---
title: "Anforderungsmanagement"
url: "https://knowledgebase.audatis-manager.de/de/article/anforderungsmanagement"
language: "de"
last_updated: "2026-11-06T13:01:47.356Z"
---

# Anforderungsmanagement

Anforderungskataloge wie ISO 27001, NIS-2, BSI, TISAX oder SDM bewerten, mit Maßnahmen belegen und als SOA nachweisen

## 0 Kurzkarte: Den Umsetzungsstand einer Anforderung dokumentieren

1.  **Katalog öffnen** – Klicken Sie auf **Compliance → Anforderungsmanagement** und in der Zeile des Katalogs auf das **Stift-Symbol**.
2.  **Anforderung suchen** – Wechseln Sie in den Reiter **Anforderungen**. Klappen Sie das Kapitel auf oder geben Sie die Nummer unter **Suchen** ein. Klicken Sie bei der Anforderung auf das **Stift-Symbol**.
3.  **Umsetzung erfassen** – Stellen Sie im Reiter **Umsetzung** den **Umsetzungsgrad** ein. Tragen Sie eine **Referenz** (z. B. Richtlinie, Konzept) und die **Beschreibung der Umsetzung** ein. Gilt die Anforderung für Sie nicht, schalten Sie **Anforderung nicht anwendbar** ein und begründen Sie das.
4.  **Maßnahmen verknüpfen** – Ordnen Sie im Reiter **TOM-Zuordnungen** über **Zuordnung bearbeiten** die Maßnahmen zu, die die Anforderung erfüllen.
5.  **Speichern** – Klicken Sie auf **Speichern**. Der Fortschritt des Kapitels und des Katalogs wird sofort neu berechnet.

> **Tipp:** Einen ganzen Katalog belegen Sie schneller mit der **TOM-Zuordnung** in der Werkzeugleiste des Katalogs. Sie schlägt Ihre vorhandenen Maßnahmen für alle passenden Anforderungen vor, Sie bestätigen nur noch.

## 1 Einführung

### 1.1 Wofür ist das Modul da?

Mit dem Anforderungsmanagement weisen Sie nach, wie weit Ihr Unternehmen die Anforderungen eines Standards oder Gesetzes umgesetzt hat. Ein **Anforderungskatalog** ist Ihre Arbeitskopie eines Standards, z. B. ISO 27001, NIS-2-Umsetzungsgesetz, BSI IT-Grundschutz, VDA ISA (TISAX) oder Standard-Datenschutzmodell (SDM). Je Anforderung dokumentieren Sie

-   den **Umsetzungsgrad** von 0 bis 100 %,
-   wie Sie die Anforderung umsetzen und wo das belegt ist,
-   welche **Maßnahmen** aus dem Modul TOM sie erfüllen,
-   Nachweise als **Dokumente** und offene Arbeiten als **Aufgaben**.

Daraus berechnet der audatis MANAGER den Fortschritt je Kapitel und Katalog. Als Nachweis für Audits und Zertifizierungen exportieren Sie das **Statement of Applicability (SOA)**.

Sie öffnen das Modul über **Compliance → Anforderungsmanagement**. Das Modul erscheint nur, wenn für Ihren Mandanten die Lizenz für NIS-2/ISMS gebucht ist.

![](https://cdn-assets.productfruits.com/1f6c3930-3c32-469d-aaff-57249b74dd5a)

*Abbildung 1: Übersicht der Anforderungskataloge*

### 1.2 Begriffe

| Begriff | Bedeutung im audatis MANAGER |
| --- | --- |
| **Anforderungskatalog** | Ihre Arbeitskopie eines Standards mit allen Kapiteln und Anforderungen. Sie können mehrere Kataloge desselben Standards führen, z. B. je Standort. |
| **Standard** | Die Norm oder das Gesetz, aus dem der Katalog angelegt wurde. Der Standard lässt sich später nicht ändern. |
| **Kapitel** | Gliederungsebene des Katalogs, z. B. „Baustein 11 „Aufbewahren““. Kapitel lassen sich auf- und zuklappen. |
| **Anforderung** | Einzelne bewertbare Vorgabe mit Kapitelnummer, z. B. „11.1.07 M11.D07 Verschlüsselung gespeicherter Daten“. |
| **Typ** | Verbindlichkeit der Anforderung: **MUSS**, **SOLL**, **KANN** oder **EMPFOHLEN**. |
| **Umsetzungsgrad** | Stand der Umsetzung in Zehnerschritten. 0 % gilt als *Offen*, 10 bis 90 % als *Teilweise erfüllt*, 100 % als *Erfüllt*. |
| **Nicht anwendbar** | Die Anforderung gilt für Ihren Geltungsbereich nicht. Eine Begründung ist Pflicht. Nicht anwendbare Anforderungen zählen beim **Gesamtfortschritt** nicht mit. |
| **Framework** | Anforderungskatalog aus dem Modul TOM, z. B. „ISO 27001:2022 Annex A“ oder „Standard-Datenschutzmodell (SDM)“. Über das Framework finden Anforderungen und Maßnahmen zueinander. |
| **TOM-Zuordnung** | Verknüpfung einer Anforderung mit einer Maßnahme. So heißt auch der Assistent, der solche Verknüpfungen für den ganzen Katalog vorschlägt. |
| **Anforderungs-Mapping** | Reiter einer Maßnahme im Modul TOM. Er zeigt, welche Anforderungen eines Frameworks die Maßnahme erfüllt. |
| **SOA** | Statement of Applicability, die Erklärung zur Anwendbarkeit nach ISO 27001 Kap. 6.1.3. |

