---
title: "Technische und organisatorische Maßnahmen"
url: "https://knowledgebase.audatis-manager.de/de/article/technische-und-organisatorische-manahmen"
language: "de"
last_updated: "2026-10-18T12:59:53.714Z"
---

# Technische und organisatorische Maßnahmen

Maßnahmen (TOM) nach Art. 32 DS-GVO dokumentieren, auf Wirksamkeit und Angemessenheit prüfen und nachweisen

## 0 Kurzkarte: Eine Maßnahme pflegen in 5 Schritten

*Für alle, die als Verantwortliche einer Maßnahme eingetragen sind – z. B. IT, Haustechnik oder Personal.*

Sie sind für eine technische oder organisatorische Maßnahme zuständig (z. B. Verschlüsselung der Notebooks, Datensicherung, Zutrittskontrolle)? Dann halten Sie im audatis MANAGER fest, **wie weit sie umgesetzt ist**, **ob sie wirkt** und **womit Sie das belegen**.

1.  **Maßnahme öffnen** – **Informationssicherheit → Technische + organisat. Maßnahmen (TOM)**, Maßnahme über das **Stift-Symbol** öffnen.
2.  **Status aktualisieren** – im Reiter **Stammdaten** den **Status** setzen: *Geplant*, *In Umsetzung* oder *Umgesetzt*. **Speichern** nicht vergessen.
3.  **Nachweis hochladen** – im Reiter **Dokumente** Richtlinie, Konfigurationsauszug oder Prüfbericht ablegen.
4.  **Wirksamkeit prüfen** – im Reiter **Wirksamkeit** auf **Prüfung erfassen** klicken, **Ergebnis** und **Begründung** eintragen, Nachweis anhängen, **Speichern**. Was und wie oft geprüft wird, legt die zugewiesene **Vorlage zur Wirksamkeitsprüfung** fest.
5.  **Aufgaben erledigen** – Ist eine Prüfung fällig, erhalten Sie die Aufgabe „Wirksamkeitsprüfung fällig“; sie wird mit dem Erfassen der Prüfung erledigt. Bei *Nicht wirksam* oder *Teilweise wirksam* entsteht eine **Feststellung**, die Sie anschließend beheben.

> **Tipp:** Verknüpfungen, Wirksamkeitsprüfungen und Dokumente werden **sofort** gespeichert. Änderungen in den **Stammdaten** und die Auswahl der Vorlage unter **Überwachung** brauchen **Speichern**.

## 1 Einführung

### 1.1 Wofür ist das Modul da?

Art. 32 DS-GVO verlangt **geeignete technische und organisatorische Maßnahmen**, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten – und Art. 5 Abs. 2 DS-GVO den **Nachweis** darüber. Das Modul ist das zentrale **Maßnahmenregister** Ihres Unternehmens. Es

-   dokumentiert jede Maßnahme mit Beschreibung, Typ, Schutzzielen, Status und Verantwortlichem,
-   bündelt Maßnahmen in **TOM-Katalogen** (z. B. je Standort, Produkt oder Gesellschaft); eine Maßnahme kann mehreren Katalogen angehören,
-   verknüpft Maßnahmen mit Assets, Risiken, Verarbeitungstätigkeiten, Geschäftsprozessen, Dienstleistern und Bedrohungen,
-   ordnet Maßnahmen Anforderungen aus Anforderungskatalogen zu (DS-GVO/BDSG, Standard-Datenschutzmodell, ISO 27001, BSI IT-Grundschutz, NIS-2, TISAX),
-   prüft auf **zwei Ebenen**: die **Wirksamkeit** jeder Maßnahme und die **Angemessenheit** eines TOM-Katalogs,
-   hält Abweichungen als **Feststellungen** im zentralen Feststellungsregister fest (eigenes Handbuch „Feststellungen“) und
-   erzeugt Nachweise: Maßnahmenkatalog (z. B. als Anlage zum AV-Vertrag), **SoA**, Management-Review-Report, Risikobehandlungsplan und Bericht der Angemessenheitsprüfung.

### 1.2 Die zwei Prüfungen

Der audatis MANAGER trennt zwei Fragen. Jede hat ihren eigenen Ort, ihr eigenes Ergebnis und ihren eigenen Turnus.

| Prüfung | Frage | Wo | Ergebnis | Wer typischerweise |
| --- | --- | --- | --- | --- |
| **Wirksamkeitsprüfung** (je Maßnahme) | Wirkt die Maßnahme? | Maßnahme → Reiter **Wirksamkeit** oder Bewertungsmodus **Wirksamkeit bewerten** | Spalte **Wirksamkeit**: *Wirksam*, *Teilweise wirksam*, *Nicht wirksam* | Maßnahmenverantwortliche, IT-Leitung (1. Linie) |
| **Angemessenheitsprüfung** (je TOM-Katalog) | Reichen die Maßnahmen des Katalogs gemessen am Risiko aus? | TOM-Katalog → **Zur Prüfung einreichen** (TOM-Audit im Modul **Audit**) | Spalte **Angemessenheit** am TOM-Katalog | DSB / ISB als Prüfer (2. Linie) |

Die beiden Prüfungen laufen unabhängig voneinander. In der Angemessenheitsprüfung sehen Sie aber Umsetzung und Wirksamkeit jeder Maßnahme als Entscheidungshilfe.

### 1.3 Begriffe

| Begriff | Bedeutung im audatis MANAGER |
| --- | --- |
| **Technische Maßnahme** | Wirkt über Technik, z. B. Verschlüsselung, Firewall, Alarmanlage. |
| **Organisatorische Maßnahme** | Wirkt über Regeln und Abläufe, z. B. Richtlinie, Schulung, Vier-Augen-Prinzip. |
| **Schutzziele (C/I/A)** | Vertraulichkeit, Integrität, Verfügbarkeit – worauf die Maßnahme wirkt. |
| **Status** | Umsetzungsstand: *Geplant*, *In Umsetzung*, *Umgesetzt* (in Sonderfällen *Nicht anwendbar*). |
| **TOM-Katalog** | Gruppe von Maßnahmen, z. B. „Basismaßnahmen Standort Musterstadt“. Gegenstand der Angemessenheitsprüfung. |
| **Anforderungskatalog (Framework)** | Sammlung von Anforderungen, z. B. „DS-GVO + BDSG (bewährt)“ oder „ISO 27001:2022 Annex A“. |
| **Anforderungs-Mapping** | Zuordnung einer Maßnahme zu Anforderungen; Grundlage des SoA-Exports und der Prüffragen der Angemessenheitsprüfung. |
| **Vorlage zur Wirksamkeitsprüfung** | Legt fest, was, mit welcher Methode, in welchem Turnus und von wem geprüft wird, optional mit einer Kennzahl und einem Ziel. Wird Maßnahmen zugewiesen. |
| **Wirksamkeitsprüfung** | Dokumentierte Bewertung, ob die Maßnahme wirkt: *Wirksam*, *Teilweise wirksam*, *Nicht wirksam*, mit Begründung, Nachweisen und ggf. Kennzahl-Wert. |
| **Angemessenheitsprüfung** | TOM-Audit über einen oder mehrere TOM-Kataloge, z. B. mit dem Prüfkatalog „TOM-Prüfung DS-GVO + BDSG“. |
| **Feststellung** | Dokumentierte Abweichung (Haupt-, Nebenabweichung, Hinweis, Verbesserungsvorschlag) mit Frist und Verantwortlichem. |
| **SoA** | Statement of Applicability – Erklärung zur Anwendbarkeit (ISO 27001). |

### 1.4 Der Ablauf im Überblick

| Schritt | Wer | Was passiert |
| --- | --- | --- |
| 1\. Anlegen | DSB/ISB oder Fachbereich | Maßnahme neu, aus Textbaustein oder mit dem **TOM-Assistenten** anlegen, TOM-Katalogen zuordnen |
| 2\. Pflegen | Verantwortliche/r | Status, Beschreibung, Verknüpfungen, Anforderungs-Mapping, Dokumente |
| 3\. Wirksamkeit | Verantwortliche/r der Vorlage bzw. abweichend Verantwortliche/r | Wirksamkeitsprüfung im Turnus der Vorlage – einzeln oder im Bewertungsmodus; bei Abweichung Feststellung |
| 4\. Angemessenheit | DSB/ISB, Standard-Prüfer | TOM-Katalog einreichen, im TOM-Audit Prüffragen bewerten, Feststellungen erfassen, nächsten Termin festlegen |
| 5\. Aktualisieren | Verantwortliche/r | Bei aktivem Aktualisierungsworkflow Inhalt regelmäßig prüfen und die Aufgabe abschließen |
| 6\. Nachweisen | DSB/ISB | Bericht der Angemessenheitsprüfung, SoA, Maßnahmenkatalog, Management-Review |

### 1.5 Rollen und Rechte

| Rolle | Typische Aufgaben | Was sie sieht und darf |
| --- | --- | --- |
| **Lesen** (Stufe 1) | Maßnahmen einsehen | Alle Maßnahmen und Kataloge lesen, Nachweise der Wirksamkeitsprüfungen herunterladen |
| **Schreiben** (Stufe 2) | Maßnahmen und Kataloge pflegen | Anlegen, bearbeiten, Wirksamkeitsprüfungen erfassen, **Wirksamkeit bewerten**, **Zur Prüfung einreichen** |
| **Verantwortlicher** einer Maßnahme bzw. Vorlage | Status, Nachweise, Wirksamkeit pflegen | Erhält die Aufgaben „Wirksamkeitsprüfung fällig“ und – bei aktivem Aktualisierungsworkflow – zur Aktualisierung |
| **Löschen** (Stufe 3) | Aufräumen | Maßnahmen und Kataloge in den Papierkorb verschieben |
| **Sonderrecht** (Stufe 4) | Angemessenheit prüfen, Modul einrichten | **Prüfmaske öffnen** am eingereichten Katalog, Konfiguration bearbeiten |
| **Standard-Prüfer** | Eingereichte Kataloge prüfen | Erhält beim Einreichen und bei Fälligkeit die Aufgabe, ist Lead-Auditor der Prüfung und darf sie auch ohne Sonderrecht durchführen |

> **Hinweis:** Das **Feststellungsregister** hat ein eigenes Modulrecht („Feststellungen“ unter **Audit**). Ohne dieses Recht sehen Sie Feststellungen nur an der jeweiligen Maßnahme bzw. am TOM-Katalog in der rechten Leiste.

