Für regulierte Unternehmen
Compliance ist bei uns kein Projekt, sondern ein Ergebnis des täglichen Betriebs. Weil Betrieb, Entwicklung und Sicherheit aus einer Hand kommen, entstehen Nachweise laufend — und liegen vor, wenn Aufsicht oder Prüfer danach fragen.
Die Ausgangslage
In Finanzwesen, Gesundheitswesen und Energiewirtschaft steigen die Anforderungen an IT-Sicherheit und Nachweisführung seit Jahren. In Unternehmensgruppen kommt eine weitere Schwierigkeit hinzu: Jede Gesellschaft bringt ihren eigenen Stand mit.
Doch wenn Nachweise über Systeme, Postfächer und Dienstleister verstreut sind, dauert es Wochen, die eigene Sicherheit nachvollziehbar zu belegen.
Jede Gesellschaft arbeitet mit eigenen Dienstleistern, Systemen und Prozessen. Das macht es schwer, die Sicherheit einheitlich zu steuern.
Auch ausgelagerte IT muss kontrolliert werden. Doch viele Dienstleister können ihre Sicherheitsmaßnahmen nicht ausreichend nachweisen.
Regelwerke
Wir übersetzen regulatorische Vorgaben in konkrete technische und organisatorische Maßnahmen — und dokumentieren sie so, dass sie gegenüber Aufsicht und Prüfern belegbar sind.
Digital Operational Resilience Act (EU)
Gilt für: Finanzunternehmen in der EU und ihre IKT-Dienstleister
IKT-Risikomanagement, Behandlung und Meldung von Vorfällen, Tests der digitalen Resilienz und die Steuerung von IKT-Drittdienstleistern — inklusive der vertraglichen Anforderungen an uns selbst.
Rundschreiben der Eidgenössischen Finanzmarktaufsicht
Gilt für: Banken, Versicherungen und Finanzinstitute in der Schweiz
Management von IKT- und Cyber-Risiken, Business Continuity und die Anforderungen an Auslagerungen — umgesetzt in Betrieb, Dokumentation und Verträgen.
Richtlinie über Netz- und Informationssicherheit (EU)
Gilt für: Wichtige und besonders wichtige Einrichtungen, u. a. Energie und Gesundheit
Risikomanagementmaßnahmen, Sicherheit in der Lieferkette, Meldepflichten bei Sicherheitsvorfällen und die Verantwortung der Geschäftsleitung — mit klaren Prozessen und Nachweisen.
Datenschutz-Grundverordnung (EU)
Gilt für: Alle Unternehmen, die personenbezogene Daten verarbeiten — besonders sensibel bei Gesundheitsdaten
Privacy by Design, transparente Datenflüsse, technische und organisatorische Maßnahmen (TOMs) und Unterstützung Ihres Datenschutzbeauftragten.
Außerdem im Blick
EU-Datenverordnung
Zugang zu und Weitergabe von Daten aus vernetzten Produkten sowie der Wechsel zwischen Cloud-Anbietern — wir achten auf übertragbare Daten, offene Schnittstellen und einen geregelten Anbieterwechsel.
EU AI Act
Wer KI einsetzt, muss Systeme nach Risiko einordnen, Transparenz herstellen und Mitarbeitende befähigen. Wir begleiten KI-Projekte so, dass diese Anforderungen von Beginn an berücksichtigt werden.
So arbeiten wir
Unser Ziel ist es, die IT-Sicherheit zu gewährleisten, die unsere Kunden erwarten. Compliance bedeutet in diesem Zusammenhang, die für die IT-Sicherheit relevanten Regularien einzuhalten und deren Umsetzung nachzuweisen.
Vertrauen ist kein Automatismus. Jeder Zugriff wird geprüft und nur dann gewährt, wenn Identität, Gerät und Kontext stimmen — gezielt, kontrolliert und auf das Notwendige beschränkt.
Klare Zugriffsrechte, geregelte Aufbewahrungsfristen und nachvollziehbare Datenflüsse schaffen die Grundlage für einen transparenten Datenschutz, der sich nahtlos in Ihre Prozesse integriert.
Änderungen an Systemen, Berechtigungen und Prozessen bleiben nachvollziehbar. So lassen sich Risiken frühzeitig erkennen, Auswirkungen besser einschätzen und Sicherheitsmaßnahmen gezielt umsetzen. Nachweise entstehen, wo möglich, direkt im laufenden Betrieb.
Gemeinsame Standards geben allen Gesellschaften Orientierung für Sicherheit und Dokumentation. Neue Einheiten werden schrittweise eingebunden und an die bestehenden Schnittstellen angebunden.
