TOM-Anforderungen

Unnamed: 0	Unnamed: 1	Unnamed: 2	Unnamed: 3	Unnamed: 4	Unnamed: 5	Unnamed: 6
[TOMs-Tool] Abfrage der technischen und organisatorischen Maßnahmen (TOMs) bei externen Dienstleistern


Zweck der TOMs:		Die nachfolgende Abfrage zu den technischen und organisatorischen Maßnahmen (TOMs) dient der Transparenz und Nachvollziehbarkeit der vom Dienstleister umgesetzten Informationssicherheitsmaßnahmen im Rahmen der Leistungserbringung für die BGE. Ziel ist es, - nachvollziehen zu können, wie der Schutz von Informationen und Daten konkret umgesetzt wird, - sicherzustellen, dass die vereinbarten Mindestanforderungen an die Informationssicherheit eingehalten werden, - sowie eine risikobasierte Bewertung der Dienstleistung zu ermöglichen. Die Angaben bilden die Grundlage für die vertragliche Einordnung, ggf. ergänzende Sicherheitsanforderungen sowie für eine angemessene Steuerung und Überwachung der Zusammenarbeit. Die Abfrage ersetzt kein Audit, sondern dient der strukturierten Selbstauskunft des Dienstleisters zu den umgesetzten Maßnahmen. Die Angaben sind wahrheitsgemäß und bezogen auf die konkret beauftragte Leistung zu machen.

Hinweise zur Bearbeitung 1. Stammdaten ausfüllen Bitte füllen Sie zunächst den Abschnitt „Stammdaten“ vollständig aus. 2. Pflichtanforderungen beantworten Beantworten Sie anschließend alle Anforderungen des Pflichtfragenteils. 3. Optionale Anforderungsblöcke eigenständig auf Relevanz prüfen Prüfen Sie als Dienstleister eigenverantwortlich, welche optionalen Anforderungsblöcke auf die konkret für die BGE erbrachte Dienstleistung zutreffen. Wählen Sie dazu vor jedem optionalen Block in der Zeile „Relevanz des folgenden optionalen Blocks“ den Wert „Zutreffend“ oder „Nicht zutreffend“ aus. Erst nach Auswahl von „Zutreffend“ werden die Eingabefelder des Blocks weiß hinterlegt und sind auszufüllen. Alle zutreffenden optionalen Blöcke sind vollständig zu beantworten. Die Notizen an den jeweiligen Blöcken enthalten Beispiele zur Einordnung und unterstützen Sie bei der Entscheidung, ob ein Block relevant ist. 4. Erfüllungsgrad auswählen Wählen Sie in Spalte C für jede zu beantwortende Anforderung den zutreffenden Umsetzungsstatus aus: Erfüllt, Tlw. erfüllt, Nicht erfüllt oder Nicht anwendbar. 5. Angaben erläutern und nachweisen Ergänzen Sie in Spalte D bei Bedarf eine Beschreibung, Erläuterung oder geeignete Nachweise. Bei „Tlw. erfüllt“, „Nicht erfüllt“ oder „Nicht anwendbar“ ist eine kurze Begründung anzugeben. 6. Vollständigkeit prüfen Prüfen Sie vor Abschluss, ob alle Pflichtanforderungen sowie alle für Ihre Dienstleistung zutreffenden optionalen Anforderungsblöcke vollständig beantwortet wurden. Bitte bearbeiten Sie ausschließlich dieses Tabellenblatt.

Allgemeine Angaben des Dienstleisters (Stammdaten)
	Daten	Antwort	Anmerkungen/ Erläuterungen
	Firmenname
	Ansprechperson(en) [Falls zutreffend, insbesondere auch Kontaktdaten des ISB und DSB oder vergleichbarer Stellen auflisten.]
	Art der Dienstleistung	Bitte auswählen
	Sitz des externen Dienstleisters	Bitte auswählen
	Sitz des externen Unterauftragnehmer [Nur zu beantworten, wenn zutreffend.]	Bitte auswählen
	Standort der Rechenzentren [Nur zu beantworten, wenn zutreffend.]	Bitte auswählen
	Datenverarbeitung (Wo werden die Daten verarbeitet?)	Bitte auswählen
	Datensicherung (Wo liegt das Backup?)	Bitte auswählen

