2 Beschreibung technischer und organisatorischer Massnahmen (TOM)

Dieses Dokument zeigt auf, was technische und organisatorische Massnahmen («TOM») sind, was sie bezwecken und wie sie festgelegt werden können. Als TOM werden Massnahmen bezeichnet, welche die Sicherheit der Bearbeitung von Personendaten gewährleisten sollen (vgl. u.a. Art. 8 nDSG sowie Art. 32 DSGVO). Sie sind von der verantwortlichen Person unter Berücksichtigung des aktuellen Stands der Technik, der Art, des Umfangs, den Umständen und dem Zweck der Bearbeitung von Personendaten auszugestalten. TOM richten sich an die Unternehmen, welche Personendaten bearbeiten. Führt ein Unternehmen in einem Vertrag seine TOM auf, ist es entsprechend auch verpflichtet, diese einzuhalten.

Anleitung zum Ausfüllen sowie Informationen zu den einzelnen Fragen:

Beim Ausfüllen der Vorlage ist jedes Feld einzeln auszufüllen bzw. es sind eine oder mehrere Antworten auszuwählen. Die Felder haben folgende Bedeutung:

Hinweise Anzeigen: Geben Sie an, ob Sie die generellen Hinweise zur Verwendung des Templates ganz oben ein- oder ausblenden möchten.
Unternehmen Firma: Geben Sie die vollständige Firma (Firmenname) Ihres Unternehmens an (z.B. Meier Müller AG).
Massnahmen Zutrittskontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin für die Zutrittskontrolle an. Die Zutrittskontrolle im Datenschutzrecht zielt darauf ab, unbefugten Personen den physischen Zugang zu Datenverarbeitungsanlagen zu verhindern. Schutzmassnahmen sollten entsprechend der Sensibilität der Daten erhöht werden.
Beispiele für Massnahmen sind:
- Zutrittskontrollsysteme (Ausweisleser, Magnetkarte, Chipkarte),
- Überwachungseinrichtung (Alarmanlage, Video-/Fernsehmonitor) und Wachdienst,
- Empfang mit Personenkontrolle und Verpflichtung zum Tragen von Firmen- oder Besucherausweisen,
- Verwendung von verschlossenen Türen, Türsicherung (elektrische Türöffner usw.),
- Regelung von Schlüssel- und Chipkartenzugang sowie Verwendung von biometrischen Einlasssystemen,
- Einsatz von Alarmanlagen,
- Protokollierung des Zutritts zum Rechenzentrum und regelmässige Überprüfung der Dauerzutrittsgenehmigungen.
Massnahmen Zugangskontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin für die Zugangskontrolle an. Die Zugangskontrolle verhindert die Nutzung von Datenverarbeitungsanlagen durch unbefugte Personen. Sie befasst sich mit der Nutzung des Systems, während die Zutrittskontrolle den physischen Zugang verhindert. Externe Datenverbindungen (Internet) sollten nicht vernachlässigt werden, da sie potenzielle Einfallstore für Cyberkriminelle darstellen.
Massnahmen zur Verhinderung unbefugten Zugriffs auf Personendaten sind:
- Verwendung von Bildschirmschonern mit Passwortschutz,
- Einsatz von Spamfiltern und Virenscannern,
- Einsatz von Magnet- und Chipkarten,
- Anwendung von PIN-Verfahren,
- Verwendung von Benutzernamen und Passwörtern,
- Umsetzung von Passwortrichtlinien,
- Verwendung von biometrischen Verfahren.
Massnahmen Zugriffskontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin für die Zugriffskontrolle an. Die Zugriffskontrolle gewährleistet, dass nur autorisierte Personen Zugriff auf Personendaten erhalten («Need to know»-Prinzip). Unbefugtes Lesen, Kopieren, Verändern oder Löschen von Personendaten während ihrer Verarbeitung, Nutzung oder Speicherung muss ausdrücklich verhindert werden.
