Checkliste: technische und organisatorische Massnahmen (TOM) dokumentieren
Für: Datenschutzverantwortliche und IT-Leitung
Aktualisiert: 2026-11
TOM werden glaubwürdig dokumentiert, wenn sie vom tatsächlichen Bestand ausgehen: Systeme und Daten erfassen, Schutzbedarf bestimmen, Massnahmen zu Zugang, Zugriff, Verschlüsselung, Verfügbarkeit und Protokollierung pro System festhalten, Dienstleister einbeziehen, Verantwortliche benennen und die Wirksamkeit periodisch prüfen.
Das Schweizer DSG verlangt eine dem Risiko angemessene Datensicherheit, die DSGVO geeignete technische und organisatorische Massnahmen. In der Praxis bestehen viele TOM-Dokumente aus Vorlagen, die mit dem eigenen Betrieb wenig zu tun haben.
Diese Checkliste führt zu einer Dokumentation, die stimmt. Den Begriff erklärt der Glossareintrag zu TOM.
Die Checkliste
- 01
Systeme und Daten erfassen
Alle Systeme mit Personendaten auflisten, inklusive Cloud-Diensten, und die Datenkategorien zuordnen.
Erledigt, wenn: Die Liste ist mit dem Bearbeitungsverzeichnis abgeglichen und enthält keine Systeme ohne Verantwortliche.
- 02
Schutzbedarf bestimmen
Pro System den Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit einschätzen.
Erledigt, wenn: Jedes System hat eine begründete Einstufung, besonders schützenswerte Daten sind markiert.
- 03
Zugang und Zugriff festhalten
Anmeldung, Mehrfaktor-Authentifizierung, Rollen und Berechtigungsprozess beschreiben.
Erledigt, wenn: Für jedes System ist dokumentiert, wer Berechtigungen vergibt und wie sie periodisch überprüft werden.
- 04
Verschlüsselung und Übertragung beschreiben
Verschlüsselung bei Übertragung und Speicherung sowie Schlüsselverwaltung festhalten.
Erledigt, wenn: Lücken, etwa unverschlüsselte Exporte oder Backups, sind benannt und mit Massnahme versehen.
- 05
Verfügbarkeit und Wiederherstellung belegen
Backups, Aufbewahrung und Wiederherstellungsziele beschreiben und testen.
Erledigt, wenn: Eine Wiederherstellung wurde nachweislich durchgeführt, nicht nur eingerichtet, und das Datum ist festgehalten.
- 06
Dienstleister einbeziehen
Massnahmen der Auftragsbearbeiter über Verträge und Nachweise einbinden.
Erledigt, wenn: Für jeden Auftragsbearbeiter liegt ein Vertrag und ein Nachweis zu seinen Massnahmen vor.
- 07
Verantwortung und Überprüfung regeln
Verantwortliche benennen und einen Rhythmus für die Überprüfung festlegen.
Erledigt, wenn: Die Dokumentation trägt ein Datum der letzten Überprüfung und einen Termin für die nächste.
Häufige Fehler
- —Eine Vorlage übernehmen, die Massnahmen beschreibt, die es im Betrieb nicht gibt.
- —Cloud-Dienste und private Geräte vergessen, auf denen tatsächlich gearbeitet wird.
- —Backups dokumentieren, deren Wiederherstellung nie getestet wurde.
- —TOM einmal schreiben und bei Systemwechseln nicht nachführen.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt keine Informationssicherheitsprüfung und keinen Penetrationstest.
- —Ob Massnahmen im konkreten Fall angemessen sind, hängt vom Risiko ab und kann eine fachliche oder rechtliche Beurteilung erfordern.
- —Branchenspezifische Vorgaben, etwa der FINMA oder im Gesundheitswesen, gehen weiter und sind gesondert zu prüfen.
Übergeordnete Leistung: Datenschutzberatung
Passende Angebote
revDSG-Umsetzung für KMU: vom Ist-Zustand zum Nachweis
Ein abgegrenztes Paket, das ein Schweizer KMU von der Unsicherheit zum dokumentierten Stand bringt: Datenflüsse und Dienstleister erfassen, Pflichten bestimmen, Verträge und Auslandübermittlungen prüfen, Datenschutzerklärung-Grundlage liefern und klare Abläufe für Datenschutzverletzungen und Auskunftsbegehren festlegen.
DSGVO- & revDSG-Audit für SaaS
Ein Datenschutz-Audit für SaaS prüft, ob Datenflüsse, Auftragsverarbeitung, Löschkonzept und technische Massnahmen DSGVO- und revDSG-konform sind. Ergebnis ist ein konkreter Befund mit priorisierten Korrekturen — aus Sicht von Leuten, die selbst SaaS betreiben.
Auskunftsbegehren automatisieren
Wir bauen einen Ablauf, mit dem Ihr Unternehmen Auskunfts-, Berichtigungs- und Löschbegehren nach DSG und DSGVO fristgerecht und nachvollziehbar beantwortet: Eingangskanal, Identitätsprüfung, Übersicht, wo Personendaten liegen, automatisierte Abfragen über Schnittstellen, Antwortvorlagen und ein Protokoll pro Begehren. Die rechtliche Beurteilung im Einzelfall bleibt bei Ihnen oder Ihrer Kanzlei.
Häufige Fragen
Gibt es eine Pflicht zur TOM-Dokumentation?
Beide Rechtsordnungen verlangen angemessene Datensicherheit und deren Nachweisbarkeit. Eine Dokumentation ist der praktische Weg dazu.
Wie detailliert müssen TOM sein?
So konkret, dass eine sachverständige Person nachvollziehen kann, was pro System tatsächlich umgesetzt ist.
Gehören TOM in den Auftragsverarbeitungsvertrag?
Ja. Der Vertrag verweist typischerweise auf die TOM des Dienstleisters als Anhang.
Weitere Checklisten
Checkliste: Software abnehmen ohne böse Überraschungen
Eine Software-Abnahme gelingt, wenn die Abnahmekriterien vor dem Test feststehen: aus den Anforderungen abgeleitete Testfälle, realistische Testdaten, ein Test durch die späteren Nutzer, eine klare Einteilung der Mängel nach Schwere, ein unterschriebenes Protokoll und eine geregelte Übergabe in den Betrieb mit Dokumentation und Zugängen.
Checkliste: meldefähig für Cyberangriffe innert 24 Stunden
Meldefähig ist ein Unternehmen, wenn es seine Betroffenheit nach ISG geklärt hat, Rollen und Erreichbarkeit rund um die Uhr geregelt sind, eine Entscheidungshilfe zur Meldepflicht vorliegt, die Erstmeldung vorbereitet ist, parallele Meldepflichten bekannt sind, Dienstleister zur Mitwirkung verpflichtet sind und der Ablauf geübt wurde.
Checkliste: SRO-Anschluss vorbereiten
Ein SRO-Anschluss wird in sieben Schritten vorbereitet: Unterstellung und Berufsmässigkeit klären, die passende SRO anhand der aktuellen FINMA-Liste wählen, Organisation und GwG-Verantwortung festlegen, Weisungen auf das Reglement abstimmen, eine Risikoanalyse erstellen, das Gesuch vollständig einreichen und den Betrieb mit Dokumentation ab dem ersten Kunden aufsetzen.