### 1.3 Der Ablauf im Überblick

1.  **Katalog anlegen** – Sie wählen den Standard und eine verantwortliche Person. Der Katalog enthält danach alle Kapitel und Anforderungen des Standards.
2.  **Anforderungen bewerten** – Die Fachverantwortlichen tragen je Anforderung Umsetzungsgrad, Umsetzung und Nachweise ein oder setzen sie auf *nicht anwendbar*.
3.  **Maßnahmen zuordnen** – Mit der **TOM-Zuordnung** oder einzeln an der Anforderung verknüpfen Sie die Maßnahmen, die die Anforderung erfüllen.
4.  **Fortschritt verfolgen** – Der Reiter **Übersicht** zeigt den Stand des Katalogs, die Übersicht aller Kataloge den Umsetzungsgrad je Katalog.
5.  **Nachweisen** – Sie exportieren die SOA oder eine Datenliste aller Anforderungen.

### 1.4 Rollen und Rechte

| Rolle | Aufgabe | Recht im Modul |
| --- | --- | --- |
| **Lesende** | alle Kataloge und Anforderungen ansehen, exportieren | **Lesen** |
| **Fachverantwortliche** | „ihren“ Katalog bearbeiten: Anforderungen bewerten, Maßnahmen einzeln zuordnen, Dokumente und Aufgaben pflegen | als **Fachverantwortlicher** des Katalogs eingetragen; ohne weiteres Recht sehen sie nur die eigenen Kataloge |
| **ISB, DSB, Bearbeitende** | Kataloge anlegen und bearbeiten, **TOM-Zuordnung** für den ganzen Katalog, Schlagwörter, Archivieren | **Schreiben** |
| **Löschberechtigte** | Kataloge und Kapitel löschen, Kataloge auf andere Mandanten kopieren | **Löschen** |
| **Administration** | Schlagwörter des Moduls verwalten | **Konfigurieren** |

Für **Neue TOM anlegen** an einer Anforderung brauchen Sie zusätzlich das Recht **Schreiben** im Modul **Technische + organisat. Maßnahmen (TOM)**.

> **Hinweis:** Archivierte Kataloge sind schreibgeschützt. Umsetzung, Maßnahmen und Struktur lassen sich dort nicht ändern. Holen Sie einen Katalog bei Bedarf aus dem **Archiv** zurück.

### 1.5 Hilfe und Tour

Mit dem **Fragezeichen** oben rechts öffnen Sie die Hilfe. Sie erklärt die aktuelle Ansicht – Übersicht, Katalog, Anforderung, TOM-Zuordnung oder Konfiguration – mit allen Feldern.

Ist für das Anforderungsmanagement eine geführte Tour eingerichtet, startet sie beim ersten Aufruf von selbst. Danach starten Sie sie in der Hilfe über das Symbol **Tour erneut starten** neu.

## 2 Die Übersicht der Kataloge

Die Übersicht hat zwei Reiter: **Anforderungskataloge** zeigt die aktiven Kataloge, **Archiv** die archivierten. Die Zahl am Reiter nennt die Anzahl.

Die Tabelle zeigt je Katalog:

| Spalte | Inhalt |
| --- | --- |
| **Bezeichnung** | Name des Katalogs, z. B. mit dem Geltungsbereich |
| **Standard** | Kurzname des Standards |
| **Fachverantwortlicher** | Person, die den Katalog pflegt |
| **Schlagwörter** | Ihre Einordnung, z. B. nach Standort oder Projekt |
| **Umsetzung** | Gesamtfortschritt in Prozent, ohne nicht anwendbare Anforderungen |
| **Letzte Bearbeitung** | Datum der letzten Änderung; im Archiv zusätzlich **Archiviert am** |

Am Zeilenende öffnen Sie den Katalog über das **Auge** zum Ansehen oder über den **Stift** zum Bearbeiten.

Über **Filter** grenzen Sie die Liste nach **Bezeichnung**, **Standard**, **Fachverantwortlicher**, **Letzte Bearbeitung**, **Schlagwörter** und **Umsetzung** (z. B. „< 50%“) ein. Das Feld **Suche in Tabelle** durchsucht die angezeigten Zeilen.

Die Werkzeugleiste bietet je nach Recht:

| Schaltfläche | Wirkung |
| --- | --- |
| **Neu** | Katalog anlegen (siehe *Einen Katalog anlegen*) |
| **Löschen** | markierte Kataloge in den Papierkorb verschieben |
| **Schlagwörter** | Schlagwörter für die markierten Kataloge setzen oder entfernen |
| **Massenaktionen** | **Archivieren**, im Archiv **Wiederherstellen**, außerdem **Auf Mandanten kopieren** |
| **Exportieren** | Datenliste oder SOA (siehe *Exportieren und nachweisen*) |

![](https://cdn-assets.productfruits.com/c78772d4-5879-4913-aef1-2d5e27d66062)

*Abbildung 2: Massenaktionen für markierte Kataloge*

Über **Schlagwörter** vergeben Sie Schlagwörter an die markierten Kataloge: Wählen Sie unter **Hinzufügen** oder **Entfernen** die Schlagwörter und klicken Sie auf **Anwenden**. Welche Schlagwörter es gibt, legt die Administration in der Konfiguration fest.

