Kontrollkataloge

Kontrollkataloge

Der Bildschirm „Kontrollkataloge" ist der zentrale Ort, an dem die Compliance-Grundlage Ihrer Organisation aufgebaut wird. Datenschutzbeauftragte (DSB), Informationssicherheitsmanager, Compliance-Verantwortliche und IT-Administratoren erstellen und pflegen hier die strukturierten Bibliotheken von Kontrollen — ob auf Basis international anerkannter Standards wie ISO 27001 oder eigener interner Rahmenwerke — an denen sämtliche Risikobewertungen, Reifegradbewertungen und Compliance-Berichte im DPMS gemessen werden. Ohne mindestens einen konfigurierten und aktiven Kontrollkatalog fehlt vielen nachgelagerten Funktionen schlicht die Grundlage.

Zugang zum Bildschirm

Navigieren Sie in der linken Seitenleiste zu IT-Einstellungen und wählen Sie dort den Unterpunkt Internationale Standards. Die Indexseite zeigt alle bereits konfigurierten Kontrollkataloge und Standards Ihrer Organisation. Von dort aus:

• Klicken Sie auf Erstellen, um einen neuen Kontrollkatalog von Grund auf aufzubauen.
• Klicken Sie auf die Bearbeiten-Schaltfläche neben einem vorhandenen Eintrag, um diesen zu ändern.

Hinweis: Für den Zugriff ist entweder die Berechtigung zur Verwaltung von Kontrollkatalogen oder die Berechtigung für internationale Standards in den IT-Einstellungen erforderlich. Fehlen beide, wird die Seite zwar geladen, zeigt jedoch anstelle des Formulars eine „403 Forbidden"-Meldung.

Screenshot

Was Sie auf dem Bildschirm sehen

Das Formular hat drei Betriebsmodi, die alle unter derselben URL erreichbar sind. Ein Zurück-Pfeil in der oberen linken Ecke führt Sie stets zur vorherigen Seite zurück. Der Seitentitel zeigt Ihnen, in welchem Modus Sie sich befinden: „Standard / Kontrollkatalog erstellen" beim Anlegen eines neuen Eintrags, „Bearbeiten [Datensatzname]" beim Bearbeiten der Struktur eines bestehenden Eintrags, und „Vorhandene Standards bearbeiten" bzw. „Vorhandene Kontrollkataloge bearbeiten" bei der Verwaltung bereits veröffentlichter Einträge.

In der oberen rechten Ecke befindet sich die Hauptaktionsschaltfläche — ihre Beschriftung wechselt je nach aktuellem Kontext: Erstellen, Speichern oder In den Bearbeitungsmodus wechseln. Diese Schaltfläche verschwindet vorübergehend, wenn das Formular auf die Auswahl eines Datensatzes wartet, was beim ersten Mal verwirrend wirken kann.

Der Allgemein-Tab zeigt die Konfigurationsfelder auf einer weißen Karte. Wenn Sie zur Strukturbearbeitung wechseln (der Tab Gruppeninformationen), wird der gesamte Hintergrund hellblau — ein bewusstes optisches Signal, dass Sie sich jetzt im Drag-and-Drop-Editor befinden.

Arbeiten mit diesem Bildschirm

Einen Kontrollkatalog erstmals anlegen

Wenn Sie auf der Indexseite der internationalen Standards auf Erstellen klicken, öffnet sich das Formular im Erstellungsmodus. Die Dropdown-Liste zur Datensatzauswahl ist ausgeblendet, und Sie sehen sofort das Namensfeld und den Typ-Selektor.

