TOM-Detailseite

TOM-Detailseite

Die TOM-Detailseite ist Ihr zentrales Fenster für alles, was eine einzelne technische oder organisatorische Maßnahme (TOM) betrifft – also die dokumentierten Sicherheits- und Datenschutzkontrollen, die das Herzstück des Compliance-Programms Ihrer Organisation bilden. Ob Sie als Datenschutzbeauftragter eine bevorstehende Prüfung vorbereiten, als Compliance-Beauftragter nachvollziehen möchten, welche Verarbeitungstätigkeiten von einer Maßnahme abhängen, oder als Informationssicherheitsverantwortlicher den Umsetzungsstand über Ihre IT-Assets hinweg verfolgen wollen – hier findet all das statt. Da TOMs gleichzeitig mit Risikoszenarien, Assets, ROPA-Einträgen, DPIAs, Dienstleistern, Projekten, Assessments und Workflows verbunden sind, wirken sich Änderungen auf dieser Seite – selbst eine so kleine wie die Aktualisierung eines Status – auf Risikoberechnungen, ROPA-Vollständigkeitsanzeigen und die Abschnitte zu technischen Maßnahmen in DPIAs im gesamten System aus.

So öffnen Sie die Seite

Navigieren Sie in der linken Anwendungsleiste zu Kontrollen → TOMs. Klicken Sie auf eine beliebige Zeile in der TOM-Liste, um die Detailseite zu öffnen. Die URL hat die Form /toms/detail/{id}.

Sie benötigen mindestens eine Leseberechtigung für TOMs, um diese Seite anzuzeigen. Fehlt diese, zeigt DPMS stattdessen eine „403 Forbidden"-Meldung. Wenn Sie darüber hinaus Änderungen vornehmen möchten – Status aktualisieren, verantwortliche Person neu zuweisen oder die Beschreibung bearbeiten –, benötigen Sie eine Bearbeitungsberechtigung für TOMs. Der Tab Workflows setzt zudem eine Berechtigung zur Workflow-Zuweisung voraus, bevor Sie Genehmigungsprozesse starten oder verwalten können.

Was Sie sehen

Die Seite gliedert sich in zwei Hauptbereiche. Ganz links befindet sich ein schmaler vertikaler Streifen mit einem kleinen Kreis-Symbol – das ist der Umschalter für das Elementmenü, eine vertikale Navigationsliste, über die Sie zwischen den verschiedenen Abschnitten der TOM wechseln können (Allgemein, Dokumente, Risikoszenarien, Assets, ROPA, DPIA, Dienstleister, Projekte, Aufgaben, Assessments und Workflows). Ein Klick auf das Symbol klappt das Menü auf oder zu; DPMS merkt sich Ihre Einstellung für das nächste Öffnen der Seite.

Quer über den oberen Teil des rechten Inhaltsbereichs zieht sich eine fixierte Kopfleiste, die unabhängig vom gewählten Tab sichtbar bleibt. Sie zeigt den aktuellen Lebenszyklus-Status der TOM (als farbiges Badge), die verantwortliche(n) Person(en) sowie – sofern ein Prüfungs-Workflow bereits abgeschlossen wurde – das Datum der letzten Prüfung und wer die Prüfer waren. Rechts in dieser Leiste befinden sich das Drei-Punkte-Optionsmenü und das Aktivitätsprotokoll-Symbol (Uhr), das eine vollständige Änderungshistorie als Seitenleiste öffnet.

Direkt unterhalb der Kopfleiste liegt die Breadcrumb-Leiste mit dem Modulnamen „TOMs" als anklickbarer Link zurück zur Liste, gefolgt vom Namen der TOM und dem aktiven Tab. Zwei kleine Pfeil-Symbole in der Breadcrumb ermöglichen es, ohne Rückkehr zur Listenansicht zur vorherigen oder nächsten TOM in der aktuell gefilterten Liste zu navigieren – besonders praktisch bei der Durchsicht mehrerer TOMs nacheinander.

Der Hauptinhaltsbereich darunter zeigt den aktuell gewählten Tab. Jeder Tab hat ein Karten-Layout mit eigenem Titel sowie einer Tabelle oder Datenansicht.

Arbeiten auf dieser Seite

Kerninformationen einer TOM erstmals prüfen

Wenn Sie eine neu angelegte TOM öffnen, ist standardmäßig der Tab Allgemein aktiv. Er zeigt Name, Beschreibung, Domäne (den Sicherheits- oder Datenschutzbereich, den die TOM abdeckt, z. B. „IT-Sicherheit" oder „Physische Sicherheit"), den Standard (z. B. ISO 27001 oder DSGVO Art. 32), den Typ sowie etwaige Klassifizierungs-Tags.