![](https://cdn-assets.productfruits.com/66369238-2f95-46cb-8251-031954f66bae)

*Abbildung 3: Schlagwörter für markierte Kataloge*

## 3 Einen Katalog anlegen

*Für ISB, DSB und Bearbeitende mit dem Recht* \*Schreiben\*\*.\*

1.  Klicken Sie in der Übersicht auf **Neu**. Das Fenster **Neuer Anforderungskatalog** öffnet sich.
2.  Wählen Sie unter **Standard** die Norm oder das Gesetz. Angeboten werden die Standards, die für Ihren Mandanten freigeschaltet sind. Kostenpflichtige Standards erscheinen erst nach dem Kauf.

![](https://cdn-assets.productfruits.com/97552ed7-3eab-49ea-8779-c95d2da4c364)

*Abbildung 4: Auswahl des Standards*

1.  Unter **Lizenz** erscheinen Quelle und Lizenzbedingungen des Standards. Lesen Sie sie, bevor Sie Texte des Standards weitergeben.
2.  Wählen Sie den **Fachverantwortlichen**. Diese Person darf den Katalog auch ohne weiteres Recht im Modul bearbeiten.
3.  Geben Sie eine **Bezeichnung** ein, die den Geltungsbereich beschreibt, z. B. „ISO 27001 – Standort Musterstadt“.
4.  Klicken Sie auf **Speichern**. Mit **Weiteren Datensatz anlegen** bleibt das Fenster für den nächsten Katalog offen.

![](https://cdn-assets.productfruits.com/466f9f28-e167-469f-9a3d-c9dd5b94402b)

*Abbildung 5: Neuer Anforderungskatalog mit Lizenzhinweis*

Der Katalog enthält danach alle Kapitel und Anforderungen des Standards, jeweils mit 0 % Umsetzung. Gibt es zu dem Standard ein Framework im Modul TOM, trägt der audatis MANAGER es im Reiter **Stammdaten** ein und verbindet die Anforderungen mit dessen Punkten. Maßnahmen werden dabei noch nicht verknüpft; dafür nutzen Sie die **TOM-Zuordnung** (siehe *Maßnahmen zuordnen*).

## 4 Einen Katalog bewerten

*Für Fachverantwortliche und alle, die Anforderungen bewerten.*

### 4.1 Der Katalog

Öffnen Sie den Katalog in der Übersicht über den **Stift**. Mit dem **Auge** öffnen Sie ihn nur zum Lesen; dort wechseln Sie mit **Bearbeiten** in den Bearbeitungsmodus.

Die Seite hat drei Reiter:

| Reiter | Inhalt |
| --- | --- |
| **Übersicht** | Kennzahlen und Gesamtfortschritt des Katalogs |
| **Anforderungen** | alle Kapitel und Anforderungen mit Filter und Suche |
| **Stammdaten** | Bezeichnung, Fachverantwortlicher, Standard, Framework, Lizenz |

Die Werkzeugleiste zeigt im Bearbeitungsmodus **Speichern** (für die Stammdaten), **TOM-Zuordnung**, **Auf Mandanten kopieren**, **Exportieren** und **Abbrechen** – je nach Recht. Ganz rechts öffnen Sie die rechte Leiste (siehe *Die rechte Leiste*).

![](https://cdn-assets.productfruits.com/15dfcf1e-d477-4208-8dab-63f45baa8d4b)

*Abbildung 6: Katalog im Bearbeitungsmodus*

### 4.2 Reiter Übersicht

Die Karten zeigen **Gesamt** (alle Anforderungen), **Erfüllt**, **In Bearbeitung** (teilweise erfüllt) und **Offen**. Darunter steht der **Gesamtfortschritt**: der Mittelwert der Umsetzungsgrade aller anwendbaren Anforderungen. Die Legende nennt die Anzahl je Status, darunter auch die nicht anwendbaren Anforderungen.

![](https://cdn-assets.productfruits.com/103e3dca-8fda-4ad0-b522-122e917056d4)

*Abbildung 7: Reiter Übersicht*

### 4.3 Reiter Anforderungen

Die Kapitel stehen untereinander, jeweils mit Nummer, Titel, Anzahl der Anforderungen und Fortschritt. Ein Klick auf die Zeile klappt das Kapitel auf. Über die **Filterleiste** zeigen Sie nur Anforderungen eines Typs (**MUSS**, **SOLL**, **KANN**, **EMPFOHLEN**) oder eines Status (**Erfüllt**, **Teilweise erfüllt**, **Offen**, **Nicht anwendbar**); die Zahl nennt die Treffer, **Alle** hebt den Filter auf. **Suchen** findet Anforderungen nach Nummer oder Text.

![](https://cdn-assets.productfruits.com/8999464a-a43d-46dc-989a-9222e4724787)

*Abbildung 8: Reiter Anforderungen mit Filterleiste*

Jede Anforderung zeigt ihren Typ, die Kapitelnummer, die Bezeichnung, einen farbigen Punkt für den Status und den Umsetzungsgrad. Rechts öffnen Sie sie mit dem **Auge** zum Lesen, im Bearbeitungsmodus zusätzlich mit dem **Stift** zum Bearbeiten.