TOMs - Pflichtfragenteil

Zutrittskontrolle (physisch)	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Es bestehen geeignete bauliche und technische Schutzmaßnahmen (z. B. Sicherheitstüren, gesicherte Fenster, Alarmanlagen, Videoüberwachung), um unbefugten Zutritt zu Gebäuden, Büroräumen und insbesondere Serverräumen zu verhindern.	Bitte auswählen		Technisch	INF.1	A.7.1
	Ein geregeltes Zutrittskontrollsystem ist vorhanden (z. B. Mitarbeiterausweise, Besucherausweise, elektronische Schließsysteme). Besucher werden stets angemeldet, registriert und begleitet.	Bitte auswählen		Technisch	INF.2	A.7.2
	Alle Zutritte und Abgänge an sicherheitsrelevanten Bereichen werden nachvollziehbar protokolliert und regelmäßig überprüft.	Bitte auswählen		Organisatorisch	INF.2	A.7.4
	Externe Dienstleister wie Sicherheits- oder Reinigungspersonal werden sorgfältig ausgewählt, überprüft und sind vertraglich zur Vertraulichkeit verpflichtet.	Bitte auswählen		Organisatorisch	ORP.2	A.6.6

Zugangskontrolle (Systemzugang)	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Jeder Nutzer verfügt über ein eigenes Benutzerkonto. Es existieren verbindliche Regeln zu Passwortsicherheit (z. B. Mindestlänge, Komplexität, Wechselintervalle).	Bitte auswählen		Technisch + Organisatorisch	ORP.4	A.8.5
	Für besonders sensible Zugänge (z. B. administrative Konten, Remote-Zugriff) wird Mehrfaktor-Authentifizierung eingesetzt.	Bitte auswählen		Technisch	ORP.4	A.8.5
	Arbeitsplätze sperren sich automatisch nach Inaktivität, und Mitarbeitende sind angehalten, diese bei Verlassen manuell zu sperren.	Bitte auswählen		Technisch	SYS.2.1	A.8.1
	Zugriffe von außen sind durch Firewall-Systeme, sichere Verbindungen (z. B. VPN) und aktuelle Endpoint-Schutzlösungen (Antivirensoftware, EDR, MDM) abgesichert.	Bitte auswählen		Technisch	NET.3.2	A.8.20
	Systemzugriffe werden vollständig protokolliert, und Protokolle werden regelmäßig überprüft, um unbefugte Aktivitäten zu erkennen.	Bitte auswählen		Technisch	DER.1	A.8.15

Zugriffskontrolle (Berechtigungen & Daten)	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Es existiert ein dokumentiertes Rollen- und Berechtigungskonzept, das regelt, welche Personen auf welche Daten oder Systeme zugreifen dürfen (Prinzip: geringstmögliche Berechtigung).	Bitte auswählen		Organisatorisch	ORP.4	A.8.2
	Vergabe, Änderung und Entzug von Berechtigungen erfolgen nach einem definierten Prozess und werden regelmäßig überprüft.	Bitte auswählen		Organisatorisch	ORP.4	A.8.3
	Zugriffe von Administratoren und anderen privilegierten Nutzern werden protokolliert und kontrolliert.	Bitte auswählen		Organisatorisch	OPS.1.1.2	A.8.2
	Vertrauliche Informationen und Datenträger werden sicher aufbewahrt und bei Entsorgung datenschutzkonform vernichtet (z. B. Aktenvernichter, zertifizierte Datenträgervernichtung).	Bitte auswählen		Technisch	CON.6	A.7.10

Trennungskontrolle	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Produktiv-, Test- und Entwicklungssysteme sind voneinander getrennt, sodass Daten nicht versehentlich oder unbefugt übertragen werden können.	Bitte auswählen		Technisch	CON.8	A.8.31
	Die Trennung von Daten und Funktionen erfolgt auch logisch über Berechtigungskonzepte sowie geeignete Datenbankeinstellungen.	Bitte auswählen		Technisch + Organisatorisch	ORP.4	A.8.3
	Personenbezogene Daten sind eindeutig einem Zweck zugeordnet, und diese Zweckbindung ist dokumentiert.	Bitte auswählen		Organisatorisch	CON.2	A.5.34

