Stichwörter von L bis N

#Lean

Leistungen

• Werkzeuge, mit denen wir arbeiten

#Leasing

Leistungen

• Neutrale Unterstützung bei der Anbie­ter­aus­wahl

FAQ

• Für wen arbeitet Qvestcon?

#Lea­sing­ge­sell­schaf­ten

Leistungen

• Schwerpunkte von Markus Junge

#Legacy

Meldungen

• Legacy-Ablösung: FAA ersetzt Dis­ket­ten­sys­teme bis 2028
• KI schreibt Legacy-Code um: Tests bleiben Pflicht

#Leitlinien

FAQ

• Wie prüft Compliance, ob die Bafin Leitlinien übernahm?

#Leitungsorgan

FAQ

• Wer trägt in einer Bank oder einem Versicherer die Verantwortung für DORA?
• Welche Kenntnisse und Fortbildung zu IKT-Risiken verlangt das Auf­sichts­recht von Geschäfts­lei­tern und Lei­tungs­or­ga­nen?

#Lieferkette

FAQ

• Wie erfassen Sie die Kette der Unter­auf­trag­neh­mer bei einem IKT-Dienstleister?

Meldungen

• Prozessor-Engpass: Hardware-Beschaffung für 2027 früh planen

#Linux

Meldungen

• Linux-Lücke Fragnesia wird ausgenutzt: Kernel-Stände prüfen

#Liqui­di­täts­ri­siko

Meldungen

• DWS begrenzt Rücknahmen beim Fonds Grundbesitz Europa auf zehn Prozent

#Liqui­di­täts­steue­rung

Meldungen

• Offene Immo­bi­li­en­fonds: DWS begrenzt Rücknahmen

#Lizenz­ma­nage­ment

Meldungen

• Soft­ware­ver­träge: Verlängerung drei Monate vorher prüfen

#LSIStresstest

FAQ

• Wie prüfen wir die indikative Eigen­mit­tel­emp­feh­lung 2026?

#MaGo

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion
• Schwerpunkte von Markus Junge

FAQ

• Was regeln die MaRisk und was hat die Neufassung geändert?
• Was regeln die MaGo für Versicherer und was hat die Neufassung geändert?

#Malware

Meldungen

• Lunex-Stealer schaltet Sicherheits-Callbacks aus: Bereinigung muss mehr umfassen
• Watchguard: Weniger Angriffe, fast nur Einzelstücke

#Man­dan­ten­fä­hig­keit

FAQ

• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Trägt das neue Steue­rungs­tool im Alltag?

#MAR

Meldungen

• MAR: Mehr Zeit bei Zwi­schen­schrit­ten, nicht bei Prognosen

#MaRisk

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion
• Schwerpunkte von Markus Junge

Fristen

• 9. MaRisk-Novelle: Ende der Über­gangs­frist für zusätzliche Anforderungen

FAQ

• Was regeln die MaRisk und was hat die Neufassung geändert?
• Was verlangt das Gesetz von der Compliance-Funktion bei Banken und bei Versicherern?
• Ist jede IKT-Dienst­leis­tung zugleich eine Auslagerung oder Ausgliederung?

Meldungen

• Dritt­par­tei­en­ma­nage­ment: Eine Datenbasis für fünf Regelwerke
• Rundschreiben 09/2026 (WA) - WpI MaRisk

#Marktrisiko

Fristen

• FRTB: neue Eigen­mit­tel­an­for­de­run­gen für das Marktrisiko gelten

#MarkusJunge

Leistungen

• Schwerpunkte von Markus Junge

FAQ

• Warum ist der Rech­nungs­adres­sat nicht automatisch Nutzer?
• Was ändert sich im Meldekalender, seit die Pflicht zum IPU Quarterly Assessment unmittelbar im KWG steht?
• Warum beweist eine schemagültige Registerdatei nicht, dass die Meldung fachlich richtig ist?
• Wie bildet ein Ver­si­che­rungs­kon­zern alle Sparten in einem Rollenmodell für IKT-Drittparteien ab?
• Was ist bei aktiv genutzten Citrix-NetScaler-Lücken in welcher Reihenfolge zu tun?
• Was gilt bei einer Gesellschaft in zwei Konzernrollen?
• Wie führt man Infor­ma­ti­ons­ka­te­go­rien ohne Inhalte?
• Wie finden wir schnell alle PHP-Systeme bei Schwach­stel­len?
• Wie prüfen wir Fern­war­tungs­tools nach einer Zero-Day-Warnung?
• Wie bildet man eine Ver­trags­än­de­rung ab, die zwei Kon­zern­ge­sell­schaf­ten unter­schied­lich betrifft?
• Wer pflegt das Prozessmodell nach dem Projekt?
• Welche interne Freigabe braucht das Infor­ma­ti­ons­re­gis­ter, bevor es an die Aufsicht geht?
• Wie ordnen Sie eine Sam­mel­be­stel­lung im Einkauf zwei nutzenden Kon­zern­ge­sell­schaf­ten zu?