![](https://cdn-assets.productfruits.com/80e83345-c6ed-43f1-ad46-84bca79a7f11)

*Abbildung 9: Aufgeklapptes Kapitel*

### 4.4 Eine Anforderung bewerten

Die Seite einer Anforderung hat vier Reiter:

| Reiter | Inhalt |
| --- | --- |
| **Anforderung** | **Kapitel**, **Bezeichnung**, **Typ**, **Ziel**, **Anforderung** (Text des Standards), **Hinweise**, **Quelle** |
| **Umsetzung** | **Anforderung nicht anwendbar** mit **Begründung für Nicht-Anwendbarkeit**, **Umsetzungsgrad**, **Referenz**, **Beschreibung der Umsetzung** |
| **TOM-Zuordnungen** | verknüpfte Maßnahmen (siehe *Maßnahmen zuordnen*) |
| **Dokumente** | Nachweise als Dateien |

![](https://cdn-assets.productfruits.com/8231e2c5-7111-4925-bcdc-e7f2cce060a7)

*Abbildung 10: Reiter Anforderung*

So dokumentieren Sie die Umsetzung:

1.  Öffnen Sie die Anforderung über den **Stift** und wechseln Sie in den Reiter **Umsetzung**.
2.  Ziehen Sie den Regler **Umsetzungsgrad** auf den erreichten Stand.
3.  Tragen Sie unter **Referenz** ein, wo die Umsetzung geregelt ist, z. B. „Backup-Konzept v2.1“.
4.  Beschreiben Sie unter **Beschreibung der Umsetzung**, was umgesetzt ist und was noch fehlt.
5.  Klicken Sie auf **Speichern**.

![](https://cdn-assets.productfruits.com/1acb8527-f896-4004-bdff-8010950bdb7f)

*Abbildung 11: Reiter Umsetzung*

Gilt die Anforderung für Ihren Geltungsbereich nicht, schalten Sie **Anforderung nicht anwendbar** ein. Das Feld **Begründung für Nicht-Anwendbarkeit** ist dann Pflicht. Die Begründung erscheint in der SOA.

![](https://cdn-assets.productfruits.com/ec9ae86f-f75a-40c3-bc1a-02648a7118d0)

*Abbildung 12: Nicht anwendbare Anforderung mit Begründung*

> **Tipp:** Setzen Sie 100 % erst, wenn Sie die Umsetzung belegen können. Laden Sie den Nachweis im Reiter **Dokumente** hoch oder nennen Sie ihn unter **Referenz**.

Im Reiter **Dokumente** laden Sie Nachweise hoch, z. B. Richtlinien, Protokolle oder Screenshots. Hochladen und Löschen ist nur im Bearbeitungsmodus möglich.

![](https://cdn-assets.productfruits.com/789d0d7e-5ef1-4bbd-971a-53769202e59e)

*Abbildung 13: Reiter Dokumente*

Mit **Abbrechen** kehren Sie zum Katalog zurück. Haben Sie Änderungen nicht gespeichert, fragt das Fenster **Änderungen verwerfen** nach.

### 4.5 Die rechte Leiste

Die rechte Leiste öffnen Sie über das Symbol ganz rechts in der Werkzeugleiste. Über die Symbole oben in der Leiste wechseln Sie zwischen den Bereichen.

| Bereich | Inhalt |
| --- | --- |
| **Aufgaben** | Aufgaben zum Katalog anlegen und verfolgen, z. B. „Backup-Konzept überarbeiten“ |
| **Schlagwörter** | Einordnung des Katalogs, auch als Filter in der Übersicht |
| **Kommentare** | Abstimmung mit Kollegen |
| **Links** | Verweise auf Dokumente aus der Dateiablage |
| **Aktivitätslog** | Wer hat wann was geändert |

An einer Anforderung enthält die rechte Leiste nur die **Aufgaben** zu dieser Anforderung.

![](https://cdn-assets.productfruits.com/aa3b65bc-e55a-4f3f-85f3-a6af9512b019)

*Abbildung 14: Rechte Leiste des Katalogs*

## 5 Maßnahmen zuordnen

*Für Fachverantwortliche, ISB und DSB.*

Anforderungen und Maßnahmen finden über das **Framework** zueinander: Verweisen eine Anforderung des Katalogs und das **Anforderungs-Mapping** einer Maßnahme auf denselben Punkt des Frameworks, passen sie zusammen. Verknüpft werden sie aber erst, wenn Sie es bestätigen – für den ganzen Katalog mit der **TOM-Zuordnung** oder einzeln an der Anforderung.

### 5.1 TOM-Zuordnung für den ganzen Katalog

Klicken Sie im Katalog in der Werkzeugleiste auf **TOM-Zuordnung**. Die Schaltfläche erscheint, wenn dem Katalog ein Framework zugeordnet ist und Sie das Recht **Schreiben** haben. Der Assistent führt in drei Schritten durch die Zuordnung.

**Schritt 1: Umfang wählen** – Unter **Nur Maßnahmen aus diesen TOM-Katalogen berücksichtigen** grenzen Sie die Vorschläge auf einzelne TOM-Kataloge ein. Ohne Auswahl gilt **Alle Maßnahmen des Mandanten**; Maßnahmen ohne TOM-Katalog sind nur darin enthalten. Klicken Sie auf **Weiter**.

