Stichwörter von N bis Q

#Nachweis

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?
• Woran erkenne ich, dass eine Pflicht umgesetzt ist?
• Wie gelingt ein Bezie­hungs­mo­dell für Dienst­leis­ter­da­ten, in dem jede Rechtseinheit einzeln erkennbar bleibt?
• Wie bildet Ihr Haus einen Kon­zern­ver­trag ab, wenn eine Rechtseinheit unterschreibt und eine andere die Leistung erbringt?
• Woran erkennt Ihr Haus, ob ein System für Governance, Risiko und Compliance mehrere Kon­zern­ein­hei­ten wirklich trennt?
• Wie bildet Ihr Haus Personen mit mehreren Beschäf­ti­gungs- oder Organ­ver­hält­nis­sen im Konzern ab?
• Wie verhindert Ihr Haus eine ungeprüfte Selbst­frei­gabe, wenn dieselbe Person mehrere Rollen im Frei­ga­be­pro­zess hat?
• Wie gelingt die Trennung der Datensphären, wenn Auftraggeber, Auftragnehmer und Erbringer verschiedenen Kon­zern­ein­hei­ten angehören?
• Woran erkennt Ihr Haus, dass eine Risikoanalyse mehr ist als eine Reihe von Ja-Nein-Feldern?
• Wie tief prüft Ihr Haus einen Anbieter? Und wann trägt ein Zertifikat?
• Welche Kontrollen gelten nach Ver­trags­be­ginn?
• Wann bewertet Ihr Haus eine bezogene Dienst­leis­tung erneut?
• Welche Nachweise sammelt die laufende Dienst­leis­ter­steue­rung?
• Genügt ein ISO-Zertifikat als Nachweis für einen kritischen Dienst?
• Wie geht Ihr Haus mit einem schweren Verstoß gegen vereinbarte Leis­tungs­ziele um?
• Wie gelingt ein erster Exit-Test, ohne dass Ihr Haus den Dienstleister sofort wechselt?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?
• Woran erkennt Ihr Haus, ob ein Ausstiegsplan tatsächlich umsetzbar ist?
• Wie halten DORA-Meldung, Aus­la­ge­rungs­an­zeige und interne Freigabe in Ihrem Haus zusammen, ohne durch­ein­an­der­zu­ge­ra­ten?
• Welche Datenfelder bereinigt ein Haus zuerst?
• Wie pflegt Ihr Haus Dienst­leis­ter­da­ten nur einmal, obwohl Einkauf, Ver­trags­ver­wal­tung und Risikotool sie brauchen?
• Wie führt Ihr Haus ein neues Steue­rungs­tool ein und übernimmt nur geprüfte Daten?
• Was bringt bei einem gewachsenen Bestand an Dienst­leis­tern zuerst Nutzen?
• Wie bereitet ein Haus Register und Auf­sichts­mel­dun­gen verlässlich vor?
• Trägt das neue Steue­rungs­tool im Alltag?
• Wie klärt Ihr Haus wider­sprüch­li­che Angaben zwischen Vertrag, Einkauf und Fachbereich?
• Wie geht Ihr Haus vor, wenn ein geerbter Schutzbedarf nicht zur Anwendung passt?
• Wie schließt Ihr Haus festgestellte Sicher­heits­lü­cken so, dass am Ende ein belastbarer Nachweis steht?
• Wie ordnet Ihr Haus Informationen so zu, dass die Schutz­be­darfs­fest­stel­lung belastbar wird?
• Auf welcher Prozessebene legt Ihr Haus den Schutzbedarf fest, damit kritische Teil­ak­ti­vi­tä­ten sichtbar bleiben?
• Wie vererbt sich der Schutzbedarf von Informationen und Prozessen auf Anwendungen und Systeme?
• Auf welchen Ebenen stellt Ihr Haus den Schutzbedarf eigenständig fest?
• Wann übernimmt Ihr Haus einen geerbten Schutzbedarf unverändert und wann braucht es eine neue Freigabe?
• Wer erstellt, prüft und gibt eine Schutz­be­darfs­fest­stel­lung frei?
• Wie verbindet Ihr Haus erlaubte Tätigkeiten mit allen Elementen des Infor­ma­ti­ons­ver­bunds?
• Was prüft Ihr Haus neu, wenn sich Erlaubnis, Prozessmodell oder Leis­tungs­kette ändern?
• Wie bereiten Sie einen neuen Standort auf eine Betriebs­prü­fung des Finanzamts vor?

