---
title: "TOM anlegen und Stammdaten pflegen"
url: "https://knowledgebase.audatis-manager.de/de/article/tom-anlegen-und-stammdaten-pflegen"
language: "de"
last_updated: "2026-06-04T04:01:32.967Z"
---

# TOM anlegen und Stammdaten pflegen

Technische und Organisatorische Maßnahmen (TOM)

Eine TOM im audatis MANAGER beschreibt einen einzelnen Schutzbaustein Ihres Informationssicherheits- oder Datenschutz-Managements. In diesem Artikel legen Sie eine Maßnahme (kein Todo) an, nutzen die Textbaustein-Vorschläge und pflegen Stammdaten inklusive der Schutzziele C/I/A.

## In 5 Minuten erledigt

-   **Informationssicherheit > Technische und organisatorische Maßnahmen** öffnen.
-   **Neu** klicken, Bezeichnung eingeben (Textbaustein-Vorschläge nutzen).
-   **Typ** wählen (Technisch oder Organisatorisch), speichern.
-   Auf der Detailseite Verantwortlichen, Umsetzungsstatus, Beschreibung pflegen.
-   Daten- und Informationen, bzw. Assets verknüpfen.
-   Schutzziele C/I/A mit Stufe und Begründung versehen, speichern.

## Wann brauchen Sie das?

-   Eine neue Anforderung aus einer Norm, einem Audit oder einem Vorfall führt zu einer zusätzlichen Schutzmaßnahme.
-   Eine bestehende Maßnahme soll aktualisiert oder umformuliert werden.
-   Sie übernehmen ein Best-Practice-Maßnahmenpaket Ihres Beraters oder einer übergeordneten Mandantenstelle.

  

## Schritt für Schritt

1.  Öffnen Sie in der Seitenleiste **Informationssicherheit > Technische und organisatorische Maßnahmen**.
2.  Klicken Sie in der Toolbar auf **Neu**. Das Modal "Maßnahme anlegen" öffnet sich.  
    ![](https://cdn-assets.productfruits.com/0d64620b-a138-4f53-8b3d-c6e6649ea6f1)
3.  Vergeben Sie eine **Bezeichnung**. Tippen Sie ein Stichwort - die Textbaustein-Autocomplete schlägt Vorlagen aus der zentralen Bibliothek vor. Wählen Sie einen Vorschlag, übernimmt das System Bezeichnung und ggf. eine Beschreibung.
4.  Wählen Sie den **Typ**:
5.  -   **Technisch** für IT-bezogene Schutzmaßnahmen (Verschlüsselung, Firewall, Backup-Konfiguration).
    -   **Organisatorisch** für regelnde Maßnahmen (Richtlinien, Schulungen, Verfahren, Verträge).
6.  Klicken Sie auf **Speichern** und navigieren Sie über das Stiftsymbol oder Klick auf den Maßnahmentitel in die **Stammdaten**.  
    ![](https://cdn-assets.productfruits.com/29307fa9-a218-48f6-848a-761dcb886036)
7.  Pflegen Sie die Stammdaten:
8.  -   **Beschreibung** - was die Maßnahme konkret tut. Vermeiden Sie reine Norm-Zitate, beschreiben Sie die tatsächliche Umsetzung.
    -   **Verantwortlicher** - Person aus dem Personalstamm. Ohne Verantwortlichen werden später automatisch erzeugte Aufgaben ins Leere laufen.
    -   **Status (Umsetzungsstatus)** - Geplant, In Umsetzung oder Umgesetzt.
    -   **Schutzziele C, I, A** - welche Schutzziele die Maßnahme adressiert. Pro Schutzziel eine Stufe und eine Begründung.
9.  Klicken Sie auf **Speichern**.

> Tipp: Die Sektion **Gesamteinschätzung** unter den Schutzzielen ist ein guter Platz für die Wirksamkeits-Begründung im Audit. Wer hier zwei bis drei Sätze pflegt, bekommt in der Wirksamkeitsprüfung deutlich weniger Rückfragen.

