Dokumentation Technische und organisatorische Massnahmen (TOM)

September 2026

Zweck und Einordnung

Diese Dokumentation beschreibt die aktuelle technische und organisatorische Umsetzung der im AVV vereinbarten technischen und organisatorischen Massnahmen (TOM).

Sie dient der Information über die bei der Agentur aktuell eingesetzten Sicherheitsmassnahmen und ist nicht Bestandteil des AVV. Die konkrete technische Umsetzung kann im Rahmen der Weiterentwicklung der Systeme und Prozesse angepasst werden, sofern das im AVV vereinbarte Schutzniveau insgesamt erhalten bleibt.

Die beschriebenen Massnahmen werden unter Berücksichtigung der Art und des Umfangs der Bearbeitung sowie der damit verbundenen Risiken umgesetzt und regelmässig überprüft.

Hierzu gehören insbesondere, soweit aufgrund der jeweiligen Bearbeitung und des damit verbundenen Risikos angemessen und erforderlich (nicht abschliessend):

Technische Massnahmen

• Einsatz von Multi-Faktor-Authentifizierung (MFA) für Zugänge mit erhöhtem Schutzbedarf
• Berechtigungskonzepte nach dem Prinzip der geringstmöglichen erforderlichen Berechtigung (Least Privilege), um den potenziellen Schadensradius bei einem kompromittierten Zugang möglichst zu begrenzen
• Angemessene Verschlüsselungsmassnahmen für Transport und Lagerung von Daten
• System-Monitoring und Logging
• Patch-Management
• Datensicherungen

Organisatorische Massnahmen

• Zugang zu Büroräumen und Arbeitsplätzen wird durch angemessene organisatorische und technische Massnahmen gegen unbefugten Zutritt geschützt
• Richtlinien und Schulungen
• Passwort-Management: Zugangsdaten werden über einen zentralen Passwortmanager sicher gespeichert und verwaltet. Der Zugriff ist auf berechtigte Personen beschränkt und durch geeignete Authentifizierungsmassnahmen geschützt
• Dienstleister-Management
• Incident Management