Pseudonymisierung/ Anonymisierung	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Wenn erforderlich, werden personenbezogene Daten technisch pseudonymisiert, sodass Rückschlüsse auf Personen nur mit Zusatzinformationen möglich sind.	Bitte auswählen		Technisch	CON.2	A.8.11
	Zuordnungslisten (Referenz- bzw. Schlüsseltabellen, mit denen pseudonymisierte Daten wieder einer Person zugeordnet werden können) werden getrennt von den pseudonymisierten Daten aufbewahrt und besonders geschützt (z. B. verschlüsselt) gespeichert.	Bitte auswählen		Technisch	CON.2	A.8.11
	Es existieren interne Vorgaben und Prozesse, die regeln, wann Daten pseudonymisiert oder anonymisiert werden müssen.	Bitte auswählen		Organisatorisch	CON.2	A.5.34

Weitergabekontrolle	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Personenbezogene sowie sonstige vertrauliche oder schützenswerte Daten (z. B. Projekt- und Planungsunterlagen der BGE) werden bei elektronischer Übermittlung stets geschützt (z. B. per Verschlüsselung, VPN oder sicheren Übertragungswegen wie SFTP/HTTPS).	Bitte auswählen		Technisch	CON.1	A.8.24
	Datenempfänger und Übermittlungswege sind definiert, dokumentiert und auf das notwendige Minimum beschränkt.	Bitte auswählen		Organisatorisch	CON.2	A.5.34
	Bei physischem Transport (z. B. Datenträger, Dokumente) erfolgt eine sichere Übergabe (z. B. versiegelte Umschläge, persönliche Übergabe).	Bitte auswählen		Technisch	CON.6	A.7.10
	Alle Weitergaben werden dokumentiert, inklusive Empfänger, Zeitpunkt und Zweck.	Bitte auswählen		Organisatorisch	CON.2	A.5.34

Eingabekontrolle	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Verantwortlichkeiten für das Eingeben, Ändern und Löschen von Daten sind festgelegt und dokumentiert.	Bitte auswählen		Organisatorisch	ORP.1	A.5.2
	Änderungen, Eingaben und Löschungen von personenbezogenen sowie sonstigen vertraulichen oder schützenswerten Daten werden technisch protokolliert und regelmäßig überprüft.	Bitte auswählen		Technisch + Organisatorisch	DER.1	A.8.15
	Nur berechtigte Personen dürfen Daten bearbeiten, basierend auf einem gültigen Berechtigungskonzept.	Bitte auswählen		Organisatorisch	ORP.4	A.8.3

Verfügbarkeitskontrolle	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Es bestehen technische und organisatorische Maßnahmen zur Sicherstellung der Verfügbarkeit kritischer Systeme und Infrastrukturen, z. B. USV, Notstromversorgung, Klima-, Brand- und Wasserschutz.	Bitte auswählen		Technisch + Organisatorisch	INF.2	A.7.5
	Kritische Systeme, Anwendungen und Infrastrukturkomponenten werden überwacht. Für erkannte Störungen bestehen definierte Alarmierungs- und Eskalationsverfahren.	Bitte auswählen		Technisch + Organisatorisch	DER.1	A.8.16
	Kritische Komponenten der Leistungserbringung sind angemessen redundant ausgelegt oder durch dokumentierte Ersatz- bzw. Ausweichverfahren abgesichert.	Bitte auswählen		Technisch + Organisatorisch	INF.2 / OPS.1.1.5	A.8.14
	Kapazitäten von System-, Speicher- und Netzwerkressourcen werden regelmäßig überwacht und bewertet, um Verfügbarkeitsengpässe frühzeitig zu erkennen.	Bitte auswählen		Technisch + Organisatorisch	OPS.1.1.5	A.8.6

ITSCM & Wiederherstellungsfähigkeit	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Datensicherungen werden regelmäßig erstellt und vor Verlust, Manipulation sowie unbefugtem Zugriff geschützt.	Bitte auswählen		Technisch	CON.3	A.8.13
	Datensicherungen werden räumlich oder logisch getrennt von den Produktivsystemen aufbewahrt und gegen gleichzeitigen Ausfall abgesichert.	Bitte auswählen		Technisch	CON.3	A.8.13
	Für kritische Systeme, Anwendungen und Datenbestände existieren dokumentierte Wiederherstellungsverfahren einschließlich Zuständigkeiten, erforderlicher Berechtigungen und benötigter Dokumentationen.	Bitte auswählen		Technisch + Organisatorisch	CON.3 / ORP.2	A.5.2 / A.8.13
	Für die für die Leistungserbringung relevanten IT-Services sind Wiederherstellungsziele definiert und dokumentiert, insbesondere RTO und RPO, soweit anwendbar.	Bitte auswählen		Organisatorisch	DER.4 / CON.3	A.5.30 / A.8.13
	Die Wiederherstellung von Daten, Systemen und IT-Services wird regelmäßig getestet, dokumentiert und in Verbesserungsmaßnahmen überführt.	Bitte auswählen		Technisch + Organisatorisch	CON.3 / DER.4	A.8.13 / A.5.30
	Für wesentliche IT-Services stehen qualifiziertes Personal, Vertretungsregelungen, erforderliche Berechtigungen und aktuelle Betriebs- bzw. Recovery-Dokumentationen zur Verfügung.	Bitte auswählen		Organisatorisch	ORP.2	A.5.2

