DSGVO
TOMs richtig dokumentieren: Ein pragmatischer Leitfaden
Technische und organisatorische Maßnahmen, kurz TOMs, sind das Bindeglied zwischen rechtlichen Anforderungen und dem tatsächlichen IT-Betrieb. Die DSGVO fordert sie in Art. 32, und auch die Risikomanagementmaßnahmen unter NIS-2 bauen auf ähnlichen Bausteinen auf. Trotzdem existieren TOMs in vielen Unternehmen nur als Vorlage aus dem Internet.
Warum Vorlagen nicht reichen
Eine generische Liste beschreibt, was man tun könnte, nicht was tatsächlich umgesetzt ist. Im Prüfungs- oder Schadensfall zählt aber genau das. Eine gute TOM-Dokumentation beschreibt den Ist-Zustand ehrlich und benennt offene Punkte.
Eine bewährte Gliederung
- Vertraulichkeit: Zutritts-, Zugangs- und Zugriffskontrolle
- Integrität: Weitergabe- und Eingabekontrolle
- Verfügbarkeit und Belastbarkeit: Backup, Redundanz, Notfallplanung
- Verfahren zur regelmäßigen Überprüfung und Bewertung
Konkret statt allgemein
Statt "Es werden sichere Passwörter verwendet" sollte dort stehen, welche Richtlinie gilt, wie Mehrfaktor-Authentifizierung umgesetzt ist und in welchem System sie erzwungen wird. Konkrete Aussagen lassen sich prüfen und verbessern.
Verknüpfung mit der Technik
Viele Maßnahmen lassen sich direkt aus vorhandenen Systemen belegen, zum Beispiel aus Richtlinien in Microsoft Intune, Conditional-Access-Regeln in Entra ID oder Backup-Berichten. Wer die Dokumentation mit diesen Quellen verknüpft, hält sie mit geringem Aufwand aktuell.
Regelmäßig überprüfen
TOMs sind kein statisches Dokument. Neue Systeme, Cloud-Dienste oder Organisationsänderungen erfordern Anpassungen. Ein fester Überprüfungsrhythmus, etwa jährlich und bei größeren Änderungen, sorgt dafür, dass Papier und Realität übereinstimmen.
So wird aus einer Pflichtübung ein Werkzeug, das Risiken sichtbar macht und Prioritäten setzt.