![](https://cdn-assets.productfruits.com/36128903-4948-4f2d-9cff-37339b9afc7c)

*Abbildung 15: Schritt 1: Umfang wählen*

**Schritt 2: Vorschlag prüfen** – Jede Zeile verbindet eine **Anforderung** mit einer **Maßnahme** und zeigt deren **Umsetzung** und den **Status** der Zeile:

| Status | Bedeutung |
| --- | --- |
| **Vorschlag** | neu, noch nicht zugeordnet |
| **Bereits zugeordnet** | besteht schon; abwählen löst die Zuordnung |
| **Manuell — bleibt bestehen** | von Hand gesetzt; bleibt in jedem Fall erhalten |

Alle Zeilen sind vorausgewählt. Nur markierte Zeilen werden übernommen. Entfernen Sie die Markierung bei allem, was nicht passt, und klicken Sie auf **Weiter**.

![](https://cdn-assets.productfruits.com/0720432f-1fff-436e-a038-da6ccb3cc3f7)

*Abbildung 16: Schritt 2: Vorschlag prüfen*

**Schritt 3: Umsetzungsgrad** – Die Seite nennt, wie viele Maßnahmen neu zugeordnet werden. Mit **Umsetzungsgrad aus den Maßnahmen ableiten** erhält jede betroffene Anforderung den Mittelwert der Umsetzungsgrade ihrer Maßnahmen. Ein Hinweis nennt, wie viele vorhandene Umsetzungsgrade dabei überschrieben werden und welche abgewählten Zuordnungen gelöst werden. Klicken Sie auf **Zuordnung übernehmen**.

![](https://cdn-assets.productfruits.com/0539e28c-0c0c-4874-8f17-1f92bc2c1eae)

*Abbildung 17: Schritt 3: Umsetzungsgrad*

Ist keine Zuordnung möglich, nennt der Assistent schon in Schritt 1 den Grund:

| Meldung | Was zu tun ist |
| --- | --- |
| Kein Framework hinterlegt | Im Reiter **Stammdaten** ein **Framework** wählen. |
| Keine Anforderung mit dem Framework verknüpft | Im Reiter **Stammdaten** **Anforderungen dem Framework zuordnen** ausführen. |
| Maßnahmen keinem Anforderungskatalog zugewiesen | Im Modul TOM den Maßnahmen im Reiter **Anforderungs-Mapping** passende Anforderungen zuordnen, Maßnahmen aus Textbausteinen oder mit dem TOM-Assistenten anlegen oder Maßnahmen einzeln an der Anforderung zuordnen. |
| Nichts zuzuordnen | Alle passenden Maßnahmen sind schon zugeordnet, oder die Auswahl der TOM-Kataloge in Schritt 1 ist zu eng. |

> **Tipp:** Der Bezug gilt je Framework, nicht je Katalog. Zwei Kataloge mit demselben Framework teilen sich das Anforderungs-Mapping der Maßnahmen. Eine Zuordnung zu ISO 27001 gilt aber nicht zugleich für TISAX.

### 5.2 Reiter TOM-Zuordnungen an der Anforderung

Die Tabelle zeigt die verknüpften Maßnahmen mit **TOM-Bezeichnung**, **Typ**, **Status** und **Quelle**. Über das Symbol am Zeilenende öffnen Sie die Maßnahme in einem neuen Fenster (**TOM-Datensatz öffnen**).

| Quelle | Entstanden durch |
| --- | --- |
| **Manuell** | Zuordnung von Hand oder **Neue TOM anlegen** an der Anforderung |
| **Assistent** | **TOM-Zuordnung** für den ganzen Katalog |
| **Übernommen** | frühere automatische Verknüpfung, die übernommen wurde |

![](https://cdn-assets.productfruits.com/dba1080e-a452-4445-ad7b-3589c8eff2d4)

*Abbildung 18: Reiter TOM-Zuordnungen im Bearbeitungsmodus*

#### 5.2.1 Zuordnung bearbeiten

**Zuordnung bearbeiten** öffnet das Fenster **TOM Maßnahmen zuordnen** mit allen Maßnahmen des Mandanten (**Bezeichnung**, **Typ**, **Umsetzungsstatus**). Markieren Sie die passenden Maßnahmen und klicken Sie auf **Speichern**.

Mit **Anforderungs-Zuordnung auch in der TOM hinterlegen** (Standard: ein) erhalten neu zugeordnete Maßnahmen die Anforderung zusätzlich in ihrem **Anforderungs-Mapping**. Damit gilt die Zuordnung auch für andere Kataloge mit demselben Framework. Der Schalter erscheint nur bei Anforderungen, die mit dem Framework verbunden sind.

![](https://cdn-assets.productfruits.com/67f1a875-b2cc-4463-8e97-e5096175ae50)

*Abbildung 19: TOM Maßnahmen zuordnen*

#### 5.2.2 Neue TOM anlegen

Fehlt eine passende Maßnahme, legen Sie sie direkt an der Anforderung an. **Neue TOM anlegen** öffnet ein Fenster mit zwei Reitern:

-   **Neu erstellen** – **Bezeichnung** und **Typ** (*Technisch* oder *Organisatorisch*) eingeben.
-   **Von Vorlage erstellen** – eine **Textbaustein-Vorlage** wählen. Angeboten werden die Textbausteine, die genau diesem Anforderungspunkt zugeordnet sind. Gibt es keine, zeigt die Auswahl alle Vorlagen des Frameworks mit einem Hinweis. Beschreibung, Typ, Schutzziele und Anforderungsbezüge des Textbausteins gehen in die neue Maßnahme über.