Managementsysteme (ISMS/DSMS)	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Ein Datenschutz- und Informationssicherheitsbeauftragter ist benannt. Richtlinien, Sicherheitskonzepte und Prozesse sind dokumentiert und zugänglich.	Bitte auswählen		Organisatorisch	ISMS.1	A.5.2
	Mitarbeiter werden regelmäßig geschult und auf Vertraulichkeit verpflichtet.	Bitte auswählen		Organisatorisch	ORP.3	A.6.3
	Ein geregeltes Change- und Release-Management stellt sicher, dass Änderungen kontrolliert und dokumentiert erfolgen.	Bitte auswählen		Organisatorisch	OPS.1.1.3	A.8.32
	Es existieren definierte Prozesse für Betroffenenrechte (Auskunft, Löschung, Widerruf), Datenschutz-Folgenabschätzungen und Dokumentationspflichten.	Bitte auswählen		Organisatorisch	CON.2	A.5.34
	Ein Incident-Response-Prozess existiert, inklusive Meldung von Datenpannen innerhalb gesetzlicher Fristen.	Bitte auswählen		Organisatorisch	DER.2.2	A.5.28

TOMs - Optionaler Fragenteil (Nur falls zutreffend auszufüllen!)
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Cloud-Sicherheit	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Cloud-Standorte & Rechtsraum sind dokumentiert (DE/EU/Drittland mit Garantien) und bewertet.	Bitte auswählen		Organisatorisch	OPS.2.2	A.5.23
	Nachweis von Sicherheitszertifizierungen liegt vor (z. B. ISO 27001, BSI C5, CSA) und wird mitgeliefert.	Bitte auswählen		Organisatorisch	OPS.2.2	A.5.23
	Service- & Betriebsmodell (IaaS/PaaS/SaaS; Public/Private/Hybrid) inkl. geteilte Verantwortlichkeiten sind beschrieben.	Bitte auswählen		Organisatorisch	OPS.2.2	A.5.23
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Softwareinstallation & Härtung	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Sicherheitsrelevante Standardeinstellungen können angepasst/gehärtet werden (kein Auslieferungszustand).	Bitte auswählen		Technisch	OPS.1.1.3	A.8.8
	Plug-ins/Erweiterungen werden restriktiv eingesetzt und sind deaktivierbar.	Bitte auswählen		Technisch	APP.6	A.8.19
	Zertifikatsverwaltung ist vorhanden, wo erforderlich.	Bitte auswählen		Technisch	CON.1	A.8.24
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Softwaretests	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Funktionale und sicherheitsspezifische Tests werden geplant und durchgeführt.	Bitte auswählen		Technisch + Organisatorisch	OPS.1.1.6	A.8.29
	Testdaten sind anonymisiert/pseudonymisiert.	Bitte auswählen		Technisch	CON.8	A.8.33
	Abnahme-/Freigabeprozess dokumentiert (inkl. Rollback).	Bitte auswählen		Organisatorisch	OPS.1.1.3	A.8.32
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Mobile Anwendungen	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	App-Berechtigungen & lokale Datenspeicherung sind kontrolliert (Schlüssel, Verschlüsselung).	Bitte auswählen		Technisch	SYS.3.2.1	A.8.1
	App-Kommunikation ist abgesichert und geprüft (z. B. Whitelisting, Protokollprüfung).	Bitte auswählen		Technisch	NET.1.1	A.8.20
	Verteilung/Steuerung über MDM ist möglich.	Bitte auswählen		Technisch	SYS.3.2.2	A.8.1
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Webanwendungen	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Sichere Authentisierung, Session-Management und Eingabevalidierung sind umgesetzt.	Bitte auswählen		Technisch	APP.3.1	A.8.26
	Upload-Funktionen sind beschränkt (Typ/Größe/Speicherort) und konfigurierbar.	Bitte auswählen		Technisch	APP.3.1	A.8.26
	Security-Header konfiguriert; unsichere HTTP-Methoden deaktiviert; Schnittstellen verschlüsselt.	Bitte auswählen		Technisch	CON.1	A.8.24
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Relationale Datenbanken	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Keine Klartext-Passwörter; Verbindungen verschlüsselt.	Bitte auswählen		Technisch	CON.1	A.8.24