• Benennen Sie Ihren Kontrollkatalog. Geben Sie im Feld Name einen aussagekräftigen Namen ein — dieser erscheint in Dropdown-Listen und Berichten in der gesamten Plattform. Klicken Sie auf das Übersetzungssymbol neben dem Feld, um den Namen in weiteren von Ihrer DPMS-Installation unterstützten Sprachen anzugeben.
• Wählen Sie einen Typ. Die Dropdown-Liste Standard / Kontrollkatalog ist die wichtigste Entscheidung in diesem Formular — und sie kann nach dem Speichern nicht mehr geändert werden. Wählen Sie Standard, wenn Sie ein formales Compliance-Rahmenwerk (wie ISO 27001 oder DSGVO) abbilden — dadurch wird eine Risikomodell-Verknüpfung Pflicht und der Eintrag dem Risikomanagement-Modul zugeordnet. Wählen Sie Kontrollkatalog, wenn Sie einen internen Kontrollkatalog aufbauen, bei dem keine Risikomodell-Verknüpfung erforderlich ist, Kontrollen aber verpflichtend sind. Eine kleine Referenztabelle auf dem Bildschirm zeigt den Unterschied auf einen Blick.
• Wenn Sie „Standard" gewählt haben, wählen Sie einen Risikobereich. Die Dropdown-Liste Risikobereich erscheint und ermöglicht die Auswahl zwischen Datenschutz und Informationssicherheit. Dies teilt dem DPMS mit, welche Risikobewertungsdomäne dieser Standard abdeckt. Wie das Typfeld kann auch dieses nach dem Speichern nicht mehr geändert werden.
• Konfigurieren Sie die Parameter. Drei Umschalter steuern optionale Funktionen für alle Kontrollen in diesem Katalog:
• Kontrollanwendbarkeit — ermöglicht es Benutzern, die mit den Kontrollen dieses Katalogs arbeiten, jede Kontrolle als „anwendbar" oder „nicht anwendbar" zu kennzeichnen. Dies ist für den Anwendbarkeitsnachweis (Statement of Applicability) nach ISO 27001 unerlässlich.
• Kontrollaudit — schaltet Audit-Bewertungsfelder für Kontrollen frei und ermöglicht formale interne Auditprozesse auf Basis dieses Katalogs.
• Durchschnittlicher Reifegrad — aktiviert die aggregierte Reifegradberechnung über alle Kontrollen hinweg, die in Compliance-Dashboards und Reifegraddiagrammen angezeigt wird.
• Optional: Kontrollen aus bestehenden Katalogen importieren. Die Multi-Auswahl Kontrollimport erlaubt es Ihnen, die Kontrollstruktur aus einem oder mehreren bestehenden Standards oder Kontrollkatalogen in Ihren neuen Eintrag zu übernehmen. Das spart erheblich Zeit, wenn Ihr neuer Katalog viele Kontrollen mit einem bestehenden ISO-Standard teilt. Bitte beachten Sie: Importierte Kontrollen sind eine Momentaufnahme — spätere Änderungen am Quellkatalog werden nicht automatisch übertragen.
• Klicken Sie auf Erstellen. Das DPMS speichert den Datensatz und öffnet sofort den Tab Gruppeninformationen, damit Sie mit dem Aufbau der Kontrollstruktur beginnen können.

Die Gruppen-, Abschnitt- und Kontrollhierarchie aufbauen

Nach dem Erstellen eines Kontrollkatalogs (oder beim Bearbeiten eines bestehenden) befinden Sie sich auf dem Tab „Gruppeninformationen" — dem Drag-and-Drop-Struktureditor. Der hellblaue Hintergrund signalisiert, dass Sie sich im Bearbeitungsmodus befinden.

Die Hierarchie umfasst drei Ebenen: Gruppen (übergeordnete Domänen, z. B. „Anhang A — Organisatorische Kontrollen"), Abschnitte (Untergliederungen einer Gruppe, z. B. „A.5.1 — Richtlinien") und Kontrollen (die einzelnen Anforderungen).

