Technische und organisatorische Maßnahmen

0 Kurzkarte: Eine Maßnahme pflegen in 5 Schritten

Für alle, die als Verantwortliche einer Maßnahme eingetragen sind – z. B. IT, Haustechnik oder Personal.

Sie sind für eine technische oder organisatorische Maßnahme zuständig (z. B. Verschlüsselung der Notebooks, Datensicherung, Zutrittskontrolle)? Dann halten Sie im audatis MANAGER fest, wie weit sie umgesetzt ist, ob sie wirkt und womit Sie das belegen.

1. Maßnahme öffnen – Informationssicherheit → Technische + organisat. Maßnahmen (TOM), Maßnahme über das Stift-Symbol öffnen.
2. Status aktualisieren – im Reiter Stammdaten den Status setzen: Geplant, In Umsetzung oder Umgesetzt. Speichern nicht vergessen.
3. Nachweis hochladen – im Reiter Dokumente Richtlinie, Konfigurationsauszug oder Prüfbericht ablegen.
4. Wirksamkeit prüfen – im Reiter Wirksamkeit auf Prüfung erfassen klicken, Ergebnis und Begründung eintragen, Nachweis anhängen, Speichern. Was und wie oft geprüft wird, legt die zugewiesene Vorlage zur Wirksamkeitsprüfung fest.
5. Aufgaben erledigen – Ist eine Prüfung fällig, erhalten Sie die Aufgabe „Wirksamkeitsprüfung fällig“; sie wird mit dem Erfassen der Prüfung erledigt. Bei Nicht wirksam oder Teilweise wirksam entsteht eine Feststellung, die Sie anschließend beheben.

Tipp: Verknüpfungen, Wirksamkeitsprüfungen und Dokumente werden sofort gespeichert. Änderungen in den Stammdaten und die Auswahl der Vorlage unter Überwachung brauchen Speichern.

1 Einführung

1.1 Wofür ist das Modul da?

Art. 32 DS-GVO verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten – und Art. 5 Abs. 2 DS-GVO den Nachweis darüber. Das Modul ist das zentrale Maßnahmenregister Ihres Unternehmens. Es

• dokumentiert jede Maßnahme mit Beschreibung, Typ, Schutzzielen, Status und Verantwortlichem,
• bündelt Maßnahmen in TOM-Katalogen (z. B. je Standort, Produkt oder Gesellschaft); eine Maßnahme kann mehreren Katalogen angehören,
• verknüpft Maßnahmen mit Assets, Risiken, Verarbeitungstätigkeiten, Geschäftsprozessen, Dienstleistern und Bedrohungen,
• ordnet Maßnahmen Anforderungen aus Anforderungskatalogen zu (DS-GVO/BDSG, Standard-Datenschutzmodell, ISO 27001, BSI IT-Grundschutz, NIS-2, TISAX),
• prüft auf zwei Ebenen: die Wirksamkeit jeder Maßnahme und die Angemessenheit eines TOM-Katalogs,
• hält Abweichungen als Feststellungen im zentralen Feststellungsregister fest (eigenes Handbuch „Feststellungen“) und
• erzeugt Nachweise: Maßnahmenkatalog (z. B. als Anlage zum AV-Vertrag), SoA, Management-Review-Report, Risikobehandlungsplan und Bericht der Angemessenheitsprüfung.

1.2 Die zwei Prüfungen

Der audatis MANAGER trennt zwei Fragen. Jede hat ihren eigenen Ort, ihr eigenes Ergebnis und ihren eigenen Turnus.

Die beiden Prüfungen laufen unabhängig voneinander. In der Angemessenheitsprüfung sehen Sie aber Umsetzung und Wirksamkeit jeder Maßnahme als Entscheidungshilfe.

1.3 Begriffe

1.4 Der Ablauf im Überblick

1.5 Rollen und Rechte

Hinweis: Das Feststellungsregister hat ein eigenes Modulrecht („Feststellungen“ unter Audit). Ohne dieses Recht sehen Sie Feststellungen nur an der jeweiligen Maßnahme bzw. am TOM-Katalog in der rechten Leiste.

2 Eine Maßnahme anlegen

Für DSB, ISB oder Fachbereiche, die eine neue Maßnahme dokumentieren.

2.1 Schritt 1: Neu, aus Textbaustein oder mit dem Assistenten

1. Öffnen Sie Informationssicherheit → Technische + organisat. Maßnahmen (TOM) und klicken Sie auf Neu.
2. Wählen Sie im Dialog Maßnahme anlegen:
   • Neu erstellen – Sie geben Bezeichnung und Typ (Technisch / Organisatorisch) selbst ein.
   • Aus Textbaustein erstellen – Sie wählen nacheinander Anforderungskatalog (Framework), Anforderung und Textbaustein. Bezeichnung, Beschreibung, Typ, Schutzziele und Anforderungs-Mapping werden übernommen; verknüpft werden genau die Anforderungen, die der Textbaustein nennt.
   • Verknüpfen – nur wenn Ihr Mandant zu einer Unternehmensgruppe gehört: Sie verknüpfen eine Maßnahme, die ein anderer Mandant der Gruppe freigegeben hat, statt sie neu anzulegen.
3. Klicken Sie auf Speichern.

Für den Aufbau eines ganzen Maßnahmenbestands nutzen Sie den TOM-Assistenten in der Werkzeugleiste: Er führt Sie Anforderung für Anforderung durch einen Anforderungskatalog und legt die gewählten Maßnahmen am Ende gemeinsam an (siehe Kapitel „Maßnahmen mit dem TOM-Assistenten anlegen“).

Abbildung 1: Maßnahme anlegen

Abbildung 2: Aus Textbaustein erstellen: DS-GVO + BDSG → Verschlüsselung → Verschlüsselung mobiler Endgeräte

Tipp: Textbausteine sparen Zeit und liefern eine fachlich formulierte Beschreibung. Passen Sie die Beschreibung an Ihre Umsetzung an.

2.2 Schritt 2: Stammdaten

Öffnen Sie die neue Maßnahme über das Stift-Symbol in der Übersicht. Ein Klick auf den Namen oder das Augensymbol öffnet die Maßnahme nur zur Ansicht; von dort wechseln Sie mit Bearbeiten in die Bearbeitung. Die Detailseite hat die Reiter Stammdaten, Verknüpfungen, Anforderungs-Mapping, Wirksamkeit, Dokumente und Einstellungen.

1. Passen Sie Bezeichnung und Beschreibung an Ihre Umsetzung an.
2. Wählen Sie den Verantwortlichen und die Organisationseinheit.
3. Ordnen Sie die Maßnahme unter TOM-Kataloge einem oder mehreren Katalogen zu.
4. Setzen Sie den Status: Geplant, In Umsetzung oder Umgesetzt.
5. Markieren Sie unter Schutzziele, worauf die Maßnahme wirkt: C – Vertraulichkeit, I – Integrität, A – Verfügbarkeit.
6. Klicken Sie auf Speichern. Die Maßnahmen-ID (z. B. TOM-2026-010) vergibt das System.

