SecureSlate für Finanzdienstleister
Wer Ihre Kunden beaufsichtigt, beaufsichtigt faktisch auch Sie.
Banken, Versicherer und Zahlungsdienstleister sind für die Dienste verantwortlich, auf die sie sich stützen. Deshalb landen ihre Pflichten in Ihrem Vertrag. SecureSlate bildet DORA, PCI DSS, SOC 2 und ISO 27001 auf ein Kontrollset ab, mit einem persönlichen Compliance-Lead, der die Kundenaudits bei Ihnen begleitet. Alles zu einem Festpreis.
Warum jetzt
Wer an die Finanzbranche verkauft, erbt Aufsichtspflichten, um die er nie gebeten hat.
Drei Dinge gelten, egal ob Sie selbst reguliert sind oder regulierte Unternehmen beliefern.
Die Aufsicht Ihres Kunden erreicht Sie über dessen Vertrag
Aufsichtsbehörden schreiben Ihnen nicht. Sie nehmen die Bank, den Versicherer oder den Zahlungsdienstleister für die ausgelagerten Dienste in die Pflicht, und diese Unternehmen erfüllen ihre Pflicht, indem sie die Anforderungen in Ihren Vertrag übertragen. Die Anforderung kommt als Änderungswunsch aus dem Einkauf, nicht als Brief einer Behörde.
Es bleibt nicht bei einem Audit pro Jahr
Prüfrechte sind in Verträgen der Finanzbranche Standard, und jeder Kunde nutzt sie nach eigenem Zeitplan mit eigener Vorlage. Dazu kommen Ihre eigenen Zertifizierungen, und der Kalender füllt sich mit sich überschneidenden Prüfungen, die alle dieselben Nachweise in unterschiedlicher Form wollen.
Die Due Diligence fragt nach Dingen, die in keinem Zertifikat stehen
Ausstiegspläne, Ketten von Unterauftragnehmern, Konzentrationsrisiken, Wiederherstellungsziele und Ergebnisse von Resilienztests. Nichts davon steht in einem gewöhnlichen SOC-2-Bericht, also landet es bei der Person, die den Fragebogen beantwortet, meist am Quartalsende.
Regulatorische Anforderungen
Vier Regelwerke, die selten allein kommen, und was sie tatsächlich verlangen.
Compliance in der Finanzbranche ist selten ein einzelnes Framework. Wer weiß, auf welche Pflicht sich ein Kunde beruft, hält den Aufwand verhältnismäßig.
Bereits in Ihren Verträgen
DORA
Die EU-Verordnung zur digitalen operationalen Resilienz gilt seit Januar 2025. Finanzunternehmen müssen ein Informationsregister über jede IKT-Dienstleistungsvereinbarung führen, bestimmte Klauseln zu Prüfrechten, Unterauftragsvergabe und Ausstiegsstrategien aufnehmen und ihre Resilienz testen. Wenn Sie Finanzunternehmen in der EU beliefern, begegnet Ihnen DORA als Vertragsklausel und als Datenanfrage, die Sie beantworten können müssen.
Wenn Sie mit Kartendaten arbeiten
PCI DSS
Ihr Validierungsweg hängt davon ab, wie Sie mit Kartendaten umgehen und wie viele davon durch Ihre Systeme laufen. Das entscheidet, ob Sie einen Selbstbewertungsfragebogen ausfüllen oder einen QSA für einen vollständigen Report on Compliance beauftragen. Die Anforderungen, die in Version 4 zunächst zurückgestellt waren, gelten inzwischen. Ein Programm, das noch auf den älteren Erwartungen aufbaut, hat also Lücken.
Das Fundament für alles Weitere
SOC 2 und ISO 27001
Die meisten Anforderungen der Finanzbranche setzen ein funktionierendes Informationssicherheitsprogramm voraus und ergänzen ihre eigenen Details. Wer diese Ebene einmal aufbaut, macht DORA, NIS 2 und den Fragebogen einer Bank zu Erweiterungen eines bestehenden Kontrollsets statt zu drei getrennten Projekten.
Wenn Modelle entscheiden
ISO 42001 und der EU AI Act
Der AI Act stuft die Kreditwürdigkeitsprüfung natürlicher Personen und die Risikobewertung in der Lebens- und Krankenversicherung als hochriskant ein. Wenn ein Modell mitentscheidet, wer angenommen wird und zu welchen Konditionen, rechnen Sie mit Fragen zu Trainingsdaten, menschlicher Aufsicht und Dokumentation. ISO 42001 beantwortet sie in einer Form, die der Risikoausschuss Ihres Kunden kennt.
So funktioniert es
Wir betreiben das Programm. Ihr Team beantwortet nicht mehr dieselbe Frage auf vier Arten.