Datensicherheit kann hier auch durch die Verwendung von entsprechenden Verschlüsselungsverfahren gewährleistet werden. Maßnahmen zur Zugriffskontrolle können sein:
- Personalisierte oder eingeschränkte Zugänge,
- Erstellung eines Berechtigungskonzepts,
- Einrichtung von Administratorenrechten,
- Verschlüsselung der Datenträger,
- Verschlüsselung des WLAN,
- Löschung von wiederbeschreibbaren Datenträgern und datenschutzkonforme Vernichtung derselben,
- Festlegung von Regeln für den Gebrauch von mobilen Datenträgern und Endgeräten.
Massnahmen Weitergabekontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin an, um die Weitergabekontrolle sicherzustellen. Beispiele dafür sind:
- Verschlüsselung/Tunnelverbindung (VPN = Virtual Private Network),
- Elektronische Signatur,
- Protokollierung (Logging),
- Transportsicherung oder Vermeidung der Speicherung auf Flash Drives.
Massnahmen Eingabekontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin an, um die Eingabekontrolle sicherzustellen. Beispiele dafür sind: Protokollierungs- und Protokollauswertungssysteme.
Massnahmen Verfügbarkeitskontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin an, um die Verfügbarkeit der Daten zu kontrollieren. Beispiele dafür sind:
- Backup-Verfahren,
- Widerstandsfähigkeit (Resilience) von IT-Systemen,
- Integrität (Integrity) der IT-Systeme,
- Spiegeln von Festplatten,
- B. das RAID-Verfahren,
- Unterbrechungsfreie Stromversorgung (USV),
- getrennte Aufbewahrung,
- Virenschutz / Firewall,
- Notfallplan (Disaster Recovery Plan).
Massnahmen Belastbarkeit und Zuverlässigkeit: Geben Sie die Massnahmen an, welche die Belastbarkeit und Zuverlässigkeit der IT Systeme sicherstellen. Beispiele dafür sind:
- IT Systeme so ausgestalten, dass wesentliche Funktionen auch bei Störungen und Fehlern ausführbar bleiben;
- Einrichtungen sind so zu planen und implementieren, dass eine dem Risiko angemessene Ausfallsicherheit besteht;
- Implementierung von Prozessen zur Meldung von Fehlfunktionen an ein Helpdesk.
Datenschutzmanagement: Geben Sie Ihre und die Massnahmen der Lieferantin zum Datenschutzmanagement an. Diese Massnahmen sind regelmässig zu überprüfen, zu bewerten und zu evaluieren.
Incident-Response-Management: Geben Sie Ihre und die Massnahmen der Lieferantin an, welche sie im Hinblick auf das Incident-Response-Management, d.h. das IT-Störungsmanagement trifft. Typischerweise umfasst das IT-Störungsmanagement den gesamten organisatorischen und technischen Prozess der Reaktion auf erkannte oder vermutetet Sicherheitsvorfälle bzw. Betriebsstörungen in der IT. Als Beispiel dafür können automatisierte Benachrichtigungen oder ständige proaktive Überprüfung freigegebener Daten genannt werden.
Datenschutzfreundliche Voreinstellungen: Geben Sie Ihre und die Massnahmen der Lieferantin an, um datenschutzfreundliche Voreinstellungen (sog. Privacy by Default) sicherzustellen. Als Beispiel kann hier das Bearbeiten nur erforderlicher Personendaten genannt werden.
Massnahmen Auftragskontrolle: Geben Sie Ihre und die Massnahmen der Lieferantin an, um die Auftragskontrolle sicherzustellen. Beispiele dafür sind:
- Eindeutige Vertragsgestaltung,
- schriftliche Auftragserteilung,
- Kriterien zur Auswahl der Auftragnehmerin,
- Kontrolle der Vertragsausführung,
- Bewachung der Kontrollen des Auftragnehmers (z.B. via Audit).