TOM erstellen

TOM erstellen (Technische und Organisatorische Maßnahme)

Der Bildschirm zum Erstellen einer TOM ist der Ort, an dem die Schutzmaßnahmen Ihrer Organisation in DPMS eine formale, strukturierte Heimat erhalten. Ob Sie als Datenschutzbeauftragter eine neue Verschlüsselungsrichtlinie dokumentieren, als Informationssicherheitsmanager Zugangskontrollen erfassen oder als Compliance-Beauftragter Ihren Nachweiskatalog gemäß Art. 32 DSGVO aufbauen — hier erhält jede einzelne Maßnahme einen benannten Datensatz, auf den der Rest der Plattform verweisen kann. Sobald eine TOM existiert, können alle anderen Module — Risikoszenarien, Assets, ROPA-Einträge, DPIAs, Lieferantendatensätze, Bewertungen und Aufgaben — auf sie verlinken. Dieser Bildschirm ist damit der zentrale Ankerpunkt Ihres gesamten Kontrollrahmens.

So öffnen Sie diesen Bereich

So erstellen Sie eine neue TOM:

• Öffnen Sie die linke Navigationsleiste und navigieren Sie zu Controls (in manchen Ansichten auch Compliance).
• Klicken Sie auf TOMs (Technische und Organisatorische Maßnahmen). Die TOM-Übersichtstabelle öffnet sich.
• Klicken Sie oben rechts auf der Übersichtsseite auf die Schaltfläche Erstellen.
• Ein kurzes Menü erscheint — wählen Sie die Option, eine TOM manuell zu erstellen (im Gegensatz zum Herunterladen aus der gemeinsamen Bibliothek).

Das leere Erstellungsformular öffnet sich sofort.

Um eine bestehende TOM zu bearbeiten, klicken Sie auf die entsprechende Zeile in der Übersichtstabelle und dann auf das Bearbeiten-Symbol in der Kopfzeile des Datensatzes. Derselbe Bildschirm öffnet sich, vorausgefüllt mit den gespeicherten Daten.

Hinweis: Sie benötigen die Berechtigung TOMs erstellen, um das leere Erstellungsformular zu öffnen. Zum Bearbeiten ist entweder die Berechtigung TOMs bearbeiten oder Nur zugewiesene TOMs bearbeiten erforderlich (letztere beschränkt Sie auf Datensätze, bei denen Sie als verantwortliche Person eingetragen sind). Wenn Sie den Bildschirm ohne die erforderliche Berechtigung aufrufen, sehen Sie anstelle des Formulars eine Fehlermeldung.

Was Sie sehen

Der Bildschirm öffnet sich innerhalb der gewohnten DPMS-Oberfläche. Ganz oben zeigt ein Seitentitel TOM erstellen (bzw. den Namen der TOM beim Bearbeiten). Links daneben befindet sich ein Zurück-Pfeil.

Unterhalb des Titels zeigt die linke Seite des Inhaltsbereichs ein vertikales Tab-Menü — die Navigationsstruktur für alles, was zu dieser TOM gehört. Die Tabs sind: Allgemein, Dokumente, Aufgaben, Risikosze­narien, Nachweise, Bewertungen, Asset-Szenario, Reifegradlücken, Zugriff verwalten, Workflow auslösen und Übersicht. Der aktuell aktive Tab ist hervorgehoben. Wenn Sie mehr horizontalen Platz für das Formular benötigen, klicken Sie auf das kleine Kreis-Symbol am linken Rand, um das Menü einzuklappen; der Breadcrumb oben im Hauptbereich zeigt weiterhin an, welcher Tab aktiv ist.

Der Hauptinhaltsbereich rechts zeigt das Formular für den aktiven Tab. Auf dem Tab Allgemein — wo jede neue TOM beginnt — befindet sich oben eine kompakte Aktionsleiste mit dem Status-Selektor und dem Verantwortliche Person-Selektor. Darunter erscheinen die Datenfelder in einer sauberen vertikalen Anordnung: Name, Typ, Klassifizierung, Beschreibung, Domäne und Standard. Eine Speichern-Schaltfläche befindet sich oben rechts und ist auf jedem Tab vorhanden (mit einer Ausnahme, die weiter unten erläutert wird).

