Neuer Prüfungshinweis zur Prüfung von Cybersecurity-Risikomanagementsystemen

Ein neuer IDW Prüfungshinweis unterstützt bei der freiwilligen Prüfung von Cybersecurity-Risikomanagementsystemen.

Der IDW Prüfungshinweis: Die Prüfung von Cybersecurity-Risikomanagementsystemen (IDW PH 9.981.1 (07.2026)) basiert auf dem IDW Prüfungsstandard: Grundsätze ordnungsmäßiger Prüfung von Risikomanagementsystemen (IDW PS 981) und konkretisiert die Anforderungen an freiwillige Prüfungen von Cybersecurity-Risikomanagementsystemen (CSRMS) als Teilbereich des unternehmensweiten Risikomanagementsystems (RMS).

Gegenstand der Prüfung nach IDW PH 9.981.1 (07.2026) sind die in der CSRMS-Beschreibung enthaltenen Aussagen der gesetzlichen Vertreter des Unternehmens über das CSRMS bzw. die zu prüfenden Teilbereiche. Die Prüfung kann als Angemessenheits- oder als Wirksamkeitsprüfung erfolgen. Dabei umfasst die Prüfung stets sämtliche Grundelemente eines CSRMS. Eine isolierte Prüfung einzelner Grundelemente liegt nicht im Anwendungsbereich des IDW Prüfungshinweises. Als Systemprüfung liegt die Zielsetzung einer CSRMS-Prüfung nicht in der Identifikation einzelner Cybersecurity-Vorfälle. Sie ist daher nicht darauf ausgerichtet, Prüfungssicherheit über die tatsächliche Abwehr oder den Eintritt von Cybersecurity-Vorfällen zu erlangen.

Der Prüfungshinweis beschreibt zunächst die Grundelemente eines CSRMS und erläutert dann Besonderheiten bei Auftragsannahme, der Prüfungsplanung und -durchführung sowie bei der Berichterstattung von CSRMS-Prüfungen. Die konkrete Ausgestaltung des CSRMS hängt dabei insbesondere von den festgelegten Zielen des CSRMS, von der Art, dem Umfang und der Komplexität des Unternehmens sowie von der Bedeutsamkeit relevanter Cybersecurity-Risiken für das Unternehmen ab.

Eine Prüfung der Angemessenheit und Wirksamkeit des CSRMS durch einen unabhängigen Wirtschaftsprüfer nach IDW PH 9.981.1 (07.2026) kann als objektivierter Nachweis der ermessensfehlerfreien Ausübung der Organisations- und Sorgfaltspflichten des Vorstands und des Aufsichtsrats dienen.

Der Prüfungshinweis ist in der Ausgabe 2026/10 der IDW Life abgedruckt und im IDW Verlag als Print on Demand erhältlich: IDW PH 9.981.1 (07.2026) .