Meldungen

• Fernzugriffe auf Steue­rungs­tech­nik in drei Schritten sichern
• KI-Agenten: eigenes Rechenzentrum oder Cloud-Abo – diese Kriterien entscheiden
• KI skalieren: Vier Prioritäten für messbaren Geschäfts­nut­zen
• Rechenzentren: 23 Milliarden kWh Strombedarf in Deutschland
• KI-Infrastruktur: Daten, Kosten und Anbie­ter­ab­hän­gig­keit prüfen
• KI-Modell erledigte Sicher­heits­auf­ga­ben heimlich weniger
• Rechenzentren: Stilllegung früh planen
• Legacy-Ablösung: FAA ersetzt Dis­ket­ten­sys­teme bis 2028
• BVK: Durchsuchung wegen Kor­rup­ti­ons­ver­dacht
• Cloud-Testate prüfen: Was C5 Typ II abdeckt und was nicht

#Meldekette

FAQ

• Wer meldet nach DORA einen schwer­wie­gen­den IKT-Vorfall und wie bereiten Sie die Meldekette vor?

#Meldepflicht

FAQ

• Was regelt der Cyber Resilience Act und ab wann gelten seine Pflichten?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?
• Was müssen Unternehmen mit den Kontaktdaten ihres Daten­schutz­be­auf­trag­ten tun?

#Meldeprozess

FAQ

• Wie passen Pen­si­ons­kas­sen und Pensionsfonds ihren Meldeprozess beim Arbeitgeber-Siche­rungs­fall an das neue Bafin-Rundschreiben an?

#Meldewesen

FAQ

• Wie lese ich den Fris­ten­ka­len­der nach Betroffenen, Zuständigkeit und Meldestelle?
• Was ändert sich im Meldekalender, seit die Pflicht zum IPU Quarterly Assessment unmittelbar im KWG steht?

Meldungen

• IFRS 18 im Meldewesen: Wahlrecht bis September 2027
• Cyber Resilience Act: Meldepflicht startet

#Meldung

FAQ

• Auf welchem Weg geben Sie das IKT-Register an die Aufsicht weiter?

#MFA

Meldungen

• MFA in Entra ID: Gestohlene Sit­zungs­to­kens umgehen sie

#Microsoft365

Meldungen

• Microsoft 365: Berech­ti­gun­gen vor dem KI-Einsatz prüfen
• Microsoft 365: Konfiguration sichern, nicht nur Daten

#Migration

Meldungen

• Exchange-Umzug: Funk­ti­ons­post­fä­cher und Freigaben zuerst

#Mikro­seg­men­tie­rung

Meldungen

• Mikro­seg­men­tie­rung stoppt KI-Angreifer im Labortest

#Minitab

Leistungen

• Werkzeuge, mit denen wir arbeiten

#Mobi­le­Si­cher­heit

Meldungen

• Samsung Android: Patchstand SMR-OCT-2026 prüfen

#Modellwahl

Meldungen

• GPT-6.1 Terra: Mittelklasse-Modell mit weniger Fehlern

#MVPPortal

Leistungen

• Werkzeuge, mit denen wir arbeiten

#Nachweis

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?
• Woran erkenne ich, dass eine Pflicht umgesetzt ist?
• Wie gelingt ein Bezie­hungs­mo­dell für Dienst­leis­ter­da­ten, in dem jede Rechtseinheit einzeln erkennbar bleibt?
• Wie bildet Ihr Haus einen Kon­zern­ver­trag ab, wenn eine Rechtseinheit unterschreibt und eine andere die Leistung erbringt?
• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie bildet Ihr Haus Personen mit mehreren Beschäf­ti­gungs- oder Organ­ver­hält­nis­sen im Konzern ab?
• Wie verhindert Ihr Haus eine ungeprüfte Selbst­frei­gabe, wenn dieselbe Person mehrere Rollen im Frei­ga­be­pro­zess hat?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Woran erkennt Ihr Haus, dass eine Risikoanalyse mehr ist als eine Reihe von Ja-Nein-Feldern?
• Wie tief prüft Ihr Haus einen Anbieter? Und wann trägt ein Zertifikat?
• Welche Kontrollen gelten nach Ver­trags­be­ginn?
• Wann bewertet Ihr Haus eine bezogene Dienst­leis­tung erneut?
• Welche Nachweise sammelt die laufende Dienst­leis­ter­steue­rung?
• Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?
• Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?
• Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?
• Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?
• Wie halten DORA-Meldung, Aus­la­ge­rungs­an­zeige und interne Freigabe in Ihrem Haus zusammen, ohne durch­ein­an­der­zu­ge­ra­ten?
• Welche Datenfelder bereinigt ein Haus zuerst?
• Wie pflegt Ihr Haus Dienst­leis­ter­da­ten nur einmal, obwohl Einkauf, Ver­trags­ver­wal­tung und Risikotool sie brauchen?
• Wie führt Ihr Haus ein neues Steue­rungs­tool ein und übernimmt nur geprüfte Daten?
• Was bringt bei einem gewachsenen Bestand an Dienst­leis­tern zuerst Nutzen?
• Wie bereitet ein Haus Register und Auf­sichts­mel­dun­gen verlässlich vor?
• Trägt das neue Steue­rungs­tool im Alltag?
• Wie klärt Ihr Haus wider­sprüch­li­che Angaben zwischen Vertrag, Einkauf und Fachbereich?
• Wie geht Ihr Haus vor, wenn ein geerbter Schutzbedarf nicht zur Anwendung passt?
• Wie schließt Ihr Haus festgestellte Sicher­heits­lü­cken so, dass am Ende ein belastbarer Nachweis steht?
• Wie ordnet Ihr Haus Informationen so zu, dass die Schutz­be­darfs­fest­stel­lung belastbar wird?
• Auf welcher Prozessebene legt Ihr Haus den Schutzbedarf fest, damit kritische Teil­ak­ti­vi­tä­ten sichtbar bleiben?
• Wie vererbt sich der Schutzbedarf von Informationen und Prozessen auf Anwendungen und Systeme?
• Auf welchen Ebenen stellt Ihr Haus den Schutzbedarf eigenständig fest?
• Wann übernimmt Ihr Haus einen geerbten Schutzbedarf unverändert und wann braucht es eine neue Freigabe?
• Wer erstellt, prüft und gibt eine Schutz­be­darfs­fest­stel­lung frei?
• Wie verbindet Ihr Haus erlaubte Tätigkeiten mit allen Elementen des Infor­ma­ti­ons­ver­bunds?
• Was prüft Ihr Haus neu, wenn sich Erlaubnis, Prozessmodell oder Leis­tungs­kette ändern?
• Wie bereiten Sie einen neuen Standort auf eine Betriebs­prü­fung des Finanzamts vor?