In beiden Reitern legt **Anforderungs-Zuordnung auch in der TOM hinterlegen** die Anforderung zusätzlich im Anforderungs-Mapping der neuen Maßnahme an. Nach **Speichern** ist die Maßnahme im Modul TOM angelegt und der Anforderung zugeordnet.

![](https://cdn-assets.productfruits.com/fc66c2ab-18b5-4b54-a470-e17c922fb25c)

*Abbildung 20: Neue TOM anlegen – Neu erstellen*

![](https://cdn-assets.productfruits.com/8670c525-897a-49e7-bb0c-5cd649becd16)

*Abbildung 21: Neue TOM anlegen – Von Vorlage erstellen*

#### 5.2.3 Zuordnung entfernen

Markieren Sie eine oder mehrere Zeilen und klicken Sie auf **Zuordnung entfernen**. Im Fenster entscheiden Sie mit **Anforderungs-Mapping in der TOM ebenfalls entfernen**:

-   **aus** – nur die Zuordnung in diesem Katalog wird gelöst.
-   **ein** – zusätzlich wird der Bezug an der Maßnahme entfernt. Er gilt mandantenweit; andere Kataloge mit demselben Framework verlieren die Zuordnung ebenfalls.

Klicken Sie auf **Entfernen**.

![](https://cdn-assets.productfruits.com/b6358070-2ce6-40a0-9709-5467e9274f1b)

*Abbildung 22: Zuordnung entfernen*

### 5.3 Gegenrichtung: Anforderungs-Mapping in der Maßnahme

Im Modul TOM zeigt der Reiter **Anforderungs-Mapping** einer Maßnahme alle Anforderungen, die sie erfüllt, je Framework. Dort landen die Bezüge aus Textbausteinen, aus dem TOM-Assistenten und aus diesem Modul, wenn **Anforderungs-Zuordnung auch in der TOM hinterlegen** eingeschaltet war. Ausführlich beschreibt das der Leitfaden **TOM-Assistent und TOM-Zuordnungen**.

![](https://cdn-assets.productfruits.com/512dda94-0bd8-40f3-9727-a31b153e22f5)

*Abbildung 23: Anforderungs-Mapping einer Maßnahme im Modul TOM*

## 6 Kataloge pflegen

*Für ISB, DSB und Fachverantwortliche.*

### 6.1 Stammdaten und Framework

Im Reiter **Stammdaten** pflegen Sie **Bezeichnung** und **Fachverantwortlicher**. **Standard** und **Standard zuletzt aktualisiert** sind schreibgeschützt. Unter **Lizenz** stehen Quelle und Lizenzbedingungen des Standards.

Das Feld **Framework** zeigt, mit welchem Anforderungskatalog des Moduls TOM der Katalog verbunden ist. Es ist Voraussetzung für die **TOM-Zuordnung** und für die SOA als CSV, Excel oder PDF. Wählen Sie ein anderes Framework oder tragen Sie es bei einem älteren Katalog nach, klicken Sie danach auf **Anforderungen dem Framework zuordnen** und bestätigen Sie mit **Zuordnung starten**. Die Anforderungen werden anhand der Kapitelnummer den passenden Punkten des Frameworks zugeordnet. Eine Meldung nennt, wie viele Anforderungen zugeordnet wurden und wie viele ohne Treffer blieben. Maßnahmen werden dabei nicht verknüpft.

![](https://cdn-assets.productfruits.com/d9d4f1db-44db-4a55-ba5a-05079708a292)

*Abbildung 24: Reiter Stammdaten mit Framework*

Änderungen an **Bezeichnung** und **Fachverantwortlicher** speichern Sie mit **Speichern** in der Werkzeugleiste.

> **Hinweis:** **Standard-Datenschutzmodell (SDM):** Die Referenzmaßnahmen des SDM-Katalogs, z. B. „M11.D07 Verschlüsselung gespeicherter Daten“, sind mit den generischen Maßnahmen des Frameworks „Standard-Datenschutzmodell (SDM)“ verbunden. Maßnahmen, deren Anforderungs-Mapping auf eine generische SDM-Maßnahme verweist, werden deshalb für alle passenden Referenzmaßnahmen vorgeschlagen. Kapitel mit Grundlagen haben keinen Framework-Bezug.

### 6.2 Die Struktur ändern

Im Bearbeitungsmodus passen Sie die Gliederung an, z. B. für eigene Ergänzungen. Die Kapitelzeilen haben dann rechts drei Schaltflächen:

| Schaltfläche | Wirkung |
| --- | --- |
| **+** | **Unterkapitel** oder **Anforderung** unter diesem Kapitel hinzufügen |
| **Löschen** (Papierkorb) | Kapitel löschen; nur mit dem Recht **Löschen** |
| **Stift** | Kapitelnummer und Titel in der Zeile ändern, mit dem **Haken** speichern |

Für ein neues Kapitel auf oberster Ebene klicken Sie unter der Liste auf **Neues Kapitel**. In der neuen Zeile tragen Sie **Kapitel** und **Bezeichnung** ein und speichern mit dem **Haken**. Weitere Angaben einer neuen Anforderung ergänzen Sie danach auf ihrer Seite.