Abbildung 3: Detailseite einer Maßnahme

Abbildung 4: Typ, Verantwortlicher, Organisationseinheit, TOM-Kataloge, Status und Schutzziele

Hinweis: Archivierte TOM-Kataloge erscheinen schreibgeschützt im Feld Archivierte TOM-Kataloge. Neue Zuordnungen zu archivierten Katalogen sind nicht möglich.

2.3 Schritt 3: Verknüpfungen

Im Reiter Verknüpfungen halten Sie fest, was die Maßnahme schützt und wogegen. Ganz oben zeigt die Zeile Angemessenheitsprüfung, ob und mit welchem Ergebnis die Maßnahme schon in einer Angemessenheitsprüfung betrachtet wurde.

Klicken Sie jeweils auf … verknüpfen (z. B. Asset verknüpfen, VVT verknüpfen), wählen Sie die Einträge aus und bestätigen Sie mit Verknüpfen. Über Entfernen lösen Sie markierte Verknüpfungen.

Abbildung 5: Reiter Verknüpfungen mit Angemessenheitsprüfung, Assets und Risiken

Abbildung 6: Asset verknüpfen

Abbildung 7: Verknüpfte Verarbeitungstätigkeiten

Abbildung 8: Bedrohungen „Diebstahl“ und „Verlust von Geräten“

Tipp: Der Schutzbedarf verknüpfter Verarbeitungstätigkeiten und Assets fließt in die Prüfhilfe der Angemessenheitsprüfung ein. Fehlt ein Schutzziel, das dort Sehr hoch ist, weist die Prüfhilfe darauf hin.

2.4 Schritt 4: Anforderungs-Mapping

Im Reiter Anforderungs-Mapping sehen Sie, welche Anforderungen die Maßnahme erfüllt – je Anforderungskatalog mit Nr. und Bezeichnung. Über Anforderung verknüpfen ergänzen Sie weitere, über Entfernen lösen Sie unpassende.

Abbildung 9: Anforderungs-Mapping

Einträge entstehen auf mehreren Wegen:

• aus dem Textbaustein – beim Anlegen über Aus Textbaustein erstellen oder mit dem TOM-Assistenten werden die Anforderungskatalog-Zuordnungen des Textbausteins übernommen,
• von Hand über Anforderung verknüpfen,
• aus dem Anforderungsmanagement – wer dort eine Maßnahme einer Anforderung zuordnet oder aus der Anforderung neu anlegt, kann die Anforderung mit der Option Anforderungs-Zuordnung auch in der TOM hinterlegen zugleich hier eintragen.

Abbildung 10: Eine Maßnahme mit Bezügen zu DS-GVO + BDSG, ISO 27001, SDM und TISAX

Wichtig: Das Mapping ist die Grundlage des SoA-Exports und bestimmt, bei welcher Prüffrage der Angemessenheitsprüfung die Maßnahme erscheint. Eine Maßnahme ohne Zuordnung zu „DS-GVO + BDSG (bewährt)“ taucht dort im Reiter Maßnahmen ohne Prüffrage auf. Außerdem schlägt die TOM-Zuordnung im Anforderungsmanagement eine Maßnahme nur für Anforderungen vor, auf die ihr Mapping verweist – der Bezug gilt je Anforderungskatalog, eine Zuordnung zu ISO 27001 gilt also nicht zugleich für TISAX.

2.5 Schritt 5: Dokumente und Einstellungen

• Laden Sie im Reiter Dokumente Nachweise hoch, z. B. Richtlinien, Konfigurationsnachweise oder Prüfberichte (max. 50 MB je Datei). PDF- und Bilddateien öffnen Sie über das Augensymbol in der Vorschau.
• Unter Einstellungen können Sie die Maßnahme für die Unternehmensgruppe freigeben. Untergeordnete Mandanten sehen sie dann und können sie verknüpfen.

Abbildung 11: Dokumente und Einstellungen

2.6 Maßnahme aktualisieren

Nur wenn in der Konfiguration der *Aktualisierungsworkflow** eingeschaltet ist.*

Wurde eine Maßnahme länger als das eingestellte Aktualisierungsintervall nicht geändert, erhält der Verantwortliche eine Aufgabe zur Aktualisierung. Die Maßnahme trägt dann im Titel das Kennzeichen zur Aktualisierung; in der Übersicht grenzt der Filter Aktualisierung die Liste auf diese Maßnahmen ein.

1. Öffnen Sie die Maßnahme und prüfen Sie Beschreibung, Status, Verknüpfungen und Dokumente auf Aktualität. Ändern Sie, was nicht mehr stimmt, und klicken Sie auf Speichern.
2. Klicken Sie auf Aktualisierung abgeschlossen und wählen Sie im Dialog Aktualisierung abschließen:
   • Datensatz ist aktuell – Sie haben keine relevanten Änderungen vorgenommen.
   • Datensatz wurde aktualisiert – Sie haben relevante inhaltliche Änderungen vorgenommen. Die Wirksamkeitsprüfung bleibt davon unberührt.
3. Klicken Sie auf Abschließen. Die Aufgabe wird automatisch erledigt.

Alternativ schließen Sie die Aktualisierung ab, indem Sie die Aufgabe erledigen. Erst danach beginnt das nächste Intervall.

3 Maßnahmen mit dem TOM-Assistenten anlegen

Für DSB, ISB und alle, die einen Maßnahmenbestand neu aufbauen oder systematisch vervollständigen. Voraussetzung: Schreibrecht im Modul.

Der TOM-Assistent führt Sie Anforderung für Anforderung durch einen Anforderungskatalog (Framework) und schlägt zu jeder Anforderung die passenden Textbausteine vor. Bis zum letzten Klick entsteht keine Maßnahme – alles ist ein Entwurf, der laufend gespeichert wird. Sie öffnen ihn in der Übersicht über TOM-Assistent in der Werkzeugleiste.

Abbildung 12: TOM-Assistent in der Werkzeugleiste

Hinweis: Zwei Begriffe werden leicht verwechselt: Der Anforderungskatalog (Framework) ist das fachliche Raster, durch das der Assistent führt, z. B. „DS-GVO + BDSG (bewährt)“. Der TOM-Katalog ist eine Gruppe Ihrer eigenen Maßnahmen, z. B. für einen Standort – ihn wählen Sie optional als Ziel.

3.1 Schritt 1: Anforderungskatalog wählen

1. Wählen Sie den Anforderungskatalog (Framework). Voreingestellt ist „DS-GVO + BDSG (bewährt)“ mit 19 Anforderungen; angeboten werden alle aktiven Frameworks.
2. Legen Sie Verantwortlicher (Vorbelegung für alle Anforderungen) und Umsetzungsstatus (Vorbelegung für alle Anforderungen) fest.
3. Optional: Wählen Sie unter Bestehendem TOM-Katalog zuordnen einen TOM-Katalog oder geben Sie unter Oder neuen TOM-Katalog anlegen einen Namen ein. Die neuen Maßnahmen werden diesem Katalog beim Abschluss zugeordnet.
4. Klicken Sie auf Starten.

