TOMs durchsuchen

TOMs durchsuchen – Ihre zentrale Kontrollbibliothek

Die Seite „TOMs durchsuchen" ist der Ausgangspunkt für die Verwaltung aller technischen und organisatorischen Maßnahmen (TOMs) in Ihrem DPMS. Ob Sie als Datenschutzbeauftragter Ihre Kontrollbibliothek aufbauen, als Compliance-Beauftragte eine Prüfung vorbereiten, als IT-Sicherheitsverantwortlicher Ihre Domänenabdeckung überprüfen oder als Risikomanager Maßnahmen mit Risikoereignissen verknüpfen möchten – hier beginnt jede TOM-bezogene Aktion. Da die DSGVO (Art. 32) verlangt, dass Unternehmen geeignete Schutzmaßnahmen umsetzen und nachweisen können, bietet diese Seite eine einheitliche, durchsuchbare und filterbare Übersicht aller dokumentierten Kontrollen sowie einen klaren Einstieg zum Erstellen, Importieren, Bearbeiten und Exportieren.

So öffnen Sie die Seite

Klicken Sie in der linken Navigationsleiste auf TOMs. Dieser Menüpunkt befindet sich auf der obersten Ebene – es ist kein Zwischenschritt über ein Untermenü nötig. DPMS führt Sie direkt zur Listenansicht.

Sie benötigen mindestens Lesezugriff auf das TOM-Modul, um die Liste zu sehen. Wenn Ihr Konto auf „Nur eigene/zugewiesene Einträge" eingeschränkt ist, erscheint dieselbe Seite, zeigt jedoch nur TOMs, bei denen Sie als verantwortliche Person eingetragen sind. Fehlen beide Berechtigungen, zeigt DPMS stattdessen eine „Verboten"-Seite an – wenden Sie sich in diesem Fall an Ihren Administrator.

Was Sie sehen

Die Seite gliedert sich in zwei Bereiche. Ganz oben, unterhalb der Überschrift „TOMs", befindet sich die Aktionsleiste: rechts der Erstellen-Button, daneben die Export-Schaltflächen JSON und XLSX, darunter die Tabreiste mit Statusfiltern. Ein Suchfeld ist neben den Tabs positioniert.

Den restlichen Bereich nimmt die TOM-Tabelle ein. Jede Zeile steht für eine Maßnahme und zeigt fünf Spalten: Name, Typ, Domäne, Standard und Reifegrad. Über eine Checkbox am linken Zeilenrand können Sie mehrere Einträge für Massenaktionen auswählen. Das Drei-Punkte-Menü … am rechten Rand jeder Zeile bietet Schnellzugriff auf zeilenspezifische Aktionen. Wenn Sie ans Ende der Tabelle scrollen, lädt die nächste Gruppe von TOMs automatisch nach – es gibt keine „Nächste Seite"-Schaltfläche.

Wenn Ihre Organisation an einem Gruppen-Sharing mit anderen Unternehmen Ihrer Gruppe teilnimmt, sehen Sie möglicherweise einen „Konsultierte Unternehmen"-Hinweis in der Nähe der Tabs sowie einzelne Zeilen mit einem Badge für geteilte Einträge oder ausstehende Änderungsanfragen.

Arbeiten auf dieser Seite

Eine neue TOM manuell anlegen

Wenn Sie eine neue Schutzmaßnahme – zum Beispiel eine frisch eingeführte „Verschlüsselung bei der Übertragung" – dokumentieren möchten, klicken Sie auf den animierten Erstellen-Button oben rechts. Ein kleines Dropdown-Menü mit zwei Optionen erscheint. Wählen Sie den ersten Eintrag (manuelle Erstellung): DPMS leitet Sie zum TOM-Erstellungsformular weiter und öffnet direkt den Tab Allgemein.