	Regelmäßige Systemsicherungen & Wiederherstellbarkeit gewährleistet.	Bitte auswählen		Technisch	CON.3	A.8.13
	Restriktive Nutzung von DB-Links; Skripte durchlaufen Test-/Freigabeprozess.	Bitte auswählen		Technisch	OPS.1.1.6	A.8.31
Relevanz des folgenden optionalen Blocks		Bitte auswählen
SAP-Sicherheit	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Härtung von Profilparametern, Verschlüsselung/SNC, RFC-/Router-/Web-Dispatcher-Absicherung.	Bitte auswählen		Technisch	OPS.1.1.3	A.8.8
	Standardbenutzer & vordefinierte Rollen eingeschränkt; Notfallbenutzer geregelt.	Bitte auswählen		Technisch + Organisatorisch	OPS.1.1.2	A.8.2
	Sicheres Berechtigungsmanagement (z. B. SoD), SSO-Konzept dokumentiert.	Bitte auswählen		Technisch + Organisatorisch	OPS.1.1.2	A.8.2
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Machine-to-Machine	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	M2M-Kommunikation verschlüsselt & authentifiziert.	Bitte auswählen		Technisch	NET.1.1	A.8.20
	Zugriffsmanagement, Monitoring/Logging und Dokumentation vorhanden.	Bitte auswählen		Technisch + Organisatorisch	DER.1	A.8.16
	Risikoanalyse & Vorfallsmanagement für M2M definiert.	Bitte auswählen		Organisatorisch	OPS.1.1.1	A.8.16
Relevanz des folgenden optionalen Blocks		Bitte auswählen
KI/ML	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Schutz und Nachvollziehbarkeit von Trainingsdaten (Integrität/Provenienz).	Bitte auswählen		Technisch	CON.2	A.5.34
	Zugriff auf Modelle/Entscheidungen geregelt; XAI/Transparenz nach Bedarf.	Bitte auswählen		Technisch + Organisatorisch	ORP.4	A.8.3
	Rollen, Richtlinien, Incident-Response & Compliance-Reviews für KI definiert.	Bitte auswählen		Organisatorisch	ISMS.1	A.5.2
Relevanz des folgenden optionalen Blocks		Bitte auswählen
Business Continuity Managament (BCM) & Krisenmanagement	Anforderungen	Erfüllungsgrad	Beschreibung / Kommentar / Nachweis	Art der Maßnahme	Referenz zu BSI Baustein	Referenz zu ISO 27001
	Es existiert ein dokumentiertes BCM mit definierten Rollen, Verantwortlichkeiten, Entscheidungswegen und Eskalationsmechanismen.	Bitte auswählen		Organisatorisch	DER.4	A.5.30
	Kritische Leistungen bzw. Geschäftsprozesse im Zusammenhang mit der beauftragten Dienstleistung wurden identifiziert und bewertet, z. B. mittels Business Impact Analyse.	Bitte auswählen		Organisatorisch	DER.4	A.5.30
	Für kritische Leistungen sind maximal tolerierbare Ausfallzeiten und Prioritäten der Wiederaufnahme definiert, soweit diese für die beauftragte Leistung relevant sind.	Bitte auswählen		Organisatorisch	DER.4	A.5.30
	Kritische Ressourcen und Abhängigkeiten für die Leistungserbringung wurden identifiziert und bewertet, insbesondere Personal, Standorte, IT-Systeme, Lieferanten und Subdienstleister.	Bitte auswählen		Organisatorisch	OPS.2.3 / ORP.3	A.5.19
	Für schwerwiegende Störungen existieren Notbetriebs-, Fortführungs- oder Wiederanlaufverfahren, die eine priorisierte Leistungserbringung ermöglichen.	Bitte auswählen		Organisatorisch	DER.4	A.5.30
	Notfall-, Fortführungs- und Wiederanlaufverfahren werden regelmäßig getestet oder geübt. Ergebnisse werden dokumentiert und Verbesserungsmaßnahmen nachverfolgt.	Bitte auswählen		Organisatorisch	DER.4	A.5.30
	Für Krisen und schwerwiegende Störungen bestehen Verfahren zur internen und externen Kommunikation, einschließlich Melde- und Informationswegen zum Auftraggeber.	Bitte auswählen		Organisatorisch	DER.4	A.5.29
	Kritische Unterauftragnehmer werden in das BCM einbezogen und hinsichtlich ihrer Notfall- und Wiederherstellungsfähigkeit bewertet.	Bitte auswählen		Organisatorisch	OPS.2.3	A.5.19
	Nachweise über BCM-Audits, Übungen, Management-Reviews oder Zertifizierungen, z. B. ISO 22301, werden, soweit vorliegend, bereitgestellt.	Bitte auswählen		Organisatorisch	ISMS.1 / DER.4	A.5.35