Abbildung 13: Schritt 1 des TOM-Assistenten

3.2 Schritt 2: Anforderungen durchgehen

Links steht die Liste Anforderungen mit eigener Bildlaufleiste, Suchfeld und einem Zähler je Anforderung; darüber der Gesamtstand, z. B. „4 Maßnahmen in 1 / 19 Anforderungen“. Rechts bearbeiten Sie die gewählte Anforderung.

Abbildung 14: Schritt 2: Anforderungen durchgehen

• Navigieren: Klick auf eine Anforderung in der Liste, Zurück / Weiter in der Werkzeugleiste oder die Pfeile neben dem Titel. Zur Zusammenfassung springt jederzeit direkt zum Abschluss.
• Suchen: Das Suchfeld im Kopf der Liste grenzt die Anforderungen ein.
• Vorbelegung je Anforderung: Verantwortlicher für diese Anforderung und Umsetzungsstatus für diese Anforderung überschreiben die Werte aus Schritt 1.

Abbildung 15: Suche in der Anforderungsliste

3.2.1 Textbausteine und eigene Maßnahmen

1. Aus Textbaustein hinzufügen öffnet den Dialog Textbausteine hinzufügen mit allen Textbausteinen dieser Anforderung. Markieren Sie die passenden und klicken Sie auf Hinzufügen.
2. Passt kein Textbaustein, erfassen Sie über Neu im Dialog Eigene Maßnahme hinzufügen Bezeichnung, Typ und optional eine Beschreibung.
3. Die Tabelle Ausgewählte Bausteine zeigt alle Einträge mit Herkunft (Textbaustein oder Eigene Maßnahme); Verantwortlich und Status können Sie je Zeile ändern.
4. Zum Entfernen markieren Sie Zeilen und klicken auf Entfernen. Erst nach Bestätigung im Dialog Maßnahmen entfernen? werden sie aus dem Durchlauf genommen; eigene Maßnahmen gehen dabei samt Beschreibung verloren.

Abbildung 16: Textbausteine hinzufügen

Abbildung 17: Eigene Maßnahme hinzufügen

Abbildung 18: Ausgewählte Bausteine

Abbildung 19: Rückfrage vor dem Entfernen

3.2.2 Bereits vorhandene Maßnahmen und Dublettenschutz

Unter Zu dieser Anforderung bereits vorhanden stehen Ihre Maßnahmen, die diese Anforderung schon abdecken, mit TOM-Katalog und der Spalte Sperrt Baustein. Jeder Textbaustein wird höchstens einmal zur Maßnahme: Ist er in diesem Durchlauf schon über eine andere Anforderung gewählt (Bereits ausgewählt) oder gibt es bereits eine Maßnahme daraus bzw. mit gleicher Bezeichnung (Bereits im Bestand vorhanden), wird er nicht mehr angeboten. Ein Baustein, der mehrere Anforderungen betrifft, wird nur einmal angelegt, bleibt aber mit allen verknüpft.

Mit Zielkatalog zeigt die Spalte Zielkatalog, ob eine vorhandene Maßnahme ohne TOM-Katalog dem Zielkatalog zugeordnet wird (Kästchen Zuordnen), Bereits im Zielkatalog ist, Bleibt unverändert (liegt in einem anderen Katalog) oder als Archiviert, wird nicht zugeordnet übersprungen wird.

3.3 Schritt 3: Abschluss

Die Zusammenfassung listet unter Anzulegende Maßnahmen alle Maßnahmen mit Anforderung, Typ und Herkunft und nennt ggf. die vorhandenen Maßnahmen, die dem TOM-Katalog zugeordnet werden. Darunter stehen die Anforderungen ohne Maßnahmen – ein Klick auf eine Zeile springt direkt zu dieser Anforderung zurück. Eine Anforderung ohne Auswahl ist ein Hinweis, kein Fehler.

Abbildung 20: Zusammenfassung

Klicken Sie auf Maßnahmen anlegen. Die Maßnahmen entstehen mit Vorbelegung, Anforderungs-Mapping und TOM-Katalog; anschließend zeigt die Übersicht die neu angelegten Maßnahmen.

3.4 Entwurf fortsetzen oder verwerfen

Öffnen Sie den Assistenten mit einem offenen Entwurf, erscheint Sie haben nicht abgeschlossene Entwürfe. Fortsetzen öffnet den Entwurf, Verwerfen löscht ihn nach Rückfrage endgültig. Bereits angelegte Maßnahmen sind davon nicht betroffen.

Abbildung 21: Nicht abgeschlossener Entwurf

Abbildung 22: Entwurf verwerfen

Tipp: Maßnahmen aus dem Assistenten tragen bereits das Anforderungs-Mapping des gewählten Frameworks. Im Anforderungsmanagement schlägt die TOM-Zuordnung sie deshalb ohne weitere Pflege für passende Anforderungen vor – Details im Handbuch „Anforderungsmanagement“ und im Leitfaden „TOM-Assistent und TOM-Zuordnungen“.

4 Wirksamkeit prüfen

Für Maßnahmenverantwortliche, IT-Leitung und ISB.

Die Wirksamkeitsprüfung beantwortet die Frage „Wirkt die Maßnahme?“ (ISO 27001, Abschnitt 9.1). An der einzelnen Maßnahme ist sie die einzige Prüfung. Dafür gibt es zwei Bausteine:

1. Vorlage zur Wirksamkeitsprüfung – legt fest, was geprüft wird, mit welcher Methode, in welchem Turnus und durch wen; optional mit einer Kennzahl und einem Ziel (z. B. „Erfolgreich wiederhergestellte Stichproben ≥ 95 %“). Die Vorlagen pflegt die Administration in der Konfiguration; jede Maßnahme bekommt eine Vorlage zugewiesen.
2. Wirksamkeitsprüfung – die dokumentierte Bewertung mit Ergebnis, Begründung, Nachweisen und – falls die Vorlage eine Kennzahl hat – dem gemessenen Wert.

Eine Maßnahme wird überwacht, sobald ihr eine Vorlage zugewiesen ist. Eine Wirksamkeitsprüfung können Sie auch ohne Vorlage erfassen; dann gibt es aber keinen Fälligkeitstermin und keine automatische Aufgabe.

4.1 Reiter Wirksamkeit

Der Reiter zeigt von oben nach unten:

• Gesamteinschätzung – Aktuelle Bewertung (Ergebnis der letzten Prüfung, ohne Prüfung Nicht bewertet), Letzte Prüfung und Nächste Prüfung fällig,
• Wirksamkeitsprüfungen – Tabelle mit Prüfungsdatum, Ergebnis, bei einer Vorlage mit Kennzahl dem Kennzahl-Wert mit Ziel erreicht oder Ziel verfehlt, Geprüft von und Nachweise (Download),
• Überwachung – die zugewiesene Vorlage mit Was wird geprüft?, Turnus, Methode, ggf. Kennzahl, und der Verantwortliche.