Wenn Sie feststellen, dass die Beschreibung fehlt oder unvollständig ist, können Sie sie direkt auf dieser Seite korrigieren, ohne ein Formular öffnen zu müssen. Klicken Sie in das Beschreibungsfeld – wenn Sie über Bearbeitungsrechte verfügen, wird es zu einem Rich-Text-Editor. Geben Sie Ihre Änderungen ein oder fügen Sie Text ein, und klicken Sie dann auf die erscheinende Inline-Speicherschaltfläche. DPMS speichert die Aktualisierung sofort auf dem Server. Dies ist das einzige Feld auf der Detailseite, das direkt bearbeitet werden kann; alle anderen Felder erfordern den Wechsel in das Bearbeitungsformular (siehe unten).

Nachdem Sie den Tab „Allgemein" überprüft haben, nutzen Sie die Breadcrumb-Navigationspfeile (oder klicken Sie auf den nächsten Eintrag im linken Elementmenü), um die weiteren Abschnitte durchzugehen. Wenn die TOM formell aktiviert werden soll, klicken Sie auf das Status-Badge in der Kopfleiste, wählen Sie den neuen Status aus der Dropdown-Liste (z. B. „Aktiv"), und die Änderung wird sofort gespeichert – es gibt keine separate Speicherschaltfläche für Statusänderungen.

Verantwortliche Person für eine TOM ändern

Der Verantwortliche-Person-Selektor in der Kopfleiste zeigt den oder die aktuellen Eigentümer der TOM. Wenn die Zuständigkeit wechseln soll – etwa weil ein Teammitglied eine neue Rolle übernimmt –, klicken Sie auf den Selektor, öffnen Sie die Personenauswahl, fügen Sie Personen hinzu oder entfernen Sie sie, und die Änderung wird automatisch gespeichert. Da diese Information bestimmt, wer die TOM im Rahmen der „Nur eigene TOMs bearbeiten"-Berechtigung ändern darf, kann eine Aktualisierung Auswirkungen darauf haben, welche Nutzenden die TOM künftig bearbeiten können.

Nachvollziehen, wo eine TOM umgesetzt wurde (Tab „Assets")

Wenn Sie die Frage beantworten müssen „Ist diese Maßnahme tatsächlich auf allen relevanten Assets umgesetzt?", klicken Sie auf Assets im linken Elementmenü. Der Assets-Tab listet alle IT-Assets, die über ein Risikoszenario mit dieser TOM verknüpft sind. Jede Zeile zeigt ein Asset und seinen aktuellen Umsetzungsstatus.

Klicken Sie auf eine Zeile, um ein eingebettetes Detailfeld zu öffnen, das Reifegrad-Informationen, Umsetzungsdetails und verknüpfte Aufgaben für das jeweilige Asset-TOM-Verhältnis anzeigt. Es kann immer nur eine Zeile gleichzeitig aufgeklappt sein. Diese Ansicht ermöglicht eine schnelle Lückenanalyse, ohne die TOM-Seite zu verlassen. Wenn Sie ein Asset identifizieren, auf dem die TOM noch nicht umgesetzt wurde, können Sie den Asset-Namen notieren und über den Link im aufgeklappten Detailfeld zur Asset-Detailseite navigieren.

Achtung: Assets erscheinen in diesem Tab nur, wenn sie über Risikoszenarien mit der TOM verbunden sind – nicht über eine direkte TOM-zu-Asset-Verknüpfung. Wenn ein Asset direkt in DPMS angelegt, aber nicht mit einem Risikoszenario verknüpft wurde, das diese TOM referenziert, wird es hier nicht angezeigt. Dies ist der häufigste Grund, warum Nutzende über „fehlende" Assets in diesem Tab berichten.

Prüfen, welche ROPA-Einträge und DPIAs von dieser TOM abhängen

Klicken Sie auf ROPA im linken Elementmenü, um alle Verarbeitungstätigkeiten zu sehen, die diese TOM als technische oder organisatorische Maßnahme aufführen. Klicken Sie auf eine Zeile, um direkt zu diesem ROPA-Eintrag zu navigieren. Dasselbe gilt für den Tab DPIA, über den Sie nachvollziehen können, welche Datenschutz-Folgenabschätzungen diese TOM als Abhilfemaßnahme referenzieren.

Diese Ansicht ist auf der Detailseite schreibgeschützt. Wenn Sie eine ROPA oder DPIA verknüpfen oder entfernen möchten, müssen Sie das Bearbeitungsformular des jeweiligen ROPA- oder DPIA-Eintrags öffnen – oder das Bearbeitungsformular der TOM selbst und die Verknüpfungen von dort verwalten.