## 2 Eine Maßnahme anlegen

*Für DSB, ISB oder Fachbereiche, die eine neue Maßnahme dokumentieren.*

### 2.1 Schritt 1: Neu, aus Textbaustein oder mit dem Assistenten

1.  Öffnen Sie **Informationssicherheit → Technische + organisat. Maßnahmen (TOM)** und klicken Sie auf **Neu**.
2.  Wählen Sie im Dialog **Maßnahme anlegen**:
    -   **Neu erstellen** – Sie geben **Bezeichnung** und **Typ** (*Technisch* / *Organisatorisch*) selbst ein.
    -   **Aus Textbaustein erstellen** – Sie wählen nacheinander **Anforderungskatalog (Framework)**, **Anforderung** und **Textbaustein**. Bezeichnung, Beschreibung, Typ, Schutzziele und Anforderungs-Mapping werden übernommen; verknüpft werden genau die Anforderungen, die der Textbaustein nennt.
    -   **Verknüpfen** – nur wenn Ihr Mandant zu einer Unternehmensgruppe gehört: Sie verknüpfen eine Maßnahme, die ein anderer Mandant der Gruppe freigegeben hat, statt sie neu anzulegen.
3.  Klicken Sie auf **Speichern**.

Für den Aufbau eines ganzen Maßnahmenbestands nutzen Sie den **TOM-Assistenten** in der Werkzeugleiste: Er führt Sie Anforderung für Anforderung durch einen Anforderungskatalog und legt die gewählten Maßnahmen am Ende gemeinsam an (siehe Kapitel „Maßnahmen mit dem TOM-Assistenten anlegen“).

![](https://cdn-assets.productfruits.com/43bee6af-2a97-42d7-bffe-497186b0f4c6)

*Abbildung 1: Maßnahme anlegen*

![](https://cdn-assets.productfruits.com/49d37073-6b2b-456f-84c9-ad2a93e94094)

*Abbildung 2: Aus Textbaustein erstellen: DS-GVO + BDSG → Verschlüsselung → Verschlüsselung mobiler Endgeräte*

> **Tipp:** Textbausteine sparen Zeit und liefern eine fachlich formulierte Beschreibung. Passen Sie die Beschreibung an Ihre Umsetzung an.

### 2.2 Schritt 2: Stammdaten

Öffnen Sie die neue Maßnahme über das **Stift-Symbol** in der Übersicht. Ein Klick auf den Namen oder das Augensymbol öffnet die Maßnahme nur zur Ansicht; von dort wechseln Sie mit **Bearbeiten** in die Bearbeitung. Die Detailseite hat die Reiter **Stammdaten**, **Verknüpfungen**, **Anforderungs-Mapping**, **Wirksamkeit**, **Dokumente** und **Einstellungen**.

1.  Passen Sie **Bezeichnung** und **Beschreibung** an Ihre Umsetzung an.
2.  Wählen Sie den **Verantwortlichen** und die **Organisationseinheit**.
3.  Ordnen Sie die Maßnahme unter **TOM-Kataloge** einem oder mehreren Katalogen zu.
4.  Setzen Sie den **Status**: *Geplant*, *In Umsetzung* oder *Umgesetzt*.
5.  Markieren Sie unter **Schutzziele**, worauf die Maßnahme wirkt: **C – Vertraulichkeit**, **I – Integrität**, **A – Verfügbarkeit**.
6.  Klicken Sie auf **Speichern**. Die **Maßnahmen-ID** (z. B. TOM-2026-010) vergibt das System.

![](https://cdn-assets.productfruits.com/bd6b8cf8-2721-4e84-a43a-8983e87e6e61)

*Abbildung 3: Detailseite einer Maßnahme*

![](https://cdn-assets.productfruits.com/f8d63d06-427f-4749-b2e8-5ac1ccfe2525)

*Abbildung 4: Typ, Verantwortlicher, Organisationseinheit, TOM-Kataloge, Status und Schutzziele*

> **Hinweis:** Archivierte TOM-Kataloge erscheinen schreibgeschützt im Feld **Archivierte TOM-Kataloge**. Neue Zuordnungen zu archivierten Katalogen sind nicht möglich.

### 2.3 Schritt 3: Verknüpfungen

Im Reiter **Verknüpfungen** halten Sie fest, **was** die Maßnahme schützt und **wogegen**. Ganz oben zeigt die Zeile **Angemessenheitsprüfung**, ob und mit welchem Ergebnis die Maßnahme schon in einer Angemessenheitsprüfung betrachtet wurde.

| Bereich | Bedeutung |
| --- | --- |
| **Assets** | IT-Systeme, Software, Standorte, Datenträger, auf die die Maßnahme wirkt |
| **Risiken** | Risiken aus dem Risikomanagement, die die Maßnahme mindert |
| **Verarbeitungstätigkeiten** | Verarbeitungen, die durch die Maßnahme geschützt werden |
| **Geschäftsprozesse** | Betroffene Prozesse |
| **Dienstleister / AVV** | Dienstleister, die die Maßnahme umsetzen oder betreffen |
| **Bedrohungen** | Bedrohungen aus dem Katalog (z. B. BSI-Elementargefährdungen), gegen die die Maßnahme schützt |

Klicken Sie jeweils auf **… verknüpfen** (z. B. **Asset verknüpfen**, **VVT verknüpfen**), wählen Sie die Einträge aus und bestätigen Sie mit **Verknüpfen**. Über **Entfernen** lösen Sie markierte Verknüpfungen.

![](https://cdn-assets.productfruits.com/7c31a737-00b2-4fd4-a3e5-c0b9760a75b4)

*Abbildung 5: Reiter Verknüpfungen mit Angemessenheitsprüfung, Assets und Risiken*

![](https://cdn-assets.productfruits.com/f194c071-5e2f-4ede-9119-369d41423244)

*Abbildung 6: Asset verknüpfen*

![](https://cdn-assets.productfruits.com/34a85c75-d945-44a8-9c74-69c139b0ee85)

*Abbildung 7: Verknüpfte Verarbeitungstätigkeiten*

![](https://cdn-assets.productfruits.com/8f42abbf-4fd5-4107-b2d8-5a62b780074f)

*Abbildung 8: Bedrohungen „Diebstahl“ und „Verlust von Geräten“*

> **Tipp:** Der Schutzbedarf verknüpfter Verarbeitungstätigkeiten und Assets fließt in die **Prüfhilfe** der Angemessenheitsprüfung ein. Fehlt ein Schutzziel, das dort *Sehr hoch* ist, weist die Prüfhilfe darauf hin.

### 2.4 Schritt 4: Anforderungs-Mapping

Im Reiter **Anforderungs-Mapping** sehen Sie, welche Anforderungen die Maßnahme erfüllt – je Anforderungskatalog mit **Nr.** und **Bezeichnung**. Über **Anforderung verknüpfen** ergänzen Sie weitere, über **Entfernen** lösen Sie unpassende.

![](https://cdn-assets.productfruits.com/523f67af-80c5-4c1d-b204-fdacbaf35a43)

*Abbildung 9: Anforderungs-Mapping*

Einträge entstehen auf mehreren Wegen:

-   **aus dem Textbaustein** – beim Anlegen über **Aus Textbaustein erstellen** oder mit dem TOM-Assistenten werden die **Anforderungskatalog-Zuordnungen** des Textbausteins übernommen,
-   **von Hand** über **Anforderung verknüpfen**,
-   **aus dem Anforderungsmanagement** – wer dort eine Maßnahme einer Anforderung zuordnet oder aus der Anforderung neu anlegt, kann die Anforderung mit der Option **Anforderungs-Zuordnung auch in der TOM hinterlegen** zugleich hier eintragen.

![](https://cdn-assets.productfruits.com/eccc5b91-3b4a-4da0-9def-63fbc00e50e0)

*Abbildung 10: Eine Maßnahme mit Bezügen zu DS-GVO + BDSG, ISO 27001, SDM und TISAX*

> **Wichtig:** Das Mapping ist die Grundlage des **SoA-Exports** und bestimmt, bei welcher Prüffrage der Angemessenheitsprüfung die Maßnahme erscheint. Eine Maßnahme ohne Zuordnung zu „DS-GVO + BDSG (bewährt)“ taucht dort im Reiter **Maßnahmen ohne Prüffrage** auf. Außerdem schlägt die **TOM-Zuordnung** im Anforderungsmanagement eine Maßnahme nur für Anforderungen vor, auf die ihr Mapping verweist – der Bezug gilt je Anforderungskatalog, eine Zuordnung zu ISO 27001 gilt also nicht zugleich für TISAX.

### 2.5 Schritt 5: Dokumente und Einstellungen

-   Laden Sie im Reiter **Dokumente** Nachweise hoch, z. B. Richtlinien, Konfigurationsnachweise oder Prüfberichte (max. 50 MB je Datei). PDF- und Bilddateien öffnen Sie über das Augensymbol in der **Vorschau**.
-   Unter **Einstellungen** können Sie die Maßnahme **für die Unternehmensgruppe freigeben**. Untergeordnete Mandanten sehen sie dann und können sie verknüpfen.

![](https://cdn-assets.productfruits.com/62a2a405-8047-4a5d-94f8-928d03424d20)

*Abbildung 11: Dokumente und Einstellungen*

### 2.6 Maßnahme aktualisieren

*Nur wenn in der Konfiguration der* \*Aktualisierungsworkflow\*\* eingeschaltet ist.\*

Wurde eine Maßnahme länger als das eingestellte **Aktualisierungsintervall** nicht geändert, erhält der Verantwortliche eine Aufgabe zur Aktualisierung. Die Maßnahme trägt dann im Titel das Kennzeichen **zur Aktualisierung**; in der Übersicht grenzt der Filter **Aktualisierung** die Liste auf diese Maßnahmen ein.

1.  Öffnen Sie die Maßnahme und prüfen Sie Beschreibung, Status, Verknüpfungen und Dokumente auf Aktualität. Ändern Sie, was nicht mehr stimmt, und klicken Sie auf **Speichern**.
2.  Klicken Sie auf **Aktualisierung abgeschlossen** und wählen Sie im Dialog **Aktualisierung abschließen**:
    -   **Datensatz ist aktuell** – Sie haben keine relevanten Änderungen vorgenommen.
    -   **Datensatz wurde aktualisiert** – Sie haben relevante inhaltliche Änderungen vorgenommen. Die Wirksamkeitsprüfung bleibt davon unberührt.
3.  Klicken Sie auf **Abschließen**. Die Aufgabe wird automatisch erledigt.

