Stichwörter von M bis Q

#MaGo

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion
• Schwerpunkte von Markus Junge

FAQ

• Was regeln die MaRisk und was hat die Neufassung geändert?
• Was regeln die MaGo für Versicherer und was hat die Neufassung geändert?

#Man­dan­ten­fä­hig­keit

FAQ

• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Woran erkennt Ihr Haus, dass ein neues Steue­rungs­tool im Alltag trägt?

#MaRisk

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion
• Schwerpunkte von Markus Junge

Fristen

• 9. MaRisk-Novelle: Ende der Über­gangs­frist für zusätzliche Anforderungen

FAQ

• Was regeln die MaRisk und was hat die Neufassung geändert?
• Was verlangt das Gesetz von der Compliance-Funktion bei Banken und bei Versicherern?
• Ist jede IKT-Dienst­leis­tung zugleich eine Auslagerung oder Ausgliederung?

Meldungen

• Rundschreiben 09/2026 (WA) - WpI MaRisk

#Marktrisiko

Fristen

• FRTB: neue Eigen­mit­tel­an­for­de­run­gen für das Marktrisiko gelten

#MarkusJunge

Leistungen

• Schwerpunkte von Markus Junge

Meldungen

• BaFin ver­öf­fent­licht ab Oktober 2026 Übersicht zu ESA- und AMLA-Leitlinien statt Rundschreiben
• BaFin-Rundschreiben 13/2026: Neue Mel­de­pflich­ten für Pen­si­ons­kas­sen beim Arbeitgeber-Siche­rungs­fall
• Büro­kra­tie­kos­ten für Versicherer steigen laut Bundesbank auf zehn Prozent des Umsatzes
• DORA-Praxis: Tricept zeigt mit RIMAGO Lösungen für Drittparteien- und IKT-Risiken
• VSAAG beschlossen: Bafin erhält mehr Auf­sichts­be­fug­nisse, Versicherer müssen Sanie­rungs­pläne erstellen

#Meldepflicht

FAQ

• Was regelt der Cyber Resilience Act und ab wann gelten seine Pflichten?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?
• Was müssen Unternehmen mit den Kontaktdaten ihres Daten­schutz­be­auf­trag­ten tun?

#Meldewesen

FAQ

• Wie lese ich den Fris­ten­ka­len­der nach Betroffenen, Zuständigkeit und Meldestelle?