Füllen Sie folgende Felder aus:

• Name (mit Unterstützung mehrerer Sprachen, sofern Ihre Plattform entsprechend konfiguriert ist)
• Typ – z. B. „Technisch" oder „Organisatorisch"
• Domäne – die Sicherheitskategorie, etwa „Verschlüsselung" oder „Zugriffskontrolle"
• Standard – das Compliance-Framework, auf das die Maßnahme ausgerichtet ist, z. B. „ISO 27001 A.10" oder „DSGVO Art. 32"
• Eine Beschreibung, die erklärt, was die Maßnahme bewirkt
• Die Verantwortliche Person und einen ersten Status (typischerweise „Entwurf")

Klicken Sie auf Speichern. DPMS legt den Datensatz an und leitet Sie zur Detailansicht des neuen TOMs weiter. Beim nächsten Besuch der TOM-Liste – oder nach einem Neuladen der Seite – erscheint Ihre neue Maßnahme in der Tabelle.

Tipp: TOM-Namen sind mehrsprachig. Wenn Ihre Organisation in mehreren Sprachen arbeitet, tragen Sie den Namen in allen aktiven Sprachen ein, damit Kolleginnen und Kollegen sowie der MCP-Agent die Maßnahme unabhängig von ihrer Oberflächensprache finden können.

Einen Maßnahmensatz aus einer Datei importieren

Wenn Sie eine .json-Exportdatei mit Maßnahmen aus einer anderen DPMS-Umgebung erhalten haben – zum Beispiel einen Satz ISO-27001-Basismaßnahmen von Ihrer Konzernzentrale – können Sie diese alle auf einmal importieren, ohne jede Maßnahme einzeln anlegen zu müssen.

Klicken Sie auf Erstellen und wählen Sie im Dropdown Importieren. Der Datei-Dialog Ihres Betriebssystems öffnet sich. Wählen Sie die .json-Datei (mehrere Dateien gleichzeitig sind möglich) und klicken Sie auf Öffnen. Während das Backend jeden Datensatz verarbeitet, zeigt DPMS einen Ladeindikator. Sobald der Upload abgeschlossen ist, lädt die Seite die TOM-Liste neu, und alle importierten Einträge erscheinen in der Tabelle – bereit für weitere Bearbeitung und Zuweisung von Verantwortlichen.

Falls Datensätze die Validierung nicht bestehen, zeigt DPMS Fehlermeldungen als Benachrichtigungen an. Prüfen Sie diese, um zu verstehen, welche Einträge korrigiert werden müssen, bevor Sie den Import erneut starten.

Achtung: Wenn Sie auf „Importieren" klicken und der Datei-Dialog sich nicht öffnet, fehlt Ihrem Konto die Importberechtigung. Es erscheint keine Fehlermeldung – die Option bleibt einfach wirkungslos. Bitten Sie Ihren Administrator, Ihnen die entsprechende Rolle zu erteilen.

Den richtigen TOM schnell finden

Bei Dutzenden oder Hunderten von Maßnahmen ist Scrollen unpraktisch. Nutzen Sie das Suchfeld oben in der Tabelle, um die Ergebnisse in Echtzeit einzuschränken. Die Eingabe von „Verschlüsselung" filtert die Liste sofort auf alle Maßnahmen, deren Name oder indizierte Felder diesen Begriff enthalten. Das Löschen des Suchbegriffs stellt die vollständige Liste wieder her.

Für gezieltere Eingrenzungen nutzen Sie die Tab-Leiste oberhalb der Tabelle, um zwischen Statuskategorien zu wechseln – z. B. nur „Aktive" Maßnahmen vor einer Prüfung anzeigen oder nur „Entwürfe", die noch freigegeben werden müssen. DPMS merkt sich den zuletzt gewählten Tab: Wenn Sie die Seite verlassen und zurückkehren, ist derselbe Filter noch aktiv.

