Technische und organisatorische Maßnahmen — im Alltag TOM — sind die Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten schützt. Der Begriff stammt aus dem Datenschutzrecht, nicht aus der Normenwelt. Artikel 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist, und benennt dafür einige Ansatzpunkte: Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Technisch und organisatorisch sind zwei Kategorien
Technische Maßnahmen wirken durch Einrichtung: Verschlüsselung, Zugriffssteuerung, Protokollierung, Netztrennung, Sicherungsverfahren, Zutrittskontrolle über Schließsysteme.
Organisatorische Maßnahmen wirken durch Festlegung: Rollen und Verantwortlichkeiten, Vertraulichkeitsverpflichtungen, Freigabeverfahren, Regelungen für Homeoffice und mobile Geräte, Löschkonzept, Schulungen, Meldewege.
Die Unterscheidung wirkt akademisch und hat einen praktischen Nutzen: Sie verhindert, dass ein Konzept nur aus Technik besteht. Ein Verschlüsselungsverfahren ohne Regelung, wer Schlüssel verwaltet und was bei Ausscheiden einer Person geschieht, ist eine halbe Maßnahme.
Das Verhältnis zum ISMS
TOM und ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 überschneiden sich stark, sind aber nicht dasselbe. Die DSGVO schützt personenbezogene Daten, die Norm schützt Informationen jeder Art. Wer ein ISMS betreibt, hat den Großteil der TOM bereits umgesetzt und dokumentiert — die Maßnahmen aus Anhang A decken die Ansatzpunkte aus Artikel 32 weitgehend ab.
Umgekehrt gilt das nicht: Eine TOM-Liste ist noch kein Managementsystem. Es fehlen der Kontext, die Ziele, die interne Auditierung und die Managementbewertung. Genau das ist der Unterschied zwischen einer Sammlung von Maßnahmen und einem System, das sich selbst überprüft.
Woran es in der Praxis scheitert
Die TOM-Liste ist eine Vorlage. Sie beschreibt Maßnahmen, die im Unternehmen nicht existieren, weil sie aus einem Muster übernommen und nie abgeglichen wurde. Das fällt spätestens auf, wenn ein Kunde im Rahmen eines Auftragsverarbeitungsvertrags eine Kontrolle durchführt und nach dem Löschkonzept fragt, das laut Liste vorhanden ist.
Der zweite Fehler ist der fehlende Bezug zum Risiko. Artikel 32 verlangt Angemessenheit, und Angemessenheit setzt eine Bewertung voraus: Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen. Eine Liste ohne diese Herleitung lässt sich weder verteidigen noch fortschreiben.
Der dritte Punkt ist die fehlende Überprüfung. Der Artikel verlangt ausdrücklich ein Verfahren zur regelmäßigen Bewertung der Wirksamkeit. Eine TOM-Beschreibung mit Erstellungsdatum aus dem Jahr der Einführung und ohne Prüfvermerk erfüllt diesen Punkt nicht — unabhängig davon, wie gut die Maßnahmen darin beschrieben sind.
Ein pragmatischer Weg aus dem Vorlagenproblem: Gehen Sie die Liste einmal Zeile für Zeile durch und ergänzen Sie hinter jeder Maßnahme, wo sie geregelt ist und wer sie verantwortet. Alles, wofür sich weder Regelung noch Verantwortlicher benennen lässt, streichen Sie — oder setzen es um. Danach ist die Liste kürzer, aber sie hält einer Prüfung stand.