evoICT Solutions — Evolution in IT

Recht & Compliance

Regulatorische Compliance

Zuletzt aktualisiert:

Wie sich evoICT Solutions gegenüber NIS2, DSGVO, KI-Verordnung, Cyber Resilience Act, DORA und weiteren Rahmenwerken für Managed-Service- und Managed-Security-Service-Anbieter positioniert.

Warum es diese Seite gibt

Managed-Service-Anbieter befinden sich innerhalb des regulatorischen Perimeters ihrer Kunden. Fällt ein Kunde in den Anwendungsbereich einer Regelung, gelangen Pflichten über Verträge und Lieferkettenanforderungen auch zu uns als Lieferant, und in manchen Fällen treffen sie uns unmittelbar. Diese Seite legt unsere Position offen dar: was für uns gilt, was wir umgesetzt haben und woran wir noch arbeiten.

DSGVO und griechisches Datenschutzrecht

Wir verarbeiten personenbezogene Daten als Verantwortlicher für unser eigenes Geschäft und als Auftragsverarbeiter für Kundenumgebungen, auf Grundlage von Verträgen nach Art. 28. Wir führen Verarbeitungsverzeichnisse, eine Liste der Unterauftragsverarbeiter, festgelegte Aufbewahrungsfristen, ein Verfahren zur Meldung von Verletzungen im Einklang mit der 72-Stunden-Frist sowie Vertraulichkeitsverpflichtungen der Mitarbeitenden. Das griechische Gesetz 4624/2019 ergänzt die DSGVO national und gilt für unsere Verarbeitung in Griechenland.

NIS2 (Richtlinie EU 2022/2555)

NIS2 erhöht die Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen, nimmt die Leitung in die Pflicht und erstreckt das Risikomanagement ausdrücklich auf die Lieferkette, einschließlich Managed-Service- und Managed-Security-Service-Anbietern. Fallen unsere Kunden in den Anwendungsbereich, sind unsere Leistungen Teil ihres Compliance-Nachweises.

Wir unterstützen Kunden bei der Bestimmung des Anwendungsbereichs, der Risikobewertung, technischen Maßnahmen, der Meldebereitschaft und Schulungen. Dieselbe Grundlage wenden wir intern an: Multi-Faktor-Authentifizierung, Patch-Management, Zugriffskontrolle, getestete Sicherungen, Protokollierung und ein Verfahren zur Vorfallbehandlung. Zeitpunkt der nationalen Umsetzung und Aufsichtspraxis unterscheiden sich je Mitgliedstaat; wir verfolgen die Lage in Griechenland.

KI-Verordnung der EU (Verordnung EU 2024/1689)

Die KI-Verordnung knüpft Pflichten an Rolle und Risikostufe. Für die meisten unserer Leistungen sind wir Betreiber von KI-Systemen und nicht Anbieter. Für TagPulse.ai mit KI-gestützter Anomalieerkennung handeln wir als Anbieter und betrachten Folgendes als unsere Verantwortung: klare Dokumentation von Zweckbestimmung und Grenzen, Transparenz gegenüber Nutzenden über den Einsatz von KI, menschliche Aufsicht über folgenreiche Ergebnisse, Daten-Governance für Training und Bewertung sowie Protokollierung.

Anomalieerkennung im IT-Sicherheitskontext ist für sich genommen keine verbotene Praxis, und wir nutzen das System nicht für Emotionserkennung, biometrische Kategorisierung oder Social Scoring. Die Pflichten treten gestaffelt in Kraft; wir richten unsere Dokumentation an der jeweils geltenden Frist aus.

Cyber Resilience Act der EU (Verordnung EU 2024/2847)

Der CRA stellt Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Er umfasst sichere Entwicklung, Schwachstellenbehandlung, eine Richtlinie zur koordinierten Offenlegung, Sicherheitsupdates über einen festgelegten Unterstützungszeitraum und die Meldung aktiv ausgenutzter Schwachstellen. Die Pflichten gelten zeitlich gestaffelt, wobei die Meldepflichten vor dem Hauptteil der Anforderungen greifen.

Für Software, die wir selbst veröffentlichen, behandeln wir den CRA als Entwurfsziel: ein dokumentierter sicherer Entwicklungsprozess, eine Software-Stückliste, ein veröffentlichter Meldeweg für Schwachstellen und ein festgelegter, kommunizierter Unterstützungszeitraum. Bei Produkten Dritter, die wir weiterverkaufen oder betreuen, trägt der Hersteller die CRA-Pflichten; wir verfolgen dessen Hinweise und spielen Updates für unsere Kunden ein.

Weitere Rahmenwerke mit Bezug zu unserer Arbeit

  • ISO/IEC 27001: Wir arbeiten nach einem an der Norm orientierten Ansatz für Informationssicherheitsmanagement und unterstützen Kunden auf dem Weg zur Zertifizierung. Wir beschreiben dies als Readiness-Unterstützung, nicht als Zertifizierung.
  • DORA (Verordnung EU 2022/2554): Betreuen wir Finanzunternehmen, können wir als IKT-Drittdienstleister gelten, woraus vertragliche Anforderungen, Registerpflichten und eine Ausstiegsstrategie folgen.
  • ePrivacy-Richtlinie und griechische Umsetzung: relevant für elektronische Kommunikation und Speicherung auf Endgeräten, behandelt in unserer Cookie-Richtlinie.
  • Lieferkettenklauseln aus NIS2, Praxis der Betriebskontinuität nach ISO 22301 und kundenspezifische Branchenvorgaben in Gesundheit, Energie und Verkehr.
  • Vorgaben zum Hinweisgeberschutz sowie Buchführungs- und Verbraucherschutzregeln, die für uns als griechisches Unternehmen gelten.

Meldung von Schwachstellen

Wenn Sie glauben, eine Sicherheitslücke auf dieser Website oder in einem unserer Werkzeuge gefunden zu haben, melden Sie sie bitte über die unten stehenden Kontaktdaten. Wir bitten um eine angemessene Frist zur Behebung vor einer Veröffentlichung und sagen zu, Ihre Meldung zu bestätigen und Sie auf dem Laufenden zu halten.

Status und Hinweis zur Ehrlichkeit

Compliance ist ein fortlaufender Prozess und kein Zertifikat an der Wand. Wenn diese Seite sagt, dass wir ein Rahmenwerk unterstützen, heißt das: Wir helfen Kunden bei der Erfüllung und wenden dieselben Praktiken selbst an. Eine unabhängige Zertifizierung wird damit nicht behauptet, sofern kein konkretes Zertifikat genannt ist. Benötigen Sie Nachweise für ein Audit oder einen Lieferantenfragebogen, sprechen Sie uns an; wir stellen bereit, was wir vorhalten.

Kontakt