Asset-Gruppe bearbeiten

Asset-Gruppe bearbeiten

Der Bildschirm Asset-Gruppe bearbeiten ist der zentrale Arbeitsbereich, um Ihre Asset-Gruppen-Datensätze aktuell und vollständig zu halten. Datenschutzbeauftragte, IT-Sicherheitsmanager, Risikomanager und Compliance-Koordinatoren nutzen ihn — typischerweise dann, wenn sich die Systemlandschaft ändert, ein neuer Risikostandard eingeführt wird oder ein Audit bevorsteht und die Datensätze überprüft werden müssen. Alles, was eine Asset-Gruppe definiert, ist hier zu finden: Name, Typ, Zuständigkeit, zugeordnete Einzelassets, verknüpfte Verarbeitungstätigkeiten, externe Empfänger, Sicherheitsmaßnahmen und der vollständige Risikoworkflow — vom Mapping der Risikoszenarien über den Behandlungsplan bis hin zur Fristenverfolgung.

So öffnen Sie den Bildschirm

• Klicken Sie in der linken Navigationsleiste auf Assets und wählen Sie anschließend Asset-Gruppen.
• Suchen Sie die zu bearbeitende Asset-Gruppe in der Liste und klicken Sie auf deren Zeile, um die schreibgeschützte Detailansicht zu öffnen.
• Klicken Sie in der Detailansicht auf das Bearbeiten-Symbol (Bleistiftsymbol) bei einem beliebigen Panel. DPMS öffnet den Bearbeitungsbildschirm und zeigt direkt den entsprechenden Reiter an — ein Klick auf „Bearbeiten" im Allgemein-Panel öffnet beispielsweise sofort den Reiter Allgemein.

Sie können den Bearbeitungsbildschirm auch direkt über die URL der Asset-Gruppe aufrufen: /asset/group/edit/<id>.

Achtung: Für den Zugriff auf diesen Bildschirm benötigen Sie eine der folgenden Berechtigungen: Asset-Gruppen bearbeiten (vollständiger Zugriff auf alle Gruppen), Nur zugeordnete Asset-Gruppen bearbeiten (Zugriff beschränkt auf Gruppen, bei denen Sie als verantwortliche Person oder Risikoeigner eingetragen sind), oder Asset-Gruppen erstellen (erforderlich beim Anlegen einer neuen Gruppe). Liegt keine dieser Berechtigungen vor, zeigt DPMS statt des Formulars eine „Zugriff verweigert"-Seite.

Überblick über den Bildschirm

Der Bearbeitungsbildschirm ist in zwei Hauptbereiche gegliedert. Auf der linken Seite befindet sich ein vertikales Reitermenü, das alle Abschnitte der Asset-Gruppe auflistet. Dieses Menü bleibt unabhängig vom aktiven Reiter sichtbar und ermöglicht es, jederzeit zwischen den Abschnitten zu wechseln. Auf der rechten Seite ist der Inhaltsbereich, der sich je nach ausgewähltem Reiter vollständig ändert.

Oben links im Inhaltsbereich befindet sich ein Zurück-Pfeil, mit dem Sie die aktuelle Bearbeitung abbrechen und zur Detailansicht zurückkehren können (oder, wenn Sie von einer TOM-Detailseite hierher gelangt sind, zu dieser TOM zurück).

Der Reiter „Allgemein" — die Standardseite beim Öffnen — zeigt eine Formularkarte mit blauer Akzentlinie oben. Darunter befindet sich eine Aktionsleiste mit einem Status-Dropdown und einem Selektor für verantwortliche Personen. Der restliche Formularinhalt umfasst die Felder Name, Typ, Beschreibung, Standorte, Land sowie unten den Abschnitt „Risikoeigner".

Bei risikobezogenen Reitern wie Risikoszenario, Schwellenwert, Aktuelles Risiko bestimmen, Vorgeschlagene TOMs und Behandlungsplan erscheint oben im Inhaltsbereich ein farbiger Informationsbalken, der den aktuell bearbeiteten Risikostandard und den Namen der Asset-Gruppe anzeigt. Dies ist besonders hilfreich, wenn eine Asset-Gruppe mit mehr als einem Standard verknüpft ist.

Am unteren Rand jedes Reiters (außer Behandlungsplan anzeigen, der schreibgeschützt ist) befindet sich ein Speichern-Button. Jeder Reiter speichert seine Daten unabhängig — es gibt keine globale Funktion „Alles speichern".