Was Sie bekommen
Diese Ergebnisse liefern wir laufend — als Grundlage für Ihre Geschäftsleitung, Ihren Datenschutzbeauftragten und Ihre Prüfer.
Regelmäßiger Bericht zu Sicherheitskennzahlen, Patch-Ständen, Vorfällen und offenen Maßnahmen — verständlich auch für die Geschäftsleitung.
Regelmäßige Überprüfung, wer worauf Zugriff hat — dokumentiert und zur Freigabe vorgelegt.
Protokollierte Tests, die belegen, dass Daten und Systeme im Ernstfall tatsächlich wiederhergestellt werden können.
Definierte Abläufe, Eskalationswege und Zuständigkeiten für Sicherheitsvorfälle und Ausfälle.
Aktuelle Beschreibung der TOMs für Ihr Verarbeitungsverzeichnis und Ihre Auftragsverarbeitungsverträge.
Übersicht über eingesetzte Systeme, Cloud-Dienste und Unterauftragnehmer — als Grundlage für Ihr Auslagerungsmanagement.
Gemeinsame Vorbereitung auf interne und externe Prüfungen; wir beantworten die technischen Fragen der Prüfer direkt.
Geteilte Verantwortung
Regulierung lässt sich nicht vollständig auslagern — die Verantwortung der Geschäftsleitung bleibt. Umso wichtiger ist eine klare Abgrenzung.
Der Einstieg
Wir ermitteln strukturiert Ihre IT-Systeme, bestehenden Prozesse und Sicherheitsstandards. Dabei stimmen wir relevante Risiken, Zuständigkeiten sowie Compliance-Anforderungen optimal auf Ihre Unternehmensziele ab.
Auf Basis dieser Analyse entwickeln wir maßgeschneiderte und priorisierte Handlungsempfehlungen. Klar definierte Verantwortlichkeiten und transparente Dokumentationswege sorgen für einen reibungslosen Ablauf.
Die Maßnahmen werden nahtlos in Ihre IT-Prozesse integriert. Klare Strukturen, verlässliche Abläufe und laufende Aktualisierungen sichern ein hohes Sicherheitsniveau im täglichen Betrieb und erfüllen gleichzeitig alle Compliance-Vorgaben.
Durch regelmäßige Überprüfungen stellen wir die Wirksamkeit aller Maßnahmen sicher. Nachvollziehbare Auswertungen und eine saubere Dokumentation geben Ihnen jederzeit die volle Übersicht und belegen die Einhaltung relevanter Standards.
Worauf Sie sich verlassen können
ISO 27001
In VorbereitungZertifizierung von ITADA
ISO
Zertifizierte Security-Experten im Team
3
Schwerpunktbranchen: Finanzen, Gesundheit, Energie
„Audit-Nachweise, die früher Wochen gebunden haben, liegen heute auf Knopfdruck vor. Unsere Prüfer sprechen direkt mit ITADA — und wir konzentrieren uns auf unser Geschäft.“
[Name folgt]
Compliance · Finanzdienstleister, CH
Platzhalter — Testimonial mit Kundenfreigabe folgt
Häufige Fragen
Die Zertifizierung nach ISO 27001 ist in Vorbereitung. Unsere Prozesse orientieren sich bereits heute an der Norm, und unser Team verfügt über ISO-zertifizierte Security-Experten.
Ja. Als IKT-Dienstleister stellen wir die vertraglichen Bestandteile bereit, die DORA verlangt — unter anderem Service-Level, Prüf- und Zugangsrechte, Mitwirkung bei Vorfällen und eine Exit-Strategie.
Die Meldung selbst bleibt in Ihrer Verantwortung. Wir erkennen und bewerten Vorfälle und liefern Ihnen alle Informationen so rechtzeitig, dass Sie die regulatorischen Fristen einhalten können.
Wo möglich, setzen wir auf Rechenzentren in der EU bzw. der Schweiz. Welche Daten wo liegen, dokumentieren wir transparent im System- und Dienstleisterverzeichnis.
Nein. Wir starten mit einer Bestandsaufnahme und bauen auf dem auf, was funktioniert. Maßnahmen setzen wir schrittweise und nach Risiko priorisiert um.
Für jeden Kunden gibt es eine dokumentierte Exit-Strategie. Systeme, Zugänge und Dokumentation werden geordnet übergeben — eine Anforderung, die DORA und FINMA ausdrücklich stellen.
Im Erstgespräch klären wir, welche Regelwerke für Ihre Gruppe relevant sind und wo Ihre IT heute steht — unverbindlich und konkret.