Verbundene Dienstleister, Projekte, Aufgaben und Assessments navigieren

Die Tabs Dienstleister, Projekte, Aufgaben und Assessments zeigen jeweils eine Tabelle verknüpfter Objekte. Diese Tabs sind in der Detailansicht schreibgeschützt. Klicken Sie auf eine Zeile, um zur Detailseite des jeweiligen Objekts zu navigieren.

Der Tab „Aufgaben" ist besonders nützlich für die Nachverfolgung von Umsetzungsarbeiten: Er listet alle Aufgaben, die formal mit dieser TOM verknüpft wurden, und gibt Ihnen damit einen zentralen Überblick darüber, ob offene Umsetzungsmaßnahmen im Zeitplan liegen.

Vollständige Details einer TOM bearbeiten (Dokumente, verknüpfte Elemente usw.)

Die Detailseite ist primär eine Leseansicht. Um verknüpfte Dokumente, Risikoszenarien, Dienstleister, Aufgaben oder Assessments hinzuzufügen oder zu entfernen, klicken Sie auf das Bearbeitungs-Symbol (Stift) innerhalb der Karte im Tab „Allgemein", oder öffnen Sie das Drei-Punkte-Optionsmenü oben rechts und wählen Sie die entsprechende Option. Beide Wege führen Sie zum Bearbeitungsformular der TOM. Von dort aus können Sie zwischen den Tabs (Allgemein, Dokumente, Risikoszenarien, Assets usw.) wechseln, um alle verknüpften Elemente zu verwalten. Nach dem Speichern im Bearbeitungsformular kehren Sie zur Detailseite zurück.

Genehmigungsworkflows überwachen und auslösen

Klicken Sie auf Workflows im linken Elementmenü. Sie sehen eine Übersicht aller Workflows, die jemals mit dieser TOM verbunden waren. Im Workflows-Bereich gibt es zwei Unter-Tabs: Übersicht (die vollständige Workflow-Historie) und Erforderliche Aktion (alle Schritte, die aktuell auf Ihre oder eine andere Aktion warten). Wenn Sie über die entsprechende Workflow-Zuweisungsberechtigung verfügen, können Sie von diesem Tab aus einen neuen Prüf- oder Genehmigungsworkflow auslösen. Sobald ein Workflow abgeschlossen ist, erscheinen Name und Datum der Prüfer in der Kopfleiste und bestätigen damit die formelle Überprüfung der TOM.

Tipp: Erstmalige Nutzer übersehen den Unter-Tab Erforderliche Aktion häufig, weil er innerhalb des Workflows-Bereichs verschachtelt ist. Wenn Ihnen ein Kollege mitteilt, dass ein ausstehender Workflow-Schritt auf Sie wartet, klicken Sie im linken Menü auf „Workflows" und achten Sie anschließend auf den Unter-Tab „Erforderliche Aktion".

Änderungshistorie prüfen

Klicken Sie auf das Uhr-Symbol oben rechts, um die Aktivitätsprotokoll-Seitenleiste zu öffnen. Diese zeigt eine vollständige, chronologische Liste aller Änderungen an der TOM – wer was wann geändert hat. Dieser Bereich ist bei Audits oder zur Untersuchung unerwarteter Statuswechsel unersetzlich.

Achtung: Das Uhr-Symbol wird ausgeblendet, wenn die TOM von einer anderen Organisation geteilt wurde oder Sie sie im „Consulted"-Modus betrachten. Fehlt das Symbol, prüfen Sie, ob in der URL-Leiste ein Hinweis auf ein geteiltes Objekt erscheint, oder wenden Sie sich an Ihren Administrator.

Feldreferenz

Der Tab „Allgemein" zeigt folgende Felder. Alle werden über das Bearbeitungsformular gepflegt, mit Ausnahme der Beschreibung, die auch direkt auf der Detailseite bearbeitet werden kann.

• Name — Der Anzeigename der TOM in der aktiven Schnittstellensprache. Pflichtfeld.
• Beschreibung — Ein Rich-Text-Feld, das erklärt, was die Maßnahme beinhaltet und wie sie funktioniert. Kann direkt auf der Detailseite bearbeitet werden, ohne das Bearbeitungsformular zu öffnen.
• Domäne — Der Sicherheits- oder Datenschutzbereich, dem diese TOM zugeordnet ist (z. B. „IT-Sicherheit", „Physische Sicherheit", „Personal"). Auswahl aus einer vordefinierten Liste; wird automatisch in die Schnittstellensprache übersetzt.
• Standard — Der Compliance-Standard oder die Rechtsvorschrift, die diese TOM unterstützt (z. B. ISO 27001, DSGVO Art. 32). Verknüpft die TOM mit einem bestimmten Kontrollrahmen.
• Typ — Die Kategorie der Maßnahme (z. B. technisch, organisatorisch). Auswahl aus einer vordefinierten Liste.
• Klassifizierung — Ein oder mehrere Klassifizierungs-Tags für Filterung und Berichterstattung. Optional.