Arbeiten mit diesem Bildschirm

Grundlegende Beschreibung einer Gruppe aktualisieren

Der häufigste Grund für den Besuch dieses Bildschirms ist das Korrigieren oder Ergänzen der Basisinformationen. Im Reiter „Allgemein" können Sie folgende Felder bearbeiten:

• Name — Klicken Sie in das Namensfeld und geben Sie den aktualisierten Namen ein. Da DPMS mehrere Sprachen unterstützt, erscheint neben dem Feld ein kleiner Übersetzungs-Button. Ein Klick darauf löst eine automatische, KI-gestützte Übersetzung in alle konfigurierten Unternehmenssprachen aus — manuelle Sprachenwechsel sind damit nicht mehr notwendig. Derselbe Übersetzungs-Button ist auch bei den Feldern Beschreibung und Standorte verfügbar.
• Typ — Klicken Sie auf den Tag-Selektor, um eine oder mehrere Asset-Typ-Tags zuzuweisen (z. B. „Cloud-Dienst" oder „Drittanbieter"). Diese Tags müssen zuvor unter Compliance-Einstellungen → Tags angelegt worden sein.
• Beschreibung — Klicken Sie in das Textfeld und geben Sie eine verständliche Erläuterung ein, was diese Gruppe umfasst und welche personenbezogenen Daten sie verarbeitet. Das Textfeld wächst automatisch mit dem Inhalt.
• Standorte — Beschreiben Sie die physischen oder logischen Standorte der Gruppe (Rechenzentren, Cloud-Regionen, Büros). Dies ist für die Dokumentation grenzüberschreitender Datentransfers wichtig.
• Land — Wählen Sie über das Dropdown-Menü ein Land aus, mit dem die Gruppe verknüpft wird. Dieses Feld erlaubt nur eine einzige Auswahl.

In der Aktionsleiste oben im Formular können Sie über das Status-Dropdown den Lebenszyklus-Status der Gruppe ändern — z. B. von Entwurf auf Aktiv, sobald der Datensatz vollständig ist, oder auf Inaktiv, wenn ein System außer Betrieb genommen wird. Mit dem Selektor Verantwortliche Personen können Sie eine oder mehrere Personen als Verantwortliche zuweisen.

Nachdem Sie Ihre Änderungen vorgenommen haben, klicken Sie unten auf Speichern. DPMS sendet die Aktualisierung an die Datenbank und zeigt eine Erfolgsmeldung an. Sie bleiben auf dem Bearbeitungsbildschirm — klicken Sie auf den Zurück-Pfeil, wenn Sie zur Detailansicht zurückkehren möchten.

Risikoverantwortung zuweisen oder ändern

Der Abschnitt Risikoeigner am unteren Ende des Allgemein-Reiters enthält zwei zusammengehörige Felder.

Der Risikoeigner-Selektor ist der Ort, an dem Sie formal die Person zuweisen, die für die Steuerung des Risikoniveaus dieser Gruppe verantwortlich ist. Klicken Sie auf den Selektor, suchen Sie nach einem Namen und wählen Sie die Person aus. Es kann jeweils nur ein Risikoeigner festgelegt werden.

Direkt darunter befindet sich der Selektor Im Auftrag von. In Organisationen mit mehrstufiger Governance kann die Person, die das Risiko operativ steuert, als Stellvertreter für jemand anderen handeln — beispielsweise einen Abteilungsleiter. Das Ausfüllen des Felds „Im Auftrag von" macht diese Delegation explizit und sichtbar — in der Detailansicht wird sie als „Max Mustermann (im Auftrag von Erika Muster)" angezeigt.

Eine wichtige Regel: Risikoeigner und „Im Auftrag von" dürfen nicht dieselbe Person sein. Wenn Sie versehentlich dieselbe Person in beide Felder eingetragen haben, ignoriert DPMS die zweite Auswahl stillschweigend — ohne Fehlermeldung. Wählen Sie zwei unterschiedliche Personen, oder lassen Sie das Feld „Im Auftrag von" leer. Wenn Sie den Risikoeigner auf jemanden ändern, der bereits als „Im Auftrag von" eingetragen ist, löscht DPMS das Feld „Im Auftrag von" automatisch. Überprüfen Sie nach jeder Änderung des Risikoeigners stets beide Felder.

Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

Risikorahmen einrichten (Erstkonfiguration)

Wenn Sie eine neu angelegte Asset-Gruppe für das Risikomanagement konfigurieren, ist die Reihenfolge, in der Sie die risikobezogenen Reiter bearbeiten, entscheidend. Eine falsche Reihenfolge führt dazu, dass Reiter leer bleiben oder keine Verbindung zueinander haben.

