Warum jetzt
Die Regeln haben sich geändert. Die meisten Aufbauten noch nicht.
CER und NIS2 machen Resilienz von guter Praxis zur gesetzlichen Pflicht — mit Fristen, Meldeuhren und persönlicher Verantwortung der Leitungsebene. Der Mittelstand ist zuerst betroffen und zuletzt besetzt. Genau für diese Lücke gibt es SmoothCat.
Compliance (EU)
Regulierung, operativ gemacht
CER und NIS2 schaffen Pflichten, für die mittelständische Organisationen selten dauerhaft Personal haben. Hier sehen Sie, wie der Dienst darauf einzahlt. Wir stehen vor dem Marktstart: Alles Folgende ist konzipiert und zugesagt — nicht zertifiziert oder auditiert.
CER — Richtlinie zur Resilienz kritischer Einrichtungen
CER betrifft die physische Resilienz kritischer Einrichtungen: Risiken kennen, sie verringern und melden, wenn etwas geschieht.
| Pflicht | Was SmoothCat dazu leistet |
|---|---|
| Allgefahren-Risikobewertung | Eine Ausgangsbewertung Ihrer Standorte, Abhängigkeiten und Gefahrenexposition, fortlaufend gepflegt als lebendes Risikoregister statt als Dokument, das in der Schublade altert. |
| Resilienzmaßnahmen | Vorsorgepläne je Gefahrenfamilie, Action Cards, denen Ihr Team unter Druck folgen kann, geplante Übungen und eine Redundanzprüfung der Abhängigkeiten, deren Ausfall Sie sich nicht leisten können. |
| Vorfallmeldung | Lageberichte, die während des Ereignisses entstehen, und danach ein prüffestes Vorfallpaket: Zeitleiste, getroffene Entscheidungen, verantwortliche Personen und die geführte Kommunikation. |
| Benannte Kontaktstelle und durchgängige Erreichbarkeit | Rund-um-die-Uhr-Abdeckung mit benannter Analystin oder benanntem Analysten in Rufbereitschaft, damit Erreichbarkeit nicht am Telefon einer einzelnen Person hängt. |
NIS2 — Netz- und Informationssicherheit
NIS2 betrifft das Management von Cyberrisiken, fristgerechte Meldungen und die Verantwortung der Leitungsebene für beides.
| Pflicht | Was SmoothCat dazu leistet |
|---|---|
| Risikomanagementmaßnahmen | Cyber- und Infrastrukturgefahren werden gemeinsam mit physischen überwacht — mit Reaktionsplänen, Abbildung der Lieferantenabhängigkeiten und Übungen, die den Plan tatsächlich beanspruchen. |
| Fristen der Vorfallmeldung | Die Meldefrist läuft ab Erkennung, Meldeentwürfe folgen der Struktur Ihrer Behörde, und die Nachweiskette entsteht, während der Vorfall noch läuft — kurze Fristen werden mit Inhalt erfüllt, nicht mit Hektik. |
| Verantwortung der Leitungsebene | Berichte, die die Geschäftsführung lesen kann: was erkannt wurde, was empfohlen wurde, wer entschieden hat und was daraus folgte. Aufsicht wird belegbar statt behauptet. |
| Geschäftskontinuität und Krisenmanagement | Kontinuitätspläne, die wir mit Ihnen pflegen, vorab vereinbarte Eskalationswege und Live-Koordination, wenn ein Vorfall von der IT in den Betrieb übergeht. |
Die Pflichten sind allgemein und in eigenen Worten beschrieben. Diese Seite ist keine Rechtsberatung, und die nationale Umsetzung unterscheidet sich je Mitgliedstaat. Klären Sie Ihre konkreten Pflichten mit Ihrer Rechtsberatung oder der zuständigen Behörde.
DSGVO per Design
- Datenminimierung
- Wir halten, was der Dienst zum Warnen und Beraten braucht — Standorte, Rollen, Kontaktwege, Abhängigkeiten — und nicht die personenbezogenen Daten darum herum.
- Rechtsgrundlage
- Die Verarbeitung stützt sich auf Ihren Vertrag mit uns und auf berechtigte Interessen an Sicherheit und Kontinuität, je Datenkategorie dokumentiert, bevor der Dienst startet.
- Aufbewahrungsgrenzen
- Betriebsdaten werden für definierte Zeiträume gehalten, die sich an Nachweis- und Prüfbedarf orientieren, und danach planmäßig gelöscht statt unbegrenzt angesammelt.
- Datenhaltung in der EU
- Daten werden in der EU gehostet und verarbeitet. Design-Partner-Verträge sagen dies schriftlich zu.
Bereit für den EU AI Act
- Menschliche Aufsicht per Design
- Keine Warnung erreicht Sie ungeprüft. Die KI reduziert das Rauschen; ein Mensch bestätigt die Einschätzung und wird namentlich genannt. Aufsicht ist Architektur, keine Einstellung.
- Audit-Protokollierung
- Jedes Signal, jede Modellausgabe, jede menschliche Prüfung und jede Empfehlung wird mit Zeitstempel protokolliert, sodass jede Entscheidung im Nachhinein rekonstruierbar ist.
- Kein Training mit Kundendaten
- Ihre Betriebsdaten dienen Ihnen. Sie werden nicht zum Training gemeinsamer Modelle verwendet und nicht über Kunden hinweg zusammengeführt.
Compliance ist nicht das Produkt. Compliance ist der Beleg.
Das Produkt ist, dass aus schlechten Tagen keine schlechten Quartale werden. Die Nachweise belegen nur, dass Sie vorbereitet waren.
Holen Sie sich die CER-Bereitschaftsanalyse für Ihre Branche
Drei Minuten, keine E-Mail nötig, Ergebnis direkt auf dem Bildschirm. Wählen Sie Ihre Branche und sehen Sie, wie die Pflichten zu Ihrem heutigen Aufbau stehen.
Resilienz-Check startenRuhe für Ihren nächsten schlechten Tag
Ein 30-minütiges Resilienz-Briefing: Ihre Gefährdungslage, Ihre Pflichten und was ein Managed Service abdecken würde.