Arbeiten mit diesem Bildschirm

Eine TOM von Grund auf erstellen

Beginnen Sie auf dem Tab Allgemein. Dies ist der einzige Tab, den Sie ausfüllen müssen, bevor der Datensatz im System existiert — alle anderen Tabs werden erst nach dem ersten Speichern sinnvoll nutzbar.

• Status festlegen und verantwortliche Person zuweisen. Öffnen Sie in der Aktionsleiste oben das Status-Dropdown und wählen Sie den passenden Lebenszyklusstatus — in der Regel Entwurf, wenn die Maßnahme gerade dokumentiert wird, oder Aktiv, wenn sie bereits in Betrieb ist. Klicken Sie anschließend auf den Verantwortliche Person-Selektor und wählen Sie die Person oder Personen aus, die für diese TOM verantwortlich sind. Sich selbst hier einzutragen ist besonders wichtig, wenn Ihr Konto die Berechtigung „Nur zugewiesene TOMs bearbeiten" hat, da Sie sich damit dauerhaft Bearbeitungsrechte sichern.
• Einen aussagekräftigen Namen vergeben. Klicken Sie in das Feld Name und tippen Sie den Namen der Maßnahme — zum Beispiel Verschlüsselung ruhender Daten. Dieses Feld unterstützt mehrere Sprachen: Wenn Ihre Organisation in mehr als einer Sprache arbeitet, erscheint ein Übersetzungs-Button (ein Globus-Symbol) neben dem Feld. Wenn in den IT-Einstellungen ein KI-Anbieter konfiguriert wurde, können Übersetzungen durch einen Klick automatisch generiert werden. Der hier eingegebene Name wird in allen anderen Modulen von DPMS angezeigt, wenn auf diese TOM verwiesen wird — wählen Sie ihn daher eindeutig und präzise.
• Typ, Domäne und Standard wählen. Öffnen Sie das Typ-Dropdown und wählen Sie die Kategorie, die die Art der Maßnahme am besten beschreibt — zum Beispiel Technisch für eine Verschlüsselungskontrolle oder Organisatorisch für ein Datenhandhabungsverfahren. Öffnen Sie dann das Domäne-Dropdown und wählen Sie den Sicherheits- oder Compliance-Bereich der TOM, etwa Kryptografie oder Zugangskontrolle. Öffnen Sie zuletzt das Standard-Dropdown und wählen Sie den Compliance-Rahmen, den diese TOM erfüllen soll — zum Beispiel ISO 27001 oder DSGVO. Keines dieser drei Felder ist Pflicht, aber das Leer­lassen bedeutet, dass die TOM nicht in domänenbezogenen Berichten oder standardbasierten Filtern erscheint.
• Klassifizierungstags hinzufügen. Klicken Sie auf das Feld Klassifizierung, um die Mehrfachauswahl zu öffnen. Wählen Sie ein oder mehrere Tags aus der eigenen Taxonomie Ihrer Organisation — zum Beispiel DSGVO Art. 32 oder Hohes Risiko. Klassifizierungstags werden von Ihrem Systemadministrator in den Compliance-Einstellungen erstellt. Wenn das Dropdown leer ist, bitten Sie Ihren Administrator zunächst, Tags für TOMs anzulegen.
• Eine Beschreibung verfassen. Klicken Sie in das Feld Beschreibung und dokumentieren Sie, was die Maßnahme tatsächlich bewirkt — welcher Schutz vorhanden ist, wie er funktioniert und was er schützt. Dies ist das Feld, das Prüfer am häufigsten lesen, also seien Sie gründlich. Wie das Namensfeld unterstützt es mehrsprachige Eingaben und KI-gestützte Übersetzung.
• Den Datensatz speichern. Klicken Sie oben rechts auf Speichern. DPMS erstellt die TOM, macht sie sofort in den TOM-Auswahlfeldern aller anderen Module verfügbar (einschließlich aller anderen Browser-Tabs, die Sie geöffnet haben), und leitet Sie zur Detailansicht der neuen TOM weiter. Wenn Sie das Erstellungsformular von einem anderen Datensatz aus geöffnet haben — z. B. vom TOM-Verknüpfungs-Tab eines ROPA-Eintrags —, werden Sie stattdessen zu diesem übergeordneten Datensatz zurückgeleitet.

Risikosze­narien verknüpfen und Assets zuordnen

Sobald der TOM-Datensatz existiert, können Sie ihn mit den Risiken verbinden, die er mindert, und den Assets, die er schützt.

