Für wen ist das?
Für Startups und Firmen, die Software an Banken, Versicherer, Zahlungsdienstleister oder Konzerne verkaufen, und deren Kunde jetzt einen Sicherheitsfragebogen oder eine Lieferantenprüfung verlangt, bevor der Vertrag steht oder der Pilot live geht. Typische Momente:
- der erste Sicherheitsfragebogen eines Großkunden, oft mit weit über hundert Fragen
- ein Pilot mit einem regulierten Käufer, an dessen Ende die Lieferantenprüfung steht
- ein Vertragsanhang mit Anforderungen an Sicherheit und Ausstieg
- ein Prüftermin, und im Team verantwortet niemand die Antworten
Das passt mit und ohne eigene IT: Fehlt ein technischer Verantwortlicher, übernehme ich die Vorbereitung; hat Ihr Team einen CTO oder eine IT-Leitung, gibt ihnen das Architektur-Review einen unabhängigen Blick von außen.
Was fragt ein Käufer?
Banken und Versicherer müssen ihre IT-Dienstleister prüfen, in der EU nach DORA, im Vereinigten Königreich nach den Auslagerungsregeln der PRA. Die Fragen folgen demselben Muster:
- Wo werden unsere Daten verarbeitet und gespeichert, und welche Unterauftragnehmer sind beteiligt?
- Wer kann auf Produktion und Daten zugreifen, und wie wird Zugriff vergeben, geprüft und entzogen?
- Wie sind unsere Daten von denen anderer Kunden getrennt, und wie testen Sie das?
- Was protokollieren Sie, wie lange bewahren Sie es auf, und bekommen wir den Audit-Trail für unseren Mandanten?
- Wie sichern Sie Daten und stellen sie wieder her, und wann haben Sie das zuletzt getestet?
- Wie bekommen wir unsere Daten zurück und steigen aus?
Die Antworten kommen aus dem Betrieb
Ein Fragebogen ist schwer zu beantworten, wenn niemand den Betrieb verantwortet. Er ist leicht, wenn die Konten auf Ihren Namen laufen, Zugänge dokumentiert sind, Backups mit getesteter Wiederherstellung laufen und ein Exit-Plan existiert. Deshalb ist die Vorbereitung Teil des App-Betriebs und keine eigene Papierübung.
Was in der Lieferanten-Mappe steht
Sie gehört zu jeder Betriebsstufe und wird für Ihren Fall angepasst:
- Leistungsbeschreibung: was betrieben wird und in welchem Umfang
- Liste der Unterauftragnehmer, etwa Cloud- und KI-Dienste
- Vorfallprozess mit Reaktionszeiten
- Exit-Plan und Datenrückgabe
- Antworten auf häufige Fragen aus Lieferanten-Fragebögen
Der Weg dorthin
-
Einstieg prüfen
Eine App mit einem Backend: der App-Check. Mehrere Systeme oder ein Team mit eigener IT: das Architektur-Review.
-
Übernehmen oder einrichten
Konten auf Ihren Namen, Notfallhandbuch, Kontenregister und Exit-Plan. Je nach Befund als Übernahme, Rettung oder Einrichtung für den Betrieb.
-
Betrieb mit Lieferanten-Mappe
Jede Betriebsstufe enthält die Mappe. Im Betrieb mit technischer Leitung beantworte ich zusätzlich bis zu 4 Fragebögen Ihrer Kunden pro Jahr.
Beginnen Sie mit dem App-Check für 1.690 € bei einer App oder mit dem Architektur-Review für 9.000 bis 12.000 € bei mehreren Systemen. Der Betrieb beginnt ab 1.200 € im Monat; der Betrieb mit technischer Leitung für 6.200 € im Monat enthält bis zu vier Fragebögen im Jahr. Mehr unter App-Wartung und Betrieb. Alle Preise netto; die steuerliche Behandlung wird vor Vertragsschluss geklärt und im Angebot festgehalten.
Vertraulich ab dem ersten Gespräch: Auf Wunsch unterschreiben wir vorher eine Vertraulichkeitsvereinbarung.
Berufshaftpflichtversicherung, Nachweis auf Anfrage.
Was das nicht ist
Keine Zertifizierung, kein SOC-2-Testat (das stellen nur zugelassene US-Wirtschaftsprüfer aus), kein ISO-Zertifikat, keine Rechtsberatung und kein Penetrationstest. Dass ein Regelwerk erfüllt ist, lässt sich nicht per Unterschrift versprechen, und dass Sie die Prüfung bestehen, auch nicht. Was Sie stattdessen bekommen: vorbereitete Antworten, ehrlich benannte Lücken und die Nachweise, die Architektur und Betrieb schon hergeben, so zusammengestellt, dass der Prüfer Ihres Kunden ihnen folgen kann.
Wer macht die Arbeit?
Ich, Marcel R. G. Berger, Software-Architekt: mehr als 20 Jahre Enterprise-Engineering für Banken, Versicherungen, Energieversorger und Behörden: Microservices, Identity & Access, Instant Payments. Heute baue und betreibe ich eigene Apps von Anfang bis Ende. Mehr auf der Seite Über mich; zeigt die Prüfung, dass sich die App selbst ändern muss, finden Sie alles unter Leistungen.