![](https://cdn-assets.productfruits.com/b6fe1a52-9fd0-4e21-9df9-18e3ecfbe508)

*Abbildung 25: Kapitel im Bearbeitungsmodus*

> **Hinweis:** Beim Löschen eines Kapitels bleiben die Einträge darunter erhalten und rücken eine Ebene nach oben. Prüfen Sie die Struktur danach.

### 6.3 Archivieren und Wiederherstellen

Kataloge, die Sie nicht mehr bearbeiten, aber aufbewahren möchten, archivieren Sie: Markieren Sie sie in der Übersicht und wählen Sie **Massenaktionen → Archivieren**. Sie stehen dann im Reiter **Archiv** und sind schreibgeschützt. Mit **Massenaktionen → Wiederherstellen** holen Sie sie im Reiter **Archiv** zurück.

### 6.4 Auf Mandanten kopieren

Mit dem Recht **Löschen** kopieren Sie Kataloge in andere Mandanten, für die Sie ebenfalls schreiben dürfen und die die Lizenz für NIS-2/ISMS haben – in der Übersicht über **Massenaktionen → Auf Mandanten kopieren**, im Katalog über **Auf Mandanten kopieren** in der Werkzeugleiste.

1.  Wählen Sie unter **Auf Mandanten kopieren** einen oder mehrere Zielmandanten.
2.  Mit **Umsetzung mitkopieren** übernehmen Sie Umsetzungsgrade, Texte und TOM-Zuordnungen. Die Auswahl beschränkt sich dann auf Mandanten, die Zugriff auf die zugeordneten Maßnahmen haben.
3.  Klicken Sie auf **Kopieren**.

![](https://cdn-assets.productfruits.com/ba3f078f-8ce5-4acc-9ee4-2f44a0854fae)

*Abbildung 26: Auf Mandanten kopieren*

### 6.5 Löschen

Markieren Sie die Kataloge in der Übersicht und klicken Sie auf **Löschen**. Bestätigen Sie die Abfrage. Gelöschte Kataloge liegen im **Papierkorb** und lassen sich dort wiederherstellen.

## 7 Exportieren und nachweisen

Klicken Sie in der Übersicht oder im Katalog auf **Exportieren**. Der Assistent führt in drei Schritten durch den Export.

1.  **Umfang** – In der Übersicht wählen Sie **Alle**, **Auswahl** (die markierten Kataloge) oder **Gefiltert** (die angezeigten Kataloge). Im Katalog wird immer dieser eine Katalog exportiert.

![](https://cdn-assets.productfruits.com/af6d9358-1fae-4781-809d-d2e0f8576e92)

*Abbildung 27: Export: Umfang wählen*

1.  **Exportform** – **Datenliste** oder **SOA**.

![](https://cdn-assets.productfruits.com/306bea91-e0ff-4383-816c-8cd4f89155ab)

*Abbildung 28: Export: Exportform wählen*

1.  **Format** – Wählen Sie das Dateiformat und klicken Sie auf **Exportieren**.

| Exportform | Formate | Inhalt |
| --- | --- | --- |
| **Datenliste** | CSV, JSON, XML | eine Zeile je Anforderung mit Katalog, Kapitel, Bezeichnung, Verbindlichkeit, Umsetzungsstand, Umsetzung, Referenz, Begründung und den Texten des Standards |
| **SOA** | Word; im Katalog mit Framework zusätzlich CSV, Excel und PDF | Statement of Applicability für Audit und Zertifizierung: Anwendbarkeit, Begründung und Umsetzung je Anforderung |

![](https://cdn-assets.productfruits.com/99bef4a2-9d7b-448e-ba2e-2f50671ff79e)

*Abbildung 29: SOA im Katalog mit Framework*

> **Tipp:** Exportieren Sie mehrere Kataloge als SOA, erhalten Sie die Word-Dokumente als ZIP-Archiv.

## 8 Konfiguration

**Zugriff:** **Anforderungsmanagement konfigurieren** oben rechts in der Übersicht. Die Konfiguration öffnen und bearbeiten Personen mit dem Recht **Konfigurieren** im Modul. Die Einstellungen gelten für den ganzen Mandanten.

Die Konfiguration enthält die **Schlagwörter** des Moduls. Mit ihnen ordnen Sie Kataloge ein, z. B. nach Standort, Projekt oder Zertifizierung, und filtern die Übersicht. Die Tabelle zeigt je Schlagwort **Bezeichnung**, **Status** (*Aktiv* oder *Archiviert*) und das Datum **Erstellt**. Über **Filter** grenzen Sie nach **Status** und **Bezeichnung** ein.

![](https://cdn-assets.productfruits.com/da1ed22f-9554-43c7-bd5c-595744303281)

*Abbildung 30: Konfiguration: Schlagwörter*

So legen Sie ein Schlagwort an:

1.  Klicken Sie auf **Neu**. Das Fenster **Schlagwort anlegen** öffnet sich.
2.  Geben Sie die **Bezeichnung** ein, z. B. „ISMS-Zertifizierung 2027“.
3.  Klicken Sie auf **Speichern**. Mit **Weiteren Datensatz anlegen** bleibt das Fenster für das nächste Schlagwort offen.

