Systemverwaltungsplan – so erstellen Sie IT-Systemregister, Verantwortlichkeiten und Jahreszyklen

Ein Systemverwaltungsplan beschreibt, wie ein IT-System betrieben, entwickelt, kontrolliert und schließlich außer Betrieb genommen werden soll. Ein IT-Systemregister ist das zusammengefasste Verzeichnis aller Systeme des Unternehmens, ihrer Eigentümer, Anbieter, Informationsinhalte und wichtigen Abhängigkeiten. Zusammen erleichtern sie es, Verantwortlichkeiten zuzuweisen, Maßnahmen zu priorisieren und die Kontrolle über die Systemlandschaft zu erlangen.

Was sollte ein Systemverwaltungsplan enthalten?

Ein nützlicher Verwaltungsplan verbindet die Bedürfnisse des Unternehmens mit dem laufenden IT-Betrieb. Er sollte nachverfolgbar sein, ohne sich in einen umfangreichen Bericht zu verwandeln, den niemand nutzt. Der Inhalt kann sich zwischen einem kleinen Unternehmen mit zehn SaaS-Diensten und einem Betrieb mit selbst entwickelten Geschäftssystemen unterscheiden.

Wer ist Systemeigentümer – und was ist der Unterschied zum Systemverwalter?

Der Systemeigentümer ist normalerweise die Rolle, die vom Unternehmen ernannt wird, um über Ziele, Prioritäten und Ressourcen für das System zu entscheiden. Der Systemverwalter koordiniert üblicherweise die praktische Arbeit, die Dokumentation und die Nachverfolgung. Der IT-Betrieb übernimmt technische Aufgaben gemäß der Aufgabenteilung, die in der Organisation oder beim Anbieter gilt.

Dies sind organisatorische Rollen, keine universelle rechtliche Einteilung. Ein kleineres Unternehmen kann mehrere Aufgaben bei derselben Person zusammenfassen, aber Entscheidungen, praktische Ausführung und Kontrolle sollten dennoch klar getrennt sein. Bei der Verarbeitung personenbezogener Daten ist es zudem wichtig, einen intern ernannten Systemeigentümer von der rechtlichen Rolle des Verantwortlichen gemäß DSGVO zu unterscheiden.

Schritt für Schritt ein IT-Systemregister erstellen

1. Inventarisierung der tatsächlich genutzten Systeme

Berücksichtigen Sie Geschäftssysteme, Finanzsysteme, HR-Tools, SaaS-Abonnements, Integrationsplattformen und Systeme, die von einzelnen Teams genutzt werden. Suchen Sie nach Dubletten und Diensten, für die es keinen klaren Besteller gibt. Registrieren Sie auch Systeme, die gerade ausgemustert werden.

2. Dokumentation der Basisdaten

Tragen Sie Systemname, Zweck, Hauptprozess, Anbieter, Systemeigentümer, Hauptnutzer, Vertragsinhaber, Kosten, Vertragslaufzeit und Kontaktweg für Störungen ein. Geben Sie gerne an, wo die dazugehörigen Verträge und technischen Dokumentationen aufbewahrt werden, ohne Passwörter oder andere Geheimnisse im Register zu speichern.

3. Identifizierung von Informationen und Abhängigkeiten

Notieren Sie, welche Informationsmengen das System verarbeitet, wichtige Integrationen, Datenflüsse und kritische Geschäftsprozesse. Überprüfen Sie Vertraulichkeit, Richtigkeit und Verfügbarkeit. Eine Inventarisierung wird besonders wertvoll, wenn dieselben Informationen auch in Risikobewertungen und der Kontinuitätsplanung verwendet werden können.

4. Zuweisung von Verantwortlichkeiten mit einer einfachen RACI-Matrix

Definieren Sie, wer für Entscheidungen verantwortlich ist, wer eine Aktivität ausführt, wer konsultiert werden muss und wer zu informieren ist. Koppeln Sie Rollen beispielsweise an Änderungsfreigaben, Berechtigungskontrollen, Störungsmanagement und die Erneuerung von Anbieterverträgen.

5. Priorisierung von Risiken und Verbesserungen

Bewerten Sie Konsequenzen und Eintrittswahrscheinlichkeiten für relevante Störungen. Dokumentieren Sie Risikoeigentümer, Gegenmaßnahmen, Entscheidungen und Nachverfolgungsdaten. Vermeiden Sie die Verwendung einer einzigen Punktzahl als automatischen Ersatz für die Beurteilung durch das Unternehmen.

6. Erstellung eines Jahreskalenders

Planen Sie regelmäßige Kontrollen von Benutzerberechtigungen, Wiederherstellungsfähigkeit, Anbieterergebnissen, Kosten, Lizenzen, Supportfällen und beschlossenen Verbesserungen. Passen Sie die Häufigkeit an die Bedeutung und das Risikoprofil jedes Systems an.

7. Überprüfung von Lebenszyklus und Außerbetriebnahme

Wenn ein System ersetzt werden soll, sind klare Entscheidungen über Datenexport, Datenmigration, Schließung von Berechtigungen, Löschung, Archivierung und Vertragsbeendigung erforderlich. Prüfen Sie insbesondere, ob personenbezogene Daten und Buchhaltungsinformationen gemäß den jeweils geltenden Vorschriften behandelt werden.