Meldungen

• Cyber Resilience Act: Meldepflicht startet

#Minitab

Leistungen

• Werkzeuge, mit denen wir arbeiten

#MVPPortal

Leistungen

• Werkzeuge, mit denen wir arbeiten

#Nachweis

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?
• Woran erkenne ich, dass eine Pflicht umgesetzt ist?
• Wie gelingt ein Bezie­hungs­mo­dell für Dienst­leis­ter­da­ten, in dem jede Rechtseinheit einzeln erkennbar bleibt?
• Wie bildet Ihr Haus einen Kon­zern­ver­trag ab, wenn eine Rechtseinheit unterschreibt und eine andere die Leistung erbringt?
• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie bildet Ihr Haus Personen mit mehreren Beschäf­ti­gungs- oder Organ­ver­hält­nis­sen im Konzern ab?
• Wie verhindert Ihr Haus eine ungeprüfte Selbst­frei­gabe, wenn dieselbe Person mehrere Rollen im Frei­ga­be­pro­zess hat?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Woran erkennt Ihr Haus, dass eine Risikoanalyse mehr ist als eine Reihe von Ja-Nein-Feldern?
• Wie tief prüft Ihr Haus einen Anbieter und wann trägt ein Zertifikat?
• Welche Kontrollen setzt Ihr Haus nach Ver­trags­be­ginn wirksam ein?
• Wann bewertet Ihr Haus eine bezogene Dienst­leis­tung erneut?
• Welche Nachweise sammelt die laufende Dienst­leis­ter­steue­rung in Ihrem Haus?
• Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?
• Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?
• Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?
• Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?
• Wie halten DORA-Meldung, Aus­la­ge­rungs­an­zeige und interne Freigabe in Ihrem Haus zusammen, ohne durch­ein­an­der­zu­ge­ra­ten?
• Welche Datenfelder bereinigt ein Haus zuerst, damit die Register für Dienstleister belastbar werden?
• Wie pflegt Ihr Haus Dienst­leis­ter­da­ten nur einmal, obwohl Einkauf, Ver­trags­ver­wal­tung und Risikotool sie brauchen?
• Wie führt Ihr Haus ein neues Steue­rungs­tool ein und übernimmt nur geprüfte Daten?
• Welche Ver­bes­se­run­gen bringen bei einem gewachsenen Bestand an Dienst­leis­tern zuerst Nutzen?
• Wie bereitet ein Haus Register und Auf­sichts­mel­dun­gen verlässlich vor?
• Woran erkennt Ihr Haus, dass ein neues Steue­rungs­tool im Alltag trägt?
• Wie klärt Ihr Haus wider­sprüch­li­che Angaben zwischen Vertrag, Einkauf und Fachbereich?
• Wie geht Ihr Haus vor, wenn ein geerbter Schutzbedarf nicht zur Anwendung passt?
• Wie schließt Ihr Haus festgestellte Sicher­heits­lü­cken so, dass am Ende ein belastbarer Nachweis steht?
• Wie ordnet Ihr Haus Informationen so zu, dass die Schutz­be­darfs­fest­stel­lung belastbar wird?
• Auf welcher Prozessebene legt Ihr Haus den Schutzbedarf fest, damit kritische Teil­ak­ti­vi­tä­ten sichtbar bleiben?
• Wie vererbt sich der Schutzbedarf von Informationen und Prozessen auf Anwendungen und Systeme?
• Auf welchen Ebenen stellt Ihr Haus den Schutzbedarf eigenständig fest?
• Wann übernimmt Ihr Haus einen geerbten Schutzbedarf unverändert und wann braucht es eine neue Freigabe?
• Wer erstellt, prüft und gibt eine Schutz­be­darfs­fest­stel­lung frei?
• Wie verbindet Ihr Haus erlaubte Tätigkeiten mit allen Elementen des Infor­ma­ti­ons­ver­bunds?
• Was prüft Ihr Haus neu, wenn sich Erlaubnis, Prozessmodell oder Leis­tungs­kette ändern?

#Nearshoring

Leistungen

• Auslagerung, Ausgliederung und Third Party Management
• Schwerpunkte von Markus Junge

FAQ

• Gelten für Nearshoring andere Regeln als für Outsourcing?

#Newsflow

FAQ

• Woher stammen die Meldungen im Newsflow?
• Wie aktuell ist der Newsflow und wer prüft ihn?

#NIS2

Leistungen

• Infor­ma­ti­ons­si­cher­heit: ISMS, NIS2, IT-Grundschutz

FAQ

• Was ist NIS2 und wie steht sie zu DORA?
• Was verlangt das BSI-Gesetz nach NIS2 von Geschäfts­lei­tun­gen und gilt das für Banken und Versicherer unter DORA?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?

#Not­fall­ma­nage­ment

Leistungen

• Notfall- und Betriebs­kontinuitäts­management

FAQ

• Was regelt der BSI-Standard zum Not­fall­ma­nage­ment und was sind Business-Impact-Analyse und Wie­der­an­lauf­zeit?

#Öffent­li­che­Ver­si­che­rung

Leistungen

• Neutrale Unterstützung bei der Anbie­ter­aus­wahl

#OpenAI

Leistungen

• Werkzeuge, mit denen wir arbeiten

FAQ

• Mit welchen Werkzeugen arbeitet Qvestcon?