Abbildung 23: Reiter Wirksamkeit mit Gesamteinschätzung und Wirksamkeitsprüfungen

4.2 Vorlage zuweisen (Überwachung)

1. Wählen Sie im Reiter Wirksamkeit unter Überwachung die Vorlage zur Wirksamkeitsprüfung.
2. Unter Verantwortlich gilt zunächst der Verantwortliche der Vorlage („wie Vorlage“). Wählen Sie bei Bedarf einen abweichenden Verantwortlichen für diese Maßnahme.
3. Klicken Sie auf Speichern. Solange die Auswahl nicht gespeichert ist, ist Speichern hervorgehoben und beim Verlassen der Seite erscheint ein Hinweis auf ungespeicherte Änderungen.

Was wird geprüft?, Turnus, Methode und Kennzahl werden aus der Vorlage nur angezeigt. Ändert die Administration die Vorlage, gilt die Änderung für alle Maßnahmen mit dieser Vorlage.

Abbildung 24: Überwachung: Vorlage und Verantwortlicher

Jede Zuweisung oder Änderung von Vorlage und Verantwortlichem steht im Aktivitätslog der Maßnahme (Eintrag „Wirksamkeitsprüfung: Vorlage“).

Für viele Maßnahmen auf einmal markieren Sie die Maßnahmen in der Übersicht und wählen Massenaktionen → Vorlage zur Wirksamkeitsprüfung zuweisen. Abweichende Verantwortliche an den Maßnahmen bleiben dabei erhalten.

Abbildung 25: Massenaktion „Vorlage zur Wirksamkeitsprüfung zuweisen“

Fälligkeit: Die nächste Prüfung ist fällig am Datum der letzten Prüfung bzw. der Zuweisung der Vorlage – es zählt das spätere – plus Turnus der Vorlage. Am Fälligkeitstag erhält der Verantwortliche automatisch die Aufgabe „Wirksamkeitsprüfung fällig“; ab diesem Tag gilt die Prüfung als überfällig. Mit dem Erfassen der Prüfung wird die Aufgabe erledigt. Zusätzlich erscheint auf dem Dashboard die Hinweiskarte „Wirksamkeitsprüfung fällig: <Maßnahme>“ mit „Fällig seit …“; ein Klick öffnet den Reiter Wirksamkeit der Maßnahme.

4.3 Wirksamkeitsprüfung erfassen

1. Klicken Sie unter Wirksamkeitsprüfungen auf Prüfung erfassen.
2. Tragen Sie das Prüfungsdatum ein und wählen Sie das Ergebnis: Wirksam, Teilweise wirksam oder Nicht wirksam.
3. Begründen Sie das Ergebnis unter Begründung. Bei Nicht wirksam ist die Begründung Pflicht.
4. Hat die Vorlage eine Kennzahl, tragen Sie den gemessenen Wert ein. Darunter steht die Vorgabe der Vorlage, z. B. „Ziel ≥ 95“.
5. Hängen Sie unter Nachweise eine oder mehrere Dateien an oder wählen Sie unter Aus der Dateiablage wählen vorhandene Dokumente.
6. Wählen Sie Geprüft von.
7. Prüfen Sie den Abschnitt Feststellung (siehe unten) und klicken Sie auf Speichern.

Abbildung 26: Prüfung erfassen: Datum, Ergebnis, Begründung und Kennzahl

Abbildung 27: Prüfung erfassen: Nachweis, Prüfer und Feststellung

Hinweis: Das Prüfungsdatum darf nicht in der Zukunft liegen. Hochgeladene Nachweise werden auf Viren geprüft. Sie hängen an der Prüfung und lassen sich in der Tabelle Wirksamkeitsprüfungen von allen herunterladen, die die Maßnahme lesen dürfen.

4.4 Feststellung und Aufgabe aus der Wirksamkeitsprüfung

Das Ergebnis der Prüfung entscheidet über die Feststellung (ISO 27001, Abschnitt 10.2):

Die Feststellung übernimmt Maßnahme, Prüfung und Begründung. Sie ist der Nachweis dieser Prüfung und ändert sich nicht, wenn Sie die Prüfung später bearbeiten. Je Prüfung entsteht höchstens eine Feststellung.

Nach dem Speichern zeigt der Dialog Feststellung und Aufgabe, was angelegt wurde (z. B. „Feststellung FS-2026-0015 wurde angelegt.“), und bietet eine Aufgabe zur Behebung an (Empfänger ist der Verantwortliche der Maßnahme). Die Fälligkeit der Aufgabe ist die Frist der Feststellung; hat die Feststellung keine Frist (Hinweis, Verbesserungsvorschlag), steht dort „ohne Fälligkeit“. Markieren Sie die Aufgabe und klicken Sie auf Ausgewählte anlegen – oder auf Nichts anlegen.

Abbildung 28: Feststellung und Aufgabe nach dem Speichern

Die Feststellung sehen Sie in der rechten Leiste der Maßnahme unter Feststellungen und im Register unter Audit → Feststellungen, die Aufgabe in der rechten Leiste unter Aufgaben.

Abbildung 29: Feststellung in der rechten Leiste

4.5 Viele Maßnahmen auf einmal bewerten

Statt jede Maßnahme einzeln zu öffnen, bewerten Sie die Wirksamkeit mehrerer Maßnahmen in einer Tabelle – z. B. nach einer Begehung. Eine Vorlage zur Wirksamkeitsprüfung ist dafür nicht nötig. Für jede Maßnahme mit Ergebnis entsteht eine eigene Wirksamkeitsprüfung; frühere Prüfungen bleiben unverändert.

1. Öffnen Sie die Seite Wirksamkeit bewerten:
   • in der Übersicht: Maßnahmen markieren, dann Massenaktionen → Wirksamkeit bewerten,
   • am TOM-Katalog: Knopf Wirksamkeit bewerten – es erscheinen alle zugeordneten Maßnahmen, oder
   • im Risikomanagement am Risiko im Reiter TOM.
2. Legen Sie im Reiter Gemeinsame Angaben den Prüfer, das Prüfdatum, eine Gemeinsame Begründung (z. B. „Begehung Standort Musterstadt 10/2026“) und bei Bedarf Nachweise fest. Prüfer und Nachweise gelten für alle bewerteten Maßnahmen. Auf alle Zeilen übertragen übernimmt Prüfdatum und Begründung in alle bearbeitbaren Zeilen.
3. Wählen Sie im Reiter Maßnahmen je Zeile das Ergebnis. Zeilen mit „– nicht bewerten –“ werden übersprungen. Begründung und Prüfdatum können Sie je Zeile überschreiben; bei Nicht wirksam ist eine Begründung Pflicht. Prüfdatum und Nächste Prüfung wählen Sie wie überall über die Datumsauswahl (TT.MM.JJJJ); das Prüfdatum darf nicht in der Zukunft liegen. Die Tabelle ist breiter als das Fenster – nach rechts blättern Sie mit der waagerechten Bildlaufleiste.
4. Die Spalte Letzte Bewertung zeigt das bisherige Ergebnis mit Fälligkeit, die Spalte Kennzahl bei einer Vorlage mit Kennzahl den letzten Wert mit Ziel erreicht oder Ziel verfehlt. Die Nächste Prüfung kommt bei Maßnahmen mit Vorlage aus deren Turnus („aus der Vorlage“), sonst ist ein Jahr nach dem Prüfdatum vorbelegt. Ändern Sie das Prüfdatum, folgt die nächste Prüfung; ein von Hand gesetztes Datum bleibt stehen.
5. Klicken Sie auf Bewertung speichern.

