Stichwörter von M bis O

#MaGo

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion
• Schwerpunkte von Markus Junge

FAQ

• Was regeln die MaRisk und was hat die Neufassung geändert?
• Was regeln die MaGo für Versicherer und was hat die Neufassung geändert?

#Malware

Meldungen

• Lunex-Stealer schaltet Sicherheits-Callbacks aus: Bereinigung muss mehr umfassen
• Watchguard: Weniger Angriffe, fast nur Einzelstücke

#Man­dan­ten­fä­hig­keit

FAQ

• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Trägt das neue Steue­rungs­tool im Alltag?

#MAR

Meldungen

• MAR: Mehr Zeit bei Zwi­schen­schrit­ten, nicht bei Prognosen

#MaRisk

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion
• Schwerpunkte von Markus Junge

Fristen

• 9. MaRisk-Novelle: Ende der Über­gangs­frist für zusätzliche Anforderungen

FAQ

• Was regeln die MaRisk und was hat die Neufassung geändert?
• Was verlangt das Gesetz von der Compliance-Funktion bei Banken und bei Versicherern?
• Ist jede IKT-Dienst­leis­tung zugleich eine Auslagerung oder Ausgliederung?

Meldungen

• Rundschreiben 09/2026 (WA) - WpI MaRisk

#Marktrisiko

Fristen

• FRTB: neue Eigen­mit­tel­an­for­de­run­gen für das Marktrisiko gelten

#MarkusJunge

Leistungen

• Schwerpunkte von Markus Junge

FAQ

• Warum ist der Rech­nungs­adres­sat nicht automatisch Nutzer?

Meldungen

• Microsoft Digital Defense Report 2026: Identitäten im Fokus
• Drittparteien in einem Register statt in mehreren Listen
• Deepfake-Detektor für Videocalls ist noch kein Produkt
• Post-Quanten-Kryptografie: EU-Roadmap nennt Ende 2030
• Bitkom: Unternehmen überbrücken Importausfall 16 Monate
• KI-Agenten: Befugnisse wachsen schneller als die Kontrolle
• IAIS: Register inter­na­tio­na­ler Ver­si­che­rungs­grup­pen wächst
• Arista VeloCloud Orchestrator: Lücke wird aktiv ausgenutzt
• Python-Updates schließen kritische TLS-Lücke
• Device-Code-Phishing: Cloud-Zugänge gegen gültige Logins schützen

#Meldekette

FAQ

• Wer meldet nach DORA einen schwer­wie­gen­den IKT-Vorfall und wie bereiten Sie die Meldekette vor?

#Meldepflicht

FAQ

• Was regelt der Cyber Resilience Act und ab wann gelten seine Pflichten?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?
• Was müssen Unternehmen mit den Kontaktdaten ihres Daten­schutz­be­auf­trag­ten tun?

#Meldeprozess

FAQ

• Wie passen Pen­si­ons­kas­sen und Pensionsfonds ihren Meldeprozess beim Arbeitgeber-Siche­rungs­fall an das neue Bafin-Rundschreiben an?

#Meldewesen

FAQ

• Wie lese ich den Fris­ten­ka­len­der nach Betroffenen, Zuständigkeit und Meldestelle?

Meldungen

• IFRS 18 im Meldewesen: Wahlrecht bis September 2027
• Cyber Resilience Act: Meldepflicht startet

#Meldung

FAQ

• Auf welchem Weg geben Sie das IKT-Register an die Aufsicht weiter?

#Microsoft365

Meldungen

• Microsoft 365: Berech­ti­gun­gen vor dem KI-Einsatz prüfen
• Microsoft 365: Konfiguration sichern, nicht nur Daten