• Relevante Risikoszenarien verknüpfen. Klicken Sie im linken Tab-Menü auf Risikoszenarien. Das Panel zeigt zwei Unterbereiche: bereits verknüpfte Szenarien und die vollständige Bibliothek zum Hinzufügen neuer. Suchen Sie das gewünschte Szenario, wählen Sie es aus und klicken Sie auf Speichern in diesem Tab. Dieses Speichern ist unabhängig vom Tab „Allgemein" — es aktualisiert nur die Risikosze­narien-Verknüpfungen. Das Verknüpfen von Risikoszenarien ist es, was die TOM in Reifegrad- und Lückenberichten bedeutsam macht.
• Assets den Szenarien zuordnen. Klicken Sie nach dem Speichern der Risikosze­narien-Verknüpfungen auf den Tab Asset-Szenario. Eine Tabelle erscheint mit je einer Zeile pro verknüpftem Risikosze­nario. Öffnen Sie für jede Zeile das Assets-Dropdown in der zweiten Spalte und wählen Sie die Informations-Assets aus, die diese TOM im Kontext dieses spezifischen Szenarios schützt. Klicken Sie auf Speichern. Damit entsteht eine dreigliedrige Beziehung: TOM → Risikosze­nario → Asset, die Ihnen ein vollständiges Implementierungsbild gibt.
• Reifegrad und Lücken prüfen. Klicken Sie auf den Tab Reifegradlücken, um ein Implementierungs-Dashboard zu sehen, das zeigt, welche Assets durch diese TOM abgedeckt sind und bei welchen noch Lücken bestehen. Eine Lücke besteht, wenn ein Asset im Scope eines Risikosze­narios liegt, das diese TOM adressiert, die TOM aber noch nicht vollständig für dieses Asset implementiert wurde. Nutzen Sie diese Ansicht, um Implementierungsarbeiten zu priorisieren.

Hinweis: Der Tab „Asset-Szenario" zeigt nur Zeilen für Risikosze­narien, die bereits auf dem Tab „Risikoszenarien" verknüpft und gespeichert wurden. Wenn Sie zu „Asset-Szenario" navigieren, bevor Sie die Risikosze­narien-Verknüpfungen gespeichert haben, ist die Tabelle leer. Speichern Sie immer zuerst den Tab „Risikoszenarien".

Dokumente, Aufgaben, Bewertungen und Nachweise anhängen

Jeder der übrigen Inhalts-Tabs funktioniert ähnlich: Elemente aus der globalen Bibliothek auswählen und dann auf Speichern in dem jeweiligen Tab klicken, um die Verknüpfungen zu speichern.

• Dokumente: Klicken Sie auf den Tab Dokumente, um das Richtlinien- oder Verfahrensdokument anzuhängen, das diese TOM regelt — z. B. eine Verschlüsselungsrichtlinie. Durchsuchen Sie die Dokumentenbibliothek, wählen Sie das entsprechende Dokument aus und klicken Sie auf Speichern.
• Aufgaben: Klicken Sie auf den Tab Aufgaben, um Abhilfe- oder Implementierungsaufgaben direkt mit der TOM zu verknüpfen und operative To-dos mit der zugehörigen Maßnahme zu verbinden.
• Bewertungen: Klicken Sie auf den Tab Bewertungen, um Compliance-Bewertungen zu verknüpfen — z. B. eine DSGVO-Bereitschaftsbewertung —, um zu belegen, dass diese Kontrolle evaluiert wurde.
• Nachweise: Klicken Sie auf den Tab Nachweise, um zu belegen, dass die Kontrolle tatsächlich vorhanden ist. Das kann ein Screenshot, ein Prüfbericht oder ein Konfigurationsexport sein.

Tipp: Das Speichern erfolgt tab-spezifisch — jeder Tab hat seine eigene Speichern-Schaltfläche. Wenn Sie den Tab „Allgemein" ausfüllen und dann zu „Dokumente" wechseln, ohne vorher gespeichert zu haben, gehen Ihre Allgemein-Daten nicht verloren — aber ein Klick auf Speichern im Tab „Dokumente" speichert nur die Dokumentenverknüpfungen. Vergessen Sie nicht, jeden Tab einzeln zu speichern.