Beginnen Sie mit Gruppen-Standards. Klicken Sie im linken Menü auf den Reiter Gruppen-Standards. Hier verknüpfen Sie die Asset-Gruppe mit einem oder mehreren Risikomanagement-Frameworks — z. B. ISO 27001 oder einem unternehmensspezifischen Standard. Ohne mindestens einen verknüpften Standard kann DPMS keinen Risikoscore für diese Gruppe berechnen, und der Risiko-Reiter wird in der Detailansicht vollständig ausgeblendet.

Legen Sie dann den Schwellenwert fest. Klicken Sie auf den Reiter Schwellenwert. Der Standardname ist im farbigen Balken oben zu sehen. Geben Sie den Schwellenwert ein — d. h. den Score, ab dem ein Risiko als nicht akzeptabel gilt. Klicken Sie auf Speichern.

Weisen Sie Risikoszenarien zu. Klicken Sie auf den Reiter Risikoszenario. Im farbigen Balken oben sehen Sie den Standardnamen. Überprüfen Sie die bereits verknüpften Szenarien aus Ihrem Risikokatalog und ergänzen Sie fehlende mithilfe der Steuerelemente auf diesem Reiter.

Bestimmen Sie das aktuelle Risiko. Klicken Sie auf Aktuelles Risiko bestimmen. Geben Sie für jedes verknüpfte Risikoszenario Eintrittswahrscheinlichkeit und Schadensausmaß ein. Der berechnete Risikoscore wird oben im Reiter visuell angezeigt.

Sehen Sie sich die vorgeschlagenen TOMs an. Klicken Sie auf Vorgeschlagene TOMs. DPMS listet die technischen und organisatorischen Maßnahmen auf, die das Risikomodell zur Risikobehandlung empfiehlt. Wählen Sie die TOMs aus, die Sie umsetzen möchten.

Erstellen Sie den Behandlungsplan. Klicken Sie auf Behandlungsplan. Weisen Sie den einzelnen Maßnahmen Fristen und Verantwortliche zu. Dieser Plan ist die Brücke zwischen der Risikoidentifikation und der tatsächlichen Risikominderung.

Prüfen Sie den Zeitplan. Klicken Sie auf Fristen anzeigen, um zu prüfen, ob die im Behandlungsplan eingetragenen Fristen realistisch und als Zeitachse sichtbar sind.

Denken Sie bei jedem Reiter daran, vor dem Wechsel auf Speichern zu klicken.

Assets, Bewertungen, Aufgaben und Lieferanten verwalten

Eine Asset-Gruppe ist nur so aussagekräftig wie die darin verknüpften Objekte. Die mittleren Reiter im linken Menü verwalten all diese Beziehungen.

Reiter „Assets" — Klicken Sie auf Assets, um zu sehen, welche Einzelsysteme und -anwendungen Mitglieder dieser Gruppe sind. Über die Aktionsleiste können Sie neue Assets zur Gruppe hinzufügen oder vorhandene entfernen. Ein Klick auf eine Asset-Zeile navigiert direkt zur Detailansicht dieses Assets. Da der aggregierte Risikoscore der Gruppe von den Mitglied-Assets abhängt, ist es wichtig, diese Liste aktuell zu halten.

Reiter „Bewertungen" — Klicken Sie auf Bewertungen, um Datenschutz-Folgenabschätzungen (DSFAs) oder andere Evaluierungen mit dieser Gruppe zu verknüpfen. Nachdem Sie eine Bewertung hinzugefügt haben, zeigt DPMS möglicherweise ein Popup: „Möchten Sie das Risiko anhand der Fragebogenantworten neu berechnen?" Wenn die Bewertung risikorelevante Fragebogendaten enthält, klicken Sie auf Ja — DPMS aktualisiert daraufhin automatisch die Risikoscores der Gruppe. Klicken Sie auf Speichern, um die verknüpften Bewertungen zu übernehmen.

Reiter „Aufgaben" — Klicken Sie auf Aufgaben, um Aktionspunkte für diese Gruppe zu erstellen oder zu verknüpfen. Die Aufgaben erscheinen in der globalen Aufgabenübersicht und können dort gefiltert und verfolgt werden.

Reiter „Externe Empfänger (Lieferanten)" — Klicken Sie auf diesen Reiter, um externe Dienstleister zu dokumentieren, die Daten dieser Gruppe erhalten. Dies ist eine Anforderung aus Art. 28 DSGVO. Verknüpfte Lieferanten erscheinen außerdem in Lieferantenbeziehungsberichten und in der ROPA-Datentransferkartierung.

