Sicherheit und Cybersecurity
Security by Design – nicht nachträglich angebaut
Sicherheit ist bei netPension® Teil der Architektur. Auf dieser Seite stehen die Antworten auf die Fragen, die ein Versorgungswerk vor der Entscheidung klären muss – in der Reihenfolge, in der sie gestellt werden.
Drei Grundsätze
Was das im Betrieb bedeutet.
01
Die Daten bleiben auf dem Server
Verarbeitet und gespeichert wird ausschließlich auf dem Server. Der Arbeitsplatz zeigt nur die Oberfläche – auf dem Rechner Ihrer Mitarbeiterinnen und Mitarbeiter bleibt kein Datenbestand zurück, auch nicht im Homeoffice. Es gibt keine Clientsoftware und keine lokale Datenbank.
02
Verschlüsselt und in Deutschland
Ihre Daten sind auf dem Weg und im Ruhezustand angemessen verschlüsselt. Im Cloud-Betrieb liegen sie ausschließlich in einem Rechenzentrum in Deutschland. Kein Transfer in Drittländer.
03
KI ohne personenbezogene Daten
Künstliche Intelligenz unterstützt Entwicklung und Anpassung – ausschließlich in internen Prozessen und ohne personenbezogene Daten auf fremden Servern. Ihr Datenbestand ist kein Trainingsmaterial, und im laufenden Fachverfahren entscheidet keine KI.
Cybersecurity
Acht Fragen, die vor jeder Entscheidung stehen.
Diese Punkte klären wir mit jedem Versorgungswerk und jeder Pensionskasse – im Cloud-Betrieb ebenso wie beim Betrieb im eigenen Haus. Was hier steht, ist die Kurzfassung; die belegte Langfassung ist das Sicherheitskonzept.
1. Wo werden unsere Daten verarbeitet?
Im Cloud-Betrieb ausschließlich in einem Rechenzentrum in Deutschland, ohne Transfer in Drittländer. Beim Betrieb im eigenen Haus in Ihrem Rechenzentrum – dort verlassen die Daten Ihre Infrastruktur nicht.
2. Wer kann auf die Daten zugreifen?
Ihre berechtigten Mitarbeitenden über das Rollen- und Rechtekonzept der Anwendung. Dazu unsere Entwicklung im Rahmen der Auftragsverarbeitung, soweit für Betrieb und Support erforderlich. Der Betreiber des Rechenzentrums stellt die Infrastruktur und verarbeitet keine Inhalte.
3. Werden Zugriffe protokolliert?
Ja. Zugriffe und Änderungen werden protokolliert; die Historisierung hält fest, welcher Stand wann galt und wer ihn gesetzt hat. Für sensible Vorgänge lässt sich zusätzlich ein Vier-Augen-Prinzip einrichten.
4. Gibt es Penetrationstests?
Ja. Umfang, Turnus und Prüfstelle stimmen wir im Rahmen des Sicherheitskonzepts mit Ihnen ab und legen die Ergebnisse für Ihr Vergabeverfahren vor.
5. Wie ist das Rollen- und Rechtekonzept aufgebaut?
Mehrstufig. Sachbearbeitung, Buchhaltung und Geschäftsführung arbeiten im selben System, ohne dass jeder alles sieht. Rechte werden je Rolle vergeben, nicht je Person – das hält den Aufwand bei Personalwechseln klein und die Vergabe nachvollziehbar.
6. Gibt es Mehrfaktor-Authentifizierung?
Ja, insbesondere für privilegierte Zugänge. Administrative Konten sind der Weg, über den ein Angreifer den größten Schaden anrichten kann; genau dort ist der zweite Faktor am wichtigsten.
7. Wie wird verschlüsselt?
Daten werden bei der Übertragung und bei der Speicherung angemessen verschlüsselt. Die eingesetzten Verfahren benennen wir im Sicherheitskonzept und nicht auf einer öffentlichen Seite – dort wären sie nur ein Hinweis für den, der sie nicht kennen soll.