Vielen Dank für die Befüllung der TOMs.


		Bestätigung des Dienstleisters
		Name / Funktion:
		Unternehmen:
		Datum:

		Informationssicherheit & Datenschutz
		Geprüft am/von Infosec
		Geprüft am/von DS
		Freigabe:
		Datum:

Dashboard

Unnamed: 1	Unnamed: 2	Unnamed: 3	Unnamed: 4	Unnamed: 5	Unnamed: 6	Unnamed: 7	Unnamed: 8	Unnamed: 9	Unnamed: 11
TOMs-Erfüllungsgrad – Dashboard

Gesamtbewertung (bewertet)		✦ Erfüllt		✗ Nicht erfüllt		≈ Teilweise erfüllt			Gesamt TOMs
0		0		0		0		0.0	77

Erfüllungsgrad-Übersicht
Kategorie	Erfüllt	Nicht erfüllt	Tlw. erfüllt	Nicht anwendbar	Nicht bewertet	Gesamt	Bewertung
Zutrittskontrolle (physisch)	0	0	0	0	4	4
Zugangskontrolle (Systemzugang)	0	0	0	0	5	5
Zugriffskontrolle (Berechtigungen & Daten)	0	0	0	0	4	4
Trennungskontrolle	0	0	0	0	3	3
Pseudonymisierung/Anonymisierung	0	0	0	0	3	3
Weitergabekontrolle	0	0	0	0	4	4
Eingabekontrolle	0	0	0	0	3	3
Verfügbarkeitskontrolle	0	0	0	0	4	4
ITSCM & Wiederherstellungsfähigkeit	0	0	0	0	6	6
Managementsysteme (ISMS/DSMS/DSGVO)	0	0	0	0	5	5
Optional: Cloud-Sicherheit	0	0	0	0	3	3
Optional: Softwareinstallation & Härtung	0	0	0	0	3	3
Optional: Softwaretests	0	0	0	0	3	3
Optional: Mobile Anwendungen	0	0	0	0	3	3
Optional: Webanwendungen	0	0	0	0	3	3
Optional: Relationale Datenbanken	0	0	0	0	3	3
Optional: SAP-Sicherheit	0	0	0	0	3	3
Optional: Machine-to-Machine	0	0	0	0	3	3
Optional: KI/ML	0	0	0	0	3	3
Optional: BCM & Krisenmanagement	0	0	0	0	9	9
GESAMT	0	0	0	0	77	77

Auswertung (%)		%
Rating

Bewertung und Rating werden erst angezeigt, wenn der Pflichtteil und alle als „Zutreffend“ gekennzeichneten optionalen Blöcke vollständig beantwortet sind.
Bewertungslogik Erfüllungslogik: Erfüllt = 3 Punkte	Teilweise erfüllt = 1 Punkt	Nicht erfüllt = 0 Punkte	Nicht anwendbar = ausgeschlossen von Berechnung
Bewertungslogik Dienstleister-Rating: 0 % = kein Rating	>0–<20 % = 1 Stern	20–<40 % = 2 Sterne	40–<60 % = 3 Sterne	60–<80 % = 4 Sterne	≥80 % = 5 Sterne

Vollständigkeitsstatus
Bereich	Relevanz	Beantwortet	Gesamt	Offen	Vollständigkeit	Status	Fehlende Begründungen
Pflichtteil	Pflicht	0	41	41	0	Offen	0
Optional: Cloud-Sicherheit	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: Softwareinstallation & Härtung	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: Softwaretests	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: Mobile Anwendungen	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: Webanwendungen	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: Relationale Datenbanken	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: SAP-Sicherheit	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: Machine-to-Machine	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: KI/ML	Bitte auswählen	0	0	0		Relevanz offen	0
Optional: BCM & Krisenmanagement	Bitte auswählen	0	0	0		Relevanz offen	0
GESAMT / relevante Blöcke	0 von 10 zutreffend	0	41	41	0	Relevanz offen	0