#Migration

Meldungen

• Exchange-Umzug: Funk­ti­ons­post­fä­cher und Freigaben zuerst

#Mikro­seg­men­tie­rung

Meldungen

• Mikro­seg­men­tie­rung stoppt KI-Angreifer im Labortest

#Minitab

Leistungen

• Werkzeuge, mit denen wir arbeiten

#Mobi­le­Si­cher­heit

Meldungen

• Samsung Android: Patchstand SMR-OCT-2026 prüfen

#Modellwahl

Meldungen

• GPT-6.1 Terra: Mittelklasse-Modell mit weniger Fehlern

#MVPPortal

Leistungen

• Werkzeuge, mit denen wir arbeiten

#Nachweis

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?
• Woran erkenne ich, dass eine Pflicht umgesetzt ist?
• Wie gelingt ein Bezie­hungs­mo­dell für Dienst­leis­ter­da­ten, in dem jede Rechtseinheit einzeln erkennbar bleibt?
• Wie bildet Ihr Haus einen Kon­zern­ver­trag ab, wenn eine Rechtseinheit unterschreibt und eine andere die Leistung erbringt?
• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie bildet Ihr Haus Personen mit mehreren Beschäf­ti­gungs- oder Organ­ver­hält­nis­sen im Konzern ab?
• Wie verhindert Ihr Haus eine ungeprüfte Selbst­frei­gabe, wenn dieselbe Person mehrere Rollen im Frei­ga­be­pro­zess hat?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Woran erkennt Ihr Haus, dass eine Risikoanalyse mehr ist als eine Reihe von Ja-Nein-Feldern?
• Wie tief prüft Ihr Haus einen Anbieter? Und wann trägt ein Zertifikat?
• Welche Kontrollen gelten nach Ver­trags­be­ginn?
• Wann bewertet Ihr Haus eine bezogene Dienst­leis­tung erneut?
• Welche Nachweise sammelt die laufende Dienst­leis­ter­steue­rung?
• Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?
• Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?
• Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?
• Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?
• Wie halten DORA-Meldung, Aus­la­ge­rungs­an­zeige und interne Freigabe in Ihrem Haus zusammen, ohne durch­ein­an­der­zu­ge­ra­ten?
• Welche Datenfelder bereinigt ein Haus zuerst?
• Wie pflegt Ihr Haus Dienst­leis­ter­da­ten nur einmal, obwohl Einkauf, Ver­trags­ver­wal­tung und Risikotool sie brauchen?
• Wie führt Ihr Haus ein neues Steue­rungs­tool ein und übernimmt nur geprüfte Daten?
• Was bringt bei einem gewachsenen Bestand an Dienst­leis­tern zuerst Nutzen?
• Wie bereitet ein Haus Register und Auf­sichts­mel­dun­gen verlässlich vor?
• Trägt das neue Steue­rungs­tool im Alltag?
• Wie klärt Ihr Haus wider­sprüch­li­che Angaben zwischen Vertrag, Einkauf und Fachbereich?
• Wie geht Ihr Haus vor, wenn ein geerbter Schutzbedarf nicht zur Anwendung passt?
• Wie schließt Ihr Haus festgestellte Sicher­heits­lü­cken so, dass am Ende ein belastbarer Nachweis steht?
• Wie ordnet Ihr Haus Informationen so zu, dass die Schutz­be­darfs­fest­stel­lung belastbar wird?
• Auf welcher Prozessebene legt Ihr Haus den Schutzbedarf fest, damit kritische Teil­ak­ti­vi­tä­ten sichtbar bleiben?
• Wie vererbt sich der Schutzbedarf von Informationen und Prozessen auf Anwendungen und Systeme?
• Auf welchen Ebenen stellt Ihr Haus den Schutzbedarf eigenständig fest?
• Wann übernimmt Ihr Haus einen geerbten Schutzbedarf unverändert und wann braucht es eine neue Freigabe?
• Wer erstellt, prüft und gibt eine Schutz­be­darfs­fest­stel­lung frei?
• Wie verbindet Ihr Haus erlaubte Tätigkeiten mit allen Elementen des Infor­ma­ti­ons­ver­bunds?
• Was prüft Ihr Haus neu, wenn sich Erlaubnis, Prozessmodell oder Leis­tungs­kette ändern?
• Wie bereiten Sie einen neuen Standort auf eine Betriebs­prü­fung des Finanzamts vor?

#Nearshoring

Leistungen

• Auslagerung, Ausgliederung und Third Party Management
• Schwerpunkte von Markus Junge

FAQ

• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Welche Kennzahlen steuern einen Nearshoring-Dienstleister laufend?
• Wie testen Sie den Ausstiegsplan eines Nearshoring-Dienst­leis­ters, ohne den Betrieb zu stören?
• Welche Datenschutz-Pflichten treffen einen Finanz­dienst­leis­ter beim Einsatz eines Nearshoring-Dienst­leis­ters?
• Nach welchen Kriterien wählen Sie einen Nearshoring-Standort, bevor Sie einen Dienstleister beauftragen?
• Wie bauen Sie ein Shared-Service-Center zwischen Deutschland und Bulgarien so auf, dass Aufsicht und Revision es prüfen können?

#Newsflow

FAQ

• Woher stammen die Meldungen im Newsflow?
• Wie aktuell ist der Newsflow und wer prüft ihn?