Abbildung 30: Bewertungsmodus – Gemeinsame Angaben

Abbildung 31: Bewertungsmodus – Ergebnis, Prüfdatum und nächste Prüfung je Maßnahme

Für Feststellungen gelten dieselben Regeln wie bei der Einzelprüfung. Der Dialog Bewertung gespeichert nennt die Zahl der gespeicherten Prüfungen und bietet bei Nicht wirksam und Teilweise wirksam je Maßnahme eine Aufgabe an.

Abbildung 32: Bestätigung nach dem Speichern

Hinweis: Archivierte Maßnahmen, geteilte Maßnahmen anderer Mandanten der Unternehmensgruppe und Maßnahmen, die Sie nicht bewerten dürfen, werden gesperrt angezeigt; der Grund steht unter der Bezeichnung. Nicht anwendbare Maßnahmen werden ausgeblendet, ein Hinweis nennt ihre Anzahl.

5 TOM-Kataloge

Für DSB, ISB und alle, die Maßnahmen gruppieren – z. B. je Standort, Produkt oder Gesellschaft.

TOM-Kataloge bündeln Maßnahmen zu festen Gruppen. Sie sind Gegenstand der Angemessenheitsprüfung, lassen sich mit Verarbeitungstätigkeiten, Geschäftsprozessen, DSFA und Online-AV-Verträgen verknüpfen und gliedern den Maßnahmenkatalog im Export. Eine Maßnahme kann mehreren TOM-Katalogen angehören.

5.1 Übersicht der TOM-Kataloge

Den Reiter TOM-Kataloge finden Sie in der Übersicht neben Maßnahmen und Archiv. Die Tabelle zeigt je Katalog Beschreibung, Zugeordnete Maßnahmen, Schlagwort, Angemessenheit (Stand der laufenden bzw. Ergebnis der letzten Prüfung), Letzte Angemessenheitsprüfung, Nächste Angemessenheitsprüfung und Freigabe für die Unternehmensgruppe. Archivierte Kataloge stehen im Reiter Katalog-Archiv.

Abbildung 33: Übersicht der TOM-Kataloge

Werte der Spalte Angemessenheit: Nicht geprüft, Zur Prüfung eingereicht, In Prüfung, Angemessen, Teilweise angemessen, Nicht angemessen, Nicht anwendbar, Unvollständig bewertet.

Hinweis: Die Angaben zur Angemessenheit und der Knopf Zur Prüfung einreichen erscheinen nur, wenn in der Konfiguration der Prüfworkflow aktiv ist.

5.2 TOM-Katalog anlegen

1. Klicken Sie im Reiter TOM-Kataloge auf Neuer TOM-Katalog.
2. Geben Sie TOM-Katalog (Name) und Beschreibung ein. Mit Freigabe für Unternehmensgruppen steht der Katalog auch verbundenen Mandanten zur Verfügung.
3. Klicken Sie auf Speichern.

Abbildung 34: TOM-Katalog anlegen

5.3 Maßnahmen zuordnen

Öffnen Sie den Katalog über Bearbeiten und wechseln Sie in den Reiter Zugeordnete Maßnahmen:

• Maßnahmen hinzufügen – Auswahl aller Maßnahmen, die noch nicht im Katalog sind. „Bereits in: …“ zeigt, in welchen anderen Katalogen eine Maßnahme schon steht; diese Zuordnungen bleiben erhalten.
• Maßnahmen per Schlagwort übernehmen – übernimmt einmalig alle eigenen, nicht archivierten Maßnahmen mit dem gewählten Schlagwort. Maßnahmen, die das Schlagwort später erhalten, werden nicht automatisch ergänzt.
• Entfernen – löst nur die Zuordnung zu diesem Katalog; die Maßnahmen bleiben erhalten.

Alternativ ordnen Sie in der Maßnahmenübersicht über Massenaktionen → Zu TOM-Katalog hinzufügen bzw. TOM-Katalog lösen zu, oder direkt im Feld TOM-Kataloge der Maßnahme.

Abbildung 35: Maßnahmen hinzufügen – „Bereits in“ zeigt andere Kataloge

Abbildung 36: Maßnahmen per Schlagwort übernehmen

Abbildung 37: Zugeordnete Maßnahmen

5.4 Die Detailseite des Katalogs

Oben zeigt die Karte Angemessenheitsprüfung den aktuellen Stand, z. B. „Noch nicht in einer Angemessenheitsprüfung betrachtet“, „Zur Prüfung eingereicht in Audit …“ oder „Geprüft in Audit … am …, Ergebnis …“ mit dem Termin der nächsten Prüfung. Die Werkzeugleiste bietet je nach Stand:

Abbildung 38: Detailseite eines TOM-Katalogs mit offener Prüfung

Die rechte Leiste enthält Aufgaben, Schlagwörter, Prüfhistorie, Kommentare, Aktivitätslog und Feststellungen. Die Prüfhistorie listet laufende und abgeschlossene Angemessenheitsprüfungen mit Ergebnis und Zählung je Bewertung. Ein Klick auf einen Eintrag öffnet das Audit bzw. bei abgeschlossenen früheren Prüfungen das Protokoll.

Abbildung 39: Prüfhistorie am Katalog

In der Prüfhistorie stehen auch die Prüfungen aus dem früheren TOM-Modul. Prüfungen, die dort nie abgeschlossen wurden, tragen den Vermerk nicht abgeschlossen.

Abbildung 40: Frühere Prüfungen in der Prüfhistorie

5.5 Archivieren und Löschen

• Massenaktionen → Archivieren verschiebt Kataloge ins Katalog-Archiv; von dort holen Sie sie mit Wiederherstellen zurück. Archivierte Kataloge sind nicht mehr verknüpfbar und liefern keine Maßnahmen mehr an Verarbeitungstätigkeiten.
• Löschen (Stufe 3) verschiebt in den Papierkorb. Ist der Katalog noch mit Verarbeitungstätigkeiten, Geschäftsprozessen oder DSFA verknüpft, wird das Löschen verweigert. Die zugeordneten Maßnahmen bleiben erhalten.

6 Angemessenheitsprüfung eines TOM-Katalogs

Für DSB, ISB und den Standard-Prüfer. Voraussetzung: In der Konfiguration ist der *Prüfworkflow** aktiv.*

Die Angemessenheitsprüfung beantwortet die Frage „Reichen die Maßnahmen dieses Katalogs gemessen am Risiko aus?“. Technisch ist sie ein TOM-Audit im Modul Audit mit dem Standard-Prüfkatalog aus der Konfiguration, z. B. „TOM-Prüfung DS-GVO + BDSG“ (Prüffragen M.1.01 bis M.4.04 zu Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie regelmäßiger Überprüfung).

6.1 Schritt 1: Zur Prüfung einreichen

1. Öffnen Sie den TOM-Katalog und klicken Sie auf Zur Prüfung einreichen.
2. Der Dialog nennt den Prüfkatalog und den Standard-Prüfer, der eine Aufgabe erhält. Klicken Sie auf Einreichen.
3. Es entsteht das Audit „Angemessenheitsprüfung <Katalog>“. Der Standard-Prüfer erhält die Aufgabe „TOM-Katalog zur Angemessenheitsprüfung eingereicht: …“. Am Katalog steht nun Prüfmaske öffnen.

