Compliance

faktoora betreibt ein Informationssicherheits-Managementsystem (ISMS), das an führenden internationalen Standards und regulatorischen Rahmenwerken ausgerichtet ist. Unser Compliance-Programm ist in mehr als 30 miteinander verknüpften Richtlinien, Verfahren und Framework-Mappings dokumentiert, die in festgelegten Abständen überprüft werden.

Datenschutz

DSGVO

Status: Umgesetzt – kontinuierlich verbessert

Als deutsches Unternehmen, das personenbezogene Daten von Personen in der EU verarbeitet, hat faktoora ein DSGVO-Programm umgesetzt:

• Ein externer Datenschutzbeauftragter (PROLIANCE GmbH)
• Ein dokumentiertes Verzeichnis von Verarbeitungstätigkeiten
• Festgelegte Verfahren für Betroffenenanfragen, mit Self-Service-Export und -Bearbeitung in der Anwendung
• Vereinbarungen zur Auftragsverarbeitung (Art. 28 DSGVO) für unsere Geschäftskunden
• Privacy-by-Design-Prinzipien im Entwicklungsprozess

Details finden Sie auf unserer Seite Datenschutz.

Operative Resilienz und Cybersicherheit

DORA

Status: Prozesse an DORA ausgerichtet

Der Digital Operational Resilience Act (DORA) gilt für Finanzunternehmen und regelt, wie diese ihre IKT-Dienstleister steuern. faktoora hat seine Prozesse an DORA ausgerichtet:

• Rahmenwerk für das IKT-Risikomanagement mit definierter Governance
• Verfahren zur Klassifizierung und Meldung von Vorfällen, ausgerichtet an den DORA-Fristen
• Business-Continuity- und Notfallwiederherstellungspläne mit einem festgelegten Testprogramm, einschließlich einer dokumentierten Wiederherstellungsübung
• Drittparteien-Risikomanagement einschließlich Konzentrationsrisiko-Bewertung und Exit-Strategien
• Ein Programm zum Testen der digitalen operationalen Resilienz

NIS2

Status: Ausgerichtet

Unsere Sicherheitsmaßnahmen sind den Risikomanagementmaßnahmen der NIS2-Richtlinie zugeordnet, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Sicherheit der Lieferkette und der Einsatz von Kryptografie. Wir orientieren uns dabei an der deutschen Umsetzung der Richtlinie (NIS2UmsuCG).

Standards der Informationssicherheit

ISO 27001

Status: ISMS ausgerichtet an ISO/IEC 27001:2022

Unser Informationssicherheits-Managementsystem ist an ISO/IEC 27001:2022 ausgerichtet und wird durch eine Erklärung zur Anwendbarkeit (Statement of Applicability) für alle 93 Controls aus Anhang A gestützt. Unser ISMS umfasst:

• Informationssicherheitsrichtlinien und Governance
• Zugriffskontrolle und Identitätsmanagement
• Kryptografie und Schlüsselverwaltung
• Betriebssicherheit und Änderungsmanagement
• Sicherer Entwicklungsprozess
• Lieferanten- und Drittparteien-Risikomanagement
• Vorfallmanagement und Business Continuity
• Personalsicherheit

Die Rechenzentren unseres Hosting-Anbieters sind nach ISO 27001 zertifiziert.

SOC 2

Status: Controls zugeordnet

Die Sicherheitsmaßnahmen von faktoora sind den SOC 2 Trust Services Criteria für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz zugeordnet.

C5 (BSI)

Status: Controls zugeordnet

Unsere Maßnahmen sind den Basiskriterien des BSI C5:2020 (Cloud Computing Compliance Criteria Catalogue) zugeordnet, dem Standard des Bundes für die Sicherheit von Cloud-Diensten.

Künstliche Intelligenz

EU AI Act

Status: Bewertet

Wir haben alle KI-gestützten Funktionen anhand des EU AI Act bewertet. Keine davon fällt in eine verbotene oder Hochrisiko-Kategorie. KI-gestützte Funktionen sind optional und unterstützen Nutzer bei ihrer Arbeit – sie treffen keine Entscheidungen an ihrer Stelle. Die eingesetzten KI-Dienste sind auf unserer Seite Dienstleister und Empfänger aufgeführt.

E-Rechnungsstandards

faktoora ist für die Einhaltung europäischer E-Rechnungsvorschriften entwickelt:

Deutsches Handels- und Steuerrecht (GoBD)

faktoora unterstützt Sie bei einer GoBD-konformen Rechnungsstellung und Ihrer eigenen Archivierung, unter anderem durch:

• Manipulationserkennbare Audit-Trails mit kryptografischen Integritätsprüfungen
• Manipulationserkennbare Speicherung Ihrer Belege während der Vertragslaufzeit und vollständigen Export für Ihre eigene Archivierung
• Rechnungsintegrität von der Erstellung bis zum Export
• Vollständige, nachvollziehbare Verarbeitungsprotokolle

Vertragsdokumente

Unsere vertraglichen Zusagen sind auf unserer Website veröffentlicht:

• Auftragsverarbeitung (AVV)
• Service Level Agreement (SLA)
• Allgemeine Geschäftsbedingungen (AGB)

Ausführliche Dokumentation

Für den Zugang zu ausführlicher Compliance-Dokumentation, einschließlich Richtlinientexten und Control-Mappings, besuchen Sie unsere Seite Zugang anfordern.

Fragen?

Bei Compliance-Anfragen wenden Sie sich an compliance@faktoora.com.