Sie können Tabs mit den Filtersteuerungen (Dropdowns oder Chips) neben dem Suchfeld kombinieren. Eine Informationssicherheitsbeauftragte könnte zum Beispiel den Typ „Technisch" und die Domäne „Zugriffskontrolle" gleichzeitig auswählen, um nur die für einen bestimmten Bereich relevanten Maßnahmen zu sehen.

Achtung: Aktive Filter bleiben innerhalb der laufenden Browsersitzung erhalten. Wenn die Tabelle beim Aufrufen unerwartet leer oder spärlich wirkt, prüfen Sie, ob ein Filter-Chip aktiv ist, und entfernen Sie ihn.

TOMs für eine Prüfung oder einen Bericht exportieren

Wenn Sie eine Maßnahmenliste an Prüferinnen und Prüfer übergeben oder in einen Compliance-Bericht aufnehmen möchten, verwenden Sie die Export-Schaltflächen oberhalb der Tabelle. DPMS berücksichtigt dabei alle aktiven Filter und Suchbegriffe – exportiert werden also nur die Einträge, die aktuell in der Tabelle sichtbar sind.

Klicken Sie auf XLSX, um eine Excel-Tabelle mit den Spalten Name, Typ, Domäne, Standard und Reifegrad aller sichtbaren TOMs herunterzuladen. Diese Datei öffnet sich direkt in Excel oder einer kompatiblen Anwendung und kann direkt dem Prüfungspaket beigefügt werden. Klicken Sie auf JSON, wenn Sie einen maschinenlesbaren Export benötigen – etwa um Maßnahmen in eine andere DPMS-Umgebung zu importieren.

Tipp: Wechseln Sie vor dem Export auf den Tab Aktiv und überprüfen Sie Ihre Filter. So enthält der Export genau die Teilmenge der Maßnahmen, die Sie beabsichtigen – und nicht Ihre gesamte Bibliothek.

Einen einzelnen TOM prüfen und bearbeiten

Klicken Sie auf eine beliebige Tabellenzeile (oder gezielt auf den TOM-Namen), um die vollständige Detailansicht zu öffnen. Dort können Sie die Beschreibung prüfen, die verantwortliche Person aktualisieren, Nachweisdokumente anhängen, die Maßnahme mit Risikoereignissen und Assets verknüpfen sowie Workflow-Reviews ausführen.

Wenn Sie nur eine schnelle Änderung vornehmen möchten, ohne die Detailansicht zu öffnen, nutzen Sie das …-Aktionsmenü am rechten Zeilenende. Es bietet direkten Zugriff auf Bearbeiten (öffnet das Bearbeitungsformular) und Löschen für den jeweiligen Eintrag.

Um mehrere veraltete Maßnahmen auf einmal zu löschen, aktivieren Sie die Checkboxen links neben den gewünschten Zeilen. Daraufhin erscheint eine Löschen-Schaltfläche in der Massenaktionsleiste oben in der Tabelle – das ist deutlich schneller als jeden Eintrag einzeln zu öffnen.

Achtung: Die Checkbox „Alle auswählen" wählt nur die aktuell geladenen Zeilen aus – nicht alle TOMs in der Datenbank. Wenn Sie bei einer sehr großen Bibliothek alle zu einem Filter passenden Einträge löschen möchten, scrollen Sie zuerst bis zum Ende der Tabelle, damit alle passenden Datensätze geladen sind, bevor Sie „Alle auswählen" aktivieren.

Geteilte TOMs aus Ihrer Unternehmensgruppe verstehen

Wenn Ihre Organisation Teil einer Gruppe ist, die Maßnahmen zentral teilt, tragen manche Zeilen in der Tabelle einen „Konsultierte Unternehmen"-Hinweis oder ein Badge für eine ausstehende Änderungsanfrage. Diese zeigen an, dass der TOM von einer anderen Organisation in Ihrer Gruppe stammt oder von ihr geprüft wird.