Abbildung 41: TOM-Katalog zur Angemessenheitsprüfung einreichen

Tipp: Prüfungen über mehrere Kataloge legen Sie im Modul Audit mit Neu an: Typ TOM-Audit wählen, den Standard-Prüfkatalog oder einen anderen freigegebenen TOM-Fragebogen auswählen und unter Geprüfte TOM-Kataloge die Kataloge angeben.

6.2 Schritt 2: Prüffragen beantworten

1. Der Prüfer klickt am Katalog auf Prüfmaske öffnen (oder öffnet die Aufgabe) und landet in der Ausfüllansicht des Audits.
2. Je Prüffrage zeigt der Block Maßnahmen zur Prüffrage die Anforderung (z. B. „DS-GVO + BDSG (bewährt): Verschlüsselung“) und eine Tabelle aller Maßnahmen der geprüften Kataloge mit dieser Anforderung – mit Maßnahme (Bezeichnung und Nummer), Umsetzung, Wirksamkeit („geprüft am …“) und Geprüfte TOM-Kataloge. Ein Klick auf den Namen öffnet die Maßnahme.
3. Die Prüfhilfe zeigt den höchsten Schutzbedarf der verknüpften Verarbeitungstätigkeiten und Assets, Schutzziele ohne Maßnahme und offene Risiken. Sie ist nur ein Hinweis – das Urteil bleibt bei Ihnen.
4. Wählen Sie angemessen, teilweise angemessen, nicht angemessen oder nicht anwendbar und erläutern Sie Ihre Einschätzung unter Bemerkung/Erläuterung.

Abbildung 42: Prüffrage mit Maßnahmen, Wirksamkeit und Prüfhilfe

Wichtig: Gibt es zu einer Prüffrage keine Maßnahme, steht dort „Keine Maßnahme vorhanden … Das ist eine Lücke in der Angemessenheit.“ Maßnahmen der Kataloge, die keiner Prüffrage zugeordnet sind, finden Sie im Reiter Maßnahmen ohne Prüffrage.

6.2.1 Wenn es schon eine abgeschlossene Prüfung gibt

Öffnet der Lead-Auditor die Prüfmaske zum ersten Mal und gibt es für den Katalog bereits eine abgeschlossene Prüfung, fragt der Dialog Letzte Prüfung:

• Ergebnisse der letzten Prüfung anzeigen – je Frage erscheint die Karte Vorschlag aus der Vorprüfung mit der damaligen Antwort und Bewertung sowie die offenen Feststellungen. Mit Vorschlag übernehmen übernehmen Sie eine Antwort einzeln; die Felder bleiben sonst leer.
• Leer starten – Sie prüfen ohne Bezug zur letzten Prüfung.

Die Wahl gilt für diese Prüfung und lässt sich nicht ändern. Offene Feststellungen bleiben im Feststellungsregister immer sichtbar.

Abbildung 43: Dialog „Letzte Prüfung“

Abbildung 44: Vorschlag aus der Vorprüfung

6.3 Schritt 3: Ausfüllen abschließen

Klicken Sie auf Audit abschließen. Sind noch Pflichtfragen offen, listet der Dialog sie auf; Sie können trotzdem abschließen, wenn Sie unter Begründung den Grund angeben. Setzen Sie das Häkchen Ich bestätige, dass die Prüfung vollständig ist oder offene Fragen begründet sind. und klicken Sie auf Audit abschließen. Die Begründung steht im Verlauf des Audits und im Bericht.

Abbildung 45: Audit abschließen mit Begründung für offene Fragen

6.4 Schritt 4: Bewerten und Feststellungen erfassen

Der Lead-Auditor öffnet das Audit in der Audit-Übersicht über Bewerten. In der Bewertungsansicht bestätigen oder korrigieren Sie die Bewertung je Prüffrage und dokumentieren Abweichungen als Feststellungen:

• Feststellung an einer einzelnen Maßnahme – Objekt ist die Maßnahme.
• Feststellung zur Prüffrage – Objekt sind die geprüften TOM-Kataloge. Kriterium (die Prüffrage) und Anforderung (Soll) sind vorbelegt.

Vor dem Abschluss können Sie Audit-Feststellungen nur verwerfen; beim Abschluss der Bewertung werden sie eingefroren. Der Reiter Weitere Feststellungen nimmt Befunde ohne Bezug zu einer Prüffrage auf.

Abbildung 46: Feststellung zur Prüffrage im TOM-Audit

6.5 Schritt 5: Bewertung abschließen und nächste Prüfung festlegen

Klicken Sie auf Bewertung abschließen. Im Dialog wählen Sie oben Bewertung abschließen (oder An Auditor zurückgeben, wenn nachgearbeitet werden soll) und legen fest:

Setzen Sie das Häkchen Ich bestätige, dass die Bewertung abgeschlossen ist. und klicken Sie auf Bestätigen.

Abbildung 47: Bewertung abschließen

Gesamtergebnis: Es zählt die schlechteste Einordnung in der Reihenfolge Nicht angemessen → Unvollständig bewertet → Teilweise angemessen → Angemessen → Nicht anwendbar. Bleiben Fragen unbewertet, lautet das Ergebnis also mindestens Unvollständig bewertet. Das Ergebnis steht am Katalog (Spalte Angemessenheit, Karte und Prüfhistorie). Mit dem Abschluss wird der Stand der Maßnahmen eingefroren („Stand beim Abschluss am …“).

Abbildung 48: Ergebnis am Katalog

6.6 Schritt 6: Die nächste Prüfung

Ist der Termin der nächsten Prüfung erreicht, erhält der Standard-Prüfer die Aufgabe „Angemessenheitsprüfung fällig“; auf dem Dashboard erscheint die Hinweiskarte „Angemessenheitsprüfung fällig: <Katalog>“ mit „Fällig seit …“, die den Katalog öffnet. Eine neue Prüfung entsteht immer über Zur Prüfung einreichen am Katalog; beim ersten Öffnen der Prüfmaske entscheidet der Lead-Auditor, ob er die Ergebnisse der letzten Prüfung sehen will (siehe Schritt 2).

6.7 Bericht

Der Word-Bericht des TOM-Audits (in der Audit-Übersicht Bericht herunterladen) enthält das Ergebnis der Angemessenheitsprüfung, den Stand der Maßnahmen beim Abschluss, die Nächste Angemessenheitsprüfung, ggf. die vorherige Prüfung, die eingefrorenen Feststellungen je Prüffrage und – bei offenen Fragen – den Abschnitt Abschlussbegründung.

