TOM (Technisch-organisatorische Maßnahmen)
TOMs sind alle technischen und organisatorischen Maßnahmen, mit denen ein Verantwortlicher die Sicherheit personenbezogener Daten gewährleistet. Pflicht nach Art. 32 DSGVO. du musst risikoangepasst sein und werden im AVV (Art. 28) und im Verarbeitungsverzeichnis (Art. 30) dokumentiert.
Art. 32 DSGVO fordert „unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos“ geeignete TOMs. Keine fixe Checkliste. Risiko-Angemessenheit ist der Maßstab.
Was explizit genannt wird
Art. 32 Abs. 1 nennt Pseudonymisierung und Verschlüsselung (lit. a), Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (lit. b), Wiederherstellbarkeit nach Vorfällen (lit. c), regelmäßige Überprüfung und Bewertung (lit. d). § 64 BDSG ergänzt für deutsche Behörden eine detaillierte 14-Punkte-Liste, die in der Praxis oft als Orientierung dient.
Häufige Lücken
Kein Berechtigungs-Review beim Mitarbeiter-Wechsel, ungeschützte Backups, fehlende Mitarbeitenden-Schulung, keine dokumentierte Risikoanalyse, veraltete Verschlüsselungs-Protokolle (TLS 1.0), Klartext-E-Mail mit sensiblen Anhängen, kein Restore-Drill, die Klassiker bei Aufsichtsbehörden-Kontrollen.
Beispiele aus der Praxis
Beispiel Mittelständler: Zutritt zum Serverraum nur per Chipkarte, Bildschirmsperre nach 5 min, BitLocker auf allen Laptops, MFA für Cloud-Logins, RBAC im CRM, tägliches Backup mit wöchentlichem Offsite-Sync, Phishing-Schulung jährlich, jährlicher TOM-Review im DSB-Audit.
Beispiel SaaS-Anbieter: ISO 27001-zertifiziert, Tenant-Isolation, Verschlüsselung at-rest (AES-256) und in-transit (TLS 1.3), zentrales Logging, Vulnerability-Scans wöchentlich, jährlicher Pentest, BCP/DR-Plan mit jährlichem Live-Test, Sub-Verarbeiter-Liste öffentlich.
:quality(85))
Solche Begriffe sicher anwenden — im IHK-Lehrgang
„TOM (Technisch-organisatorische Maßnahmen)" ist einer von 9 Schlüsselbegriffen, die wir im Manager-Lehrgang in praxisnahen Modulen vertiefen. Hol dir das offizielle IHK-Zertifikat.
Kostenlos testenthekey.academy ist eine deutsche Online-Lernplattform für IHK-zertifizierte berufliche Weiterbildung — 25 Lehrgänge zu KI, Führung, Resilienz, Marketing und HR. 100 % online, self-paced, mit IHK-Zertifikat.