Alternativ schließen Sie die Aktualisierung ab, indem Sie die Aufgabe erledigen. Erst danach beginnt das nächste Intervall.

## 3 Maßnahmen mit dem TOM-Assistenten anlegen

*Für DSB, ISB und alle, die einen Maßnahmenbestand neu aufbauen oder systematisch vervollständigen. Voraussetzung: Schreibrecht im Modul.*

Der TOM-Assistent führt Sie Anforderung für Anforderung durch einen Anforderungskatalog (Framework) und schlägt zu jeder Anforderung die passenden Textbausteine vor. Bis zum letzten Klick entsteht keine Maßnahme – alles ist ein **Entwurf**, der laufend gespeichert wird. Sie öffnen ihn in der Übersicht über **TOM-Assistent** in der Werkzeugleiste.

![](https://cdn-assets.productfruits.com/31962ea2-510e-46c3-bc5a-8442ae76bac9)

*Abbildung 12: TOM-Assistent in der Werkzeugleiste*

> **Hinweis:** Zwei Begriffe werden leicht verwechselt: Der **Anforderungskatalog (Framework)** ist das fachliche Raster, durch das der Assistent führt, z. B. „DS-GVO + BDSG (bewährt)“. Der **TOM-Katalog** ist eine Gruppe Ihrer eigenen Maßnahmen, z. B. für einen Standort – ihn wählen Sie optional als Ziel.

### 3.1 Schritt 1: Anforderungskatalog wählen

1.  Wählen Sie den **Anforderungskatalog (Framework)**. Voreingestellt ist „DS-GVO + BDSG (bewährt)“ mit 19 Anforderungen; angeboten werden alle aktiven Frameworks.
2.  Legen Sie **Verantwortlicher (Vorbelegung für alle Anforderungen)** und **Umsetzungsstatus (Vorbelegung für alle Anforderungen)** fest.
3.  Optional: Wählen Sie unter **Bestehendem TOM-Katalog zuordnen** einen TOM-Katalog oder geben Sie unter **Oder neuen TOM-Katalog anlegen** einen Namen ein. Die neuen Maßnahmen werden diesem Katalog beim Abschluss zugeordnet.
4.  Klicken Sie auf **Starten**.

![](https://cdn-assets.productfruits.com/c9481d64-0748-4b69-bb35-91d376a20a0d)

*Abbildung 13: Schritt 1 des TOM-Assistenten*

### 3.2 Schritt 2: Anforderungen durchgehen

Links steht die Liste **Anforderungen** mit eigener Bildlaufleiste, Suchfeld und einem Zähler je Anforderung; darüber der Gesamtstand, z. B. „4 Maßnahmen in 1 / 19 Anforderungen“. Rechts bearbeiten Sie die gewählte Anforderung.

![](https://cdn-assets.productfruits.com/994ee426-ddaa-4371-acc8-751c1eed181f)

*Abbildung 14: Schritt 2: Anforderungen durchgehen*

-   **Navigieren:** Klick auf eine Anforderung in der Liste, **Zurück** / **Weiter** in der Werkzeugleiste oder die Pfeile neben dem Titel. **Zur Zusammenfassung** springt jederzeit direkt zum Abschluss.
-   **Suchen:** Das Suchfeld im Kopf der Liste grenzt die Anforderungen ein.
-   **Vorbelegung je Anforderung:** **Verantwortlicher für diese Anforderung** und **Umsetzungsstatus für diese Anforderung** überschreiben die Werte aus Schritt 1.

![](https://cdn-assets.productfruits.com/9f015523-0aed-40f9-9c03-9d7484b792f3)

*Abbildung 15: Suche in der Anforderungsliste*

#### 3.2.1 Textbausteine und eigene Maßnahmen

1.  **Aus Textbaustein hinzufügen** öffnet den Dialog **Textbausteine hinzufügen** mit allen Textbausteinen dieser Anforderung. Markieren Sie die passenden und klicken Sie auf **Hinzufügen**.
2.  Passt kein Textbaustein, erfassen Sie über **Neu** im Dialog **Eigene Maßnahme hinzufügen** **Bezeichnung**, **Typ** und optional eine **Beschreibung**.
3.  Die Tabelle **Ausgewählte Bausteine** zeigt alle Einträge mit **Herkunft** (*Textbaustein* oder *Eigene Maßnahme*); **Verantwortlich** und **Status** können Sie je Zeile ändern.
4.  Zum Entfernen markieren Sie Zeilen und klicken auf **Entfernen**. Erst nach Bestätigung im Dialog **Maßnahmen entfernen?** werden sie aus dem Durchlauf genommen; eigene Maßnahmen gehen dabei samt Beschreibung verloren.

![](https://cdn-assets.productfruits.com/bf9352dc-45ed-40ec-94f2-74ec00d40d0d)

*Abbildung 16: Textbausteine hinzufügen*

![](https://cdn-assets.productfruits.com/04397646-f130-4b70-8e71-3bad2e6fa342)

*Abbildung 17: Eigene Maßnahme hinzufügen*

![](https://cdn-assets.productfruits.com/1cdf785f-0a0f-4793-bf8b-ec7685b7a2c5)

*Abbildung 18: Ausgewählte Bausteine*

![](https://cdn-assets.productfruits.com/0b9c1ff2-ea29-4b32-8ad2-3b958419099c)

*Abbildung 19: Rückfrage vor dem Entfernen*

#### 3.2.2 Bereits vorhandene Maßnahmen und Dublettenschutz

Unter **Zu dieser Anforderung bereits vorhanden** stehen Ihre Maßnahmen, die diese Anforderung schon abdecken, mit **TOM-Katalog** und der Spalte **Sperrt Baustein**. Jeder Textbaustein wird höchstens einmal zur Maßnahme: Ist er in diesem Durchlauf schon über eine andere Anforderung gewählt (*Bereits ausgewählt*) oder gibt es bereits eine Maßnahme daraus bzw. mit gleicher Bezeichnung (*Bereits im Bestand vorhanden*), wird er nicht mehr angeboten. Ein Baustein, der mehrere Anforderungen betrifft, wird nur einmal angelegt, bleibt aber mit allen verknüpft.

Mit Zielkatalog zeigt die Spalte **Zielkatalog**, ob eine vorhandene Maßnahme ohne TOM-Katalog dem Zielkatalog zugeordnet wird (Kästchen **Zuordnen**), *Bereits im Zielkatalog* ist, *Bleibt unverändert* (liegt in einem anderen Katalog) oder als *Archiviert, wird nicht zugeordnet* übersprungen wird.

### 3.3 Schritt 3: Abschluss

Die Zusammenfassung listet unter **Anzulegende Maßnahmen** alle Maßnahmen mit Anforderung, Typ und Herkunft und nennt ggf. die vorhandenen Maßnahmen, die dem TOM-Katalog zugeordnet werden. Darunter stehen die **Anforderungen ohne Maßnahmen** – ein Klick auf eine Zeile springt direkt zu dieser Anforderung zurück. Eine Anforderung ohne Auswahl ist ein Hinweis, kein Fehler.

![](https://cdn-assets.productfruits.com/b2ed23dc-30d5-4a99-acc9-2825d5878a69)

*Abbildung 20: Zusammenfassung*

Klicken Sie auf **Maßnahmen anlegen**. Die Maßnahmen entstehen mit Vorbelegung, Anforderungs-Mapping und TOM-Katalog; anschließend zeigt die Übersicht die neu angelegten Maßnahmen.

### 3.4 Entwurf fortsetzen oder verwerfen

Öffnen Sie den Assistenten mit einem offenen Entwurf, erscheint **Sie haben nicht abgeschlossene Entwürfe.** **Fortsetzen** öffnet den Entwurf, **Verwerfen** löscht ihn nach Rückfrage endgültig. Bereits angelegte Maßnahmen sind davon nicht betroffen.

![](https://cdn-assets.productfruits.com/0ed51cbf-b885-48b3-ab94-9af694fa1853)

*Abbildung 21: Nicht abgeschlossener Entwurf*

![](https://cdn-assets.productfruits.com/1708147d-2d39-43ff-9130-32e1e8619ab0)

*Abbildung 22: Entwurf verwerfen*

> **Tipp:** Maßnahmen aus dem Assistenten tragen bereits das Anforderungs-Mapping des gewählten Frameworks. Im **Anforderungsmanagement** schlägt die **TOM-Zuordnung** sie deshalb ohne weitere Pflege für passende Anforderungen vor – Details im Handbuch „Anforderungsmanagement“ und im Leitfaden „TOM-Assistent und TOM-Zuordnungen“.

## 4 Wirksamkeit prüfen

*Für Maßnahmenverantwortliche, IT-Leitung und ISB.*

Die Wirksamkeitsprüfung beantwortet die Frage **„Wirkt die Maßnahme?“** (ISO 27001, Abschnitt 9.1). An der einzelnen Maßnahme ist sie die einzige Prüfung. Dafür gibt es zwei Bausteine:

1.  **Vorlage zur Wirksamkeitsprüfung** – legt fest, *was* geprüft wird, mit welcher **Methode**, in welchem **Turnus** und durch wen; optional mit einer **Kennzahl** und einem Ziel (z. B. „Erfolgreich wiederhergestellte Stichproben ≥ 95 %“). Die Vorlagen pflegt die Administration in der Konfiguration; jede Maßnahme bekommt eine Vorlage zugewiesen.
2.  **Wirksamkeitsprüfung** – die dokumentierte Bewertung mit Ergebnis, Begründung, Nachweisen und – falls die Vorlage eine Kennzahl hat – dem gemessenen Wert.

Eine Maßnahme wird überwacht, sobald ihr eine Vorlage zugewiesen ist. Eine Wirksamkeitsprüfung können Sie auch ohne Vorlage erfassen; dann gibt es aber keinen Fälligkeitstermin und keine automatische Aufgabe.

### 4.1 Reiter Wirksamkeit

Der Reiter zeigt von oben nach unten:

-   **Gesamteinschätzung** – **Aktuelle Bewertung** (Ergebnis der letzten Prüfung, ohne Prüfung *Nicht bewertet*), **Letzte Prüfung** und **Nächste Prüfung fällig**,
-   **Wirksamkeitsprüfungen** – Tabelle mit **Prüfungsdatum**, **Ergebnis**, bei einer Vorlage mit Kennzahl dem Kennzahl-Wert mit *Ziel erreicht* oder *Ziel verfehlt*, **Geprüft von** und **Nachweise** (Download),
-   **Überwachung** – die zugewiesene Vorlage mit **Was wird geprüft?**, **Turnus**, **Methode**, ggf. **Kennzahl**, und der **Verantwortlich**e.