7 Übersicht, Export und Nachweise

7.1 Übersicht

Die Übersicht zeigt alle Maßnahmen mit Typ, Schutzzielen, Status, Wirksamkeit (mit Datum der letzten Prüfung; Ungeprüft ohne Prüfung), Schlagwort, Verantwortlichem, Organisationseinheit, TOM-Kataloge, Sprache und Zahl der Verknüpfungen (Verkn.). Über das Spaltensymbol blenden Sie zusätzlich Wirksamkeit geprüft am, Nächste Wirksamkeitsprüfung, Wirksamkeitsprüfung (die zugewiesene Vorlage), Anforderungskataloge und Offene Feststellungen ein. Bei aktivem Aktualisierungsworkflow kommt die Spalte Aktualisierung hinzu.

Abbildung 49: Übersicht der Maßnahmen

Über Filter grenzen Sie u. a. nach Typ, Schutzzielen, Status, Wirksamkeit, Verantwortlichem, Anforderungskatalog, Schlagwort, Organisationseinheit, Datensatzquelle, Offene Feststellungen, Sprache sowie verknüpften Assets, Risiken, Verarbeitungstätigkeiten, Geschäftsprozessen, Bedrohungen, Dienstleistern und TOM-Katalogen ein. Der Filter Wirksamkeit bietet neben den Ergebnissen auch Ungeprüft, Prüfung überfällig, Prüfung aktuell und Nicht bewertbar.

Abbildung 50: Filter

Tipp: Die Kacheln des Dashboard-Widgets „Technische und organisatorische Maßnahmen“ sind Links auf die entsprechend gefilterte Übersicht.

7.2 Massenaktionen

Markieren Sie mehrere Maßnahmen und wählen Sie unter Massenaktionen:

Auf Mandant kopieren legt Kopien der markierten Maßnahmen in den gewählten Mandanten an. Zur Auswahl stehen Mandanten, in denen Sie Schreibrecht im Modul TOM haben, auch der eigene („(Aktueller Mandant)“). Eine Kopie im eigenen Mandanten erhält den Zusatz „(Kopie)“, eine eigene Maßnahmen-ID und übernimmt den Verantwortlichen sowie die Vorlage zur Wirksamkeitsprüfung samt Prüfverantwortlichem. In andere Mandanten wird die Vorlage nicht kopiert.

Abbildung 51: Auf Mandanten kopieren – hier in den eigenen Mandanten

Hinweis: Beim Zusammenführen übernimmt die Zielmaßnahme Wirksamkeitsprüfungen, die Vorlage zur Wirksamkeitsprüfung (falls sie selbst keine hat), Katalogzuordnungen und Feststellungen. Beim Aufsplitten behält jede Kopie die Vorlage.

7.3 Export

Export bietet:

Abbildung 52: Export-Menü

Hinweis: Management-Review, SoA und Risikobehandlungsplan beziehen sich immer auf den gesamten Bestand; Auswahl und Filter in der Liste werden dort nicht berücksichtigt. Im Export-Assistenten tragen sie den Hinweis „ISMS-Gesamtbericht: umfasst immer den gesamten Maßnahmenbestand.“ Die TOM-Anlage im Online-AV-Vertrag wird nach TOM-Katalog gegliedert und nennt das Ergebnis der letzten Angemessenheitsprüfung; Feststellungen erscheinen dort nie.

7.4 Import

Bestehende Maßnahmenlisten übernehmen Sie über Importieren in der Werkzeugleiste der Übersicht. Der Assistent Maßnahmen importieren führt in drei Schritten durch den Import:

1. Datei hochladen – CSV-, JSON- oder XML-Datei (max. 10 MB) in das Feld ziehen oder auswählen und Weiter klicken.
2. Felder zuordnen – die Spalten Ihrer Datei den Zielfeldern zuordnen, z. B. Bezeichnung, Maßnahmen-ID, Beschreibung, Typ, Umsetzungsstatus, Verantwortlicher, Schlagworte, die drei Schutzziele und Organisationseinheit. Unter Bei Duplikaten legen Sie fest, ob bereits vorhandene Maßnahmen übersprungen, überschrieben oder trotzdem neu angelegt werden.
3. Vorschau & Import – die Vorschau prüfen und mit Maßnahmen importieren abschließen.

Abbildung 53: Maßnahmen importieren

8 Konfiguration

Zugriff: Erreichbar über TOM konfigurieren oben rechts in der Übersicht. Bearbeiten dürfen die Konfiguration Personen mit dem Sonderrecht (Stufe 4) im Modul TOM; ohne dieses Recht lassen sich die Einstellungen nur einsehen. Alle Einstellungen gelten mandantenweit.

Die Konfiguration hat die Reiter Anforderungskataloge (Frameworks), Bedrohungen, Textbausteine, Schlagwörter, Überwachungskategorien, Vorlagen zur Wirksamkeitsprüfung, Einstellungen und Mandantenakte. Empfohlene Reihenfolge:

1. Einstellungen: Nummernkreis, Prüfworkflow mit Standard-Prüfer und Standard-Prüfkatalog, ggf. Aktualisierungsworkflow
2. Anforderungskataloge (Frameworks): benötigte Kataloge aktivieren – mindestens „DS-GVO + BDSG (bewährt)“ für die Angemessenheitsprüfung
3. Vorlagen zur Wirksamkeitsprüfung anlegen bzw. prüfen und den Maßnahmen zuweisen
4. Bedrohungen und Überwachungskategorien prüfen
5. Optional: Textbausteine, Schlagwörter, Mandantenakte

TOM-Kataloge pflegen Sie nicht in der Konfiguration, sondern im Reiter TOM-Kataloge der Übersicht.

8.1 Einstellungen

Klicken Sie nach Änderungen auf Speichern.

Abbildung 54: Einstellungen: Nummernkreis und Prüfworkflow

Abbildung 55: Einstellungen: Standard-Prüfkatalog und Aktualisierungsworkflow

8.2 Vorlagen zur Wirksamkeitsprüfung

Die Vorlagen legen fest, was mit welcher Methode, in welchem Turnus und von wem geprüft wird. Je Überwachungskategorie sind mehrere Vorlagen möglich. Die Liste zeigt Bezeichnung, Überwachungskategorie, Turnus, Methode, Verantwortlich, Kennzahl und in Verwendet die Zahl der Maßnahmen mit dieser Vorlage.

Abbildung 56: Vorlagen zur Wirksamkeitsprüfung

So legen Sie eine Vorlage an:

1. Klicken Sie auf Neu.
2. Füllen Sie die Pflichtfelder aus: Bezeichnung, Überwachungskategorie, Methode (Stichprobe, Test, Begehung, Auswertung, Interview oder Dokumentensichtung), Was wird geprüft?, Turnus (Quartalsweise, Halbjährlich, Jährlich oder Individuell) und Verantwortlich.
3. Optional geben Sie eine Kennzahl an. Dann sind Einheit, Richtung (≥ (mindestens) oder ≤ (höchstens)) und Ziel Pflicht.
4. Klicken Sie auf Speichern.

Abbildung 57: Vorlage zur Wirksamkeitsprüfung anlegen

Wichtig: Änderungen an einer Vorlage gelten für alle Maßnahmen mit dieser Vorlage. Löschen lässt sich eine Vorlage nur, solange sie keiner Maßnahme zugewiesen ist – mitgezählt werden auch Maßnahmen im Papierkorb; das Löschen ist endgültig.