#NIS2

Leistungen

• Infor­ma­ti­ons­si­cher­heit: ISMS, NIS2, IT-Grundschutz

FAQ

• Was ist NIS2 und wie steht sie zu DORA?
• Was verlangt das BSI-Gesetz nach NIS2 von Geschäfts­lei­tun­gen und gilt das für Banken und Versicherer unter DORA?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?

Meldungen

• BSI: Curriculum für NIS2-Schulungen der Leitung
• Wie­der­her­stel­lung nach Cyberangriff: Welchen Daten trauen?
• NIS2, CRA und EU AI Act machen Security zur Füh­rungs­auf­gabe
• Cyber-Resilienz in drei Schritten: Sichern, Erkennen, Wie­der­her­stel­len
• KI im Pro­duk­tiv­be­trieb: Zwei Drittel der IT-Chefs sehen ihre Infrastruktur nicht bereit

#Not­fall­ma­nage­ment

Leistungen

• Notfall- und Betriebs­kontinuitäts­management

FAQ

• Was regelt der BSI-Standard zum Not­fall­ma­nage­ment und was sind Business-Impact-Analyse und Wie­der­an­lauf­zeit?
• Wie bereiten wir uns auf DORA-Aufsicht 2027 vor?
• Wie ergänzen wir Not­fall­pro­zesse um KI-Vorfälle?

Meldungen

• Studie: Schnelle Wie­der­her­stel­lung vor sauberem Neustart

#Öffent­li­che­Ver­si­che­rung

Leistungen

• Neutrale Unterstützung bei der Anbie­ter­aus­wahl

#Offboarding

Meldungen

• Nach dem Austritt noch eingeloggt: 32 Prozent haben Zugriff

#OpenAI

Leistungen

• Werkzeuge, mit denen wir arbeiten

FAQ

• Mit welchen Werkzeugen arbeitet Qvestcon?

#OpenStack

Meldungen

• OpenStack Manila: Kritische Lücke bei öffentlichen Freigaben

#OpenWeight

Meldungen

• Kimi K3.1 Pro: Open-Weight-Modell und Cyberrisiko

#Ope­ra­tio­nal­Re­si­li­ence

Leistungen

• Schwerpunkte von Markus Junge

#Ope­ra­tio­nel­le­Ri­si­ken

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion

#Ope­ra­ti­ve­Re­si­li­enz

Meldungen

• IAIS: Dritt­par­tei­ri­si­ken im Fokus der Ver­si­che­rungs­auf­sicht

#Organhaftung

FAQ

• Wer ist beim Cloud-Einsatz zuständig? Wohin eskaliert ein Mangel?
• Wie belegt die Geschäfts­lei­tung einer Bank, dass sie ihre Verantwortung für Cloud-Auslagerungen wahrnimmt?
• Was belegt der Vorstand eines Versicherers bei Cloud-Aus­glie­de­run­gen?
• Welche Fehler führen bei Geschäfts­lei­tern im Cloud-Einsatz zur persönlichen Haftung gegenüber dem eigenen Unternehmen?

#ORSA

Fristen

• Solvency-II-Review: neue Vorschriften gelten für Erst­ver­si­che­rer

#OutputFloor

Fristen

• CRR3: Eigen­mit­tel­un­ter­grenze (Output Floor) steigt auf 60 Prozent

#Outsourcing

Leistungen

• Auslagerung, Ausgliederung und Third Party Management

Fristen

• Daten­ver­ord­nung: Cloud-Anbieter dürfen keine Wech­sel­ent­gelte mehr erheben

FAQ

• Was ist die zentrale Aus­la­ge­rungs­steue­rung?
• Was ist Third Party Management und was verlangt DORA dazu?
• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Wann ist eine Auslagerung bei einer Bank wesentlich und was folgt daraus?
• Wann ist eine Ausgliederung bei einem Versicherer wichtig und was folgt daraus?
• Auslagerung, Ausgliederung, kritische oder wichtige Funktion: Welcher Begriff gilt für Banken, welcher für Versicherer und welcher nach DORA?
• Wer bleibt für ausgelagerte Funktionen ver­ant­wort­lich?
• Was verlangt die BaFin bei Auslagerungen an Cloud-Anbieter?
• Gelten Auslagerungen innerhalb der Gruppe als Auslagerung?
• Was muss ein Vertrag zur Auf­trags­ver­ar­bei­tung regeln?
• Was macht eine Leistung innerhalb der Gruppe tragfähig: Vertrag und Risi­ko­be­ur­tei­lung je empfangender Rechtseinheit?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?