Technische und organisatorische Maßnahme anlegen und bearbeiten

Ein TOM-Dokument beschreibt, mit welchen technischen und organisatorischen Maßnahmen Sie Ihre Systeme und Informationen tatsächlich schützen. Im ISMS ist es der Nachweis, der zu den Anforderungen aus Ihrem Anforderungskatalog gehört: Der Katalog nennt die Anforderung, das TOM-Dokument beschreibt die umgesetzte Maßnahme. Diese Anleitung zeigt, wie Sie ein TOM anlegen und die drei zentralen Bereiche pflegen – Stammdaten, Maßnahmenkategorien und Zugehörigkeit.

Voraussetzungen

• Sie sind in einem Team angemeldet, das das Modul „Technische und organisatorische Maßnahmen“ verwendet.
• Sie verfügen über die Berechtigung, technische und organisatorische Maßnahmen zu erstellen und zu bearbeiten. Für den Status „Freigegeben“ benötigen Sie zusätzlich die Berechtigung zum Freigeben.
• Sie haben Zugriff auf die zugehörige Organisation oder das Dokument ist für „Alle Organisationen“ freigegeben.

Schritt für Schritt

1. Klicken Sie im linken Menü unter „Sicherheiten“ auf „Technische und organisatorische Maßnahmen“.
2. Klicken Sie rechts oben auf das Pfeilsymbol neben der Schaltfläche „Neu“ und wählen Sie „Technische und organisatorische Maßnahme erstellen“ für ein leeres Dokument, „Aus Musterdokumenten laden“ für eine vorbefüllte Vorlage, „Datei hochladen“ für ein bereits vorhandenes Sicherheitskonzept als Word- oder PDF-Datei oder „Verbundenes Dokument erstellen“ für eine abgeleitete Variante einer Tochterorganisation.
3. Pflegen Sie im Abschnitt „Allgemein“ die Stammdaten: „Bezeichnung“ als Pflichtfeld, den „Status“ („Neu“, „In Bearbeitung“, „Freigegeben“ oder „Archiviert“), optional eine eigene „Dokumenten-ID“ wie ISMS-TOM-001 sowie die „Beschreibung“ als formatierten Langtext.
4. Legen Sie im Abschnitt „Zugehörigkeit“ fest, für welchen Geltungsbereich das Dokument gilt: Geben Sie im Feld „Organisationen“ den Namen einer Organisation ein und wählen Sie sie aus der Vorschlagsliste, oder aktivieren Sie „Alle Organisationen“, wenn das TOM für sämtliche Organisationen Ihres Teams gelten soll.
5. Füllen Sie die Maßnahmenkategorien in den Abschnitten „Gewährleistung der Vertraulichkeit“ (Zutritts-, Zugangs-, Zugriffs- und Trennungskontrolle), „Gewährleistung der Integrität“ (Weitergabe- und Eingabekontrolle), „Pseudonymisierung und Verschlüsselung“, „Gewährleistung der Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit“ und „Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung“.
6. Klicken Sie dazu in das Eingabefeld einer Kategorie und wählen Sie einen vorhandenen Textbaustein aus den Vorschlägen. Über das Plus-Symbol rechts neben dem Feld erstellen, bearbeiten oder duplizieren Sie Textbausteine; über das X-Symbol entfernen Sie einen zugewiesenen Baustein wieder aus der Kategorie. Die Reihenfolge ändern Sie über das Verschiebe-Symbol.
7. Prüfen Sie das Ergebnis über die Schaltfläche „Vorschau“ rechts oben und klicken Sie anschließend auf „Speichern“. Über das Pfeilsymbol neben „Speichern“ steht Ihnen gegebenenfalls „Speichern und freigeben“ zur Verfügung.

Späteres Bearbeiten

Öffnen Sie die Detailseite des TOM-Dokuments und klicken Sie rechts oben auf „Bearbeiten“ oder im Auswahlmenü „Aktionen“ auf „Bearbeiten“. Solange das Dokument im Status „Freigegeben“ ist, setzen Sie es für inhaltliche Änderungen zunächst auf „In Bearbeitung“ zurück; beim erneuten Übergang nach „Freigegeben“ wird automatisch eine neue Revision angelegt. Wurde das TOM über „Datei hochladen“ angelegt, erscheint anstelle der Maßnahmenkategorien ein eigener Abschnitt zum Austauschen der Datei.

Tipp aus der Praxis

Pflegen Sie pro Kategorie nur einige wenige, klar formulierte Textbausteine – typischerweise drei bis acht – statt jede Einzelmaßnahme als eigenen Eintrag. Listen mit 30 Mini-Maßnahmen wirken im Audit wie eine Checkliste und nicht wie ein wirksames Sicherheitskonzept und führen regelmäßig zu Nachfragen, ob die Maßnahmen tatsächlich umgesetzt sind. Da die Bausteine teamweit wiederverwendbar sind, bleiben die Formulierungen über alle Standorte hinweg einheitlich – ein häufiger Prüfpunkt bei Zertifizierungsaudits nach ISO/IEC 27001, wo die Maßnahmen als Nachweis zu den Controls aus Annex A dienen.