Zugriff auf sensible TOMs einschränken

Wenn eine TOM Sicherheitsarchitektur oder Überwachungsverfahren dokumentiert, die nicht für alle Compliance-Mitarbeitenden sichtbar sein sollten, können Sie einschränken, wer sie sehen und bearbeiten darf.

• Klicken Sie im linken Tab-Menü auf Zugriff verwalten.
• Wählen Sie im Zielgruppen-Mehrfachauswahlfeld eine oder mehrere Zielgruppen, die in Ihren Compliance-Einstellungen definiert sind. Gruppen mit Schreibzugriff können den Datensatz bearbeiten; Gruppen mit Lesezugriff können ihn nur ansehen.
• Wenn Sie bestimmten Einzelpersonen anstelle ganzer Gruppen Zugriff gewähren möchten, fügen Sie diese über das Benutzer-Mehrfachauswahlfeld nach Namen hinzu.
• Klicken Sie auf Speichern. DPMS aktualisiert die Zugriffsregeln und leitet Sie zur Detailansicht der TOM zurück. Ab diesem Zeitpunkt können nur Benutzer der ausgewählten Zielgruppen (und Systemadministratoren) diese TOM in der Übersicht finden oder ihre Details aufrufen.

Einen Workflow für die formale Überprüfung auslösen

Wenn eine TOM einen formalen Genehmigungs- oder Jahresüberprüfungszyklus durchlaufen soll, können Sie direkt aus dem Datensatz heraus einen Workflow auslösen.

• Klicken Sie auf den Tab Workflow auslösen. (Sie benötigen die Berechtigung Workflow TOMs zuweisen, damit dieser Tab zugänglich ist — ohne sie zeigt der Tab eine vollständige Fehlermeldungsseite statt eines deaktivierten Zustands.)
• Wählen Sie eine Workflow-Vorlage aus den verfügbaren Optionen. Diese Vorlagen werden von Ihrem Administrator im Bereich Workflow-Einstellungen konfiguriert.
• Senden Sie den Trigger ab. Der Workflow wird erstellt, Prüfer werden benachrichtigt und Fristen werden gemäß der Vorlage gesetzt.

Sobald ein Workflow läuft, wird der Tab Übersicht zum Arbeitsbereich für Prüfer. Genehmigende, die eine Benachrichtigungs-E-Mail erhalten, können den Link anklicken, um direkt auf dem Tab „Übersicht" zu landen, die Details der TOM zu prüfen, ihren Schritt als abgeschlossen zu markieren und auf Speichern zu klicken, um den Workflow zum nächsten Genehmigenden weiterzuleiten. Wenn alle Schritte abgeschlossen sind, wird der Workflow als abgeschlossen markiert, und die reguläre Speichern-Schaltfläche wird durch eine Workflow abbrechen-Schaltfläche ersetzt (mit der Sie den Workflow bei Bedarf abbrechen können).

Feldreferenz

Wie dieser Bereich mit dem Rest von DPMS zusammenhängt

Der TOM-Erstellungsbildschirm ist der Ausgangspunkt für einen Kontrolldatensatz, der durch die gesamte Plattform fließt. Sobald eine TOM gespeichert ist, erscheint sie sofort in den TOM-Auswahlfeldern aller anderen Module — ein Kollege, der in einem anderen Browser-Tab an einem ROPA-Eintrag oder einem Risikosze­nario arbeitet, sieht die neue TOM in seinem Dropdown, ohne die Seite neu laden zu müssen.

Wichtige Downstream-Verbindungen:

• Risikoszenarien: Der Tab „Risikoszenarien" auf diesem Bildschirm verknüpft eine TOM mit den spezifischen Risiken, die sie mindert. Diese Verknüpfungen sind dann in der Detailansicht des Risikosze­narios unter dem TOM-Bereich sichtbar.
• Assets: Über den Tab „Asset-Szenario" erstellen Sie eine dreigliedrige Beziehung zwischen TOM, Risikosze­nario und Asset. Dies treibt die Reifegradlücken-Ansicht und die Asset-Risikobewertungen im Assets-Modul an.
• ROPA und DPIAs: Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzungen können auf TOMs verweisen, um zu belegen, dass angemessene Schutzmaßnahmen vorhanden sind — eine direkte Anforderung des Art. 32 DSGVO.
• Dokumente und Bewertungen: Auf den Tabs „Dokumente" und „Bewertungen" erstellte Verknüpfungen erscheinen auf beiden Seiten — das Dokument oder die Bewertung zeigt diese TOM ebenfalls in ihrer eigenen Verknüpfungsliste an.
• Workflows: Ausgelöste Workflows senden Benachrichtigungs-E-Mails, die direkt auf den Tab „Übersicht" dieses Bildschirms verlinken und Prüfer hierher bringen, um ihre zugewiesenen Schritte abzuschließen.