TOMs mit einem Badge für ausstehende Änderungsanfragen haben einen offenen Vorschlag einer konsultierenden Organisation, der noch nicht angenommen oder abgelehnt wurde. Sie können diese TOMs weiterhin lokal öffnen und bearbeiten – das Badge ist rein informativ. Um die Änderungsanfrage selbst zu prüfen und aufzulösen, öffnen Sie die TOM-Detailansicht und nutzen Sie dort das Optionsmenü.

Schreibgeschützte geteilte TOMs – solche, die Sie zwar einsehen, aber nicht bearbeiten können – zeigen beim Klick auf „Bearbeiten" im Aktionsmenü eine eingeschränkte Ansicht.

Feldbeschreibungen

Die fünf Tabellenspalten entsprechen direkt den Feldern, die beim Erstellen oder Bearbeiten eines TOMs verfügbar sind:

• Name – Der Titel der Maßnahme, in Ihrer aktiven Sprache angezeigt (mit Fallback auf die Standardsprache). Für aussagekräftige Einträge erforderlich; leere Namen können bei Importen mit unvollständigen Daten entstehen.
• Typ – Die Klassifizierung der Maßnahme: typischerweise „Technisch" oder „Organisatorisch". Optional – Einträge ohne Typ sind im System gültig.
• Domäne – Die Sicherheits- oder Compliance-Kategorie, z. B. „Zugriffskontrolle", „Verschlüsselung" oder „Physische Sicherheit". Auswahl aus einer festen Liste. Optional.
• Standard – Das Compliance-Framework, auf das diese Maßnahme ausgerichtet ist, z. B. „ISO 27001", „NIST CSF" oder ein benutzerdefiniertes Framework. Optional. Ein TOM muss keinem Standard zugeordnet sein, um in DPMS genutzt werden zu können, aber die Zuordnung ermöglicht modulübergreifende Compliance-Berichte.
• Reifegrad – Zeigt an, wie vollständig die Maßnahme umgesetzt und wie wirksam sie ist. Dieser Wert ergibt sich aus verknüpften Risikoereignis- und Asset-Implementierungsdaten und wird nicht direkt auf dieser Seite gesetzt. Neu angelegte TOMs zeigen zunächst keinen Reifegrad – dieser entsteht erst, wenn die Maßnahme mit Assets verknüpft und bewertet wurde. Wichtig: Die Spalte „Reifegrad" kann nicht sortiert werden – dies ist beabsichtigt, da der Reifegrad ein berechneter Wert ist, kein einfaches Attribut.

Wie diese Seite mit dem Rest von DPMS zusammenhängt

Die TOM-Liste ist gleichzeitig Ziel und Quelle. Jedes Modul, das mit Maßnahmen arbeitet – Risikoereignisse, ROPA, DSFA, Anbieter, Assets, Projekte –, bezieht seine Liste verfügbarer TOMs aus demselben internen Speicher, den diese Seite befüllt. Wenn eine Mitarbeiterin oder ein Mitarbeiter direkt zu einem Risikoereignis-Bearbeitungsformular navigiert, ohne zuvor in der Sitzung die TOM-Liste besucht zu haben, kann das TOM-Dropdown auf diesem Formular leer erscheinen. Ein einmaliger Besuch der TOM-Liste pro Sitzung stellt sicher, dass das Dropdown überall befüllt ist.

Von dieser Seite aus erreichen Sie:

• TOM-Detailansicht – durch Klicken auf eine beliebige Zeile. Die Detailansicht enthält Tabs für Allgemein, Dokumente, Relevante Risikoereignisse, Assets, ROPA, DSFA, Anbieter, Projekte, Aufgaben, Bewertungen, Workflows und Zugriffsverwaltung.
• TOM-Erstellen/Bearbeiten-Formular – über den Erstellen-Button oder die Bearbeiten-Option im Aktionsmenü.
• Gruppen-Sharing-Ansicht – verfügbar, wenn das Gruppen-Sharing in Ihren IT-Einstellungen aktiviert ist. Damit können Sie eine neu freigegebene Maßnahme an Tochtergesellschaften übermitteln.