Vier Phasen vom ersten Gespräch bis zu Nachweisen, die das Drittparteienrisiko-Team Ihres Kunden akzeptiert. Jede Phase verantwortet eine feste Ansprechperson.
Scoping anhand der Verträge, die Sie unterschrieben haben
Wir lesen, was Ihre Kunden bereits von Ihnen verlangen, denn dort stehen die Pflichten der Finanzbranche tatsächlich. Daraus, aus Ihrer regulatorischen Betroffenheit und aus Ihrer Pipeline ergibt sich der Umfang, nicht aus einer pauschalen Empfehlung, sich nach allem zertifizieren zu lassen.
Ein Kontrollset, allen Anforderungen zugeordnet
Ihr Compliance-Lead bildet DORA, PCI DSS, SOC 2, ISO 27001 und alles, was ein bestimmter Kunde nennt, auf ein einziges Kontrollset mit benannten Verantwortlichen ab. Überschneidungen werden einmal umgesetzt, echte Unterschiede klar benannt, alles mit einem Plan mit Terminen.
Wir setzen um, Sie geben frei
Wir bauen Kontrollen auf, schreiben Richtlinien passend zu Ihrer Arbeitsweise, gleichen die Kette der Drittparteien ab, dokumentieren Resilienz und Wiederherstellung und sammeln Nachweise laufend aus den Systemen, die Sie bereits betreiben. Ihr Team prüft und gibt frei, statt selbst zu entwerfen.
Audits, und zwar mehrere. Danach laufender Betrieb
Wir führen die Vorprüfung durch, stimmen uns mit Ihrem Auditor ab und bereiten die Pakete vor, die Ihre Kunden im Rahmen ihrer Prüfrechte anfordern. Danach läuft das Programm weiter, sodass die nächste Prüfung eine Formsache ist und kein Projekt.
Leistungsumfang
Eine Compliance-Funktion, die parallele Audits übersteht.
Expertenarbeit, Plattform und Sicherheitsscans zu einem gemeinsamen Festpreis.
Ein Compliance-Lead, der die Due Diligence von Banken kennt
Eine erfahrene Fachkraft verantwortet das Programm von Anfang bis Ende, arbeitet in Ihrem Slack, sitzt mit am Tisch, wenn das Drittparteienrisiko-Team eines Kunden nachbohrt, und beantwortet Fragen Ihres Auditors direkt. Sie erhalten die Funktion, ohne eine Stelle dafür auszuschreiben.
Ein Kontrollset, viele Audits
Nachweise werden einmal gesammelt und jedem Framework und jeder Kundenanfrage zugeordnet, die sie braucht. Wenn drei Prüfungen im selben Monat kommen, greifen sie auf dasselbe aktuelle Kontrollset zu, statt Ihr Team dreimal dieselben Screenshots sammeln zu lassen.
Ihre Kette von Drittparteien, lückenlos dokumentiert
Kunden aus der Finanzbranche wollen wissen, auf wen Sie sich selbst stützen, was passiert, wenn einer davon ausfällt, und wie Sie aussteigen würden. Wir halten Lieferanteninventar, Due Diligence und die Offenlegung von Unterauftragnehmern aktuell, sodass die Daten, die Ihr Kunde für sein eigenes Register braucht, bereitliegen, wenn er fragt.
Ein Risikoregister, das Ihr Vorstand lesen kann
Risiken werden erkannt, bewertet und bis zur Behandlung verfolgt. Das Reporting taugt für die Vorstandsvorlage und das Gespräch mit der Aufsicht genauso wie für den Auditor. Dasselbe Register steuert die Behebung, statt als Tabelle nebenher zu existieren.
Fragebogen-Automatisierung
Due-Diligence-Pakete von Banken und Versicherern sind lang, und jedes ist anders formatiert. Laden Sie hoch, was Ihr Kunde geschickt hat, und erhalten Sie Antworten aus Ihren eigenen Richtlinien und Nachweisen. Dann nur noch prüfen, freigeben und exportieren, statt jedes Quartal dieselben Antworten abzutippen.
Ein Trust Center, in dem sich Ihre Kunden selbst bedienen
Veröffentlichen Sie Sicherheitsstatus, Zertifizierungen, Unterauftragsverarbeiter und Dokumente auf einer Live-Seite, die Sie auf Ihrer Website und in Vertriebs-E-Mails verlinken. Ein Analyst für Drittparteienrisiken, der seine Fragen selbst beantworten kann, bringt Ihre Akte schneller voran als einer, der auf E-Mails wartet.
Sicherheitstests
Die Due Diligence fragt, was Sie gefunden haben und was Sie dagegen getan haben.