![](https://cdn-assets.productfruits.com/6f3f4cea-b62f-498d-9727-67ce3cc9a57f)

*Abbildung 23: Reiter Wirksamkeit mit Gesamteinschätzung und Wirksamkeitsprüfungen*

### 4.2 Vorlage zuweisen (Überwachung)

1.  Wählen Sie im Reiter **Wirksamkeit** unter **Überwachung** die **Vorlage zur Wirksamkeitsprüfung**.
2.  Unter **Verantwortlich** gilt zunächst der Verantwortliche der Vorlage („wie Vorlage“). Wählen Sie bei Bedarf einen abweichenden Verantwortlichen für diese Maßnahme.
3.  Klicken Sie auf **Speichern**. Solange die Auswahl nicht gespeichert ist, ist **Speichern** hervorgehoben und beim Verlassen der Seite erscheint ein Hinweis auf ungespeicherte Änderungen.

**Was wird geprüft?**, **Turnus**, **Methode** und **Kennzahl** werden aus der Vorlage nur angezeigt. Ändert die Administration die Vorlage, gilt die Änderung für alle Maßnahmen mit dieser Vorlage.

![](https://cdn-assets.productfruits.com/ed85b073-4acc-4c70-8c70-af43d5028815)

*Abbildung 24: Überwachung: Vorlage und Verantwortlicher*

Jede Zuweisung oder Änderung von Vorlage und Verantwortlichem steht im **Aktivitätslog** der Maßnahme (Eintrag „Wirksamkeitsprüfung: Vorlage“).

Für viele Maßnahmen auf einmal markieren Sie die Maßnahmen in der Übersicht und wählen **Massenaktionen → Vorlage zur Wirksamkeitsprüfung zuweisen**. Abweichende Verantwortliche an den Maßnahmen bleiben dabei erhalten.

![](https://cdn-assets.productfruits.com/a2de8680-1ae9-425f-8a66-ed36d71ff838)

*Abbildung 25: Massenaktion „Vorlage zur Wirksamkeitsprüfung zuweisen“*

**Fälligkeit:** Die nächste Prüfung ist fällig am Datum der letzten Prüfung bzw. der Zuweisung der Vorlage – es zählt das spätere – plus Turnus der Vorlage. Am Fälligkeitstag erhält der Verantwortliche automatisch die Aufgabe „Wirksamkeitsprüfung fällig“; ab diesem Tag gilt die Prüfung als **überfällig**. Mit dem Erfassen der Prüfung wird die Aufgabe erledigt. Zusätzlich erscheint auf dem **Dashboard** die Hinweiskarte „Wirksamkeitsprüfung fällig: <Maßnahme>“ mit „Fällig seit …“; ein Klick öffnet den Reiter **Wirksamkeit** der Maßnahme.

### 4.3 Wirksamkeitsprüfung erfassen

1.  Klicken Sie unter **Wirksamkeitsprüfungen** auf **Prüfung erfassen**.
2.  Tragen Sie das **Prüfungsdatum** ein und wählen Sie das **Ergebnis**: *Wirksam*, *Teilweise wirksam* oder *Nicht wirksam*.
3.  Begründen Sie das Ergebnis unter **Begründung**. Bei *Nicht wirksam* ist die Begründung Pflicht.
4.  Hat die Vorlage eine Kennzahl, tragen Sie den gemessenen Wert ein. Darunter steht die Vorgabe der Vorlage, z. B. „Ziel ≥ 95“.
5.  Hängen Sie unter **Nachweise** eine oder mehrere Dateien an oder wählen Sie unter **Aus der Dateiablage wählen** vorhandene Dokumente.
6.  Wählen Sie **Geprüft von**.
7.  Prüfen Sie den Abschnitt **Feststellung** (siehe unten) und klicken Sie auf **Speichern**.

![](https://cdn-assets.productfruits.com/4fb887bc-84e7-48b8-a6b9-7a84fc84788c)

*Abbildung 26: Prüfung erfassen: Datum, Ergebnis, Begründung und Kennzahl*

![](https://cdn-assets.productfruits.com/429c516e-f8f4-4161-9f15-7b56a3156dc3)

*Abbildung 27: Prüfung erfassen: Nachweis, Prüfer und Feststellung*

> **Hinweis:** Das **Prüfungsdatum** darf nicht in der Zukunft liegen. Hochgeladene Nachweise werden auf Viren geprüft. Sie hängen an der Prüfung und lassen sich in der Tabelle **Wirksamkeitsprüfungen** von allen herunterladen, die die Maßnahme lesen dürfen.

### 4.4 Feststellung und Aufgabe aus der Wirksamkeitsprüfung

Das Ergebnis der Prüfung entscheidet über die Feststellung (ISO 27001, Abschnitt 10.2):

|  | Nicht wirksam | Teilweise wirksam | Wirksam |
| --- | --- | --- | --- |
| Feststellung | **Pflicht**, wird beim Speichern angelegt | vorgeschlagen, **Feststellung anlegen** ist vorausgewählt | keine |
| **Schwere der Feststellung** (vorbelegt, änderbar) | *Nebenabweichung* | *Verbesserungsvorschlag* | – |
| Abwählen | nicht möglich | nur mit kurzer Begründung, die an der Prüfung gespeichert wird | – |

Die Feststellung übernimmt Maßnahme, Prüfung und Begründung. Sie ist der Nachweis dieser Prüfung und ändert sich nicht, wenn Sie die Prüfung später bearbeiten. Je Prüfung entsteht höchstens eine Feststellung.

Nach dem Speichern zeigt der Dialog **Feststellung und Aufgabe**, was angelegt wurde (z. B. „Feststellung FS-2026-0015 wurde angelegt.“), und bietet eine Aufgabe zur Behebung an (Empfänger ist der Verantwortliche der Maßnahme). Die Fälligkeit der Aufgabe ist die Frist der Feststellung; hat die Feststellung keine Frist (Hinweis, Verbesserungsvorschlag), steht dort „ohne Fälligkeit“. Markieren Sie die Aufgabe und klicken Sie auf **Ausgewählte anlegen** – oder auf **Nichts anlegen**.

![](https://cdn-assets.productfruits.com/4ddbd5f0-cb2e-4f65-8054-5ff1d2f7be5e)

*Abbildung 28: Feststellung und Aufgabe nach dem Speichern*

Die Feststellung sehen Sie in der rechten Leiste der Maßnahme unter **Feststellungen** und im Register unter **Audit → Feststellungen**, die Aufgabe in der rechten Leiste unter **Aufgaben**.

![](https://cdn-assets.productfruits.com/33631837-c8e6-4f2a-a7cd-6e13dfc51115)

*Abbildung 29: Feststellung in der rechten Leiste*

### 4.5 Viele Maßnahmen auf einmal bewerten

Statt jede Maßnahme einzeln zu öffnen, bewerten Sie die Wirksamkeit mehrerer Maßnahmen in einer Tabelle – z. B. nach einer Begehung. Eine Vorlage zur Wirksamkeitsprüfung ist dafür nicht nötig. Für jede Maßnahme mit Ergebnis entsteht eine eigene Wirksamkeitsprüfung; frühere Prüfungen bleiben unverändert.

1.  Öffnen Sie die Seite **Wirksamkeit bewerten**:
    -   in der Übersicht: Maßnahmen markieren, dann **Massenaktionen → Wirksamkeit bewerten**,
    -   am TOM-Katalog: Knopf **Wirksamkeit bewerten** – es erscheinen alle zugeordneten Maßnahmen, oder
    -   im Risikomanagement am Risiko im Reiter TOM.
2.  Legen Sie im Reiter **Gemeinsame Angaben** den **Prüfer**, das **Prüfdatum**, eine **Gemeinsame Begründung** (z. B. „Begehung Standort Musterstadt 10/2026“) und bei Bedarf **Nachweise** fest. Prüfer und Nachweise gelten für alle bewerteten Maßnahmen. **Auf alle Zeilen übertragen** übernimmt Prüfdatum und Begründung in alle bearbeitbaren Zeilen.
3.  Wählen Sie im Reiter **Maßnahmen** je Zeile das **Ergebnis**. Zeilen mit „– nicht bewerten –“ werden übersprungen. Begründung und Prüfdatum können Sie je Zeile überschreiben; bei *Nicht wirksam* ist eine Begründung Pflicht. **Prüfdatum** und **Nächste Prüfung** wählen Sie wie überall über die Datumsauswahl (TT.MM.JJJJ); das Prüfdatum darf nicht in der Zukunft liegen. Die Tabelle ist breiter als das Fenster – nach rechts blättern Sie mit der waagerechten Bildlaufleiste.
4.  Die Spalte **Letzte Bewertung** zeigt das bisherige Ergebnis mit Fälligkeit, die Spalte **Kennzahl** bei einer Vorlage mit Kennzahl den letzten Wert mit *Ziel erreicht* oder *Ziel verfehlt*. Die **Nächste Prüfung** kommt bei Maßnahmen mit Vorlage aus deren Turnus („aus der Vorlage“), sonst ist ein Jahr nach dem Prüfdatum vorbelegt. Ändern Sie das Prüfdatum, folgt die nächste Prüfung; ein von Hand gesetztes Datum bleibt stehen.
5.  Klicken Sie auf **Bewertung speichern**.

![](https://cdn-assets.productfruits.com/90fd2bb8-08ad-484c-acac-19f67ba2701c)

*Abbildung 30: Bewertungsmodus – Gemeinsame Angaben*

![](https://cdn-assets.productfruits.com/ffc4e221-f880-433c-b034-7e38c72091a8)

*Abbildung 31: Bewertungsmodus – Ergebnis, Prüfdatum und nächste Prüfung je Maßnahme*

Für Feststellungen gelten dieselben Regeln wie bei der Einzelprüfung. Der Dialog **Bewertung gespeichert** nennt die Zahl der gespeicherten Prüfungen und bietet bei *Nicht wirksam* und *Teilweise wirksam* je Maßnahme eine Aufgabe an.

![](https://cdn-assets.productfruits.com/c786aa65-81af-451e-88f7-ec39b5f5d16b)

*Abbildung 32: Bestätigung nach dem Speichern*

> **Hinweis:** Archivierte Maßnahmen, geteilte Maßnahmen anderer Mandanten der Unternehmensgruppe und Maßnahmen, die Sie nicht bewerten dürfen, werden gesperrt angezeigt; der Grund steht unter der Bezeichnung. Nicht anwendbare Maßnahmen werden ausgeblendet, ein Hinweis nennt ihre Anzahl.