#Ope­ra­tio­nal­Re­si­li­ence

Leistungen

• Schwerpunkte von Markus Junge

#Ope­ra­tio­nel­le­Ri­si­ken

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion

#ORSA

Fristen

• Solvency-II-Review: neue Vorschriften gelten für Erst­ver­si­che­rer

#OutputFloor

Fristen

• CRR3: Eigen­mit­tel­un­ter­grenze (Output Floor) steigt auf 60 Prozent

#Outsourcing

Leistungen

• Auslagerung, Ausgliederung und Third Party Management

Fristen

• Daten­ver­ord­nung: Cloud-Anbieter dürfen keine Wech­sel­ent­gelte mehr erheben

FAQ

• Was ist die zentrale Aus­la­ge­rungs­steue­rung?
• Was ist Third Party Management und was verlangt DORA dazu?
• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Wann ist eine Auslagerung bei einer Bank wesentlich und was folgt daraus?
• Wann ist eine Ausgliederung bei einem Versicherer wichtig und was folgt daraus?
• Auslagerung, Ausgliederung, kritische oder wichtige Funktion: Welcher Begriff gilt für Banken, welcher für Versicherer und welcher nach DORA?
• Wer bleibt für ausgelagerte Funktionen ver­ant­wort­lich?
• Was verlangt die BaFin bei Auslagerungen an Cloud-Anbieter?
• Gelten Auslagerungen innerhalb der Gruppe als Auslagerung?
• Was muss ein Vertrag zur Auf­trags­ver­ar­bei­tung regeln?
• Was macht eine Leistung innerhalb der Gruppe tragfähig: Vertrag und Risi­ko­be­ur­tei­lung je empfangender Rechtseinheit?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?

Meldungen

• Rundschreiben 06/2026 (BA)

#Pen­si­ons­kas­sen

Leistungen

• Schwerpunkte von Markus Junge
• Neutrale Unterstützung bei der Anbie­ter­aus­wahl

FAQ

• Für wen arbeitet Qvestcon?

#Pro­dukt­si­cher­heit

Fristen

• Cyber Resilience Act: Haupt­pflich­ten für Produkte mit digitalen Elementen gelten

#Pro­por­tio­na­li­tät

Fristen

• Solvency-II-Review: neue Vorschriften gelten für Erst­ver­si­che­rer

#Pro­zess­ma­nage­ment

Leistungen

• Prozesse, Fach­ar­chi­tek­tur und GRC-Werkzeuge
• Schwerpunkte von Markus Junge

#Prü­fungs­pla­nung

Meldungen

• BaFin ver­öf­fent­licht ab Oktober 2026 Übersicht zu ESA- und AMLA-Leitlinien statt Rundschreiben
• BaFin-Rundschreiben 13/2026: Neue Mel­de­pflich­ten für Pen­si­ons­kas­sen beim Arbeitgeber-Siche­rungs­fall
• Büro­kra­tie­kos­ten für Versicherer steigen laut Bundesbank auf zehn Prozent des Umsatzes
• DORA-Praxis: Tricept zeigt mit RIMAGO Lösungen für Drittparteien- und IKT-Risiken
• VSAAG beschlossen: Bafin erhält mehr Auf­sichts­be­fug­nisse, Versicherer müssen Sanie­rungs­pläne erstellen
• Kritische Schwach­stel­len in Citrix NetScaler: Korrigierte Versionen verfügbar
• Europäische Ban­ken­auf­sicht konsultiert Änderungen an gemeinsamen Kapital- und Liqui­di­täts­ent­schei­dun­gen

#Quellen

FAQ

• Woher stammen die Meldungen im Newsflow?

#Quick-Check

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?

#QuickCheck

FAQ

• Was kostet der Quick Check und was liefert er?

#Qvestcon

Meldungen

• BaFin ver­öf­fent­licht ab Oktober 2026 Übersicht zu ESA- und AMLA-Leitlinien statt Rundschreiben
• BaFin-Rundschreiben 13/2026: Neue Mel­de­pflich­ten für Pen­si­ons­kas­sen beim Arbeitgeber-Siche­rungs­fall
• Büro­kra­tie­kos­ten für Versicherer steigen laut Bundesbank auf zehn Prozent des Umsatzes
• DORA-Praxis: Tricept zeigt mit RIMAGO Lösungen für Drittparteien- und IKT-Risiken
• VSAAG beschlossen: Bafin erhält mehr Auf­sichts­be­fug­nisse, Versicherer müssen Sanie­rungs­pläne erstellen
• EU-Aufsicht warnt vor externen Abhän­gig­kei­ten und wachsenden Cyberrisiken
• ESMA setzt ab 2027 einen Auf­sichts­schwer­punkt auf KI und Tokenisierung