Nach dem Abschluss des ersten Setups auf dem Tab „Allgemein" sind die natürlichen nächsten Schritte: relevante Risikoszenarien verknüpfen, diese Szenarien auf dem Tab „Asset-Szenario" Assets zuordnen, die Reifegradlücken-Ansicht überprüfen und zugehörige Dokumente oder Nachweise anhängen. Wenn die TOM eine formale Genehmigung erfordert, sollten Sie einen Workflow auslösen, bevor Sie sie auf „Aktiv" setzen.

Tipps und häufige Stolpersteine

Hinweis: Jeder Tab speichert unabhängig. Den Tab „Allgemein" ausfüllen und dann zu „Dokumente" wechseln, ohne vorher auf Speichern geklickt zu haben, verwirft Ihre Allgemein-Daten nicht — aber ein Klick auf Speichern im Tab „Dokumente" speichert nur die Dokumentenverknüpfungen. Speichern Sie jeden Tab einzeln, bevor Sie weiternavigieren.

Hinweis: Die Tabelle im Tab „Asset-Szenario" ist leer, wenn Sie Ihre Risikosze­narien-Verknüpfungen noch nicht gespeichert haben. Navigieren Sie zuerst zum Tab „Risikoszenarien", verknüpfen Sie Ihre Szenarien, klicken Sie dort auf Speichern — erst dann gehen Sie zu „Asset-Szenario".

• Klassifizierungstags müssen vorhanden sein, bevor Sie sie verwenden können. Wenn das Klassifizierungs-Dropdown leer ist, wurden in den Compliance-Einstellungen → Tags keine Tags für TOMs angelegt. Bitten Sie Ihren Systemadministrator, diese zuerst zu erstellen.
• Der Tab „Workflow auslösen" zeigt eine vollständige Fehlerseite, wenn Sie die Workflow-Zuweisung-Berechtigung nicht besitzen — er zeigt keinen deaktivierten Zustand. Benutzer, die den aktuellen Workflow-Status einsehen möchten (ohne einen neuen auszulösen), sollten stattdessen den Tab „Übersicht" aufrufen, der für alle zugänglich ist, wenn er über einen Workflow-Benachrichtigungs-Link erreicht wird.
• Die Zurück-Schaltfläche führt Sie dorthin zurück, wo Sie herkamen — nicht immer zur TOM-Übersicht. Wenn Sie das Erstellungsformular von einem übergeordneten Datensatz aus geöffnet haben, z. B. von einem ROPA-Eintrag, bringt das Speichern Sie zu diesem übergeordneten Datensatz zurück statt zur TOM-Liste. Dies ist gewollt — es hält Sie im Kontext —, kann aber beim ersten Mal überraschend sein.
• Die KI-gestützte Übersetzung erfordert einen konfigurierten KI-Anbieter. Die Übersetzungs-Buttons neben den Feldern „Name" und „Beschreibung" sind nicht funktionsfähig, wenn in den IT-Einstellungen kein KI-Anbieter (Anthropic, OpenAI o. Ä.) eingerichtet wurde. Wenn Sie in einer mehrsprachigen Organisation arbeiten und automatische Übersetzung out-of-the-box erwarten, prüfen Sie zuerst die IT-Einstellungen-Konfiguration.
• Benutzerdefinierte Status erscheinen nur, wenn sie konfiguriert wurden. Das Status-Dropdown bezieht seine Optionen aus zwei Quellen: Standardstatus (Entwurf, Aktiv, Inaktiv, Überprüfung) und benutzerdefinierte Status aus den Compliance-Einstellungen. Wenn ein erwarteter benutzerdefinierter Status — z. B. Wird vom CISO überprüft — nicht erscheint, bitten Sie Ihren Administrator, die benutzerdefinierte TOM-Statusgruppe einzurichten.