Scans sind Teil des Mandats und kein separates Abonnement, denn Systeme, die Geld bewegen und Kontodaten speichern, schaut sich jede Drittparteienprüfung zuerst an.
Code-Sicherheitsscans
Wir scannen laufend die Anwendungen, die Geld bewegen und Kontodaten speichern. Befunde werden nach CWE klassifiziert und nach Schweregrad sortiert. Jeder zeigt die betroffene Zeile und eine Behebung, die Ihre Entwickler direkt umsetzen können.
Erkennung von Secrets
Ein Schlüssel eines Zahlungsanbieters oder ein Datenbank-Passwort in einem Repository ist der Befund, der ein Due-Diligence-Gespräch schlecht enden lässt. Wir finden offengelegte Secrets auf Datei und Zeile genau, sodass Sie sie innerhalb von Stunden widerrufen können.
Abhängigkeits- und Lizenzrisiken
Eine SBOM für jedes Repository, in der Open-Source-Lizenzen mit echten Pflichten klar gekennzeichnet sind. Kunden aus der Finanzbranche verlangen das Komponenteninventar zunehmend als Teil der Due Diligence zur Lieferkette.
Veraltete und End-of-Life-Software
Nicht mehr unterstützte Komponenten sind ein Dauerbefund bei Prüfungen in der Finanzbranche, weil niemand patchen kann, was der Hersteller nicht mehr ausliefert. Für jede Komponente sehen Sie, seit wann der Support beendet ist, in welcher Datei die Version festgelegt ist und auf welche Version Sie aktualisieren sollten.
Überwachung der öffentlichen Angriffsfläche
Kundenportale, Onboarding-Abläufe und die Subdomains, an deren Einrichtung sich niemand erinnert, werden planmäßig und bei jedem Release gescannt. Jeder Befund ist verständlich erklärt und enthält eine empfohlene Behebung.
Dark-Web-Monitoring
Zugangsdaten der Belegschaft werden mit bekannten Datenlecks abgeglichen, inklusive der Angaben, was wann offengelegt wurde und ob das bestätigt ist. Wiederverwendete Passwörter von Mitarbeitenden sind nach wie vor einer der häufigsten Ausgangspunkte eines Vorfalls.
Frameworks
Einmal umsetzen und dann jedes Regelwerk erfüllen, das der Vertrag nennt.
DORA, NIS 2 und die meisten Fragebögen von Banken setzen ein funktionierendes Sicherheitsprogramm voraus und ergänzen ihre eigenen Details. Bauen Sie diese Ebene einmal auf, und jedes weitere Regelwerk wird zur Ergänzung statt zum Projekt. Auf den einzelnen Seiten sehen Sie, was jedes Framework umfasst.
Kundenstimmen
Teams, die dieselben Prüfungen bestehen mussten
Was Verantwortliche sagen, seit ein Programm alle Audits bedient. Die Zitate sind im englischen Original.
We needed compliance that scaled with us. SecureSlate cut compliance costs while improving audit readiness. The ROI showed up immediately.
Michael CTO at Echonet
We always knew the next step. SecureSlate made GDPR and Cyber Essentials feel manageable for a non-security team, and we reclaimed 200+ hours while getting ready in under seven weeks.
Catherine Director at Quality Early Years
What used to take weeks now takes days. Automated workflows and real-time tracking eliminated the manual overhead. We always know our compliance status.
Sarah Director of Security at Shortwave
Warum Teams zögern
Die Pflichten kommen mit dem Vertrag, nicht mit einer Vorwarnung.
„Wir sind der Dienstleister, nicht das regulierte Unternehmen.“
Genau deshalb landen die Anforderungen bei Ihnen. Regeln wie DORA machen das Finanzunternehmen für die IKT-Dienste verantwortlich, auf die es angewiesen ist, und sein einziges Werkzeug dafür ist Ihr Vertrag. Von der Aufsicht hören Sie nichts. Sie hören vom Einkauf, und die Pflichten sind dann schon ausformuliert.
„Wir haben bereits SOC 2. Das sollte reichen.“
Es ist das richtige Fundament, aber es deckt nicht alles ab. Kunden aus der Finanzbranche fragen nach Ausstiegsplänen, Ketten von Unterauftragnehmern, Wiederherstellungszielen und Resilienztests, die in einem gewöhnlichen Bericht nicht stehen. Die verbleibende Lücke ist viel kleiner als ein neues Programm, aber es gibt sie.
„Jede Bank schickt ohnehin einen anderen Fragebogen.“
Das stimmt, und alle Antworten stammen aus denselben zugrunde liegenden Nachweisen. Genau dafür gibt es eine gepflegte Wissensbasis und ein veröffentlichtes Trust Center. Die Formate bleiben unterschiedlich, die Arbeit dahinter wiederholt sich nicht mehr.
