compliance-Vorlagen für Frameworks wie SOC 2, ISO 27001, PCI DSS, NIST SP 800-53, die CIS Benchmarks, NCA ECC und SAMA CSF prüfen registrierte Geräte gegen Gerätekontrollen, und Sie können die Ergebnisse als Nachweise für Ihre Audits exportieren. Mehr unter Compliance-Automatisierung.

Tarife ab 5 $ pro Gerät. 14 Tage kostenlos testen. Keine Kreditkarte erforderlich. Jetzt kostenlos testen oder Demo buchen.

Fazit

Eine Vorlage für eine Compliance-Checkliste macht aus verstreuten Anforderungen Aufgaben mit Verantwortlichen, die sich nachverfolgen lassen. Beginnen Sie mit den zehn Bereichen oben, ordnen Sie sie den für Sie geltenden Frameworks zu, geben Sie jeder Zeile einen Verantwortlichen, sammeln Sie Nachweise laufend und überprüfen Sie die Checkliste regelmäßig, nicht nur vor einem Audit.

Weiterlesen: IT-Audit-Checkliste (englisch), Vorlage für die Überprüfung von Benutzerzugriffen, ISO-27001-Checkliste (englisch) und Data Loss Prevention.