## 5 TOM-Kataloge

*Für DSB, ISB und alle, die Maßnahmen gruppieren – z. B. je Standort, Produkt oder Gesellschaft.*

TOM-Kataloge bündeln Maßnahmen zu festen Gruppen. Sie sind Gegenstand der **Angemessenheitsprüfung**, lassen sich mit Verarbeitungstätigkeiten, Geschäftsprozessen, DSFA und Online-AV-Verträgen verknüpfen und gliedern den Maßnahmenkatalog im Export. Eine Maßnahme kann **mehreren** TOM-Katalogen angehören.

### 5.1 Übersicht der TOM-Kataloge

Den Reiter **TOM-Kataloge** finden Sie in der Übersicht neben **Maßnahmen** und **Archiv**. Die Tabelle zeigt je Katalog **Beschreibung**, **Zugeordnete Maßnahmen**, **Schlagwort**, **Angemessenheit** (Stand der laufenden bzw. Ergebnis der letzten Prüfung), **Letzte Angemessenheitsprüfung**, **Nächste Angemessenheitsprüfung** und **Freigabe** für die Unternehmensgruppe. Archivierte Kataloge stehen im Reiter **Katalog-Archiv**.

![](https://cdn-assets.productfruits.com/2a85fb7c-5505-4465-bde8-be1be10f993d)

*Abbildung 33: Übersicht der TOM-Kataloge*

Werte der Spalte **Angemessenheit**: *Nicht geprüft*, *Zur Prüfung eingereicht*, *In Prüfung*, *Angemessen*, *Teilweise angemessen*, *Nicht angemessen*, *Nicht anwendbar*, *Unvollständig bewertet*.

> **Hinweis:** Die Angaben zur Angemessenheit und der Knopf **Zur Prüfung einreichen** erscheinen nur, wenn in der Konfiguration der **Prüfworkflow** aktiv ist.

### 5.2 TOM-Katalog anlegen

1.  Klicken Sie im Reiter **TOM-Kataloge** auf **Neuer TOM-Katalog**.
2.  Geben Sie **TOM-Katalog** (Name) und **Beschreibung** ein. Mit **Freigabe für Unternehmensgruppen** steht der Katalog auch verbundenen Mandanten zur Verfügung.
3.  Klicken Sie auf **Speichern**.

![](https://cdn-assets.productfruits.com/67b586db-9e33-4a94-a09b-5f27dce27b66)

*Abbildung 34: TOM-Katalog anlegen*

### 5.3 Maßnahmen zuordnen

Öffnen Sie den Katalog über **Bearbeiten** und wechseln Sie in den Reiter **Zugeordnete Maßnahmen**:

-   **Maßnahmen hinzufügen** – Auswahl aller Maßnahmen, die noch nicht im Katalog sind. „Bereits in: …“ zeigt, in welchen anderen Katalogen eine Maßnahme schon steht; diese Zuordnungen bleiben erhalten.
-   **Maßnahmen per Schlagwort übernehmen** – übernimmt **einmalig** alle eigenen, nicht archivierten Maßnahmen mit dem gewählten Schlagwort. Maßnahmen, die das Schlagwort später erhalten, werden nicht automatisch ergänzt.
-   **Entfernen** – löst nur die Zuordnung zu diesem Katalog; die Maßnahmen bleiben erhalten.

Alternativ ordnen Sie in der Maßnahmenübersicht über **Massenaktionen → Zu TOM-Katalog hinzufügen** bzw. **TOM-Katalog lösen** zu, oder direkt im Feld **TOM-Kataloge** der Maßnahme.

![](https://cdn-assets.productfruits.com/8836c17c-2e7d-4f6d-91ee-02a86fee97d0)

*Abbildung 35: Maßnahmen hinzufügen – „Bereits in“ zeigt andere Kataloge*

![](https://cdn-assets.productfruits.com/9a1a5269-ab10-4611-9392-cd50c67a4d8a)

*Abbildung 36: Maßnahmen per Schlagwort übernehmen*

![](https://cdn-assets.productfruits.com/416b7c57-888d-48e7-8286-393fec3eeaa4)

*Abbildung 37: Zugeordnete Maßnahmen*

### 5.4 Die Detailseite des Katalogs

Oben zeigt die Karte **Angemessenheitsprüfung** den aktuellen Stand, z. B. „Noch nicht in einer Angemessenheitsprüfung betrachtet“, „Zur Prüfung eingereicht in Audit …“ oder „Geprüft in Audit … am …, Ergebnis …“ mit dem Termin der nächsten Prüfung. Die Werkzeugleiste bietet je nach Stand:

| Knopf | Wirkung |
| --- | --- |
| **Bearbeiten** | Stammdaten und zugeordnete Maßnahmen pflegen |
| **Zur Prüfung einreichen** | Keine offene Prüfung: legt ein TOM-Audit für diesen Katalog an und beauftragt den Standard-Prüfer (siehe nächstes Kapitel). |
| **Prüfmaske öffnen** | Offene Prüfung: öffnet die Prüfung zum Ausfüllen. |
| **Wirksamkeit bewerten** | Öffnet den Bewertungsmodus für alle Maßnahmen des Katalogs. |

![](https://cdn-assets.productfruits.com/6d5ed997-06f5-4f9f-91a6-bcb696910e0f)

*Abbildung 38: Detailseite eines TOM-Katalogs mit offener Prüfung*

Die rechte Leiste enthält **Aufgaben**, **Schlagwörter**, **Prüfhistorie**, **Kommentare**, **Aktivitätslog** und **Feststellungen**. Die **Prüfhistorie** listet laufende und abgeschlossene Angemessenheitsprüfungen mit Ergebnis und Zählung je Bewertung. Ein Klick auf einen Eintrag öffnet das Audit bzw. bei abgeschlossenen früheren Prüfungen das Protokoll.

![](https://cdn-assets.productfruits.com/2e3effb1-6c20-41ad-b2f0-462bd342f322)

*Abbildung 39: Prüfhistorie am Katalog*

In der Prüfhistorie stehen auch die Prüfungen aus dem früheren TOM-Modul. Prüfungen, die dort nie abgeschlossen wurden, tragen den Vermerk *nicht abgeschlossen*.

![](https://cdn-assets.productfruits.com/a5317970-d5ad-45f5-92fc-1241b586b991)

*Abbildung 40: Frühere Prüfungen in der Prüfhistorie*

### 5.5 Archivieren und Löschen

-   **Massenaktionen → Archivieren** verschiebt Kataloge ins **Katalog-Archiv**; von dort holen Sie sie mit **Wiederherstellen** zurück. Archivierte Kataloge sind nicht mehr verknüpfbar und liefern keine Maßnahmen mehr an Verarbeitungstätigkeiten.
-   **Löschen** (Stufe 3) verschiebt in den Papierkorb. Ist der Katalog noch mit Verarbeitungstätigkeiten, Geschäftsprozessen oder DSFA verknüpft, wird das Löschen verweigert. Die zugeordneten Maßnahmen bleiben erhalten.

## 6 Angemessenheitsprüfung eines TOM-Katalogs

*Für DSB, ISB und den Standard-Prüfer. Voraussetzung: In der Konfiguration ist der* \*Prüfworkflow\*\* aktiv.\*

Die Angemessenheitsprüfung beantwortet die Frage **„Reichen die Maßnahmen dieses Katalogs gemessen am Risiko aus?“**. Technisch ist sie ein **TOM-Audit** im Modul **Audit** mit dem **Standard-Prüfkatalog** aus der Konfiguration, z. B. „TOM-Prüfung DS-GVO + BDSG“ (Prüffragen M.1.01 bis M.4.04 zu Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie regelmäßiger Überprüfung).

### 6.1 Schritt 1: Zur Prüfung einreichen

1.  Öffnen Sie den TOM-Katalog und klicken Sie auf **Zur Prüfung einreichen**.
2.  Der Dialog nennt den Prüfkatalog und den Standard-Prüfer, der eine Aufgabe erhält. Klicken Sie auf **Einreichen**.
3.  Es entsteht das Audit „Angemessenheitsprüfung <Katalog>“. Der Standard-Prüfer erhält die Aufgabe „TOM-Katalog zur Angemessenheitsprüfung eingereicht: …“. Am Katalog steht nun **Prüfmaske öffnen**.

![](https://cdn-assets.productfruits.com/5d741607-4360-4493-8b78-a3b7f12e4902)

*Abbildung 41: TOM-Katalog zur Angemessenheitsprüfung einreichen*

> **Tipp:** Prüfungen über **mehrere** Kataloge legen Sie im Modul **Audit** mit **Neu** an: Typ **TOM-Audit** wählen, den Standard-Prüfkatalog oder einen anderen freigegebenen TOM-Fragebogen auswählen und unter **Geprüfte TOM-Kataloge** die Kataloge angeben.

### 6.2 Schritt 2: Prüffragen beantworten

1.  Der Prüfer klickt am Katalog auf **Prüfmaske öffnen** (oder öffnet die Aufgabe) und landet in der Ausfüllansicht des Audits.
2.  Je Prüffrage zeigt der Block **Maßnahmen zur Prüffrage** die Anforderung (z. B. „DS-GVO + BDSG (bewährt): Verschlüsselung“) und eine Tabelle aller Maßnahmen der geprüften Kataloge mit dieser Anforderung – mit **Maßnahme** (Bezeichnung und Nummer), **Umsetzung**, **Wirksamkeit** („geprüft am …“) und **Geprüfte TOM-Kataloge**. Ein Klick auf den Namen öffnet die Maßnahme.
3.  Die **Prüfhilfe** zeigt den höchsten Schutzbedarf der verknüpften Verarbeitungstätigkeiten und Assets, Schutzziele ohne Maßnahme und offene Risiken. Sie ist nur ein Hinweis – das Urteil bleibt bei Ihnen.
4.  Wählen Sie *angemessen*, *teilweise angemessen*, *nicht angemessen* oder *nicht anwendbar* und erläutern Sie Ihre Einschätzung unter **Bemerkung/Erläuterung**.

