Guten Tag,

Wer TOM nach Art. 32 DSGVO ernsthaft umsetzt, baut ohne es zu merken sein erstes ISMS auf – wie aus einer reinen gesetzlichen Pflichtübung echter strategischer Schutz wird. — Ihr Cortina-Team

Datenschutz

TOM nach Art. 32 DSGVO: Der unterschätzte Weg zum ISMS

Art. 32 DSGVO verpflichtet jedes Unternehmen, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umzusetzen. Was zunächst wie eine bürokratische Pflichtübung wirkt, ist in der Praxis oft der Startpunkt für echte Informationssicherheit. Wer TOM nicht als Checkliste, sondern als Analyseprozess begreift, landet unweigerlich bei den gleichen Kernfragen, die auch ein vollständiges ISMS stellt – und hat damit mehr erreicht, als die DSGVO verlangt.

Unternehmen greifen selten freiwillig zu technischen und organisatorischen Maßnahmen (TOM). Meist drängt erst eine Aufsichtsbehörde – oder ein kritischer Vorfall. Doch stellen Sie sich die Frage „Wo sind unsere Daten wirklich gefährdet?“ und Sie merken: TOM sind kein einmaliger Compliance-Akt – sondern der erste Schritt, um ein ISMS aufzubauen.

Der Grund liegt in drei Kernfragen, die jede sorgfältige TOM-Dokumentation stellt: Welche Risiken bestehen? Wie werden Maßnahmen dokumentiert? Und wie prüft man, ob sie noch wirksam sind? Damit hat das Unternehmen bereits die Grundstruktur einer Risikoanalyse und eines ISMS vor Augen – oft ohne es zu merken. Was als DSGVO-Pflicht beginnt, wird zum strategischen Sicherheitsgerüst.

Fehlende oder veraltete technische und organisatorische Maßnahmen können ernsthafte Herausforderungen mit sich bringen: Bei Datenpannen drohen Bußgelder sowie eine schnelle Meldepflicht gegenüber der Aufsichtsbehörde. Die NIS-2-Richtlinie verstärkt diesen Handlungsbedarf zusätzlich – mit solider TOM-Dokumentation sind Sie jedoch bestens auf zukünftige Anforderungen vorbereitet.

Unsere Empfehlung: Prüfen Sie Ihre TOM-Dokumentation auf ISMS-Tauglichkeit – machen Sie aus der DSGVO-Pflicht einen strategischen Vorteil für nachhaltige Informationssicherheit. Ein externer ISB führt Sie strukturiert von Art. 32 DSGVO bis zur ISO-27001-Zertifizierung.

Weitere Neuigkeiten

Kennzahl der Woche

Betroffen, bedroht – aber kaum vorbereitet

Fast jedes Unternehmen wird getroffen, fast 6 von 10 sehen die eigene Existenz in Gefahr – aber nur jedes zweite hat seine Hausaufgaben gemacht. Ein ISMS schließt genau diese Lücke.

Quelle: Bitkom, Wirtschaftsschutz 2025, September 2025