
Lfd. Nr.	TOM-Bereich	Mindestanforderung	Erfüllt

1	Governance & Risiko	Informationssicherheits-Risikomanagement; mindestens jährliche sowie anlassbezogene Aktualisierung; Dokumentation der Wirksamkeitsprüfung der Maßnahmen.	☐ Ja ☐ Nein ☐ Teilweise
2	Zugriffskontrolle & MFA	Rollenbasiertes Berechtigungskonzept, Least Privilege und halbjährliche Rezertifizierung; MFA für Admin- und Fernzugriffe; manipulationsgeschützte Admin-Protokolle mit Aufbewahrung von mindestens 12 Monaten.	☐ Ja ☐ Nein ☐ Teilweise
3	Kryptografie	Transportverschlüsselung TLS 1.2 oder höher; Verschlüsselung gespeicherter Daten und Backups mit anerkannten Verfahren, z. B. AES-256; Schlüsselmanagement mit Trennung von Daten und Schlüsseln, HSM soweit risikoadäquat und technisch sinnvoll; Schlüsselhoheit der Auftraggeberin, soweit technisch möglich und vereinbart.	☐ Ja ☐ Nein ☐ Teilweise
4	Netzwerk- und Systemhärtung	Segmentierung, Firewalls, IDS/IPS oder gleichwertige Maßnahmen; sichere Konfigurationen sowie Deaktivierung oder Absicherung von Standard-Accounts; SIEM-geeignete Protokollierung sicherheitsrelevanter Ereignisse.	☐ Ja ☐ Nein ☐ Teilweise
5	Patch- und Vulnerability-Management	Verfahren zur Identifikation, Bewertung, Priorisierung und Behebung von Schwachstellen. Bei kritischen Schwachstellen (z. B. CVSS ab 9,0) Reaktion binnen 24 Stunden und zeitnahe Behebung oder dokumentierte angemessene Kompensationsmaßnahme; bei hohen Schwachstellen (CVSS 7,0 bis 8,9) Bearbeitung innerhalb vereinbarter Fristen; dokumentierte Ausnahmen und Risikofreigaben.	☐ Ja ☐ Nein ☐ Teilweise
6	Protokollierung / Monitoring	Protokollierung von Authentifizierungen, administrativen Aktionen, Policy-Änderungen, Datenexporten und Schnittstellenfehlern; synchronisierte Zeitstempel; Integrität, Zugriffsschutz und Auswertbarkeit der Logs.	☐ Ja ☐ Nein ☐ Teilweise
7	Backup / Recovery & BCM	Tägliche verschlüsselte Backups; Offsite- oder logisch getrennte Kopien; Testwiederherstellung mindestens halbjährlich; RTO: [einzutragen] Stunden; RPO: [einzutragen] Stunden; aktuelles Notfallhandbuch und dokumentiertes Wiederanlaufverfahren.	☐ Ja ☐ Nein ☐ Teilweise
8	Notfall- und sichere Kommunikation	Gesicherte Sprach-, Video- und/oder Textkommunikation für Sicherheitsvorfälle; definierte Eskalationsmatrix; 24/7-Erreichbarkeit für Sicherheitsvorfälle.	☐ Ja ☐ Nein ☐ Teilweise
9	Lieferkettensicherheit	Sicherheitsanforderungen und Nachweisobliegenheiten werden an Unterauftragsverarbeiter weitergegeben; regelmäßige Eignungsprüfung und Aktualisierung von Nachweisen; ISO/IEC 27001, BSI-Grundschutz oder gleichwertige Nachweise, soweit vorhanden, dokumentieren.	☐ Ja ☐ Nein ☐ Teilweise
10	Entwicklung / Testdaten	Trennung von Produktiv-, Test- und Schulungsumgebung; Echtdaten in Testumgebungen nur nach dokumentierter Weisung und bei Anonymisierung, Pseudonymisierung oder Maskierung, soweit technisch und fachlich möglich; sichere Löschung temporärer Daten und Testkopien.	☐ Ja ☐ Nein ☐ Teilweise
11	Physische Sicherheit	Bei vom Auftragsverarbeiter betriebenen Rechenzentren: Zutrittskontrollen und angemessene physische Sicherheitsmaßnahmen einschließlich Videoüberwachung, soweit zulässig; ISO/IEC 27001, EN 50600 oder gleichwertige Nachweise, soweit vorhanden, dokumentieren.	☐ Ja ☐ Nein ☐ Teilweise
12	Schulungen / Awareness	Jährliche Datenschutz- und Informationssicherheitssensibilisierung für relevante Beschäftigte; Phishing-Simulationen oder gleichwertige Sensibilisierungsmaßnahmen; dokumentierte Teilnahme.	☐ Ja ☐ Nein ☐ Teilweise

Anhang_7_AVV_Anlage 1_TOM.docx