Klicken Sie bei all diesen Beziehungsreitern nach dem Vornehmen von Änderungen auf Speichern.

Zugriff auf eine Gruppe einschränken

Um den Zugriff auf eine sensible Asset-Gruppe einzuschränken — z. B. auf eine Gruppe „Lohnbuchhaltungssysteme der Geschäftsführung", die nur dem HR-Compliance-Team sichtbar sein soll — klicken Sie auf den Reiter Zugriff verwalten.

Das Formular zeigt Audience-Selektoren. Audiences sind Benutzergruppen, die unter Compliance-Einstellungen → Gruppen-Management konfiguriert werden. Klicken Sie auf das Dropdown, suchen Sie nach einer Audience und fügen Sie diese hinzu. Jeder Audience kann Lese- oder Schreibzugriff gewährt werden. Nach einem Klick auf Speichern aktualisiert DPMS die Zugriffskontrollliste und leitet Sie zurück zur Detailansicht der Asset-Gruppe. Sie können die Einschränkung überprüfen, indem Sie eine Kollegin oder einen Kollegen außerhalb der berechtigten Audience bitten, die Gruppen-URL aufzurufen.

Datenlöschung und Koordinatoren konfigurieren

Zwei Reiter behandeln den Datenlöschungs-Lebenszyklus. Der Reiter Datenlöschung ermöglicht die Konfiguration der Aufbewahrungsfrist und des Löschverfahrens für die von dieser Gruppe verarbeiteten Daten — eine Kernanforderung unter den meisten Datenschutzregelungen. Der Reiter Koordinatoren erlaubt die Zuweisung konkreter Personen, die für die Durchführung dieser Löschaktivitäten zuständig sind. Beide Reiter haben eigene Speichern-Buttons.

Feldreferenz

Die folgenden Felder im Reiter „Allgemein" haben spezifische Verhaltensweisen, die es zu beachten gilt:

• Name — Freitextfeld, mehrsprachig. Nutzen Sie den Übersetzungs-Button für die automatische Übersetzung. Im Frontend gibt es kein festes Zeichenlimit, das Backend kann jedoch eines anwenden.
• Typ — Multi-Select-Tag-Picker. Es werden nur Tags angezeigt, die zuvor unter Compliance-Einstellungen → Tags → Asset-Typ angelegt wurden. Ist die Liste leer, wenden Sie sich an Ihren Administrator.
• Beschreibung — Mehrzeiliges Textfeld, das automatisch mitwächst. Unterstützt automatische Übersetzung.
• Standorte — Mehrzeiliges Textfeld. Unterstützt automatische Übersetzung. In der schreibgeschützten Detailansicht wird dieses Feld zusammen mit dem Land in einer gemeinsamen „Standort"-Zelle dargestellt.
• Land — Einfach-Auswahl-Dropdown. Es kann nur ein Land ausgewählt werden. Wird das Feld leer gelassen, zeigt die Detailansicht einen Bindestrich.
• Status — Dropdown. Die Standard-Statuswerte (Entwurf, Aktiv, Inaktiv, In Überprüfung) sind immer verfügbar. Benutzerdefinierte Status können unter Compliance-Einstellungen → Status hinzugefügt werden.
• Verantwortliche Personen — Multi-Personen-Selektor. Unterstützt mehrere Zuweisungen.
• Risikoeigner — Einfach-Personen-Selektor. Kann nicht dieselbe Person wie „Im Auftrag von" sein.
• Im Auftrag von — Optionaler Einfach-Personen-Selektor. Kann nicht dieselbe Person wie der Risikoeigner sein. Wird automatisch geleert, wenn der Risikoeigner nachträglich auf dieselbe Person gesetzt wird.

Verbindung zum Rest von DPMS

Der Bildschirm „Asset-Gruppe bearbeiten" ist ein Knotenpunkt, der viele andere Bereiche der Plattform beeinflusst.

Risiko-Heatmap und Dashboards — Die auf der Plattform angezeigten Risikoscores werden auf Basis der Eintrittswahrscheinlichkeits- und Schadensausmaßwerte berechnet, die im Reiter „Aktuelles Risiko bestimmen" eingetragen wurden — und zwar im Kontext der Standards, die im Reiter „Gruppen-Standards" verknüpft sind. Ist kein Standard verknüpft, erscheint die Gruppe auf der Risiko-Heatmap gar nicht.

