Technische und organisatorische Maßnahmen beschreiben, wie personenbezogene Daten geschützt werden. Eine allgemeine Liste beweist jedoch nicht, dass Kontrollen auf relevanten Systemen eingerichtet und wirksam sind.
Belastbare TOMs verbinden Zweck und Risiko mit Systemen, Verantwortlichen, Nachweisen und Prüftermin. Änderungen an Anwendungen, Cloud-Diensten oder Dienstleistern werden sichtbar.
Aha-Moment
Eine Maßnahme ist nicht deshalb wirksam, weil sie im Dokument steht. Entscheidend ist, ob sie technisch umgesetzt, geprüft und nachgesteuert wird.
Von der Formulierung zur Kontrolle
Aussagen wie „Zugriffe werden beschränkt“ benötigen Systembezug, Rollenmodell, Prüfer und Nachweis.
- Schutzziel und Verarbeitung
- konkrete Kontrolle
- verantwortliche Rolle
- Evidence und Prüftermin
Was Artikel 32 praktisch verlangt
Die DSGVO fordert ein angemessenes Schutzniveau und regelmäßige Prüfung, Bewertung und Evaluierung der Wirksamkeit.
Welche Nachweise hilfreich sind
Eine Übersicht zeigt Status, letzte Prüfung, Abweichung, Risiko und Maßnahme. Technische Details bleiben als Evidence referenziert.
- Berechtigungsreview
- Backup und Restore-Test
- Patch- und Härtungsstatus
- Protokollierung und Alarmbearbeitung
Wie mit Lücken umgegangen wird
Eine Abweichung wird beschrieben, bewertet, befristet und einem Verantwortlichen zugeordnet. Kompensierende Kontrollen reduzieren das Zwischenrisiko.
TOMs als lebenden Prozess organisieren
Mindestens jährlich und bei wesentlichen Änderungen werden Dokument, Realität und Nachweise abgeglichen.
- Änderungen erfassen
- Nachweise versionieren
- Maßnahmen verfolgen
- Risikoentscheidungen dokumentieren
Weiterführende Informationen
- Risiken prüfen: https://www.hamburger-it-service.de/it-service-risiken-pruefen/
- Risiken behandeln: https://www.hamburger-it-service.de/2026/09/17/it-risiken-entscheiden-behandeln-akzeptieren-uebertragen/
Quellen und fachliche Grundlage
- https://eur-lex.europa.eu/legal-content/EN-DE-ES/TXT/?uri=CELEX%3A32016R0679
- https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2022/04_OPS_Betrieb/OPS_1_1_5_Protokollierung_Edition_2022.html
- https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Mindeststandards/Mindeststandard_BSI_Protokollierung_und_Detektion_Version_1_0a.pdf?__blob=publicationFile&v=5
Kurzüberblick
- TOMs technisch nachweisen
- Evidenz statt Annahmen
- klare Verantwortlichkeiten
- regelmäßige Überprüfung
Unterstützung benötigt?
Hamburger IT-Service unterstützt bei Bestandsaufnahme, Priorisierung, Umsetzung und nachvollziehbaren Nachweisen.