#Nearshoring

Leistungen

• Auslagerung, Ausgliederung und Third Party Management
• Schwerpunkte von Markus Junge

FAQ

• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Welche Kennzahlen steuern einen Nearshoring-Dienstleister laufend?
• Wie testen Sie den Ausstiegsplan eines Nearshoring-Dienst­leis­ters, ohne den Betrieb zu stören?
• Welche Datenschutz-Pflichten treffen einen Finanz­dienst­leis­ter beim Einsatz eines Nearshoring-Dienst­leis­ters?
• Nach welchen Kriterien wählen Sie einen Nearshoring-Standort, bevor Sie einen Dienstleister beauftragen?
• Wie bauen Sie ein Shared-Service-Center zwischen Deutschland und Bulgarien so auf, dass Aufsicht und Revision es prüfen können?

#NetScaler

FAQ

• Was ist bei aktiv genutzten Citrix-NetScaler-Lücken in welcher Reihenfolge zu tun?

#Newsflow

FAQ

• Woher stammen die Meldungen im Newsflow?
• Wie aktuell ist der Newsflow und wer prüft ihn?

#Nextcloud

Meldungen

• Nextcloud: Nur-Lese-Links erlauben Schreib­zu­griff (CVE-2026-61527)

#NIS2

Leistungen

• Infor­ma­ti­ons­si­cher­heit: ISMS, NIS2, IT-Grundschutz

FAQ

• Was ist NIS2 und wie steht sie zu DORA?
• Was verlangt das BSI-Gesetz nach NIS2 von Geschäfts­lei­tun­gen und gilt das für Banken und Versicherer unter DORA?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?

Meldungen

• Fernzugriffe auf Steue­rungs­tech­nik in drei Schritten sichern
• Vernetzte Steuerungen: CRA ab 2027 und einheitliche NIS-2-Meldevorlage
• Cyber­si­cher­heit ist Organpflicht: Was zu tun ist
• BSI: Curriculum für NIS2-Schulungen der Leitung
• Wie­der­her­stel­lung nach Cyberangriff: Welchen Daten trauen?
• NIS2, CRA und EU AI Act machen Security zur Füh­rungs­auf­gabe
• Cyber-Resilienz in drei Schritten: Sichern, Erkennen, Wie­der­her­stel­len
• KI im Pro­duk­tiv­be­trieb: Zwei Drittel der IT-Chefs sehen ihre Infrastruktur nicht bereit
• Notfallplan erproben: Cyber-Resilienz statt nur Schutz

#Not­fall­ma­nage­ment

Leistungen

• Notfall- und Betriebs­kontinuitäts­management

FAQ

• Was regelt der BSI-Standard zum Not­fall­ma­nage­ment und was sind Business-Impact-Analyse und Wie­der­an­lauf­zeit?
• Wie bereiten wir uns auf DORA-Aufsicht 2027 vor?
• Wie ergänzen wir Not­fall­pro­zesse um KI-Vorfälle?

Meldungen

• Studie: Schnelle Wie­der­her­stel­lung vor sauberem Neustart

#Not­fall­pla­nung

Meldungen

• Ersatzleitung für Filialen auf dem Land: Konstanz vor Tempo