# NIS2, DSGVO, AI Act: Stand der Compliance > Wie NetSenX NIS2 Art. 21 und 23, die DSGVO und den AI Act unterstützt. SOC 2 Type I und ISO/IEC 42001 sind in Vorbereitung, noch nicht testiert. Source page: https://netsenx.com/de/compliance Compliance-Status Compliance ist Teil des Produkts, kein Zusatz. NetSenX bereitet einen SOC-2-Type-I-Bericht vor, ISO/IEC 42001 für das KI-Management und ISO/IEC 27001 für die Informationssicherheit. Nichts davon ist bisher erteilt. Diese Seite sagt, wo jedes Vorhaben steht, neben den Regelwerken, die NetSenX heute schon unterstützt: NIS2, DSGVO, Cyber Resilience Act und KI-Verordnung. Nachweispaket anfordern CISO-Briefing buchen ### Drei Normen, jede mit eigenem externem Audit Normen in Vorbereitung SOC 2 berichtet, wie wir Kontrollen betreiben, ISO/IEC 27001, wie wir Informationssicherheit managen, ISO/IEC 42001, wie wir KI steuern. Jede wird von einer unabhängigen Stelle geprüft; zusammen geben sie der Rechts-, Sicherheits- und KI-Prüfung auf Käuferseite Belege, die jede nach ihren eigenen Maßstäben akzeptieren kann. Was Ihnen das bringt Details lesen Type I In Vorbereitung — noch nicht testiert · kein Audittermin Eine unabhängige Bestätigung, dass die Kontrollen für Sicherheit, Verfügbarkeit und Vertraulichkeit wie beschrieben ausgestaltet sind: der Bericht, nach dem die meisten SaaS-Einkaufsteams fragen. KI-Managementsystem In Vorbereitung — noch kein Zertifikat · kein Audittermin Governance-, Risiko-, Transparenz- und Lebenszyklus-Kontrollen für jede KI-Komponente in NetSenX, nach der internationalen Norm für KI-Managementsysteme. Informationssicherheits-Management Geplant — noch kein Zertifikat · kein Audittermin Ein Informationssicherheits-Managementsystem für Assets, Zugriffe, Kryptografie, Lieferanten, Vorfälle, Notfallvorsorge und Compliance. ### Die Reihenfolge der Arbeit Zertifizierungsfahrplan Keine dieser Zertifizierungen ist erteilt und kein Audit gebucht. Deshalb zeigen wir die Reihenfolge der Arbeit, keine Termine. Ein Datum erscheint hier erst, wenn ein Audit bei einem unabhängigen Prüfer gebucht ist. Einkaufsteams können unser Nachweispaket jederzeit anfordern. Meilensteine der Zertifizierung #### SOC-2-Type-I-Audit Schritt 1 · in Vorbereitung Durch eine unabhängige Prüfungsgesellschaft. Trust Services Criteria: Sicherheit, Verfügbarkeit, Vertraulichkeit. #### Zertifizierungsaudit ISO/IEC 42001 Schritt 2 · in Vorbereitung Durch eine akkreditierte Zertifizierungsstelle. Das KI-Managementsystem umfasst jede KI-Komponente. #### Zertifizierungsaudit ISO/IEC 27001:2022 Schritt 3 · geplant Durch eine akkreditierte Zertifizierungsstelle. Geplanter Geltungsbereich: Produkt, Infrastruktur und Lieferkette. #### SOC-2-Bericht zur Wirksamkeit der Kontrollen Schritt 4 · geplant Erst nachdem die Kontrollen einen Beobachtungszeitraum durchlaufen haben. #### Alle drei erreicht Ziel SOC 2, ISO/IEC 42001 und ISO/IEC 27001:2022. Heute ist keines erteilt. ### Was jede Norm Ihnen bringt Drei Normen, drei Steuerungsregime, drei Prüfstellen. Jede ist für sich nützlich; zusammen beantworten sie die meisten Fragen, die ein Einkaufsteam vor der Freigabe eines Einsatzes stellt. Was das Ihrem Team bringt AICPA Trust Services Criteria In Vorbereitung — Type I · kein Audittermin SOC 2 beantwortet die Standardfrage im SaaS-Einkauf: Sind die Kontrollen dieses Anbieters wirklich so vorhanden wie beschrieben? Ein Type-I-Bericht betrachtet die Ausgestaltung der Kontrollen zu einem Stichtag. Wir bereiten ihn vor; ein Audittermin steht noch nicht fest. Unabhängige Bestätigung der Sicherheitskontrollen (Trust Services Criteria: Sicherheit) Ein Bericht einer unabhängigen CPA-Gesellschaft, den Sie nach Ausstellung an Einkauf und IT-Sicherheit weitergeben können Ein fester Umfang, den Sie mit Berichten anderer Anbieter vergleichen können Eine Abgrenzung, die genau nennt, welche Systeme der Bericht abdeckt KI-Managementsystem In Vorbereitung — noch kein Zertifikat · kein Audittermin ISO/IEC 42001:2023 ist die erste internationale Norm für KI-Managementsysteme. Sie gibt einem CISO eine prüfbare Antwort auf die Frage: „Wie steuern Sie die KI in Ihrem Sicherheitsprodukt?“ Nach ihr bauen wir das KI-Managementsystem von NetSenX auf. Dokumentierte Governance für jede KI-Komponente in NetSenX Ein KI-Risikoregister mit benannten Verantwortlichen, nach festem Plan überprüft Lebenszyklus-Kontrollen: Einführung, Überwachung, Außerbetriebnahme Eine direkte Belegkette zu den Transparenzpflichten aus Art. 50 der KI-Verordnung Informationssicherheits-Managementsystem Geplant — noch kein Zertifikat · kein Audittermin ISO/IEC 27001 ist im EU-Einkauf eine häufige Anforderung. Die Revision von 2022 hat die Maßnahmen aus Anhang A in vier Themen geordnet: organisatorisch, personell, physisch und technologisch. Der geplante Geltungsbereich umfasst Produkt, Infrastruktur und Lieferkette. Eine Erklärung zur Anwendbarkeit für die Maßnahmen aus Anhang A Maßnahmen zu Assets, Zugriffen, Kryptografie, Lieferanten, Vorfällen, Notfallvorsorge und Compliance Belege für interne Audits, Managementbewertung und kontinuierliche Verbesserung Eine Grundlage, nach der viele Einkaufsprozesse in der EU fragen ### Gebaut für die EU-Regulierung, von Leuten, die sie lesen. EU-Regelwerke Cyber Resilience Act, NIS2, DSGVO und KI-Verordnung bestimmen zu einem großen Teil, was ein Käufer in der EU vor dem Einsatz eines Sicherheitsprodukts prüfen muss. Wir behandeln jedes dieser Regelwerke als Teil des Produkts, mit den Belegen dazu. #### Cyber Resilience Act (CRA) Art. 13 Herstellerpflichten · Art. 14 Meldepflichten Die Release-Pipeline erzeugt für jedes veröffentlichte Release eine Software-Stückliste (SBOM) im CycloneDX-Format. Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen ist veröffentlicht, mit einem 90-tägigen Offenlegungsfenster. Releases und SBOMs werden mit Sigstore cosign signiert; die Signaturen liegen im öffentlichen Transparenzlog Rekor und lassen sich unabhängig prüfen. Der Meldeprozess für Schwachstellen und Vorfälle ist auf die Meldepflichten nach Artikel 14 der Verordnung (EU) 2024/2847 ausgelegt. Offenlegungsrichtlinie lesen #### NIS2-Richtlinie Art. 21 Risikomanagementmaßnahmen · Art. 23 Meldepflichten Die Belege sind nach den Maßnahmenfeldern aus Art. 21 geordnet: Risikoanalyse, Bewältigung von Vorfällen, Betriebskontinuität, Lieferkette, sichere Entwicklung, Kryptografie, Multi-Faktor-Authentifizierung, Schulungen und mehr. Geschrieben für wesentliche und