Verbindung zum übrigen DPMS

Die TOM-Detailseite ist ein Knotenpunkt, kein isolierter Bereich. Viele andere Teile von DPMS hängen davon ab, was hier erfasst ist:

• ROPA-Vollständigkeit — Der Abschnitt „Technische und organisatorische Maßnahmen" eines ROPA-Eintrags bezieht seinen Inhalt aus TOMs, die mit ihm verknüpft sind. Ein ROPA ohne verknüpfte TOMs erscheint in Compliance-Berichten als unvollständig.
• Technische Maßnahmen in DPIAs — DPIAs funktionieren genauso. Wenn eine TOM nicht mit der betreffenden DPIA verknüpft ist, bleibt dieser Abschnitt der DPIA leer.
• Risiko- und Reifegradbewertungen — Der Assets-Tab steuert die Maturity-Gap-Analyse. Ohne TOMs, die über Risikoszenarien mit Assets verknüpft sind, weist der Gap-Bericht keine Abdeckungsdaten aus.
• Assessment-Antworten — Fragebögen, die fragen „Welche Kontrollen sind umgesetzt?", beziehen ihre Antworten aus den TOMs, die mit dem jeweiligen Element verknüpft sind.
• Workflow-Genehmigungen — Der Tab „Workflows" ist der einzige Ort an der TOM, an dem ein Genehmigungs- oder Prüfungsworkflow überwacht oder bearbeitet werden kann. Das „Zuletzt geprüft"-Datum in der Kopfleiste erscheint erst, nachdem ein Workflow mit Prüfer abgeschlossen wurde.

Nach Abschluss Ihrer Arbeit auf dieser Seite empfiehlt sich ein Blick auf folgende Punkte:

• Sind die verknüpften ROPA-Einträge und DPIAs vollständig? (Navigation über die Tabs ROPA und DPIA)
• Zeigen alle relevanten Assets die TOM als umgesetzt? (Assets-Tab, aufgeklappte Zeilen)
• Sollte nun ein Prüfungs-Workflow ausgelöst werden, da die TOM aktualisiert wurde? (Tab „Workflows")

Tipps und häufige Fehlerquellen

Tipp: Statusänderungen und Änderungen der verantwortlichen Person werden sofort gespeichert – es gibt keine Speicherschaltfläche für diese Felder. Wenn Sie versehentlich den falschen Status auswählen, klicken Sie ihn umgehend erneut an, um ihn zu korrigieren.

Achtung: Fast alles auf der Detailseite ist schreibgeschützt. Die einzigen direkten Bearbeitungsmöglichkeiten ohne Wechsel ins Bearbeitungsformular sind das Beschreibungsfeld sowie die Felder Status und Verantwortliche Person in der Kopfleiste. Wenn Sie Dokumente hinzufügen, neue Risikoszenarien verknüpfen oder Assessments anhängen möchten, müssen Sie zunächst das Bearbeitungsformular öffnen.

• Benutzerdefinierte Status erscheinen nur, wenn sie konfiguriert wurden. Die Status-Dropdown-Liste zeigt unternehmenseigene Status (jenseits der vordefinierten Optionen Entwurf, Aktiv, Inaktiv, Überprüfung) nur dann an, wenn ein Administrator diese unter Compliance-Einstellungen → Status angelegt hat. Fehlt ein benötigter Status, wenden Sie sich an Ihren DPMS-Administrator.
• Assets werden über Risikoszenarien verknüpft, nicht direkt. Wenn ein Asset im Assets-Tab fehlt, prüfen Sie, ob ein Risikoszenario existiert, das sowohl diese TOM als auch das betreffende Asset referenziert. Eine direkte Asset-zu-TOM-Verknüpfung reicht nicht aus.
• Die Breadcrumb-Pfeile navigieren innerhalb Ihrer aktuellen Filterliste. Wenn Sie die TOM-Liste vor dem Öffnen dieses Eintrags nach einer Domäne gefiltert haben, navigieren die Vor- und Zurück-Pfeile in der Breadcrumb ausschließlich innerhalb dieser gefilterten Menge – was die effiziente Durchsicht einer Gruppe verwandter TOMs ermöglicht.
• Das Aktivitätsprotokoll ist bei geteilten TOMs ausgeblendet. Wenn Sie eine TOM betrachten, die Ihrer Organisation von einer übergeordneten Gesellschaft oder einem Partner geteilt wurde, erscheint das Uhr-Symbol nicht. Die Änderungshistorie geteilter Objekte wird von der ursprünglichen Organisation verwaltet.