![](https://cdn-assets.productfruits.com/7744bc58-9bd2-4f0b-9466-1e2d7a2b164e)

*Abbildung 31: Schlagwort anlegen*

Über den **Stift** in der Zeile ändern Sie die Bezeichnung. Markierte Schlagwörter

-   **archivieren** Sie über **Massenaktionen → Archivieren**: Sie werden bei den Katalogen nicht mehr angeboten. Mit **Massenaktionen → Wiederherstellen** stehen sie wieder zur Auswahl.
-   **löschen** Sie mit **Löschen**. Sie werden unwiderruflich gelöscht.

**Abbrechen** führt zurück zur Übersicht.

Neue Standards stellt audatis bereit. Kostenpflichtige Standards erscheinen nach dem Kauf im Fenster **Neuer Anforderungskatalog**. Die **Frameworks** und die **Textbausteine** mit ihren Anforderungsbezügen pflegen Sie im Modul TOM unter **TOM konfigurieren** (siehe Handbuch **Technische und organisatorische Maßnahmen**).

## 9 Glossar

| Begriff | Erklärung |
| --- | --- |
| **Anforderungs-Mapping** | Bezug einer Maßnahme auf Anforderungen eines Frameworks, gepflegt im Modul TOM. |
| **BSI IT-Grundschutz** | Methodik und Standards des Bundesamts für Sicherheit in der Informationstechnik (BSI-Standards 200-1 bis 200-4). |
| **Fachverantwortlicher** | Person, die einen Katalog pflegt; darf ihn auch ohne weiteres Recht im Modul bearbeiten. |
| **Framework** | Anforderungskatalog im Modul TOM, über den Anforderungen und Maßnahmen verbunden werden. |
| **ISO 27001** | Internationale Norm für Informationssicherheits-Managementsysteme (ISMS). |
| **NIS-2** | EU-Richtlinie zur Cybersicherheit, in Deutschland umgesetzt durch das NIS-2-Umsetzungsgesetz. |
| **SDM** | Standard-Datenschutzmodell der Datenschutzkonferenz, Methode zur Auswahl technischer und organisatorischer Maßnahmen nach DS-GVO. |
| **SOA** | Statement of Applicability, Erklärung zur Anwendbarkeit nach ISO 27001 Kap. 6.1.3. |
| **TISAX** | Prüf- und Austauschverfahren der Automobilindustrie auf Basis des VDA ISA. |
| **Umsetzungsgrad** | Stand der Umsetzung einer Anforderung von 0 bis 100 %. |

## 10 Häufige Fragen

**Kann ich den Standard eines Katalogs nachträglich wechseln?** Nein. Legen Sie einen neuen Katalog an. Hat er dasselbe Framework, schlägt die **TOM-Zuordnung** dieselben Maßnahmen vor.

**Kann ich mehrere Kataloge desselben Standards führen?** Ja, z. B. je Standort oder Geltungsbereich. Unterscheiden Sie sie über die **Bezeichnung** und Schlagwörter.

**Was gehört in die Begründung bei „nicht anwendbar“?** Warum die Anforderung für Ihren Geltungsbereich nicht relevant ist, z. B. „Kein eigenes Rechenzentrum, Hosting vollständig beim Auftragsverarbeiter (siehe AV-Vertrag)“. Die Begründung erscheint in der SOA.

**Wann ist eine Anforderung erfüllt?** Bei 100 % Umsetzungsgrad. Setzen Sie den Wert erst, wenn die Umsetzung nachweisbar ist.

**Warum zählen nicht anwendbare Anforderungen beim Gesamtfortschritt nicht mit?** Weil Sie sie nicht umsetzen müssen. Der **Gesamtfortschritt** und die Spalte **Umsetzung** der Übersicht beziehen sich nur auf die anwendbaren Anforderungen.

**Warum erscheinen meine Maßnahmen nicht automatisch im Katalog?** Verknüpfungen entstehen nur, wenn Sie sie bestätigen – über die **TOM-Zuordnung** oder an der einzelnen Anforderung. So ändert sich kein Katalog, ohne dass jemand es entschieden hat.

**Ich sehe die Schaltfläche „TOM-Zuordnung“ nicht. Warum?** Sie erscheint nur, wenn der Katalog ein **Framework** hat, nicht archiviert ist und Sie das Recht **Schreiben** im Modul haben. Als Fachverantwortlicher ohne dieses Recht ordnen Sie Maßnahmen einzeln an der Anforderung zu.

**Was passiert mit von Hand gesetzten Zuordnungen, wenn ich die TOM-Zuordnung wiederhole?** Sie bleiben erhalten (Status **Manuell — bleibt bestehen**).

**Wann schalte ich beim Entfernen „Anforderungs-Mapping in der TOM ebenfalls entfernen“ ein?** Nur wenn die Maßnahme die Anforderung grundsätzlich nicht erfüllt. Der Bezug an der Maßnahme gilt mandantenweit; andere Kataloge mit demselben Framework verlieren die Zuordnung dann ebenfalls.

**Bekomme ich für den SDM-Katalog Vorschläge?** Ja, sobald Ihre Maßnahmen im Anforderungs-Mapping auf Punkte des Frameworks „Standard-Datenschutzmodell (SDM)“ verweisen. Maßnahmen aus Textbausteinen mit SDM-Bezug bringen diesen Bezug mit.