Wir setzen die technische Seite der Compliance um, betreiben und dokumentieren sie.
Die rechtliche Seite der Compliance ist Sache von Juristen, die technische Seite ist unsere. Wir setzen die gesetzlich geforderten technischen und organisatorischen Maßnahmen um, betreiben sie und dokumentieren sie prüfungsfertig.
Vorschriften und ihre technische Umsetzung
| Regelwerk | Technische Umsetzung | Unsere Rolle |
|---|---|---|
| KVKK (Gesetz Nr. 6698) | Zugriffsberechtigung, Verschlüsselung, Protokollierung, Datenmaskierung, Aufbewahrung und Vernichtung, Erkennung von Verletzungen | Einführung und Betrieb der technischen Maßnahmen sowie deren Nachweisbarkeit |
| Gesetz Nr. 5651 | Aufzeichnung von Zugriffsprotokollen, Wahrung ihrer Integrität, Zeitstempel und Aufbewahrungsfrist | Aufbau der Log-Infrastruktur, Integritätsprüfung und Umsetzung der Aufbewahrungsrichtlinie |
| TS ISO/IEC 27001 | Informationssicherheits-Managementsystem; technische Komponenten der Maßnahmen aus Anhang A | Technische Umsetzung der Maßnahmen, Erstellung von Nachweisen, Vorbereitung auf interne Audits |
| ISO 22301 | Business-Continuity-Management; Wiederherstellungsziele und Übungen | Disaster-Recovery-Plan, Definition von RPO/RTO und Übungsprotokolle |
| ISO/IEC 20000-1 | Servicemanagement; Incident-, Problem-, Change- und Service-Level-Management | Einführung der Prozesse und Erstellung von Messaufzeichnungen |
| PCI-DSS | Segmentierung der Karteninhaberdaten-Umgebung, Verschlüsselung, Überwachung und Scans | Umsetzung technischer Kontrollen und regelmäßige Scans |
| Branchenvorschriften (BDDK · SPK · EPDK · SEDDK) | Anforderungen an IT-Management, Audit-Trails, Kontinuität und Auslagerung | Bereitstellung technischer Nachweise für Prüfungsanfragen |
Was liefern wir – und was nicht?
Von uns erstellte Nachweise
- Zugriffsberechtigungslisten und Protokolle regelmäßiger Überprüfungen
- Berichte zu Patches und Schwachstellenbehebung
- Protokolle zu Backup-Erfolg und Wiederherstellungstests
- Berichte zu Log-Aufbewahrung und Integritätsprüfung
- Change-Management-Aufzeichnungen und Freigabenachweise
- Berichte zu Incident Response und Ursachenanalyse
Leistungsgrenzen
- Rechtsgutachten, Datenschutzhinweise und Vertragserstellung sind nicht Teil des Leistungsumfangs
- Offizielle Zertifizierungsaudits werden von unabhängigen Zertifizierungsstellen durchgeführt
- Die Pflichten des Verantwortlichen liegen bei Ihnen; wir handeln als Auftragsverarbeiter
- Bei Architekturen, die eine Datenübermittlung ins Ausland erfordern, stellen wir die technischen Optionen vor; die rechtliche Grundlage überlassen wir Ihrer Rechtsabteilung
Wir halten die im Prüfungszeitraum angeforderten technischen Nachweise bereit; nach Beginn der Prüfung versuchen wir nicht, rückwirkend Aufzeichnungen zu erzeugen. Die Erstellung von Nachweisen ist Teil der monatlichen Routine.
Ergänzend zu dieser Lösung
Cybersicherheit
SOC, Penetrationstests, Compliance mit Gesetz Nr. 5651 und Kuantum Pi für KMU.
Backup & Disaster Recovery
Immutable Backups, Data Guard und Disaster Recovery mit RTO/RPO-Zielen; regelmäßige Übungen.
Monitoring & ITSM
End-to-End-Monitoring, rauschfreies Alarmdesign und Service-Management mit ServiceNow.
ISO-27001-Beratung
Aufbau eines Informationssicherheits-Managementsystems, technische Maßnahmen aus Anhang A, Erstellung von Nachweisen und Auditvorbereitung.
Leistung ansehen →KVKK-Compliance-Beratung
Einführung und Betrieb der nach Gesetz Nr. 6698 erforderlichen technischen und organisatorischen Maßnahmen.
Leistung ansehen →
SecureChapter eCISO
Governance, Risiko, Compliance und Cyber-Betrieb in einer Steuerungsebene: Regulierungsmonitoring, laufende Nachweise und Audit-Bereitschaft.
Passende Leitfäden
Technische KVKK- und 5651-Compliance
Technische Maßnahmen nach KVKK und Gesetz 5651: Zugriffsberechtigung, Verschlüsselung, Protokollierung und Aufbewahrung, Maskierung, Erkennung von Verletzungen. Wie entstehen auditfähige Nachweise?
Leitfaden lesen →GRC-Software
Was ist GRC-Software (Governance, Risiko, Compliance), warum Tabellen ablösen, und wie hilft sie bei der Vorbereitung auf ISO 27001, NIS2 und DORA? POC mit SecureChapter eCISO.
Leitfaden lesen →Ein unverbindlicher Einstieg in drei Schritten.
Erstgespräch
In 45 Minuten lernen wir Ihre Umgebung und Ihre Prioritäten kennen. Kostenlos.
Kostenlose Ersteinschätzung
Nach dem Gespräch eine einseitige Notiz mit ersten Befunden und Empfehlungen; die Ergebnisse gehören Ihnen. Ein umfassender Health Check mit Risikobericht ist Teil unserer Accelerator-Pakete.
Paket oder Service
Starten Sie mit einem Accelerator-Paket oder nehmen Sie direkt Managed Services in Anspruch.