Reifegradprofil

Unnamed: 1	Unnamed: 2	Unnamed: 3	Unnamed: 4
TOMs-Reifegradprofil Pflichtfragenteil

Kategorie	Reifegrad	Zielreife	Hinweis
Zutrittskontrolle (physisch)		2	Bewertung offen
Zugangskontrolle (Systemzugang)		2	Bewertung offen
Zugriffskontrolle (Berechtigungen & Daten)		2	Bewertung offen
Trennungskontrolle		2	Bewertung offen
Pseudonymisierung/ Anonymisierung		2	Bewertung offen
Weitergabekontrolle		2	Bewertung offen
Eingabekontrolle		2	Bewertung offen
Verfügbarkeitskontrolle		2	Bewertung offen
ITSCM & Wiederherstellungsfähigkeit		2	Bewertung offen
Managementsysteme (ISMS/DSMS)		2	Bewertung offen


Leselogik
Blaue Linie = bewerteter Reifegrad je Pflicht-TOM-Kategorie; Orange Linie = Zielreife 2,0.


Hinweis
Nicht anwendbare Anforderungen werden ausgeschlossen. „Bitte auswählen“ erzeugt keine Nullwertung, sondern eine Bewertungslücke.

Radar-Daten

Unnamed: 1	Unnamed: 2	Unnamed: 3	Unnamed: 4	Unnamed: 5	Unnamed: 6	Unnamed: 7	Unnamed: 8	Unnamed: 9	Unnamed: 10	Unnamed: 11	Unnamed: 12	Unnamed: 13
TOMs-Reifegrad je Pflichtkategorie
Berechnung: Erfüllt = 3 Punkte, Tlw. erfüllt = 1 Punkt, Nicht erfüllt = 0 Punkte; Nicht anwendbar ausgeschlossen; „Bitte auswählen“ als Bewertungslücke.

Kategorie	Erfüllt	Tlw. erfüllt	Nicht erfüllt	Nicht anwendbar	Nicht bewertet	Bewertbar	Punkte	Reifegrad	Zielreife	Gap	Ampel	Kommentar
Zutrittskontrolle (physisch)	0	0	0	0	4	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Zugangskontrolle (Systemzugang)	0	0	0	0	5	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Zugriffskontrolle (Berechtigungen & Daten)	0	0	0	0	4	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Trennungskontrolle	0	0	0	0	3	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Pseudonymisierung/ Anonymisierung	0	0	0	0	3	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Weitergabekontrolle	0	0	0	0	4	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Eingabekontrolle	0	0	0	0	3	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Verfügbarkeitskontrolle	0	0	0	0	4	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
ITSCM & Wiederherstellungsfähigkeit	0	0	0	0	6	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet
Managementsysteme (ISMS/DSMS)	0	0	0	0	5	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet

GESAMT Pflichtteil	0	0	0	0	41	0	0		2		Bewertung offen	Nicht alle Pflichtanforderungen bewertet

Hinweise

Hinweise & Legende	Unnamed: 1

Erfüllungsgrade
Erfüllt	Die Maßnahme ist vollständig umgesetzt und dokumentiert.
Nicht erfüllt	Die Maßnahme ist nicht umgesetzt. Bei Pflichtanforderungen: Maßnahmenplan erforderlich.
Teilweise erfüllt	Die Maßnahme ist teilweise umgesetzt. Erläuterung im Kommentarfeld angeben.
Nicht anwendbar	Die Maßnahme ist für diese Dienstleistung nicht relevant. Begründung erforderlich.

Anforderungstypen
Pflichtteil	Muss-Anforderung: Zwingend einzuhaltende Mindestanforderung laut Dienstleister-Sicherheitsrichtlinie.
Optionaler-Teil	Optionale Anforderung: Gilt je nach Leistungsart (z. B. KI, OT, Cloud). Bitte nur bewerten wenn zutreffend.