![](https://cdn-assets.productfruits.com/58df2e54-37b1-42c0-930a-983e421a507d)

*Abbildung 42: Prüffrage mit Maßnahmen, Wirksamkeit und Prüfhilfe*

> **Wichtig:** Gibt es zu einer Prüffrage **keine** Maßnahme, steht dort „Keine Maßnahme vorhanden … Das ist eine Lücke in der Angemessenheit.“ Maßnahmen der Kataloge, die keiner Prüffrage zugeordnet sind, finden Sie im Reiter **Maßnahmen ohne Prüffrage**.

#### 6.2.1 Wenn es schon eine abgeschlossene Prüfung gibt

Öffnet der Lead-Auditor die Prüfmaske zum ersten Mal und gibt es für den Katalog bereits eine abgeschlossene Prüfung, fragt der Dialog **Letzte Prüfung**:

-   **Ergebnisse der letzten Prüfung anzeigen** – je Frage erscheint die Karte **Vorschlag aus der Vorprüfung** mit der damaligen Antwort und Bewertung sowie die offenen Feststellungen. Mit **Vorschlag übernehmen** übernehmen Sie eine Antwort einzeln; die Felder bleiben sonst leer.
-   **Leer starten** – Sie prüfen ohne Bezug zur letzten Prüfung.

Die Wahl gilt für diese Prüfung und lässt sich nicht ändern. Offene Feststellungen bleiben im Feststellungsregister immer sichtbar.

![](https://cdn-assets.productfruits.com/60b33153-537d-4853-94af-3da4cf618f7b)

*Abbildung 43: Dialog „Letzte Prüfung“*

![](https://cdn-assets.productfruits.com/464371b0-26e1-4fe5-8e1e-52829229aef1)

*Abbildung 44: Vorschlag aus der Vorprüfung*

### 6.3 Schritt 3: Ausfüllen abschließen

Klicken Sie auf **Audit abschließen**. Sind noch Pflichtfragen offen, listet der Dialog sie auf; Sie können trotzdem abschließen, wenn Sie unter **Begründung** den Grund angeben. Setzen Sie das Häkchen **Ich bestätige, dass die Prüfung vollständig ist oder offene Fragen begründet sind.** und klicken Sie auf **Audit abschließen**. Die Begründung steht im **Verlauf** des Audits und im Bericht.

![](https://cdn-assets.productfruits.com/f9d43695-dec4-4d30-b44d-f7df136c9130)

*Abbildung 45: Audit abschließen mit Begründung für offene Fragen*

### 6.4 Schritt 4: Bewerten und Feststellungen erfassen

Der Lead-Auditor öffnet das Audit in der Audit-Übersicht über **Bewerten**. In der Bewertungsansicht bestätigen oder korrigieren Sie die Bewertung je Prüffrage und dokumentieren Abweichungen als **Feststellungen**:

-   **Feststellung** an einer einzelnen Maßnahme – Objekt ist die Maßnahme.
-   **Feststellung zur Prüffrage** – Objekt sind die geprüften TOM-Kataloge. **Kriterium** (die Prüffrage) und **Anforderung (Soll)** sind vorbelegt.

Vor dem Abschluss können Sie Audit-Feststellungen nur **verwerfen**; beim Abschluss der Bewertung werden sie eingefroren. Der Reiter **Weitere Feststellungen** nimmt Befunde ohne Bezug zu einer Prüffrage auf.

![](https://cdn-assets.productfruits.com/789dd3c0-97e4-4d15-969c-6d5764bfd4a3)

*Abbildung 46: Feststellung zur Prüffrage im TOM-Audit*

### 6.5 Schritt 5: Bewertung abschließen und nächste Prüfung festlegen

Klicken Sie auf **Bewertung abschließen**. Im Dialog wählen Sie oben **Bewertung abschließen** (oder **An Auditor zurückgeben**, wenn nachgearbeitet werden soll) und legen fest:

| Feld | Wirkung |
| --- | --- |
| **Projekt anlegen und Maßnahmen als Aufgaben übernehmen** | Optional: erzeugt ein Projekt mit je einer Aufgabe pro Audit-Maßnahme. |
| **Prüfturnus** | *6, 12, 24* oder *36 Monate*; setzt das Datum neu. Vorschlag: 12 Monate. |
| **Nächste Prüfung am** | Vorschlag: Abschlussdatum plus Prüfturnus. Der Termin gilt für alle geprüften TOM-Kataloge. Leer lassen, wenn keine weitere Prüfung geplant ist. |
| **Begründung** | Pflicht, wenn noch Fragen nicht bewertet sind. Steht im Verlauf und im Auditbericht. |

Setzen Sie das Häkchen **Ich bestätige, dass die Bewertung abgeschlossen ist.** und klicken Sie auf **Bestätigen**.

![](https://cdn-assets.productfruits.com/bf3ed233-8350-4957-9d59-d8d410ca9720)

*Abbildung 47: Bewertung abschließen*

**Gesamtergebnis:** Es zählt die schlechteste Einordnung in der Reihenfolge *Nicht angemessen* → *Unvollständig bewertet* → *Teilweise angemessen* → *Angemessen* → *Nicht anwendbar*. Bleiben Fragen unbewertet, lautet das Ergebnis also mindestens *Unvollständig bewertet*. Das Ergebnis steht am Katalog (Spalte **Angemessenheit**, Karte und Prüfhistorie). Mit dem Abschluss wird der **Stand der Maßnahmen** eingefroren („Stand beim Abschluss am …“).

![](https://cdn-assets.productfruits.com/e15d9210-208c-44e4-bccc-226c50524565)

*Abbildung 48: Ergebnis am Katalog*

### 6.6 Schritt 6: Die nächste Prüfung

Ist der Termin der nächsten Prüfung erreicht, erhält der Standard-Prüfer die Aufgabe **„Angemessenheitsprüfung fällig“**; auf dem **Dashboard** erscheint die Hinweiskarte „Angemessenheitsprüfung fällig: <Katalog>“ mit „Fällig seit …“, die den Katalog öffnet. Eine neue Prüfung entsteht immer über **Zur Prüfung einreichen** am Katalog; beim ersten Öffnen der Prüfmaske entscheidet der Lead-Auditor, ob er die Ergebnisse der letzten Prüfung sehen will (siehe Schritt 2).

### 6.7 Bericht

Der **Word-Bericht** des TOM-Audits (in der Audit-Übersicht **Bericht herunterladen**) enthält das Ergebnis der Angemessenheitsprüfung, den Stand der Maßnahmen beim Abschluss, die **Nächste Angemessenheitsprüfung**, ggf. die vorherige Prüfung, die eingefrorenen **Feststellungen** je Prüffrage und – bei offenen Fragen – den Abschnitt **Abschlussbegründung**.

## 7 Übersicht, Export und Nachweise

### 7.1 Übersicht

Die Übersicht zeigt alle Maßnahmen mit **Typ**, **Schutzzielen**, **Status**, **Wirksamkeit** (mit Datum der letzten Prüfung; *Ungeprüft* ohne Prüfung), **Schlagwort**, **Verantwortlichem**, **Organisationseinheit**, **TOM-Kataloge**, **Sprache** und Zahl der Verknüpfungen (**Verkn.**). Über das Spaltensymbol blenden Sie zusätzlich **Wirksamkeit geprüft am**, **Nächste Wirksamkeitsprüfung**, **Wirksamkeitsprüfung** (die zugewiesene Vorlage), **Anforderungskataloge** und **Offene Feststellungen** ein. Bei aktivem Aktualisierungsworkflow kommt die Spalte **Aktualisierung** hinzu.

![](https://cdn-assets.productfruits.com/e4fdc737-cf6a-458c-a504-fe61a28b885f)

*Abbildung 49: Übersicht der Maßnahmen*

Über **Filter** grenzen Sie u. a. nach Typ, Schutzzielen, Status, **Wirksamkeit**, Verantwortlichem, Anforderungskatalog, Schlagwort, Organisationseinheit, Datensatzquelle, **Offene Feststellungen**, Sprache sowie verknüpften Assets, Risiken, Verarbeitungstätigkeiten, Geschäftsprozessen, Bedrohungen, Dienstleistern und TOM-Katalogen ein. Der Filter **Wirksamkeit** bietet neben den Ergebnissen auch *Ungeprüft*, *Prüfung überfällig*, *Prüfung aktuell* und *Nicht bewertbar*.

![](https://cdn-assets.productfruits.com/9e510f96-ddf2-431b-be7c-974ab2ec366b)

*Abbildung 50: Filter*

> **Tipp:** Die Kacheln des Dashboard-Widgets „Technische und organisatorische Maßnahmen“ sind Links auf die entsprechend gefilterte Übersicht.

### 7.2 Massenaktionen

Markieren Sie mehrere Maßnahmen und wählen Sie unter **Massenaktionen**:

| Gruppe | Aktionen |
| --- | --- |
| Pflege | **Status ändern**, **Verantwortlichen ändern**, **Organisationseinheit zuweisen**, **Sprache festlegen**, **Übersetzung zusammenführen** |
| Wirksamkeit | **Wirksamkeit bewerten** (Bewertungsmodus), **Vorlage zur Wirksamkeitsprüfung zuweisen** |
| Verknüpfungen | **Assets verknüpfen**, **Verknüpfungen hinzufügen**, **Verknüpfungen lösen**, **Zu TOM-Katalog hinzufügen**, **TOM-Katalog lösen** |
| Bereinigen | **Auswahl zusammenführen** (Dubletten), **Aufsplitten**, **Archivieren**, **Auf Mandant kopieren** |
| Unternehmensgruppe | **Für Unternehmensgruppe freigeben**, **Freigabe für Unternehmensgruppe zurücknehmen** |

**Auf Mandant kopieren** legt Kopien der markierten Maßnahmen in den gewählten Mandanten an. Zur Auswahl stehen Mandanten, in denen Sie Schreibrecht im Modul TOM haben, auch der eigene („(Aktueller Mandant)“). Eine Kopie im eigenen Mandanten erhält den Zusatz „(Kopie)“, eine eigene Maßnahmen-ID und übernimmt den Verantwortlichen sowie die Vorlage zur Wirksamkeitsprüfung samt Prüfverantwortlichem. In andere Mandanten wird die Vorlage nicht kopiert.

![](https://cdn-assets.productfruits.com/909ac41f-b554-49fc-b379-1301fa503a40)

*Abbildung 51: Auf Mandanten kopieren – hier in den eigenen Mandanten*

> **Hinweis:** Beim **Zusammenführen** übernimmt die Zielmaßnahme Wirksamkeitsprüfungen, die Vorlage zur Wirksamkeitsprüfung (falls sie selbst keine hat), Katalogzuordnungen und Feststellungen. Beim **Aufsplitten** behält jede Kopie die Vorlage.