8. Welche Zertifizierungen hat das Rechenzentrum?
Der Betreiber des Rechenzentrums, in dem netPension® im Cloud-Betrieb läuft, ist nach ISO/IEC 27001 zertifiziert, hält ein BSI-C5-Testat der Stufe 2 und verarbeitet nach der Datenschutz-Grundverordnung. Die Zertifikate betreffen das Rechenzentrum, nicht die Software – wir legen sie mit den Unterlagen vor.
In netPension®
Wer was sehen und ändern darf, entscheiden Sie.
Das Rollen- und Rechtekonzept trennt die Aufgaben im selben System. Protokollierung, Historisierung, Journale und Wiedervorlagen halten fest, was wann von wem geschehen ist – die Grundlage für Prüfung und Aufsicht.
Mehrstufiges Rollen- und Rechtekonzept
Protokollierung der Zugriffe und Änderungen
Vier-Augen-Prinzip für sensible Vorgänge
Mehrfaktor-Authentifizierung, insbesondere für privilegierte Zugänge
Historisierung, Journale und Wiedervorlagen
Keine Installation und keine Datenhaltung am Arbeitsplatz
Regulatorik
DORA als Leitplanke.
Wir orientieren uns an den Anforderungen der europäischen DORA-Verordnung zu IT-Risikomanagement, Vorfallmeldung und Ausfallsicherheit. Der Datenschutz richtet sich nach der Datenschutz-Grundverordnung; für Kunden im Cloud-Betrieb ist die Auftragsverarbeitung vertraglich geregelt.
In den Fachverfahren
Sicherheit endet nicht am Rechenzentrum.
Die Meldewege selbst sind verschlüsselt und geprüft: Das Zahlstellenmeldeverfahren nutzt das vorgeschriebene Sicherheitsverfahren des Gesundheitswesens und ist von der ITSG zertifiziert; Meldungsdateien werden über eine gesicherte Verbindung abgeholt und übermittelt.
Datenhoheit
Was nicht in die Cloud soll, muss auch nicht dorthin.
Auch im SaaS-Betrieb müssen nicht alle Daten zentral verarbeitet werden. Wo es erforderlich oder gewünscht ist, lässt sich eine Edge-Komponente im Haus des Kunden ergänzen, die einzelne Schritte vor Ort übernimmt – prüfen, filtern, verschlüsseln, lokal verarbeiten. An die zentrale Anwendung geht dann nur, was dort gebraucht wird. Das ist kein drittes Betriebsmodell, sondern eine Ergänzung innerhalb der SaaS-Lösung.
Häufige Fragen
Zwei Punkte, die oft verwechselt werden.
Ist netPension® selbst nach ISO 27001 zertifiziert?
Zertifiziert ist das Rechenzentrum, in dem netPension® im Cloud-Betrieb läuft, nicht die Software. Wir weisen das mit den Zertifikaten des Betreibers nach. Eine Zertifizierung der Software wäre eine andere Aussage und wird von uns nicht behauptet.
netPension® ZMV ist von der ITSG zertifiziert; die Zertifizierung wird jährlich erneuert.
Gilt das alles auch beim Betrieb im eigenen Haus?
Die Architektur gilt unverändert: keine Datenhaltung am Arbeitsplatz, verschlüsselte Übertragung, dasselbe Rollen- und Rechtekonzept, dieselbe Protokollierung. Für Rechenzentrum, Sicherung und Verfügbarkeit sind dann Sie beziehungsweise Ihr IT-Dienstleister zuständig; die Angaben für Ihr Sicherheitskonzept liefern wir. Zu On-Premise
Sie wollen sehen, wie das bei Ihnen aussieht?
Wir zeigen netPension® an Ihren Fragen entlang – keine Folien, sondern die laufende Software. Rufen Sie an oder fordern Sie eine Demo an.