BSI IT-Grundschutz Bausteine
ORP.*	Organisatorische und personelle Bausteine (Organisation, Personal, Compliance)
OPS.*	Operative Bausteine (IT-Betrieb, Outsourcing, Patch-Management)
CON.*	Konzept-Bausteine (Kryptokonzept, Datenschutz, Datensicherung, Löschung)
NET.*	Netzwerk-Bausteine (Netzarchitektur, -management)
SYS.*	System-Bausteine (Clients, Server, mobile Geräte)
INF.*	Infrastruktur-Bausteine (Gebäude, Rechenzentrum)
DER.*	Detektion & Reaktion (Monitoring, Incident Response, Forensik)
IND.*	Industrielle IT / OT-Bausteine
ISMS.*	Sicherheitsmanagement-Bausteine

ISO/IEC 27001:2022
A.5.*	Informationssicherheitsrichtlinien, Organisation, Lieferantenbeziehungen
A.6.*	Personelle Sicherheit
A.7.*	Physische Sicherheit
A.8.*	Technologische Sicherheitsmaßnahmen

Nachweis-Optionen
Zertifizierungen	ISO 27001-Zertifikat, BSI IT-Grundschutz-Zertifikat, SOC 2 Type II, etc.
Auditergebnisse	Interne oder externe Auditberichte (nicht älter als 12 Monate)
Selbstauskunft	Dieses ausgefüllte Dokument mit Unterschrift und Stempel
Technischer Nachweis	Screenshots, Konfigurationsdokumentation, Prozessbeschreibungen

Template-Historie

Unnamed: 1	Unnamed: 2	Unnamed: 3	Unnamed: 4	Unnamed: 5
Template-Historie
Dokumententitel:		TOMs-Tool 2.0
Dokumententyp:		Fragenkatalog
Datenklassifizierung		INTERN


Verantwortlich:		ITK-MS.1		ISB

Änderungsverzeichnis
Version	Datum	Status	Beschreibung der Änderung	Bearbeitende
0.1	2026-04-16 00:00:00	Entwurf	Initiale Erstellung	KPMG
0.2	2024-07-21 00:00:00	Entwurf	Überarbeitung Dashboard & Einführung Reifegradlogik	KPMG
0.3	2026-08-05 00:00:00	Entwurf	Überabeitung BCM-Teil	KPMG
0.4	2026-08-11 00:00:00	Entwurf	Review & Anpassungen	Malgorzata Balcer
1.0	2026-09-17 00:00:00	Freigegeben	Geprüft und Freigegeben	Malgorzata Balcer
1.1	2026-09-18 00:00:00	in Bearbeitung	Umsetzung Review-Feedback; Relevanzsteuerung optionaler Blöcke; Vollständigkeitsstatus; Pflichtbegründungen hervorgehoben; Ratinglogik geschärft	Malgorzata Balcer
2.0	2026-10-02 00:00:00	Freigegeben	Geprüft und Freigegeben	Malgorzata Balcer






Legende
Version	Datum	Status	Beschreibung der Änderung	Bearbeitende
0.1 - Bearbeitung 1.0 - Vollversion - Freigabe	Datum der Änderung	in Bearbeitung Freigegeben

Listen

Text	Spalte1	Spalte1.1	Spalte1.2	Spalte1.3	Spalte1.4	Relevanz Optionalblock
Bitte auswählen	Für das Vorhaben Irrelevant	TOM ist irrelevant	Bitte auswählen	Bitte auswählen	Bitte auswählen	Bitte auswählen
Erfüllt	keine Gewichtung	TOM ist relevant	Zutreffend	In Deutschland	Werbung, Repräsentation	Zutreffend
Nicht erfüllt	einfache Gewichtung		Nicht zutreffend	In der EU	IT-Hard-/Software (Kauf)	Nicht zutreffend
Tlw. erfüllt	hohe Gewichtung			In einem Drittland	Beratung / Consulting
Nicht anwendbar	sehr hohe Gewichtung				Beratung strategisch
					Beratung technisch
					Beratung IT
					Beratung u. Unterstützungsleistungen (Gutachten)
					Forschung
					Instandhaltung, Reparatur, Wartung
					Produktkontrolle
					Telekommunikation / Netz
					Ingenieurverträge
					IT-Infrastruktur & IT-Services
					OT-Infrastruktur & OT-Services
					Dienstleistungen mit Datenverarbeitung
					Technisches Equipment mit Datenverarbeitung
					Arbeitsmedizin & Gesundheitsdienste
					Geologie und Strahlungsmessung
					Forschungsdienstleistungen

11_2026_BGE_TOMs-Tool 2.0.xlsx

TOM-Anforderungen

Dashboard

Reifegradprofil

Radar-Daten

Hinweise

Template-Historie

Listen