ITTechnische und organisatorische Maßnahmen (TOM) nach DSGVO und NIS-2
Technische und organisatorische Maßnahmen (TOM) sind alle Vorkehrungen, mit denen ein Unternehmen die Sicherheit seiner Datenverarbeitung herstellt, von Verschlüsselung und Zugriffsrechten bis zu Schulungen und Vertretungsregeln. Die DSGVO verlangt sie in Art. 32 zum Schutz personenbezogener Daten, das BSI-Gesetz in § 30 für NIS-2-Einrichtungen; beide Pflichten lassen sich mit einem gemeinsamen Maßnahmenkatalog erfüllen.
- Art. 32 DSGVO: risikogerechtes Schutzniveau, regelmäßige Wirksamkeitsprüfung.
- § 30 BSIG: zehn Mindestmaßnahmen für NIS-2-Einrichtungen.
- ISO/IEC 27001 Anhang A liefert den passenden Maßnahmenkatalog.
- Ein Katalog, mehrfach genutzt: einmal dokumentieren, für alle Pflichten nachweisen.
Was verlangt Art. 32 DSGVO?
Unter Berücksichtigung von Stand der Technik, Kosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie des Risikos für die Betroffenen sind geeignete Maßnahmen zu treffen. Art. 32 Abs. 1 nennt ausdrücklich:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten,
- die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen,
- die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen,
- ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit.
Wie passen DSGVO, NIS-2 und ISO 27001 zusammen?
| Maßnahmenbereich | Art. 32 DSGVO | § 30 Abs. 2 BSIG | ISO/IEC 27001 Anhang A (Beispiele) |
|---|---|---|---|
| Risikoanalyse und Sicherheitskonzept | Risikobasierter Ansatz | Nr. 1 | Kapitel 6.1, 8.2; A.5.1 |
| Vorfallmanagement | Wiederherstellung nach Zwischenfall | Nr. 2 | A.5.24 bis A.5.28 |
| Backup, Notfall, Krise | Verfügbarkeit, Belastbarkeit, Wiederherstellung | Nr. 3 | A.5.29, A.5.30, A.8.13 |
| Lieferkette und Dienstleister | Auftragsverarbeitung (Art. 28) | Nr. 4 | A.5.19 bis A.5.23 |
| Sichere Entwicklung, Schwachstellen | Stand der Technik | Nr. 5 | A.8.8, A.8.25 bis A.8.29 |
| Wirksamkeitsprüfung | Abs. 1 lit. d | Nr. 6 | Kapitel 9; A.5.35, A.5.36 |
| Schulung und Sensibilisierung | Mittelbar (Art. 39 DSB-Aufgaben) | Nr. 7 | A.6.3 |
| Verschlüsselung | Abs. 1 lit. a | Nr. 8 | A.8.24 |
| Personal, Zugriff, Systemverwaltung | Vertraulichkeit, Integrität | Nr. 9 | A.5.15 bis A.5.18, A.6.1, A.8.2 |
| Multi-Faktor-Authentifizierung, sichere Kommunikation | Stand der Technik | Nr. 10 | A.5.14, A.8.5 |
Die Zuordnung ist eine Arbeitshilfe in eigenen Worten und ersetzt nicht die Prüfung des Normtexts.
Wie dokumentiert man TOM praxistauglich?
- Für jede Maßnahme festhalten: Ziel, Beschreibung, Verantwortliche, betroffene Systeme und Verarbeitungen.
- Den Bezug zu Anforderungen herstellen: Art. 32 DSGVO, § 30 BSIG, Maßnahme aus Anhang A.
- Den Umsetzungsstand und einen Nachweis hinterlegen, etwa Konfiguration, Richtlinie oder Schulungsliste.
- Wirksamkeit regelmäßig prüfen und das Ergebnis mit Datum dokumentieren.
Viele Unternehmen gliedern ihre TOM noch nach den acht Kontrollzielen des früheren § 9 BDSG (Zutritt, Zugang, Zugriff, Weitergabe, Eingabe, Auftrag, Verfügbarkeit, Trennung). Das ist zulässig, deckt aber die Wirksamkeitsprüfung und die Belastbarkeit nach Art. 32 nicht automatisch ab.
Häufige Fragen zu TOM
Gibt es eine feste Liste von TOM?
Nein. Art. 32 DSGVO nennt Beispiele und Ziele, schreibt aber keine abschließende Liste vor. Welche Maßnahmen angemessen sind, ergibt sich aus Stand der Technik, Implementierungskosten, Art und Zweck der Verarbeitung und dem Risiko für die Betroffenen.
Wie oft müssen TOM überprüft werden?
Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Üblich ist eine jährliche Überprüfung sowie eine Prüfung bei wesentlichen Änderungen an Systemen oder Prozessen.