Compliance ist kein Projekt. Sondern eine Betriebseigenschaft.

Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, geregelt in Artikel 28 der DSGVO. Cloud-Hosting ist der klassische Fall, weil Ihre Daten auf fremder Infrastruktur liegen, auch wenn der Anbieter sie nie ansieht. Ohne AVV ist die Verarbeitung rechtswidrig, unabhängig davon, wie sicher sie technisch ist. Bei uns gibt es dafür keine Standardvorlage zum Unterschreiben: Jeder Vertrag wird individuell verhandelt. Die Datenschutzanforderungen Ihres Hauses bilden wir ab, statt sie in Schema F zu zwingen.

DORA gilt für Finanzunternehmen, also Banken, Versicherer, Zahlungsdienstleister und weitere beaufsichtigte Institute. Über sie greift die Verordnung auf ihre IT-Dienstleister durch. Für den Cloud-Provider heißt das: Auslagerungsverträge müssen Audit-Rechte, eine Exit-Strategie und Incident-Reporting enthalten, die Lieferkette muss dokumentiert sein, die BaFin prüft Subdienstleister mit. Unsere Verträge sind darauf ausgelegt, die Lieferkette ist kurz und prüfbar, Adacor für den Betrieb und NTT für die Rechenzentren, der PS-951-Bericht liefert den Nachweis über die Kontrollen.

Ein integriertes Kontrollsystem, kurz IKS, führt die Anforderungen mehrerer Rahmenwerke in einem Satz von Kontrollen zusammen, statt für jeden Nachweis ein eigenes System zu pflegen. Bei uns basiert es auf COSO und COBIT, jede Kontrolle ist auf bis zu vier Rahmenwerke gemappt: ISO 27001, IDW PS 951, COBIT und VDA ISA (TISAX). Eine Kontrolle bedient damit mehrere Audits. Wenn wir eine Kontrolle verbessern, wirkt das zugleich auf alle Nachweise, die auf ihr aufsetzen. Für Sie heißt das: ein Ansprechpartner, eine Dokumentation, weniger Prüfungsaufwand, egal welche Regulierung gerade fragt.

Mit Dokumentation, die Sie auf den Tisch legen können. Für Ihre Wirtschaftsprüfung stellen wir den IKS-Bericht nach IDW PS 951 Typ 2 bereit, für Automotive-Kunden den TISAX-Nachweis über das ENX-Portal, für den Rest die Ergebnisse aus dem Compliance-Monitoring, das Ihre Infrastruktur laufend gegen DORA, NIS2 und DSGVO prüft, nicht nur zum Stichtag. Vor einem Audit machen wir auf Wunsch eine Gap-Analyse, damit Lücken vorher auffallen und nicht im Termin.

Transparenz darüber, welche KI eingesetzt wird, Dokumentation der Datenflüsse und eine Risikobeurteilung je Anwendung, abhängig von der Risikoklasse. Wer KI produktiv nutzt, braucht dafür eine Governance-Richtlinie, die festlegt, was erlaubt ist, wer verantwortet und wie kontrolliert wird. Wir unterstützen von der Richtlinie bis zur technischen Umsetzung: Policy, Transparenz über Modelle, Bias-Kontrolle und die Infrastruktur, auf der die Datenflüsse nachvollziehbar bleiben. Die Risikobeurteilung selbst bleibt Ihre Aufgabe, die Grundlage dafür liefern wir.