Compliance-Expertise für regulierte Unternehmen

Compliance-Expertise

Opsios Kernleistung ist, regulierte Unternehmen beim Erreichen und Aufrechterhalten ihrer Compliance zu unterstützen. Für jedes Rahmenwerk unten zeigen wir, was Opsio selbst vorweist und was wir für Kunden liefern. Unterlagen zur Einkaufsprüfung unter NDA verfügbar.

• ISO 27001:2022

  Opsio: Indien-Umfang · Kundenprogramme

  Opsio: ISO 27001 zertifiziert an unserem Delivery-Center in Bangalore (Geltungsbereich umfasst dort tätige Betriebs- und Entwicklungsteams). Für Kunden: Wir leiten vollständige ISO 27001-Implementierungsprogramme — Gap-Analyse, ISMS-Design, Policy-Erstellung, Internal Audit und Begleitung durch Stage 1/Stage 2-Audit. Mehrere Kunden haben auf diesem Weg die Zertifizierung erreicht.

• SOC 2 Type II

  Kunden-Readiness-Programme

  Opsio: derzeit keine SOC 2-Attestierung als Unternehmen. Für Kunden: Wir führen SOC 2-Readiness-Programme durch — Control-Mapping, Evidence-Automatisierung, Monitoring-Setup und Prüfer-Koordination während des Observation-Window. Unsere Architekten sind mit den Trust Service Criteria Security, Availability, Confidentiality und Processing Integrity vertraut.

• DSGVO (EU 2016/679)

  Art. 28-Auftragsverarbeiter

  Opsio: Auftragsverarbeiter nach Art. 28 DSGVO für personenbezogene Kundendaten, die wir im Rahmen von Managed Operations verarbeiten. Standardvertragsklauseln liegen für die Übermittlung an unser Indien-Team vor. Für Kunden: DPIA-Unterstützung, Gestaltung von Verantwortlicher–Auftragsverarbeiter-Verträgen und technische Umsetzung von Tools für Betroffenenrechte.

• NIS2-Richtlinie

  Kundenprogramme zur Compliance

  Opsio: operative Praxis im Einklang mit den NIS2-Anforderungen für wesentliche und wichtige Einrichtungen. Für Kunden: vollständige NIS2-Compliance-Programme — Anwendbarkeitsprüfung, Risikoanalyse, Abbildung der Art. 21-Maßnahmen, Integration der Vorfallmeldung an das BSI und Drittanbieter-Risikomanagement.

• HIPAA (US-Kunden)

  BAA verfügbar · Kundenarchitekturen

  Opsio: Business Associate Agreement für US-Gesundheitskunden verfügbar. Für Kunden: HIPAA-konforme Architekturen auf AWS, Azure oder GCP mit Audit-Kontrollen, Verschlüsselung und BAA-Kettenmanagement. Bereits an mehrere mittelgroße US-Gesundheits-Workloads ausgeliefert.

• DORA (EU 2022/2554)

  Kundenprogramme zur Compliance

  Für Kunden im Finanzdienstleistungsbereich: DORA IKT-Risikomanagement-Programm, Drittparteien-Risikoregister, Vorfallklassifizierung, Testprogramm (TLPT) und Berichtvorlagen für den Vorstand. Opsios Architekten haben dies für Banken und Versicherer in Deutschland und dem Nordischen Raum umgesetzt.

• DPDPA (Indien)

  Indien-Betrieb · Kundenprogramme

  Opsio: der Betrieb am Delivery-Center Bangalore ist an den indischen Digital Personal Data Protection Act angepasst. Für Kunden: DPDPA-Readiness-Analysen, Einwilligungsarchitektur, Aufbewahrungskontrollen und CERT-In-Vorfallmeldungs-Pipelines.

Subunternehmer

Opsio setzt folgende Subunternehmer zur Leistungserbringung ein. Die jeweils verbindliche Liste wird intern geführt und auf Anfrage als AVV-Anlage bereitgestellt. Die Hyperscaler-Region ist vertraglich pro Kunde konfigurierbar.

Kunden können innerhalb der 30-Tage-Frist Einspruch gegen neue Subunternehmer einlegen. Projektspezifische Subunternehmer (Monitoring-Agents, SIEM-Plattformen etc.) werden im Statement of Work offengelegt.

Datenresidenz

Kunden-Produktionsdaten werden in der von Ihnen gewählten Cloud-Region verarbeitet. Für europäische Kunden verwenden wir standardmäßig EU/EWR-Regionen (AWS eu-north-1 Stockholm, Azure Sweden Central, GCP europe-north1 Finnland), sofern vertraglich nichts anderes vereinbart ist.

Opsio-Mitarbeiter greifen auf Kundenumgebungen über benannte Konten mit MFA und Just-in-Time-Elevation zu. Support-Operationen werden aus Schweden (primär) und Indien (Delivery-Center) durchgeführt. Personalzugriff außerhalb des EWR erfolgt über Standardvertragsklauseln, soweit zutreffend.

Backups und Protokolle erben standardmäßig die vom Kunden gewählte Region. Cross-Region-Replikation für Disaster Recovery ist vom Kunden konfigurierbar.

Verantwortungsvolle Offenlegung

Sicherheitsforscher, die eine Schwachstelle in Opsio-betriebenen Systemen identifizieren, werden gebeten, diese über verschlüsselte E-Mail zu melden. Wir verpflichten uns, den Eingang innerhalb eines Werktags zu bestätigen und einen Behebungszeitplan innerhalb von fünf Werktagen bereitzustellen. Wir verfolgen keine rechtlichen Schritte gegen gutgläubige Forschung, die diesen Richtlinien folgt.

Melden an: security@opsio.se