• Eine Gruppe hinzufügen. Sie sehen eine leere Standardgruppe. Geben Sie einen Kurzcode (z. B. „A") und einen Namen (z. B. „Rechte der betroffenen Personen") in die beiden Textfelder der Gruppenzeile ein. Um weitere Gruppen hinzuzufügen, klicken Sie auf die grüne +-Schaltfläche auf dem grünen Banner unterhalb einer beliebigen Gruppe — die Schaltfläche expandiert zu drei Optionen: Gruppe hinzufügen, Abschnitt hinzufügen und Kontrolle hinzufügen.
• Abschnitte innerhalb einer Gruppe hinzufügen. Klicken Sie auf Abschnitt hinzufügen, um einen Abschnitt innerhalb der Gruppe zu erstellen. Vergeben Sie einen Code und einen Namen. Abschnitte können auch in eine andere Gruppe verschoben werden — greifen Sie dazu das Griffsymbol (die sechs Punkte) auf der linken Seite der Zeile.
• Kontrollen hinzufügen. Klicken Sie auf Kontrolle hinzufügen (entweder innerhalb eines Abschnitts oder direkt in einer Gruppe für eigenständige Kontrollen). Jede Kontrollkarte hat ein Feld Kontrollname (die kurze Bezeichnung) und ein Feld Kontrollbeschreibung (den vollständigen Anforderungstext). Beide Felder unterstützen den Übersetzungsmechanismus.
• Eine To-Do-Liste zu einer Kontrolle hinzufügen. Schalten Sie den Umschalter TO-DO-LISTE bei einer Kontrolle auf Aktiviert. Eine grüne +-Schaltfläche erscheint; klicken Sie sie jedes Mal, wenn Sie eine Umsetzungsaufgabe hinzufügen möchten (z. B. „Antragsformular erstellen", „Bearbeitungszeitraum festlegen"). To-Do-Einträge können per Drag-and-Drop neu angeordnet werden. Schalten Sie den Umschalter aus, um die Liste zu verbergen und zu deaktivieren, ohne sie zu löschen.
• Alles neu anordnen. Ziehen Sie Gruppen, Abschnitte, Kontrollen und To-Do-Einträge an ihren Griffsymbolen. Die hier festgelegte Reihenfolge ist die Reihenfolge, in der Benutzer die Elemente im gesamten DPMS sehen.
• Elemente löschen. Klicken Sie auf die rote runde Minus-Schaltfläche rechts neben einer Gruppe, einem Abschnitt, einer Kontrolle oder einem To-Do-Eintrag, um das Element zu entfernen. Es gibt keinen Bestätigungsdialog — die Löschung erfolgt sofort innerhalb des Editors. Nichts ist jedoch endgültig, bis Sie auf Speichern klicken.
• Wenn Ihre Struktur vollständig ist, klicken Sie oben rechts auf Speichern. Das DPMS speichert die gesamte Hierarchie und kehrt zur Indexseite der internationalen Standards zurück.

Hinweis: Alle Änderungen im Struktureditor existieren nur im Arbeitsspeicher, bis Sie auf Speichern klicken. Wenn Sie die Seite verlassen oder den Tab schließen, ohne zu speichern, gehen alle Ergänzungen, Löschungen und Neuanordnungen ohne Warnung verloren.

Den Kontrollkatalog in weitere Sprachen übersetzen

Sobald Ihre Struktur aufgebaut ist, können Sie alle Gruppennamen, Abschnittsnamen, Kontrollnamen, Beschreibungen und To-Do-Einträge auf einmal automatisch übersetzen lassen.

• Am oberen Rand des Tabs „Gruppeninformationen" sehen Sie eine Reihe von Sprachschaltflächen (z. B. EN, DE, FR). Klicken Sie auf die Schaltfläche der gewünschten Sprache.
• Das DPMS zeigt einen „Wird übersetzt…"-Ladeindikator und deaktiviert alle Textfelder. Eine Anfrage wird mit Ihrer vollständigen Kontrollhierarchie an den Übersetzungsdienst gesendet. Sobald die Antwort eintrifft, werden alle Felder mit dem übersetzten Text befüllt.
• Überprüfen Sie die automatischen Übersetzungen. Klicken Sie in ein beliebiges Feld, um es manuell zu korrigieren. Ihre manuellen Bearbeitungen aktualisieren nur die ausgewählte Sprachvariante.
• Klicken Sie auf Speichern, um sowohl den Originaltext als auch den übersetzten Inhalt zu übernehmen.

Hinweis: Wenn Sie nach manuellen Korrekturen erneut auf eine Sprachschaltfläche klicken, überschreibt der Übersetzungsdienst Ihre Bearbeitungen mit einer neuen maschinellen Übersetzung. Nehmen Sie manuelle Korrekturen immer erst nach Ihrer letzten Übersetzungsanfrage vor.

Einen veröffentlichten Standard umbenennen oder entfernen

Wenn ein Standard bereits veröffentlicht und in Ihrer Organisation aktiviert wurde, folgt das Bearbeiten seines Namens oder das Entfernen einem anderen Pfad — das DPMS öffnet automatisch den Tab Vorhandene Standards bearbeiten.