Beispiel: drei Systeme in einem kleineren Unternehmen

Angenommen, das Unternehmen nutzt ein Finanzsystem, ein Personalverwaltungssystem und einen externen Helpdesk. Der Finanzchef kann als Systemeigentümer für das Finanzsystem, der HR-Chef für das Personalsystem und der IT-Verantwortliche für den Helpdesk ernannt werden. Die IT-Funktion kann gleichzeitig allgemeine technische Kontrollen durchführen. Für jedes System werden Anbieter, Vertragsverlängerung, Informationsklassifizierung, wichtigstes Risiko und nächste Kontrolle registriert.

Das Beispiel zeigt, warum ein Systemregister und ein Verwaltungsplan unterschiedliche Aufgaben erfüllen: Das Register zeigt was vorhanden ist, während der Plan beschreibt was zu tun ist, von wem und wann.

Ist ein IT-Systemregister das Gleiche wie das Verzeichnis von Verarbeitungstätigkeiten der DSGVO?

Nein. Ein IT-Systemregister beschreibt Systeme sowie technische oder organisatorische Ressourcen. Die Artikel-30-Regeln der DSGVO beziehen sich stattdessen auf ein Verzeichnis von Verarbeitungstätigkeiten personenbezogener Daten und erfordern spezifische Angaben, darunter Zwecke, Kategorien betroffener Personen und Empfänger, sofern diese Anforderungen anwendbar sind. Ein IT-System kann mehrere Verarbeitungen personenbezogener Daten unterstützen, und eine Verarbeitung kann mehrere Systeme umfassen. Das Verzeichnis der Verarbeitungstätigkeiten muss daher separat beurteilt werden.

Lesen Sie unseren bestehenden Leitfaden zum Verzeichnis von Verarbeitungstätigkeiten gemäß DSGVO Artikel 30 für die korrekten Inhalte dieses Dokuments.

Checkliste für die Systemverwaltung

• Alle wichtigen IT-Systeme sind im Register aufgeführt.
• Systemeigentümer, operativ Verantwortlicher und Anbieter sind identifiziert.
• Zweck, Abhängigkeiten und Informationsmengen des Systems sind beschrieben.
• Risiken, Änderungen und Entscheidungen sind dokumentiert.
• Für Berechtigungsprüfungen und Störungsroutinen sind Verantwortliche benannt.
• Lizenz- und Vertragsdaten sind überwachbar.
• Jahreskalender und Kontrollergebnisse werden nachverfolgt.
• Außerbetriebnahme und Datenexport sind für zu ersetzende Systeme geplant.

Häufige Fehler, die es zu vermeiden gilt

• Systeme ohne Eigentümer: Niemand hat das Mandat, Verbesserungen zu priorisieren.
• Register ohne Aktualisierungsroutine: Die Informationen sind schnell veraltet.
• Vermischung von Rollen: Es wird automatisch angenommen, dass der IT-Support die gesamte Verantwortung für Betrieb und Datenschutz trägt.
• Vergessene SaaS-Dienste: Kosten, Integrationen und externe Speicherorte werden übersehen.
• Kein Exit-Plan: Es ist unklar, wie Daten verschoben oder gelöscht werden, wenn Verträge enden.

Häufige Fragen zum Systemverwaltungsplan

Muss jedes Unternehmen einen Systemverwaltungsplan haben?

Es gibt keine allgemeine gesetzliche Verpflichtung, die vorschreibt, dass jedes Unternehmen zwingend ein Dokument mit dem Titel „Systemverwaltungsplan“ haben muss. Bestimmte Branchen können jedoch anderen bindenden Anforderungen an Steuerung, Sicherheit, Dokumentation und Kontrolle unterliegen. Der Plan ist daher ein praktisches Steuerungsinstrument, das dem Unternehmen helfen kann, relevante Verpflichtungen zu erfüllen.

Was ist der Unterschied zwischen einem IT-Systemregister und einem Lizenzregister?

Das Systemregister beschreibt den Zweck, den Eigentümer, die Informationsverarbeitung und den Lebenszyklus des Systems. Das Lizenzregister konzentriert sich auf Abonnements, Anzahl der Lizenzen, Kosten und Verlängerungsdaten. Die Register können miteinander verknüpft werden.

Wie oft sollte der Systemverwaltungsplan aktualisiert werden?

Legen Sie eine regelmäßige Überprüfung auf Basis von Risiko und Veränderungsgeschwindigkeit fest. Aktualisieren Sie auch nach größeren Systemwechseln, Störungen, organisatorischen Änderungen und wichtigen Anbieteränderungen.

Kann dieselbe Person Systemeigentümer und Systemverwalter sein?

Ja, in kleineren Organisationen können Rollen kombiniert werden. Dokumentieren Sie dennoch klar, wer Entscheidungen trifft, Kontrollen ausführt und für die Behebung von Mängeln verantwortlich ist.

Weiterführende Leitfäden und Vorlagen

Vertiefen Sie Ihre Arbeit mit unseren Leitfäden zu Informationsklassifizierung, Berechtigungsprüfung, Störungsmanagementplan und SaaS-Exit und Datenmigration. Siehe auch unsere Vorlagen für IT-Verträge und digitale Dienste.

Quellen und weiterführende Lektüre

• IMY: Verzeichnis von Verarbeitungstätigkeiten personenbezogener Daten führen
• IMY: Umgang von Unternehmen mit personenbezogenen Daten
• Informationssakerhet.se: Methodenunterstützung für systematische Informationssicherheitsarbeit

Zuletzt faktisch geprüft: 13. Oktober 2026. Der Artikel bietet allgemeine Orientierungshilfen für Unternehmen und stellt keine Rechtsberatung dar. Überprüfen Sie, ob Ihr Unternehmen besonderen branchenspezifischen Anforderungen, Verträgen oder Vorschriften unterliegt.