### 7.3 Export

**Export** bietet:

| Export | Zweck |
| --- | --- |
| **Export-Assistent** | Umfang, Berichtsform und Format Schritt für Schritt wählen; optional nach TOM-Katalog aufsplitten |
| **Auswahl als CSV** / **Alle als CSV** | Datenliste zur Weiterverarbeitung |
| **SOA-Export** (CSV, Excel, PDF) | Statement of Applicability für ISO-27001-Audits – alle Anforderungen mit zugeordneten Maßnahmen |
| **Management-Review-Report** (CSV, Excel, PDF) | Überblick für die Geschäftsleitung |
| **Risikobehandlungsplan** (CSV, Excel, PDF) | Maßnahmen zur Risikobehandlung |
| **Maßnahmenkatalog** (Word, PDF; Auswahl oder alle) | z. B. als TOM-Anlage zum AV-Vertrag nach Art. 28 DS-GVO |

![](https://cdn-assets.productfruits.com/b7c16c6b-65e8-4561-9fba-f515ec2f0e5b)

*Abbildung 52: Export-Menü*

> **Hinweis:** Management-Review, SoA und Risikobehandlungsplan beziehen sich immer auf den gesamten Bestand; Auswahl und Filter in der Liste werden dort nicht berücksichtigt. Im Export-Assistenten tragen sie den Hinweis „ISMS-Gesamtbericht: umfasst immer den gesamten Maßnahmenbestand.“ Die TOM-Anlage im **Online-AV-Vertrag** wird nach TOM-Katalog gegliedert und nennt das Ergebnis der letzten Angemessenheitsprüfung; Feststellungen erscheinen dort nie.

### 7.4 Import

Bestehende Maßnahmenlisten übernehmen Sie über **Importieren** in der Werkzeugleiste der Übersicht. Der Assistent **Maßnahmen importieren** führt in drei Schritten durch den Import:

1.  **Datei hochladen** – CSV-, JSON- oder XML-Datei (max. 10 MB) in das Feld ziehen oder auswählen und **Weiter** klicken.
2.  **Felder zuordnen** – die Spalten Ihrer Datei den Zielfeldern zuordnen, z. B. **Bezeichnung**, **Maßnahmen-ID**, **Beschreibung**, **Typ**, **Umsetzungsstatus**, **Verantwortlicher**, **Schlagworte**, die drei Schutzziele und **Organisationseinheit**. Unter **Bei Duplikaten** legen Sie fest, ob bereits vorhandene Maßnahmen übersprungen, überschrieben oder trotzdem neu angelegt werden.
3.  **Vorschau & Import** – die Vorschau prüfen und mit **Maßnahmen importieren** abschließen.

![](https://cdn-assets.productfruits.com/e4786c08-f652-4aeb-925c-3816543bc908)

*Abbildung 53: Maßnahmen importieren*

## 8 Konfiguration

**Zugriff:** Erreichbar über **TOM konfigurieren** oben rechts in der Übersicht. Bearbeiten dürfen die Konfiguration Personen mit dem Sonderrecht (Stufe 4) im Modul TOM; ohne dieses Recht lassen sich die Einstellungen nur einsehen. Alle Einstellungen gelten mandantenweit.

Die Konfiguration hat die Reiter **Anforderungskataloge (Frameworks)**, **Bedrohungen**, **Textbausteine**, **Schlagwörter**, **Überwachungskategorien**, **Vorlagen zur Wirksamkeitsprüfung**, **Einstellungen** und **Mandantenakte**. Empfohlene Reihenfolge:

1.  **Einstellungen**: Nummernkreis, Prüfworkflow mit Standard-Prüfer und Standard-Prüfkatalog, ggf. Aktualisierungsworkflow
2.  **Anforderungskataloge (Frameworks)**: benötigte Kataloge aktivieren – mindestens „DS-GVO + BDSG (bewährt)“ für die Angemessenheitsprüfung
3.  **Vorlagen zur Wirksamkeitsprüfung** anlegen bzw. prüfen und den Maßnahmen zuweisen
4.  **Bedrohungen** und **Überwachungskategorien** prüfen
5.  Optional: **Textbausteine**, **Schlagwörter**, **Mandantenakte**

TOM-Kataloge pflegen Sie nicht in der Konfiguration, sondern im Reiter **TOM-Kataloge** der Übersicht.

### 8.1 Einstellungen

| Bereich | Feld | Wirkung |
| --- | --- | --- |
| Nummernkreis | **Präfix**, **Format**, **Nächste Nummer** | Aufbau der Maßnahmen-ID, z. B. TOM-2026-001 |
| Prüfworkflow | **Prüfworkflow aktiv** | Schaltet die Angemessenheitsprüfung der TOM-Kataloge: Kataloge können zur Prüfung eingereicht werden, am Termin der nächsten Prüfung entsteht die Aufgabe „Angemessenheitsprüfung fällig“. Ausgeschaltet gibt es keinen Knopf am Katalog und keine Fälligkeitsaufgaben; abgeschlossene Prüfungen bleiben in der Prüfhistorie lesbar. Die Wirksamkeitsprüfung läuft unabhängig davon. |
|  | **Standard-Prüfer** | Erhält die Aufgabe beim Einreichen und die Aufgabe „Angemessenheitsprüfung fällig“, ist Lead-Auditor der Prüfung und darf sie auch ohne Sonderrecht durchführen. Ohne Auswahl wird die Aufgabe beim Einreichen ohne Zuweisung erstellt, und am Termin der nächsten Prüfung entsteht keine Aufgabe. |
|  | **Standard-Prüfkatalog Angemessenheitsprüfung** | Fragebogen-Vorlage der Art TOM, mit der eingereichte Kataloge geprüft werden. Ohne Auswahl gilt die Kopie der Systemvorlage „TOM-Prüfung DS-GVO + BDSG“ in diesem Mandanten. Eine hier ausdrücklich gewählte Vorlage kann nicht gelöscht oder archiviert werden, solange der Prüfworkflow eingeschaltet ist. |
| Aktualisierungsworkflow | **Aktualisierungsworkflow aktivieren** | Erstellt automatisch Aufgaben, wenn Maßnahmen länger als das **Aktualisierungsintervall** (3, 6, 12, 24 oder 36 Monate) nicht aktualisiert wurden. Beim Einschalten nennt ein Dialog, wie viele Maßnahmen beim nächsten Lauf voraussichtlich markiert werden. Abgeschlossen ist die Aktualisierung mit **Aktualisierung abgeschlossen** an der Maßnahme oder mit dem Erledigen der Aufgabe. |

Klicken Sie nach Änderungen auf **Speichern**.

![](https://cdn-assets.productfruits.com/1a276a75-44a6-469b-8cf8-421e58c84c75)

*Abbildung 54: Einstellungen: Nummernkreis und Prüfworkflow*

![](https://cdn-assets.productfruits.com/6a5d3c18-56fd-40c1-8224-11da5592e5c8)

*Abbildung 55: Einstellungen: Standard-Prüfkatalog und Aktualisierungsworkflow*

### 8.2 Vorlagen zur Wirksamkeitsprüfung

Die Vorlagen legen fest, was mit welcher Methode, in welchem Turnus und von wem geprüft wird. Je Überwachungskategorie sind mehrere Vorlagen möglich. Die Liste zeigt **Bezeichnung**, **Überwachungskategorie**, **Turnus**, **Methode**, **Verantwortlich**, **Kennzahl** und in **Verwendet** die Zahl der Maßnahmen mit dieser Vorlage.

![](https://cdn-assets.productfruits.com/0c2a8833-514b-4ac0-a0ce-6406c39ffed0)

*Abbildung 56: Vorlagen zur Wirksamkeitsprüfung*

So legen Sie eine Vorlage an:

1.  Klicken Sie auf **Neu**.
2.  Füllen Sie die Pflichtfelder aus: **Bezeichnung**, **Überwachungskategorie**, **Methode** (*Stichprobe*, *Test*, *Begehung*, *Auswertung*, *Interview* oder *Dokumentensichtung*), **Was wird geprüft?**, **Turnus** (*Quartalsweise*, *Halbjährlich*, *Jährlich* oder *Individuell*) und **Verantwortlich**.
3.  Optional geben Sie eine **Kennzahl** an. Dann sind **Einheit**, **Richtung** (*≥ (mindestens)* oder *≤ (höchstens)*) und **Ziel** Pflicht.
4.  Klicken Sie auf **Speichern**.

![](https://cdn-assets.productfruits.com/a21b8e39-6778-4658-8395-bf16d8e77ba2)

*Abbildung 57: Vorlage zur Wirksamkeitsprüfung anlegen*

> **Wichtig:** Änderungen an einer Vorlage gelten für alle Maßnahmen mit dieser Vorlage. Löschen lässt sich eine Vorlage nur, solange sie keiner Maßnahme zugewiesen ist – mitgezählt werden auch Maßnahmen im Papierkorb; das Löschen ist endgültig.

### 8.3 Überwachungskategorien und Bedrohungen

-   **Überwachungskategorien** gruppieren die Vorlagen zur Wirksamkeitsprüfung thematisch, z. B. *Backup & Recovery*, *Kryptografie* oder *Physische Sicherheit*. Mitgelieferte Kategorien sind als **System** gekennzeichnet. Mit dem Schalter **Aktiv** blenden Sie nicht benötigte Kategorien aus; eine Kategorie lässt sich erst löschen, wenn keine Vorlage mehr daran hängt.
-   **Bedrohungen**: Katalog der Gefährdungen (z. B. BSI-Elementargefährdungen). Deaktivieren Sie irrelevante Einträge, statt sie zu löschen.
-   **Schlagwörter**: Auswahlliste für die thematische Einordnung von Maßnahmen.

![](https://cdn-assets.productfruits.com/9539dea5-e6aa-4beb-aba8-ce985506e880)

*Abbildung 58: Überwachungskategorien*

![](https://cdn-assets.productfruits.com/ae9d33c6-6a00-49ab-8add-75d43f5af07d)

*Abbildung 59: Bedrohungskatalog*

### 8.4 Anforderungskataloge (Frameworks)

Mitgeliefert werden *BSI IT-Grundschutz*, *DS-GVO + BDSG (bewährt)*, *DS-GVO Art. 32*, *ISO 27001:2022 Annex A*, *NIS-2-Umsetzungsgesetz*, *Standard-Datenschutzmodell (SDM)* und *TISAX (VDA ISA 6.0.2)*. Mit dem Schalter **Aktiv** blenden Sie nicht benötigte Kataloge aus, über das Listensymbol (**Anforderungen verwalten**) sehen und pflegen Sie die Anforderungen mit **Bezeichnung**, externer ID (z. B. `A.5.1`) und **Thema / Kapitel**. Mit **Neu** legen Sie eigene Kataloge mit **Bezeichnung**, **Kürzel**, **Version** und **Beschreibung** an.