ROPA-Modul — Im Reiter „Bewertungen" verknüpfte Assessments fließen in das ROPA-Modul ein. Die in der Detailansicht der Asset-Gruppe angezeigten geltenden Vorschriften werden aus den ROPA-Datensätzen abgeleitet, die über diese Assessments verbunden sind.

TOM-Abdeckungsmetriken — TOMs, die im Reiter „Implementierte TOMs" als umgesetzt markiert sind, fließen in die unternehmensweiten TOM-Abdeckungsstatistiken ein.

Globale Aufgabenübersicht — Im Reiter „Aufgaben" verknüpfte Aufgaben erscheinen in der globalen Aufgabenliste unter /tasks sowie in Aufgaben-Dashboard-Widgets. Eine hier erstellte oder verknüpfte Aufgabe ist sofort für alle sichtbar, die die Aufgabenwarteschlange verwalten.

Lieferantenbeziehungsberichte — Im Lieferanten-Reiter verknüpfte externe Empfänger erscheinen in Lieferantenbeziehungsberichten und im ROPA-Datentransfer-Mapping.

Was nach diesem Bildschirm zu tun ist — Nachdem Sie den Risikoworkflow abgeschlossen haben (Risikoszenario → Aktuelles Risiko bestimmen → Vorgeschlagene TOMs → Behandlungsplan), navigieren Sie zur Detailansicht und prüfen Sie, ob der dort angezeigte Risikoscore Ihre Eingaben widerspiegelt. Wenn Sie gerade einen neuen Standard verknüpft haben, vergewissern Sie sich, dass der Risiko-Reiter nun sichtbar ist. Wenn Sie einen Behandlungsplan mit Fristen erstellt haben, sollten Sie im Reiter „Aufgaben" entsprechende verknüpfte Aufgaben anlegen, damit verantwortliche Personen Erinnerungen erhalten.

Tipps und häufige Stolperfallen

Achtung: Jeder Reiter speichert separat. Wenn Sie den Allgemein-Reiter bearbeiten und dann ohne zu speichern auf einen anderen Reiter klicken, gehen Ihre Änderungen verloren. Es gibt weder eine automatische Speicherung noch eine Warnmeldung. Klicken Sie immer auf Speichern, bevor Sie den Reiter wechseln.

Achtung: Gruppen-Standards müssen zuerst eingerichtet werden. Beginnen Sie bei einer neuen Asset-Gruppe immer mit dem Reiter „Gruppen-Standards". Ohne mindestens einen verknüpften Standard haben die risikobezogenen Reiter keinen Kontext, der Risiko-Reiter wird in der Detailansicht vollständig ausgeblendet, und es können weder Risikoszenarien bewertet noch Behandlungspläne erstellt werden.

• Risikoeigner und „Im Auftrag von" dürfen nicht dieselbe Person sein. Wenn Sie versehentlich dieselbe Person in beide Felder eintragen, ignoriert das System die zweite Auswahl ohne Fehlermeldung — das Feld wird einfach nicht aktualisiert. Wählen Sie zwei unterschiedliche Personen, oder lassen Sie das Feld „Im Auftrag von" leer.
• Der Reiter „Behandlungsplan anzeigen" blendet den Speichern-Button aus. Dies ist beabsichtigt — dieser Reiter ist eine schreibgeschützte Visualisierung. Wenn Sie Änderungen am Behandlungsplan vornehmen möchten, nutzen Sie den Reiter Behandlungsplan (nicht Behandlungsplan anzeigen).
• Das Ändern des Risikoeigners kann das Feld „Im Auftrag von" leeren. Wenn die Person, die aktuell als „Im Auftrag von" eingetragen ist, als neuer Risikoeigner ausgewählt wird, löscht DPMS das Delegationsfeld automatisch. Überprüfen Sie beide Felder nach jeder Änderung des Risikoeigners.
• Die automatische Übersetzungsfunktion erfordert konfigurierte KI-Anmeldedaten. Der Übersetzungs-Button bei den Feldern Name, Beschreibung und Standorte setzt voraus, dass unter IT-Einstellungen → KI-Konfiguration ein KI-Anbieter eingerichtet ist. Ist dies nicht der Fall, funktioniert der Übersetzungs-Button nicht.
• Asset-Typ-Tags müssen vorab angelegt werden. Wenn der Typ-Selektor leer erscheint, wurden noch keine Asset-Typ-Tags erstellt. Bitten Sie Ihren Systemadministrator, diese unter Compliance-Einstellungen → Tags → Asset-Typ anzulegen.