wichtige Einrichtungen: Die regulatorische Pflicht bleibt bei Ihnen, NetSenX liefert die Erkennung und die Dokumentation. Der Vorfalls-Workflow verfolgt die Fristen aus Art. 23 — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats — und bereitet jede Meldung zum Einreichen durch Sie vor. Prüfer sehen dieselben Aufzeichnungen wie Ihre Geschäftsleitung; eine eigene Version nur für das Audit gibt es nicht. NIS2-Netzwerküberwachung #### DSGVO von Grund auf Datensparsamkeit, EU-Datenhaltung, erreichbarer Datenschutzbeauftragter Sensible Felder wie Zugangsdaten von Integrationen werden auf Anwendungsebene mit AES-256-GCM verschlüsselt, bevor sie gespeichert werden. Standardmäßig wird minimal erhoben: Die Erkennung arbeitet vor allem mit Flow-Metadaten und wenigen Protokollfeldern, die auf dem überwachten Host gelesen werden; verschlüsselte Verbindungen werden nie entschlüsselt. Kundendaten werden in der EU gespeichert: die Datenbank in Irland (AWS eu-west-1), die API in Frankfurt und Paris. Einige namentlich genannte Unterauftragsverarbeiter (Zahlungen, Transaktions-E-Mails) arbeiten in den USA auf Grundlage der EU-Standardvertragsklauseln. Der Datenschutzbeauftragte ist unter dpo@netsenx.com erreichbar, und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist für den Einkauf veröffentlicht. Auftragsverarbeitungsvertrag lesen #### KI-Verordnung (AI Act) Art. 50 Transparenz · KI-Managementsystem nach ISO/IEC 42001 in Vorbereitung Eine öffentliche Transparenzerklärung nach Art. 50 nennt jede KI-Komponente und ihre Governance-Kontrollen. Die Risikoeinstufung ist dokumentiert: Wir bewerten NetSenX als System mit begrenztem Risiko und wenden freiwillig mehrere Praktiken an, die für Hochrisiko-Systeme vorgesehen sind. Ein KI-Managementsystem wird nach ISO/IEC 42001 aufgebaut; ein Zertifikat ist nicht erteilt und kein Audittermin festgelegt. Eine Erklärung zu jedem Alarm und ein Audit-Log, wer was getan hat, gehören zum Produkt und sind keine Support-Anfrage. KI-Transparenzerklärung lesen ### Das Konkrete, nicht die Slogans. Sicherheitskontrollen Vertrauen entsteht aus den Kontrollen, die die Fragen eines Prüfers überstehen. Hier sind unsere. #### AES-256-GCM-Verschlüsselung auf Feldebene Sensible Felder werden auf Anwendungsebene verschlüsselt, bevor sie gespeichert werden. FIPS 197 / NIST SP 800-38D #### Signierte Releases Release-Artefakte und ihre SBOMs werden mit Sigstore cosign signiert (schlüssellos, an eine Identität gebunden), und jede Signatur wird im öffentlichen Transparenzlog Rekor festgehalten, wo jeder sie prüfen kann. Sigstore · Rekor #### Append-only-Audit-Log Administrative Aktionen, KI-beeinflusste Alarme und Datenzugriffe werden in ein Audit-Log geschrieben, das nur ergänzt werden kann, verfügbar in jedem Plan, auch im Free-Plan. Manipulationserkennbar, Hash-verkettet #### Datenhaltung in der EU Kundendaten werden in der EU gespeichert: die Datenbank in Irland (AWS eu-west-1), die API in Frankfurt und Paris. Jeder Unterauftragsverarbeiter steht mit Standort und Übermittlungsgarantie im Auftragsverarbeitungsvertrag. Datenbank: AWS eu-west-1 #### Koordinierte Offenlegung von Schwachstellen Forschende melden an security@netsenx.com. Wir bestätigen binnen 2 Werktagen, entscheiden