![](https://cdn-assets.productfruits.com/098fd311-109a-4b84-bed8-452bfef34ebb)

*Abbildung 60: Anforderungskataloge*

Die Anforderungskataloge sind die Brücke zum **Anforderungsmanagement**: Ein Anforderungskatalog dort (z. B. ISO 27001 oder SDM) erhält beim Anlegen automatisch das passende Framework. Für das **Standard-Datenschutzmodell** sind die Referenzmaßnahmen des SDM-Katalogs mit den generischen Maßnahmen dieses Frameworks verbunden (z. B. „M11.D07 Verschlüsselung gespeicherter Daten“ mit `G-Vt-07`), sodass Maßnahmen mit SDM-Bezug dort vorgeschlagen werden.

### 8.5 Textbausteine

Textbausteine sind vorformulierte Maßnahmen. Sie dienen als Vorlage für **Aus Textbaustein erstellen**, für **Von Vorlage erstellen** im Anforderungsmanagement und als Auswahl im **TOM-Assistenten**.

| Feld | Bedeutung |
| --- | --- |
| **Bezeichnung** | Name der späteren Maßnahme |
| **Beschreibung** | Vorformulierte Beschreibung; wird in die Maßnahme übernommen |
| **Typ** | *Technisch* oder *Organisatorisch* |
| **Schutzziele** | Vertraulichkeit, Integrität, Verfügbarkeit |
| **Anforderungskatalog-Zuordnungen** | Anforderungen aus einem oder mehreren Anforderungskatalogen, die die Maßnahme erfüllt. Mehrfachauswahl, gruppiert nach Katalog, mit Suche. Bestimmt, bei welchen Anforderungen der Baustein im Assistenten und in **Von Vorlage erstellen** erscheint, und wird als Anforderungs-Mapping in die Maßnahme übernommen. |

Über das Augensymbol sehen Sie einen Textbaustein an, über das Stift-Symbol bearbeiten Sie ihn, über **Neu** legen Sie einen an. Geänderte Zuordnungen wirken auf Maßnahmen, die künftig aus dem Baustein entstehen; vorhandene Maßnahmen behalten ihr Mapping.

![](https://cdn-assets.productfruits.com/625351ce-de3f-4465-944c-6cb5a6d49cc4)

*Abbildung 61: Textbaustein mit Anforderungskatalog-Zuordnungen*

![](https://cdn-assets.productfruits.com/93742f5f-3526-4235-956a-38018e23bdad)

*Abbildung 62: Mehrfachauswahl der Anforderungen*

## 9 Glossar

| Begriff | Erklärung |
| --- | --- |
| **Art. 32 DS-GVO** | Pflicht zu geeigneten technischen und organisatorischen Maßnahmen. |
| **Angemessenheitsprüfung** | TOM-Audit, das prüft, ob die Maßnahmen eines oder mehrerer TOM-Kataloge gemessen am Risiko ausreichen. |
| **Anforderungskatalog-Zuordnungen** | Anforderungen, denen ein Textbaustein zugeordnet ist; werden als Anforderungs-Mapping in die Maßnahme übernommen. |
| **Bewertungsmodus** | Seite **Wirksamkeit bewerten**, auf der die Wirksamkeit vieler Maßnahmen auf einmal bewertet wird. |
| **Eingefroren** | Eine Feststellung ist als Nachweis festgeschrieben; Inhalt und Schwere sind nicht mehr änderbar. |
| **Entwurf** | Zwischenstand des TOM-Assistenten; wird laufend gespeichert, bis Sie ihn abschließen oder verwerfen. |
| **Feststellung** | Dokumentierte Abweichung mit Schwere, Frist und Verantwortlichem im Feststellungsregister. |
| **Kennzahl** | Optionaler Messwert einer Vorlage zur Wirksamkeitsprüfung mit Einheit und Ziel (mindestens oder höchstens). |
| **Management-Review** | Regelmäßige Bewertung des Managementsystems durch die Leitung (ISO 27001 Abschnitt 9.3). |
| **Prüfhilfe** | Automatische Hinweise (Schutzbedarf, Schutzziele ohne Maßnahme, offene Risiken), die nichts sperren. |
| **Prüfhistorie** | Liste der laufenden und abgeschlossenen Angemessenheitsprüfungen eines TOM-Katalogs, einschließlich der Prüfungen aus dem früheren TOM-Modul. |
| **Prüfmaske** | Ausfüllansicht des TOM-Audits, geöffnet über **Prüfmaske öffnen** am Katalog. |
| **SoA** | Statement of Applicability – Erklärung, welche Anforderungen anwendbar sind und durch welche Maßnahmen sie erfüllt werden. |
| **Standard-Prüfer** | In der Konfiguration festgelegte Person, die eingereichte TOM-Kataloge prüft. |
| **TOM** | Technische und organisatorische Maßnahmen. |
| **TOM-Assistent** | Geführte Anlage von Maßnahmen entlang eines Anforderungskatalogs aus Textbausteinen und eigenen Maßnahmen. |
| **TOM-Katalog** | Gruppe von Maßnahmen, z. B. je Standort; Gegenstand der Angemessenheitsprüfung. |
| **Textbaustein** | Vorformulierte Maßnahme mit Beschreibung, Typ, Schutzzielen und Anforderungskatalog-Zuordnungen. |
| **Turnus** | Abstand zwischen zwei Prüfungen – bei der Wirksamkeit aus der Vorlage, bei der Angemessenheit aus dem Abschluss der Prüfung. |
| **Vorlage zur Wirksamkeitsprüfung** | Festlegung von Gegenstand, Methode, Turnus, Verantwortlichem und ggf. Kennzahl; wird Maßnahmen zugewiesen. |

## 10 Häufige Fragen

**Ich habe den Status geändert, aber in der Liste steht noch der alte Wert.** Stammdaten werden erst mit **Speichern** übernommen. Verknüpfungen, Wirksamkeitsprüfungen und Dokumente speichern dagegen sofort.

**Was ist der Unterschied zwischen Wirksamkeit und Angemessenheit?** Die **Wirksamkeitsprüfung** bewertet für eine einzelne Maßnahme, ob sie wirkt. Die **Angemessenheitsprüfung** bewertet für einen ganzen TOM-Katalog, ob die Maßnahmen zusammen dem Risiko gerecht werden.

**Muss jede Maßnahme eine Vorlage zur Wirksamkeitsprüfung haben?** Nein. Ohne Vorlage gibt es aber keinen Fälligkeitstermin und keine automatische Aufgabe. Für ISO-27001-Zertifizierungen sollten alle relevanten Maßnahmen eine Vorlage haben; eine Prüfung lässt sich auch ohne Vorlage erfassen oder im Bewertungsmodus nachholen.

**Ich habe die Vorlage ausgewählt, aber nach dem Neuladen ist sie weg.** Die Auswahl unter **Überwachung** wird erst mit **Speichern** übernommen.

**Warum wird nach meiner Wirksamkeitsprüfung eine Feststellung angelegt?** Bei *Nicht wirksam* ist die Feststellung Pflicht (ISO 27001, Abschnitt 10.2), bei *Teilweise wirksam* wird sie vorgeschlagen; wer sie abwählt, gibt eine kurze Begründung an. Die Aufgabe zur Behebung legen Sie danach optional an.

**Kann eine Maßnahme in mehreren TOM-Katalogen stehen?** Ja. Ordnen Sie sie im Feld **TOM-Kataloge** der Maßnahme oder über **Maßnahmen hinzufügen** am Katalog zu. Bestehende Zuordnungen bleiben erhalten.

**Wo finde ich die Prüfungen aus dem früheren TOM-Modul?** In der **Prüfhistorie** des jeweiligen TOM-Katalogs in der rechten Leiste. Nie abgeschlossene Prüfungen tragen den Vermerk *nicht abgeschlossen*.

**Warum erscheint eine Maßnahme bei keiner Prüffrage der Angemessenheitsprüfung?** Die Prüffragen sind den Anforderungen von „DS-GVO + BDSG (bewährt)“ zugeordnet. Hat die Maßnahme im **Anforderungs-Mapping** keine dieser Anforderungen, steht sie im Reiter **Maßnahmen ohne Prüffrage**.

**Wie erstelle ich die TOM-Anlage für einen AV-Vertrag?** Im **Online-AV-Vertrag** verknüpfen Sie die passenden TOM-Kataloge; die Anlage wird nach Katalog gegliedert. Alternativ markieren Sie in der Übersicht die Maßnahmen und wählen **Export → Maßnahmenkatalog Auswahl (Word)** oder **(PDF)**.

**Legt der TOM-Assistent sofort Maßnahmen an?** Nein. Bis zum Klick auf **Maßnahmen anlegen** ist alles ein Entwurf. Sie können den Assistenten verlassen und später über **Fortsetzen** weitermachen oder den Entwurf **Verwerfen**.

**Warum bietet der Assistent einen Textbaustein nicht an?** Er ist gesperrt, weil Sie ihn in diesem Durchlauf schon über eine andere Anforderung gewählt haben oder weil es bereits eine Maßnahme daraus bzw. mit gleicher Bezeichnung gibt. Welche Maßnahme ihn sperrt, zeigt die Spalte **Sperrt Baustein**.

**Wie kommen meine Maßnahmen in einen Anforderungskatalog im Anforderungsmanagement?** Über das **Anforderungs-Mapping**: Verweist eine Maßnahme auf eine Anforderung des Frameworks, schlägt die **TOM-Zuordnung** des Anforderungskatalogs sie vor. Automatisch übernommen wird nichts – die Zuordnung bestätigen Sie dort.

**Wo sehe ich, wann die nächste Angemessenheitsprüfung fällig ist?** In der Übersicht der TOM-Kataloge (Spalte **Nächste Angemessenheitsprüfung**), auf der Karte des Katalogs und im Word-Bericht. Am Termin erhält der Standard-Prüfer die Aufgabe „Angemessenheitsprüfung fällig“, und das Dashboard zeigt die Hinweiskarte „Angemessenheitsprüfung fällig“.