• Sie sehen eine Liste aller aktiven Standards oder Kontrollkataloge, jeweils auf einer blauen Karte mit einem mehrsprachigen Namensfeld. Klicken Sie in das Namensfeld und geben Sie den neuen Namen ein (z. B. Änderung von „ISO 27001:2013" in „ISO 27001:2022"). Aktualisieren Sie alle Sprachvarianten nach Bedarf.
• Um einen Standard zu entfernen, klicken Sie auf das Papierkorb-Symbol rechts neben der Karte. Eine Bestätigungsleiste gleitet ein — klicken Sie auf das Häkchen zur Bestätigung oder auf das X zum Abbrechen. Die Löschung ist zu diesem Zeitpunkt noch nicht endgültig.
• Lesen Sie vor dem Löschen den Warnhinweis am oberen Rand des Tabs sorgfältig durch. Das Löschen eines Standards hat Auswirkungen auf Risikomodelle und andere Datensätze, die auf diesen Standard verweisen.
• Klicken Sie auf Speichern. Das DPMS schreibt alle Namensänderungen und Löschungen in die Datenbank und kehrt zur Indexseite zurück.

Feldreferenz

• Name — Der Anzeigename für diesen Kontrollkatalog oder Standard, der in Dropdown-Listen und Berichten im gesamten DPMS erscheint. Unterstützt mehrere Sprachen über die Übersetzungsschaltfläche. Pflichtfeld vor dem Speichern.
• Standard / Kontrollkatalog (Typ) — Bestimmt das Verhalten des Datensatzes in der gesamten Plattform. Standard: erfordert ein verknüpftes Risikomodell und hat optionale Kontrollen. Kontrollkatalog: erfordert Kontrollen, aber kein Risikomodell. Kann nach dem ersten Speichern nicht mehr geändert werden.
• Risikobereich — Nur sichtbar, wenn der Typ Standard ist. Wählen Sie Datenschutz für Datenschutz-Risikobewertungen (Verzeichnis der Verarbeitungstätigkeiten, DSFA) oder Informationssicherheit für Asset-Risikobewertungen. Kann nach dem ersten Speichern nicht mehr geändert werden.
• Kontrollanwendbarkeit — Umschalter. Wenn aktiviert, erhält jede Kontrolle in diesem Katalog in nachgelagerten Bildschirmen einen „anwendbar / nicht anwendbar"-Schalter.
• Kontrollaudit — Umschalter. Wenn aktiviert, zeigen Kontrollen in diesem Katalog Audit-Bewertungsfelder bei der Verwendung in Audit-Workflows.
• Durchschnittlicher Reifegrad — Umschalter. Wenn aktiviert, berechnet das DPMS einen aggregierten Reifegradwert über alle Kontrollen des Katalogs und stellt diesen in Compliance-Dashboards dar.
• Kontrollimport — Mehrfachauswahl mit Suchfunktion. Wählen Sie einen oder mehrere bestehende Kontrollkataloge oder Standards aus, um deren Kontrollhierarchie in den neuen Eintrag zu importieren. Importierte Inhalte sind eine einmalige Momentaufnahme.
• Gruppen-Code-Feld — Ein kurzer alphanumerischer Code für die Gruppe (z. B. „A" oder „A.5"). Maximal 50 Zeichen.
• Gruppen-Name-Feld — Der Anzeigename der Gruppe (z. B. „Organisatorische Kontrollen"). Maximal 300 Zeichen.
• Abschnitts-Code und Name — Wie bei Gruppenfeldern; maximal 50 bzw. 300 Zeichen.
• Kontroll-Name — Die kurze Bezeichnung der einzelnen Anforderung. Maximal 300 Zeichen.
• Kontroll-Beschreibung — Der vollständige Text der Anforderung. Maximal 300 Zeichen.
• To-Do-Eintragstext — Der Text einer Umsetzungsaufgabe. Maximal 300 Zeichen.