binnen 5 über die Einstufung und koordinieren die öffentliche Offenlegung binnen 90 Tagen. Veröffentlichte Offenlegungsrichtlinie #### security.txt veröffentlicht Eine standardkonforme security.txt unter /.well-known/security.txt mit Kontakt, Richtlinie, bevorzugten Sprachen und Ablaufdatum. RFC 9116 ### Beta-Programm geöffnet Design-Partner Wir zeigen keine Kundenlogos, für die wir keine Rechte haben. Wenn Design-Partner einer Nennung zustimmen, erscheinen sie hier, mit ihrer ausdrücklichen Zustimmung. Am Beta-Programm teilnehmen Beta-Partner ### Brauchen Sie ein Nachweispaket für Ihren Prüfer? Für Ihren Prüfer Schon bevor eine Zertifizierung abgeschlossen ist, pflegen wir ein Nachweispaket, das auf die Kontrollen von SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, DSGVO und KI-Verordnung abgebildet ist. Fordern Sie es unter NDA an, und wir senden es Ihnen direkt zu. Nachweispaket anfordern Demo buchen Wer NetSenX entwickelt Das spanische Unternehmen aus Alicante, das NetSenX entwickelt und betreibt. ISO/IEC 42001 Lead Implementer im Team Eine persönliche Qualifikation für die Einführung eines KI-Managementsystems. TriStiX S.L. selbst hat kein ISO/IEC-42001-Zertifikat; sein KI-Managementsystem ist in Vorbereitung. Forschung des Unternehmens auf arXiv Forschungs-Preprint von TriStiX S.L. arXiv:2603.28558v1 — mehrwertige Logik für Compliance-Anwendungen Selbst entwickelt Erkennungs-Engine, Agent, Dashboard und diese Website schreibt und prüft TriStiX S.L. selbst; es steckt keine fremde Engine unter eigenem Namen darin EU-Unternehmen TriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016 Sicherheitsteams im europäischen Mittelstand sehen immer dasselbe Muster: Der Erkennungs-Stack wird jedes Quartal lauter, das Budget jedes Jahr knapper, und der Alarmrückstand wächst schneller, als ein kleines Team ihn abarbeiten kann. Anbieter nennen das Abdeckung. Die Teams, die damit leben, nennen es eine Alarmfabrik. NetSenX gibt es, weil mehr Alarme nicht mehr Sicherheit bringen. Die Fehlalarm-Obergrenze stammt aus der Split-Conformal Prediction, einer veröffentlichten statistischen Methode, angewandt auf harmlosen Verkehr, den Ihre eigenen Analysten markiert haben: Sie ist hergeleitet, nicht justiert. Wie eng sie in Ihrem Netzwerk ausfällt, hängt davon ab, wie viel markierter Verkehr kalibriert wurde. Deshalb zeigt das Produkt die Obergrenze, die Ihre Daten stützen, und sagt klar, wenn sie noch keine stützen. Der Rest von NetSenX macht das im Alltag nutzbar: ein AI Analyst Core, der die Analysten-Notizen schreibt, ein Audit-Log, das den Prüfer übersteht, und ein KI-Managementsystem nach ISO/IEC 42001, damit es auch vor der Aufsicht besteht. Sicherheitsteams im europäischen Mittelstand verdienen eine Netzwerkerkennung, die sie sich leisten und erklären können. Dafür steht das Unternehmen. Woran wir als Nächstes arbeiten SOC 2, ISO/IEC 42001 und ISO/IEC 27001 — in Vorbereitung; Termine folgen, sobald Audits gebucht sind. Ein Antrag beim EIC Accelerator im 4. Quartal 2026, um den Markteintritt im europäischen Mittelstand auszubauen. Erste Einstellungen in Entwicklung und Customer Success, in Alicante und remote in der ganzen EU. Forschungs-Preprint von TriStiX S.L. auf arXiv