## Pflicht- und optionale Felder

| Feld | Tab | Status | Hinweis |
| --- | --- | --- | --- |
| Bezeichnung | Modal Anlegen | Pflicht | Eindeutig, sprechend |
| Typ | Modal Anlegen | Pflicht | Technisch oder Organisatorisch |
| Beschreibung | Stammdaten | Optional, fachlich Pflicht | Konkrete Umsetzungsbeschreibung |
| Verantwortlicher | Stammdaten | Optional, fachlich Pflicht | Person aus Personalstamm |
| Umsetzungsstatus | Stammdaten | Optional | Geplant, In Umsetzung, Umgesetzt |
| Schutzziele C, I, A | Stammdaten | Optional, fachlich Pflicht | Stufe und Begründung pro Ziel |
| Gesamteinschätzung | Stammdaten | Optional | Wirksamkeits-Argumentation |

## Statusmodell

| Status | Bedeutung |
| --- | --- |
| Geplant | Maßnahme ist definiert, Umsetzung steht aus |
| In Umsetzung | Umsetzung läuft, noch nicht produktiv |
| Umgesetzt | Maßnahme ist produktiv wirksam |

> Tipp: Im SoA-Export zählen nur Maßnahmen mit Status "Umgesetzt" als belastbar. "Geplant" und "In Umsetzung" sind Indikatoren für offene Maßnahmen-Aufgaben.

## Textbaustein-Vorschläge nutzen

Die Textbaustein-Verwendung im Anlegen-Modal greift auf eine zentrale Bibliothek zu, die ein Mandanten-Administrator vorher in den TOM Konfigurationen oder unter Vorlagentextbausteine pflegen kann. Vorteile:

-   Konsistente Formulierungen über Maßnahmen hinweg.
-   Best-Practice-Beschreibungen aus dem Beratungsstandard.
-   Weniger Tipparbeit beim Erstanlegen.

Wer eigene Textbausteine ergänzen will, pflegt sie in der Sub-Seite **Textbausteine konfigurieren in der Modulkonfiguration**. Die Bibliothek ist in der Regel global pro Mandant - in Konzernumgebungen mit untergeordneten Mandanten kann sie vererbt werden.

Siehe dazu: Unternehmensgruppen

## Häufige Stolperfallen

-   **Bezeichnung als Norm-Zitat:** "ISO 27001 A.5.15 - Zugriffskontrolle" ist die Anforderung, nicht die Maßnahme. Besser: "RBAC mit MFA für administrative Konten". TOM sollten kleiner sein als Controls/Anforderungen.
-   **Maßnahmenstatus nicht auf Realität aktualisiert:** Wer eine umgesetzte Maßnahme nicht aktualisiert, obwohl sie in der Praxis vielleicht schon umgesetzt ist, verzerrt das SoA.

## Häufig gestellte Fragen

### Was tippe ich in das Bezeichnungsfeld?

Eine kurze, sprechende Beschreibung der Maßnahme - kein Norm-Zitat. Beispiele: "Festplattenverschlüsselung Notebooks", "Awareness-Training Phishing", "Backup-Konzept Produktivsysteme". Je konkreter die Bezeichnung desto besser.

### Was unterscheidet "Geplant" von "In Umsetzung"?

**Geplant:** Konzept liegt vor, Umsetzung steht aus.

**In Umsetzung:** Pilotbetrieb, Umsetzung läuft, noch nicht alle Systeme abgedeckt.

**Umgesetzt:** vollständig produktiv.

### Muss ich alle drei Schutzziele pflegen?

Nein. Aktivieren Sie nur die Ziele, die die Maßnahme tatsächlich adressiert. Eine Festplattenverschlüsselung wirkt primär auf C, eine Backup-Lösung auf A.

### Wann sollte ich eine TOM löschen?

Praktisch nie. Verknüpfungen gehen unwiderruflich verloren. Lieber **archivieren** - dann bleiben alle Verknüpfungen erhalten, und die TOM ist über das Archiv wiederherstellbar.

### Wie pflege ich eine TOM, die noch in der Konzept-Phase ist?

Status "Geplant", Beschreibung als Konzept-Entwurf, Verantwortlichen als Maßnahmen-Owner. Schutzziele können vorläufig gepflegt werden und im Lauf der Umsetzung präzisiert werden.

### Kann ich Maßnahmen aus einer Vorlage übernehmen?

Über die Textbaustein-Vorschläge im Anlegen-Modal können Sie aus Vorlagen wählen. Eine echte Massen-Übernahme aus einem Standard-Maßnahmenkatalog ist über die Konfigurations-Sub-Seite möglich.

## Verwandte Artikel

-   [TOM: Modulüberblick](https://knowledgebase.audatis-manager.de/de/article/tom-moduluberblick)
-   TOM-Verknüpfungen pflegen
-   TOM-Wirksamkeit prüfen
-   SOA-Export erzeugen