Andere Seiten, die hierher zurückführen:

• Die TOM-Detailansicht und das Erstellen/Bearbeiten-Formular verfügen beide über eine Zurück-Navigation, die auf diese Liste verweist.
• Suchergebnisse der globalen Suche für TOM-Einträge verlinken zur Detailseite des TOMs, die wiederum hierher zurückführt.
• Workflow-Benachrichtigungen, die sich auf einen TOM beziehen, können einen Link zurück zu dieser Liste enthalten.

Auswirkungen Ihrer Aktionen auf andere Module:

• Maßnahmen, die Sie hier erstellen oder importieren, stehen als Auswahloptionen im TOM-Dropdown auf Formularen für Risikoereignisse, ROPA, DSFA, Anbieter, Assets und Projekte zur Verfügung.
• Reifegraddaten aus dem Asset-Implementierungsworkflow fließen in organisationsweite Reifegradübersichten und Risikobewertungen ein.
• TOMs, die an Workflow-Reviews teilnehmen, zeigen auf dieser Liste ein Badge für ausstehende Änderungsanfragen, wenn ein Review offen ist.

Tipps und häufige Stolperfallen

Tipp: Nach einem Massenimport lädt DPMS die Indexseite neu und stellt den zuletzt aktiven Tab wieder her. Wenn Sie TOMs mit dem Status „Entwurf" importiert haben, aber vorher auf dem Tab „Aktiv" waren, sind die neuen Einträge erst sichtbar, nachdem Sie zu „Alle" gewechselt haben. Gehen Sie nicht davon aus, dass der Import fehlgeschlagen ist – prüfen Sie zunächst Ihren Tab-Filter.

Achtung: Die Spalte „Reifegrad" kann nicht sortiert werden. Das überrascht Anwenderinnen und Anwender, die ihre Maßnahmen schnell nach Reifegrad ordnen möchten. Für die Arbeit mit Reifegraddaten öffnen Sie einzelne TOM-Details oder exportieren Sie die Liste und sortieren Sie in Excel.

• Leere TOM-Dropdowns in anderen Modulen: Der TOM-Selektor auf Formularen für Risikoereignisse, ROPA, DSFA, Anbieter und Assets wird aus einem internen Cache befüllt, der beim Laden des TOM-Moduls gefüllt wird. Wenn Kolleginnen oder Kollegen berichten, dass das TOM-Dropdown auf einem anderen Formular leer ist, bitten Sie sie, einmal die TOM-Liste aufzurufen – das füllt den Cache.
• Geteilte TOMs haben eingeschränkte Bearbeitungsmöglichkeiten. TOMs aus einer Gruppen-Sharing-Beziehung leiten Sie beim Klick auf „Bearbeiten" möglicherweise zu einer gemeinsamen Ansicht weiter, anstatt das Standard-Bearbeitungsformular zu öffnen. Das ist beabsichtigt – die Bearbeitung geteilter Maßnahmen wird durch die Sharing-Konfiguration der Gruppe gesteuert.
• Die Importoption ist ohne die nötige Berechtigung still inaktiv. Wenn das Klicken auf „Importieren" nichts bewirkt, enthält Ihre Rolle nicht die Importberechtigung. Es erscheint keine Fehlermeldung – der Datei-Dialog öffnet sich einfach nicht. Bitten Sie Ihren Administrator, Ihre Berechtigungen anzupassen.
• Badges für ausstehende Änderungsanfragen blockieren die Bearbeitung nicht. Ein farbiges Badge in einer Zeile bedeutet, dass eine konsultierende Organisation eine offene Änderungsanfrage gestellt hat. Sie können den TOM weiterhin lokal öffnen und bearbeiten. Das Auflösen der Änderungsanfrage erfolgt in der TOM-Detailansicht – nicht von dieser Liste aus.