8.3 Überwachungskategorien und Bedrohungen

• Überwachungskategorien gruppieren die Vorlagen zur Wirksamkeitsprüfung thematisch, z. B. Backup & Recovery, Kryptografie oder Physische Sicherheit. Mitgelieferte Kategorien sind als System gekennzeichnet. Mit dem Schalter Aktiv blenden Sie nicht benötigte Kategorien aus; eine Kategorie lässt sich erst löschen, wenn keine Vorlage mehr daran hängt.
• Bedrohungen: Katalog der Gefährdungen (z. B. BSI-Elementargefährdungen). Deaktivieren Sie irrelevante Einträge, statt sie zu löschen.
• Schlagwörter: Auswahlliste für die thematische Einordnung von Maßnahmen.

Abbildung 58: Überwachungskategorien

Abbildung 59: Bedrohungskatalog

8.4 Anforderungskataloge (Frameworks)

Mitgeliefert werden BSI IT-Grundschutz, DS-GVO + BDSG (bewährt), DS-GVO Art. 32, ISO 27001:2022 Annex A, NIS-2-Umsetzungsgesetz, Standard-Datenschutzmodell (SDM) und TISAX (VDA ISA 6.0.2). Mit dem Schalter Aktiv blenden Sie nicht benötigte Kataloge aus, über das Listensymbol (Anforderungen verwalten) sehen und pflegen Sie die Anforderungen mit Bezeichnung, externer ID (z. B. A.5.1) und Thema / Kapitel. Mit Neu legen Sie eigene Kataloge mit Bezeichnung, Kürzel, Version und Beschreibung an.

Abbildung 60: Anforderungskataloge

Die Anforderungskataloge sind die Brücke zum Anforderungsmanagement: Ein Anforderungskatalog dort (z. B. ISO 27001 oder SDM) erhält beim Anlegen automatisch das passende Framework. Für das Standard-Datenschutzmodell sind die Referenzmaßnahmen des SDM-Katalogs mit den generischen Maßnahmen dieses Frameworks verbunden (z. B. „M11.D07 Verschlüsselung gespeicherter Daten“ mit G-Vt-07), sodass Maßnahmen mit SDM-Bezug dort vorgeschlagen werden.

8.5 Textbausteine

Textbausteine sind vorformulierte Maßnahmen. Sie dienen als Vorlage für Aus Textbaustein erstellen, für Von Vorlage erstellen im Anforderungsmanagement und als Auswahl im TOM-Assistenten.

Über das Augensymbol sehen Sie einen Textbaustein an, über das Stift-Symbol bearbeiten Sie ihn, über Neu legen Sie einen an. Geänderte Zuordnungen wirken auf Maßnahmen, die künftig aus dem Baustein entstehen; vorhandene Maßnahmen behalten ihr Mapping.

Abbildung 61: Textbaustein mit Anforderungskatalog-Zuordnungen

Abbildung 62: Mehrfachauswahl der Anforderungen

9 Glossar

10 Häufige Fragen

Ich habe den Status geändert, aber in der Liste steht noch der alte Wert. Stammdaten werden erst mit Speichern übernommen. Verknüpfungen, Wirksamkeitsprüfungen und Dokumente speichern dagegen sofort.

Was ist der Unterschied zwischen Wirksamkeit und Angemessenheit? Die Wirksamkeitsprüfung bewertet für eine einzelne Maßnahme, ob sie wirkt. Die Angemessenheitsprüfung bewertet für einen ganzen TOM-Katalog, ob die Maßnahmen zusammen dem Risiko gerecht werden.

Muss jede Maßnahme eine Vorlage zur Wirksamkeitsprüfung haben? Nein. Ohne Vorlage gibt es aber keinen Fälligkeitstermin und keine automatische Aufgabe. Für ISO-27001-Zertifizierungen sollten alle relevanten Maßnahmen eine Vorlage haben; eine Prüfung lässt sich auch ohne Vorlage erfassen oder im Bewertungsmodus nachholen.

Ich habe die Vorlage ausgewählt, aber nach dem Neuladen ist sie weg. Die Auswahl unter Überwachung wird erst mit Speichern übernommen.

Warum wird nach meiner Wirksamkeitsprüfung eine Feststellung angelegt? Bei Nicht wirksam ist die Feststellung Pflicht (ISO 27001, Abschnitt 10.2), bei Teilweise wirksam wird sie vorgeschlagen; wer sie abwählt, gibt eine kurze Begründung an. Die Aufgabe zur Behebung legen Sie danach optional an.

Kann eine Maßnahme in mehreren TOM-Katalogen stehen? Ja. Ordnen Sie sie im Feld TOM-Kataloge der Maßnahme oder über Maßnahmen hinzufügen am Katalog zu. Bestehende Zuordnungen bleiben erhalten.

Wo finde ich die Prüfungen aus dem früheren TOM-Modul? In der Prüfhistorie des jeweiligen TOM-Katalogs in der rechten Leiste. Nie abgeschlossene Prüfungen tragen den Vermerk nicht abgeschlossen.

Warum erscheint eine Maßnahme bei keiner Prüffrage der Angemessenheitsprüfung? Die Prüffragen sind den Anforderungen von „DS-GVO + BDSG (bewährt)“ zugeordnet. Hat die Maßnahme im Anforderungs-Mapping keine dieser Anforderungen, steht sie im Reiter Maßnahmen ohne Prüffrage.

Wie erstelle ich die TOM-Anlage für einen AV-Vertrag? Im Online-AV-Vertrag verknüpfen Sie die passenden TOM-Kataloge; die Anlage wird nach Katalog gegliedert. Alternativ markieren Sie in der Übersicht die Maßnahmen und wählen Export → Maßnahmenkatalog Auswahl (Word) oder (PDF).

Legt der TOM-Assistent sofort Maßnahmen an? Nein. Bis zum Klick auf Maßnahmen anlegen ist alles ein Entwurf. Sie können den Assistenten verlassen und später über Fortsetzen weitermachen oder den Entwurf Verwerfen.

Warum bietet der Assistent einen Textbaustein nicht an? Er ist gesperrt, weil Sie ihn in diesem Durchlauf schon über eine andere Anforderung gewählt haben oder weil es bereits eine Maßnahme daraus bzw. mit gleicher Bezeichnung gibt. Welche Maßnahme ihn sperrt, zeigt die Spalte Sperrt Baustein.

Wie kommen meine Maßnahmen in einen Anforderungskatalog im Anforderungsmanagement? Über das Anforderungs-Mapping: Verweist eine Maßnahme auf eine Anforderung des Frameworks, schlägt die TOM-Zuordnung des Anforderungskatalogs sie vor. Automatisch übernommen wird nichts – die Zuordnung bestätigen Sie dort.

Wo sehe ich, wann die nächste Angemessenheitsprüfung fällig ist? In der Übersicht der TOM-Kataloge (Spalte Nächste Angemessenheitsprüfung), auf der Karte des Katalogs und im Word-Bericht. Am Termin erhält der Standard-Prüfer die Aufgabe „Angemessenheitsprüfung fällig“, und das Dashboard zeigt die Hinweiskarte „Angemessenheitsprüfung fällig“.