Verbindung zum Rest des DPMS

Kontrollkataloge gehören zu den grundlegendsten Datensätzen im System. Alles, was Sie hier konfigurieren, wirkt sich auf zahlreiche andere Bereiche aus:

• Risikomanagement: Wenn ein Kontrollkatalog vom Typ „Standard" aktiviert wird, wird er in Risikomodellkonfigurationen verpflichtend. Ohne ihn können Risikomodelle in dieser Domäne nicht vollständig konfiguriert werden.
• Asset- und Datenschutz-Risikobewertungen: Kontrollen aus diesem Katalog erscheinen in Asset-Risikobewertungen sowie in Risikobewertungen für Verarbeitungstätigkeiten und DSFAs. Die hier gesetzten Parameter für Kontrollanwendbarkeit und Kontrollaudit bestimmen, welche Optionen den Bewertern angezeigt werden.
• Reifegradmessung und Compliance-Dashboards: Die Aktivierung des Parameters „Durchschnittlicher Reifegrad" schaltet aggregierte Reifegraddiagramme in den Berichtsbildschirmen frei. Ohne diesen Parameter existieren zwar Reifegraddaten auf Kontrollebene, werden aber nicht zu einem Gesamtwert zusammengefasst.
• Compliance-Gap-Analyse und Berichterstattung: Jeder Compliance-Bericht, der Ihre Organisation an einem Rahmenwerk misst, greift auf die hier aufgebaute Kontrollhierarchie zurück.

Nach Abschluss dieser Konfiguration ist der nächste Schritt in der Regel die Aktivierung des Kontrollkatalogs in den Risikoeinstellungen (bei einem Standard-Typ) oder die Zuweisung zu der entsprechenden Risikomodellkonfiguration. Möglicherweise möchten Sie danach auch Asset- oder Lieferantenbewertungen einrichten, die auf den neuen Katalog verweisen.

Die Indexseite der internationalen Standards ist der wichtigste Einstiegspunkt für diesen Bildschirm, und die Risikoeinstellungen für aktive Kontrollkataloge verlinken zur Bearbeitung hierher zurück.

Tipps und häufige Fehler

Hinweis: Die Felder Typ und Risikobereich sind nach dem ersten Speichern dauerhaft gesperrt. Wenn Sie merken, dass Sie den falschen Typ gewählt haben, müssen Sie den Datensatz löschen und neu beginnen. Nehmen Sie sich daher einen Moment Zeit, um Ihre Auswahl vor dem Klicken auf Erstellen zu überprüfen.

Hinweis: Die Schaltfläche Speichern verschwindet, wenn Sie sich im Bearbeitungsmodus befinden, aber noch keinen Datensatz aus der Dropdown-Liste ausgewählt haben. Das ist beabsichtigt — wählen Sie Ihren Datensatz über die Dropdown-Liste aus, und die Schaltfläche erscheint wieder. Verwechseln Sie das fehlende Schaltfläche nicht mit einem Seitenfehler.

• Nicht gespeicherte Änderungen gehen lautlos verloren. Der Struktureditor hält alle Änderungen nur im Arbeitsspeicher. Wenn Sie auf den Zurück-Button des Browsers klicken, die Seite aktualisieren oder zu einem anderen Bildschirm wechseln, ohne zu speichern, werden alle Ihre Arbeiten ohne Warnung verworfen.
• Das Löschen einer Gruppe entfernt alle untergeordneten Elemente. Die rote Minus-Schaltfläche bei einer Gruppe entfernt sofort alle darin verschachtelten Abschnitte und Kontrollen. Da Änderungen erst nach dem Klicken auf Speichern dauerhaft sind, können Sie den Fehler korrigieren, indem Sie die Seite verlassen, ohne zu speichern — aber nur, wenn Sie den Fehler vor dem Speichern bemerken.
• Importierte Kontrollen sind eine Momentaufnahme, keine Live-Verknüpfung. Kontrollen, die aus einem anderen Katalog importiert wurden, werden zum Zeitpunkt der Erstellung kopiert. Spätere Änderungen am Quellkatalog werden nicht automatisch in Ihren Kontrollkatalog übernommen. Planen Sie regelmäßige Überprüfungen importierter Inhalte ein.
• Abschnitte können gruppenübergreifend verschoben werden. Wenn Sie versehentlich einen Abschnitt in die falsche Gruppe ziehen, ziehen Sie ihn einfach zurück. Diese gruppenübergreifende Verschiebung ist beabsichtigt und bei der Umstrukturierung großer Rahmenwerke sehr nützlich.
• Manuelle Übersetzungskorrekturen immer nach der letzten automatischen Übersetzung vornehmen. Ein erneuter Klick auf eine Sprachschaltfläche überschreibt alle manuellen Bearbeitungen in dieser Sprache mit einer neuen maschinellen Übersetzung.