„Unser Compliance-Kalender ist bereits voll.“
Ein voller Kalender ist meist ein Symptom: Jede Prüfung wird als eigenes Projekt behandelt. Ein gemeinsames Kontrollset für alle Frameworks und Kundenanfragen schafft Luft, denn beim zweiten Audit greifen Sie auf Vorhandenes zurück, statt erneut Nachweise zu sammeln.
FAQ
Was Teams aus der Finanzbranche vor dem Start fragen.
In den meisten Fällen nicht direkt. DORA gilt für die Finanzunternehmen selbst sowie gesondert für die kleine Gruppe der als kritisch eingestuften IKT-Dienstleister. Betroffen sind Sie in der Praxis trotzdem, weil Ihre Kunden verpflichtet sind, bestimmte Klauseln in ihre Verträge mit IKT-Dienstleistern aufzunehmen und Informationen über diese Vereinbarungen zu sammeln. Die Pflicht kommt als Vertragstext und als Anfragen, die Sie beantworten können müssen.
Ihr Kunde führt es. Finanzunternehmen müssen ein Register über jede vertragliche Vereinbarung zu IKT-Dienstleistungen führen und es ihrer zuständigen Behörde melden. Für Sie bedeutet das eine wiederkehrende Anfrage nach strukturierten Angaben zu Ihrem Dienst, Ihren Unterauftragnehmern und dem Ort der Verarbeitung. Wir bereiten diese Informationen einmal vor und halten sie aktuell, sodass jede Anfrage schnell beantwortet ist.
Nur wenn Karteninhaberdaten von Ihren Systemen gespeichert, verarbeitet oder übertragen werden. Ist das der Fall, hängt die Validierung von Ihrer Rolle und Ihrem Volumen ab, von einem Selbstbewertungsfragebogen bis zu einem vollständigen Report on Compliance, unterzeichnet von einem qualifizierten Prüfer. Viele Unternehmen stellen außerdem fest, dass sie den Umfang deutlich verringern können, indem sie den Fluss der Kartendaten ändern. Das sollten Sie prüfen, bevor Sie sich auf einen Validierungsweg festlegen. Das klären wir im Scoping-Gespräch.
Weniger als ein neues Programm und mehr als eine Zuordnungsaufgabe. Ihre bestehenden Kontrollen decken einen Großteil des IKT-Risikomanagements ab. Hinzu kommen typischerweise die Angaben für das Register, die spezifischen Vertragsbestimmungen, dokumentierte Ausstiegsstrategien und Resilienztests. Diesen Mehraufwand grenzen wir genau ab, damit Sie eine echte Zahl bekommen und kein zweites vollständiges Mandat.
Wir bereiten die Nachweispakete vor, die diese Prüfungen verlangen, und Ihr Compliance-Lead nimmt an den Gesprächen teil. Weil das zugrunde liegende Kontrollset dasselbe ist, auf dem Ihre Zertifizierungen laufen, wird ein Kundenaudit zu einem Auszug aus einem bereits aktuellen Programm statt zu hektischer Vorbereitung vor dem Termin.
Rechnen Sie damit, dass das Modell geprüft wird, nicht nur die Plattform darum herum. Der EU AI Act stuft die Kreditwürdigkeitsprüfung natürlicher Personen und die Risikobewertung in der Lebens- und Krankenversicherung als hochriskant ein, was Anforderungen an Daten-Governance, menschliche Aufsicht und Dokumentation mit sich bringt. ISO 42001 gibt Ihnen einen anerkannten Weg, diese Governance nachzuweisen, und lässt sich auf ein bestehendes ISO-27001-Programm aufsetzen, statt neu anzufangen.
Unsere Kunden haben die Bereitschaft für das ISO-27001-Audit in unter sieben Wochen erreicht, und weitere Frameworks gehen schneller, weil die Arbeit an den Kontrollen bereits erledigt ist. Der Preis ist fest, wird vor Beginn vereinbart und umfasst Plattform, Expertenarbeit und Sicherheitsscans. Audit- und Prüfergebühren zahlen Sie direkt an die jeweiligen Firmen, und wir sagen Ihnen vorab, womit Sie rechnen können.
Machen Sie das nächste Due-Diligence-Paket zur Formsache
Schicken Sie uns die Klauseln, die Ihre Kunden von Ihnen unterschrieben haben wollen. Nach dem Gespräch haben Sie einen klaren Umfang, einen Zeitplan und einen Festpreis, ganz gleich, ob Sie mit uns zusammenarbeiten oder nicht.
