Verknüpfen Sie jede Massnahme mit dem Control, das sie erfüllt — und belegen Sie es auf Anfrage
Wenn Massnahmen nicht zugeordnet sind, können Sie ihre Wirkung nicht belegen
Wenn eine Aufsichtsbehörde oder Prüfstelle fragt, wie Sie Personendaten schützen, liegt die Antwort in Ihren technischen und organisatorischen Massnahmen. In den meisten Organisationen stehen diese Massnahmen in einem Word-Dokument, einer Control-Matrix und in den Köpfen einiger weniger Personen — und keine davon stimmt überein.
Das Schwierige ist die Zuordnung. Welche Massnahme erfüllt welches Control? Welche Framework-Anforderung ist tatsächlich abgedeckt und welche wird nur behauptet, aber nicht belegt? Wenn Massnahmen nicht mit Controls verknüpft sind, können Sie weder belegen, dass eine TOM eine Pflicht erfüllt, noch erkennen, welche Lücken noch ein Risiko tragen.
Das Ergebnis sind eine uneinheitliche Umsetzung über Frameworks hinweg, doppelter Aufwand und jedes Mal hektisches Suchen, wenn die Frage von «Haben Sie Massnahmen?» zu «Zeigen Sie es mir» wechselt.
Was Sie mit TOM tun können
- Pflegen Sie einen einzigen TOM-Katalog mit Beschreibungen, zentral über jedes Framework hinweg.
- Verknüpfen Sie jede Massnahme mit Compliance-Controls und Control-Nachweisen, sodass jede TOM auf das verweist, was sie erfüllt.
- Verfolgen Sie den Umsetzungsstatus über die Workflow-Freigabe — geplant, in Umsetzung, umgesetzt.
- Weisen Sie die Verantwortung für jede Massnahme einer Organisationseinheit und einer benannten Person zu.
- Ordnen Sie TOM Risikomassnahmen und Belegdokumenten zu und verbinden Sie die Massnahme mit dem Risiko, das sie reduziert.
- Aktualisieren Sie verknüpfte Beziehungen im Bulk, wenn sich Controls, Massnahmen oder Verantwortliche über viele Massnahmen gleichzeitig ändern.
Was es Ihrem Programm bringt
- Beantworten Sie «Welche Massnahme deckt diese Anforderung ab?» sofort — jede TOM ist ihren Controls zugeordnet und sofort vorzeigbar.
- Einheitliche Umsetzung über Frameworks hinweg — ein Katalog speist DSGVO, ISO, NIS2 und DORA statt vier auseinanderlaufender Kopien.
- Klare Verantwortlichkeit — jede Massnahme hat einen Verantwortlichen und eine Einheit, sodass vor einer Prüfung nichts unzugewiesen bleibt.
- Restrisiko, das die Realität widerspiegelt — der Umsetzungsstatus fliesst in die Risikoberechnung ein, sodass Ihr Risikobild abbildet, was tatsächlich umgesetzt ist.
- Prüfungsbereite Nachweise auf Anfrage — erstellen Sie TOM-Umsetzungsberichte, ohne das Bild jedes Mal neu aufzubauen.
Für Compliance gebaut
DPMS hilft Ihnen, genau die Pflichten zu belegen, die Ihre TOM erfüllen sollen:
| Was DPMS leistet | Zugeordnet zu | Wie |
|---|---|---|
| Dokumentiert technische und organisatorische Massnahmen für Personendaten | DSGVO Art. 32 | Massnahmenkatalog mit Beschreibungen und Umsetzungsstatus |
| Verknüpft Massnahmen mit Informationssicherheits-Controls und deren Nachweisen | ISO 27001:2022 Annex A | TOM-zu-Control-Zuordnung als Grundlage für Ihre Anwendbarkeitserklärung (SoA) |
| Belegt Risikomanagement- und Sicherheitsmassnahmen | NIS2 Art. 21 | Massnahmen, verknüpft mit Risikomassnahmen und verantwortlichen Personen |
| Dokumentiert Massnahmen zur Minderung von IKT-Risiken | DORA Art. 9 | Statusverfolgung und Berichterstattung über Schutzmassnahmen |
Warum Priverion
In DPMS sind TOM die gemeinsame Währung, die Controls, Risikomassnahmen und Bewertungen verbindet — kein eigenständiges Register. Weil der Katalog innerhalb einer einheitlichen Plattform für Datenschutz und Informationssicherheit liegt, fliesst eine einmal zugeordnete Massnahme zu den Controls, die sie erfüllt, und den Risiken, die sie behandelt — ohne erneute Eingabe.
Diese Verbindung macht den Unterschied. Anders als bei allgemeinen GRC-Tools, in denen TOM statischer Text sind, steuert hier der Umsetzungsstatus plattformweit die Berechnung des Restrisikos — eine Massnahme als «umgesetzt» zu markieren, aktualisiert also Ihr Risikobild und nicht nur ein Statusfeld.
Fragen, die CISOs vor einer Demo stellen
Kann ich eine TOM frameworkübergreifend mit Controls verknüpfen?
Wirkt sich der TOM-Status auf unsere Risikobewertungen aus?
Wer ist für jede Massnahme verantwortlich?
Können wir mehrere TOM gleichzeitig aktualisieren?
Verwandte Funktionen entdecken
Bereit, jede Massnahme auf die Karte zu bringen?