#Nearshoring

Leistungen

• Auslagerung, Ausgliederung und Third Party Management
• Schwerpunkte von Markus Junge

FAQ

• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Welche Kennzahlen steuern einen Nearshoring-Dienstleister laufend?
• Wie testen Sie den Ausstiegsplan eines Nearshoring-Dienst­leis­ters, ohne den Betrieb zu stören?
• Welche Datenschutz-Pflichten treffen einen Finanz­dienst­leis­ter beim Einsatz eines Nearshoring-Dienst­leis­ters?
• Nach welchen Kriterien wählen Sie einen Nearshoring-Standort, bevor Sie einen Dienstleister beauftragen?
• Wie bauen Sie ein Shared-Service-Center zwischen Deutschland und Bulgarien so auf, dass Aufsicht und Revision es prüfen können?

#Newsflow

FAQ

• Woher stammen die Meldungen im Newsflow?
• Wie aktuell ist der Newsflow und wer prüft ihn?

#NIS2

Leistungen

• Infor­ma­ti­ons­si­cher­heit: ISMS, NIS2, IT-Grundschutz

FAQ

• Was ist NIS2 und wie steht sie zu DORA?
• Was verlangt das BSI-Gesetz nach NIS2 von Geschäfts­lei­tun­gen und gilt das für Banken und Versicherer unter DORA?
• Wann erfasst der Cyber Resilience Act Banken und Versicherer als Hersteller eigener Apps oder Geräte und welche Mel­de­pflich­ten gelten seit dem 11. September 2026?

#Not­fall­ma­nage­ment

Leistungen

• Notfall- und Betriebs­kontinuitäts­management

FAQ

• Was regelt der BSI-Standard zum Not­fall­ma­nage­ment und was sind Business-Impact-Analyse und Wie­der­an­lauf­zeit?
• Wie bereiten wir uns auf DORA-Aufsicht 2027 vor?
• Wie ergänzen wir Not­fall­pro­zesse um KI-Vorfälle?

#Öffent­li­che­Ver­si­che­rung

Leistungen

• Neutrale Unterstützung bei der Anbie­ter­aus­wahl

#OpenAI

Leistungen

• Werkzeuge, mit denen wir arbeiten

FAQ

• Mit welchen Werkzeugen arbeitet Qvestcon?

#Ope­ra­tio­nal­Re­si­li­ence

Leistungen

• Schwerpunkte von Markus Junge

#Ope­ra­tio­nel­le­Ri­si­ken

Leistungen

• MaRisk und MaGo: Risi­ko­ma­nage­ment und Geschäfts­or­ga­ni­sa­tion

#Ope­ra­ti­ve­Re­si­li­enz

Meldungen

• IAIS: Dritt­par­tei­ri­si­ken im Fokus der Ver­si­che­rungs­auf­sicht

#Organhaftung

FAQ

• Wer ist beim Cloud-Einsatz zuständig? Wohin eskaliert ein Mangel?
• Wie belegt die Geschäfts­lei­tung einer Bank, dass sie ihre Verantwortung für Cloud-Auslagerungen wahrnimmt?
• Was belegt der Vorstand eines Versicherers bei Cloud-Aus­glie­de­run­gen?
• Welche Fehler führen bei Geschäfts­lei­tern im Cloud-Einsatz zur persönlichen Haftung gegenüber dem eigenen Unternehmen?

#ORSA

Fristen

• Solvency-II-Review: neue Vorschriften gelten für Erst­ver­si­che­rer

#OutputFloor

Fristen

• CRR3: Eigen­mit­tel­un­ter­grenze (Output Floor) steigt auf 60 Prozent

#Outsourcing

Leistungen

• Auslagerung, Ausgliederung und Third Party Management

Fristen

• Daten­ver­ord­nung: Cloud-Anbieter dürfen keine Wech­sel­ent­gelte mehr erheben

FAQ

• Was ist die zentrale Aus­la­ge­rungs­steue­rung?
• Was ist Third Party Management und was verlangt DORA dazu?
• Gelten für Nearshoring andere Regeln als für Outsourcing?
• Wann ist eine Auslagerung bei einer Bank wesentlich und was folgt daraus?
• Wann ist eine Ausgliederung bei einem Versicherer wichtig und was folgt daraus?
• Auslagerung, Ausgliederung, kritische oder wichtige Funktion: Welcher Begriff gilt für Banken, welcher für Versicherer und welcher nach DORA?
• Wer bleibt für ausgelagerte Funktionen ver­ant­wort­lich?
• Was verlangt die BaFin bei Auslagerungen an Cloud-Anbieter?
• Gelten Auslagerungen innerhalb der Gruppe als Auslagerung?
• Was muss ein Vertrag zur Auf­trags­ver­ar­bei­tung regeln?
• Was macht eine Leistung innerhalb der Gruppe tragfähig: Vertrag und Risi­ko­be­ur­tei­lung je empfangender Rechtseinheit?
• Was gehört zur geordneten Beendigung einer Dienst­leis­tung?

