Glossar · einfach erklärt

TOMs (technische und organisatorische Maßnahmen)

TOMs sind die konkreten Schutzmaßnahmen hinter dem Datenschutz: gefordert von der DSGVO, geprüft in jedem AVV.

Technische und organisatorische Maßnahmen (TOMs) sind die konkreten Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten schützt — von Verschlüsselung und Zugriffskontrolle bis zu Schulungen und Prozessen. Die DSGVO verlangt sie in Artikel 32 als risikoangemessene Sicherheit der Verarbeitung.

Praktisch begegnen TOMs jedem Unternehmen doppelt: als eigene Pflicht — und als Anhang jedes Auftragsverarbeitungsvertrags, in dem Dienstleister ihre Maßnahmen offenlegen und Kunden sie bewerten.

Welche Maßnahmen gehören zu den TOMs?

Üblich ist die Gliederung nach Schutzzielen: Vertraulichkeit (Zutritts-, Zugangs-, Zugriffskontrolle, Verschlüsselung, Trennung von Datenbeständen), Integrität (Änderungsnachvollziehbarkeit, Eingabekontrolle), Verfügbarkeit und Belastbarkeit (Backup, Redundanz, DDoS-Schutz, Notfallkonzepte) sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Gute TOMs sind spezifisch statt generisch: Nicht „Verschlüsselung vorhanden", sondern welche Daten, wo, mit welchem Verfahren; nicht „Zugriffskonzept existiert", sondern wie Rechtevergabe, Rezertifizierung und Offboarding tatsächlich laufen. Vage TOM-Listen fallen in Prüfungen und Kundenaudits zuerst auf.

TOMs im Unternehmensalltag

Als AVV-Anhang: Dienstleister-TOMs prüfen, eigene aktuell halten.
Als lebendes Dokument: Änderungen an Infrastruktur und Prozessen nachziehen.
Als Auditgrundlage: Aufsicht und Kunden fragen nach Wirksamkeit, nicht Existenz.
Netzwerkmaßnahmen zählen dazu: Segmentierung, ZTNA und Monitoring sind TOMs.

Häufige Fragen zu TOMs (technische und organisatorische Maßnahmen)

Was verlangt die DSGVO konkret bei den TOMs?

Artikel 32 fordert Maßnahmen, die dem Risiko der Verarbeitung angemessen sind — unter Berücksichtigung von Stand der Technik und Kosten. Genannt werden beispielhaft Verschlüsselung, Pseudonymisierung, Belastbarkeit und Wiederherstellbarkeit sowie regelmäßige Wirksamkeitsprüfung.

Wie detailliert müssen TOM-Beschreibungen sein?

So konkret, dass ein Prüfer die Wirksamkeit einschätzen kann: Verfahren, Geltungsbereich, Verantwortliche. Reine Schlagwortlisten gelten als Warnsignal. Zugleich gehören keine sicherheitskritischen Details hinein, die Angreifern helfen würden — die Kunst liegt in der Balance.

Wie oft müssen TOMs aktualisiert werden?

Bei jeder relevanten Änderung an Systemen, Prozessen oder Dienstleistern — und turnusmäßig geprüft, üblich ist mindestens jährlich. Veraltete TOMs, die längst abgelöste Systeme beschreiben, sind ein Klassiker in Datenschutzprüfungen.

Was ist der Unterschied zwischen TOMs und ISMS?

TOMs sind die konkreten Maßnahmen, das ISMS der Steuerungsrahmen darüber: Es entscheidet risikobasiert, welche Maßnahmen nötig sind, und prüft ihre Wirksamkeit. Wer ein ISMS betreibt, erzeugt seine TOM-Dokumentation weitgehend daraus.

Zählen Netzwerk- und Cloud-Sicherheit zu den TOMs?

Ja, zentral: Segmentierung, Zugriffskontrolle per ZTNA, Verschlüsselung im Transit, DDoS-Schutz, Protokollierung und Monitoring sind klassische technische Maßnahmen. Bei Managed Services gehören die Maßnahmen des Dienstleisters über den AVV in die eigene Bewertung.