Meldungen

• Rundschreiben 06/2026 (BA)

#Paragraph203

FAQ

• Welche Fehler vermeidet ein Versicherer beim Berufs­ge­heim­nis in der Cloud, sobald ein Dienstleister Zugang zu Ver­si­cher­ten­da­ten erhält?

#Patch­ma­nage­ment

Meldungen

• Adobe Bridge und Substance 3D: Updates gegen Schwach­stel­len
• Red Hat Enterprise Linux: BSI warnt, Risiko hoch

#Pen­si­ons­kas­sen

Leistungen

• Schwerpunkte von Markus Junge
• Neutrale Unterstützung bei der Anbie­ter­aus­wahl

FAQ

• Für wen arbeitet Qvestcon?
• Wie passen Pen­si­ons­kas­sen und Pensionsfonds ihren Meldeprozess beim Arbeitgeber-Siche­rungs­fall an das neue Bafin-Rundschreiben an?

#Post­Quan­ten­Kryp­to­gra­fie

Meldungen

• Post-Quanten-Kryptografie: Leitlinie nennt Frist 2030

#PQC

FAQ

• Wie starten Banken und Versicherer die PQC-Umstellung?

#Pro­dukt­si­cher­heit

Fristen

• Cyber Resilience Act: Haupt­pflich­ten für Produkte mit digitalen Elementen gelten

#Pro­por­tio­na­li­tät

Fristen

• Solvency-II-Review: neue Vorschriften gelten für Erst­ver­si­che­rer

#Pro­zess­ma­nage­ment

Leistungen

• Prozesse, Fach­ar­chi­tek­tur und GRC-Werkzeuge
• Schwerpunkte von Markus Junge

#Prü­fungs­pla­nung

Meldungen

• Bundestag verabschiedet CRA-Durch­füh­rungs­ge­setz
• BeyondTrust Remote Support: Schwachstelle wird ausgenutzt
• EIOPA legt strategische Auf­sichts­prio­ri­tä­ten für 2027 bis 2029 fest
• SIA: Security-Chatbot mit Quel­len­be­le­gen für Banken
• EUDI-Wallet: BIPRO startet Anwen­dungs­fälle am 22. Oktober
• BaFin konsultiert Sachkunde-Verordnung für Ver­brau­cher­dar­le­hen, Frist bis 27. Oktober 2026
• BaFin ver­öf­fent­licht Tätig­keits­ver­bot gegen ehemaligen Bank­ge­schäfts­lei­ter
• DORA: Exit-Strategie für ausgelagerte Funktionen regeln
• Adobe Bridge und Substance 3D: Updates gegen Schwach­stel­len
• Syonics: Ammerländer Versicherung bietet IT-Plattform an

#Quellen

FAQ

• Woher stammen die Meldungen im Newsflow?

#Quick-Check

FAQ

• Was liefert Qvestcon für die Umsetzung von DORA und auf­sicht­li­chen Anforderungen?

#QuickCheck

FAQ

• Was kostet der Quick Check und was liefert er?

#Qvestcon

Meldungen

• Bundestag verabschiedet CRA-Durch­füh­rungs­ge­setz
• BeyondTrust Remote Support: Schwachstelle wird ausgenutzt
• EIOPA legt strategische Auf­sichts­prio­ri­tä­ten für 2027 bis 2029 fest
• SIA: Security-Chatbot mit Quel­len­be­le­gen für Banken
• EUDI-Wallet: BIPRO startet Anwen­dungs­fälle am 22. Oktober
• BaFin konsultiert Sachkunde-Verordnung für Ver­brau­cher­dar­le­hen, Frist bis 27. Oktober 2026
• BaFin ver­öf­fent­licht Tätig­keits­ver­bot gegen ehemaligen Bank­ge­schäfts­lei­ter
• DORA: Exit-Strategie für ausgelagerte Funktionen regeln
• Adobe Bridge und Substance 3D: Updates gegen Schwach­stel­len
• Syonics: Ammerländer Versicherung bietet IT-Plattform an