Ihre Firmendaten

Warum: diese Angaben sind die Basis für praktisch jedes erzeugte Dokument. Wofür: Firmenname und Branche erscheinen auf Verzeichnis und Zertifikaten, Mitarbeitendenzahl und DSB-Status fließen zusätzlich in Ihre NIS2-Einstufung ein – Sie tragen sie nur hier ein, nicht nochmal weiter unten.

Diese Rolle ist Pflichtpilot-spezifisch (kein eigener gesetzlicher Rechtsrahmen wie bei Geschäftsführung oder DSB unten): die Person, die die Angaben inhaltlich prüft, bestätigt und als Aussteller:in auf allen Zertifikaten erscheint – statt "Pflichtpilot". Kann, muss aber nicht dieselbe Person wie die Geschäftsführung sein. Pflichtpilot liefert ausschließlich die Textbausteine, nicht die rechtliche Prüfung.

Trägt laut Art. 5 Abs. 2, 24, 32 DSGVO und § 38 BSIG-E die Gesamtverantwortung – bei NIS2 teils sogar persönlich haftend und nicht delegierbar. Mit E-Mail landet diese Person automatisch in Ihrem Team-Tab; ist sie dort schon vorhanden (gleiche E-Mail), wird nur die Funktion "Geschäftsführung" ergänzt statt eines doppelten Eintrags.

Rechtsgrundlage Art. 37–39 DSGVO, § 38 BDSG. Landet automatisch im Team-Tab mit Funktion "Datenschutzbeauftragte:r". Nach Möglichkeit eine andere Person als die Geschäftsführung wählen – das Unabhängigkeitsgebot in Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte zwischen der DSB-Rolle und Entscheidungen über Verarbeitungszwecke/-mittel.

Betrifft nur eigene Geschäftsstandorte mit dort tätigen Mitarbeitenden – nicht Ihren steuerlich gemeldeten Geschäftssitz (den behalten Sie unabhängig davon). Wirkt sich auf Schritt 5 (Standorte entfallen) und einen Hinweis in der ISO-27001-Selbstbewertung aus.

Was: haken Sie alle Tätigkeiten an, die bei Ihnen tatsächlich stattfinden. Warum: Art. 30 DSGVO verlangt für jede ein eigenes Verzeichnis mit Zweck, Rechtsgrundlage und Löschfrist. Output: jede Auswahl wird in Abschnitt 1 Ihres Compliance-Dokuments automatisch vollständig ausformuliert – Sie schreiben nichts selbst.

Technische & organisatorische Maßnahmen (TOM)

Was: haken Sie an, was bei Ihnen bereits umgesetzt ist. Warum: Art. 32 DSGVO verlangt den Nachweis angemessener Schutzmaßnahmen. Output: nicht angehakte Punkte erscheinen in Ihrem Dokument als konkrete, erklärte Aufgabe mit nächstem Schritt – nicht als Vorwurf, sondern als To-do.

Warum: Mitarbeitende sind laut Ihrem TOM-Nachweis regelmäßig zu schulen (Phishing, Passwort-Hygiene, Meldewege). Output: die Zahl hier reserviert nur die Plätze – wen genau Sie schulen, weisen Sie später einzeln im Kundenbereich unter "Ihr Team" zu, inklusive Quiz und Zertifikat je Person.

Optional, solange Sie Basic nutzen – aber ausfüllen lohnt sich: Sie sehen sofort unten in der Vorschau, ob Sie voraussichtlich betroffen wären, und alles ist startklar, sobald Sie auf Pro/Business upgraden, ohne nochmal alles einzutragen. Unabhängig von Ihrer NIS2-Einstufung deckt bereits der Basic-Tarif Ihre DSGVO-/lokale Datenschutzpflichten ab.

Für Deutschland zählt hier genau genommen die Jahresarbeitseinheit (JAE) nach Art. 5 Anhang Empfehlung 2003/361/EG, nicht die reine Kopfzahl aus Schritt 1 (Azubis zählen z. B. nicht mit, Teilzeit anteilig). Für eine grobe erste Einschätzung reicht die Angabe aus Schritt 1.

Diese Anbieter gelten laut NIS2 unabhängig von ihrer Größe automatisch als "besonders wichtige Einrichtung" – im Zweifel unangehakt lassen, das lässt sich jederzeit nachholen.

Beides sind Tatsachen, keine Bewertungen. Zulieferer einer regulierten Einrichtung zu sein löst eigene Nachweispflichten in der Lieferkette aus; vollständig ausgelagerte IT verlagert die Ausführung, nicht die Verantwortung. „Noch nicht beantwortet" ist zulässig – dann sagen wir Ihnen offen, dass die Einstufung unvollständig ist.

Ihre Assets (Mehrfachauswahl)

Was: die IT-Systeme, auf die bei Ihnen tatsächlich gearbeitet wird. Warum: NIS2 Art. 21 verlangt ein dokumentiertes Risikomanagement je Asset. Output: für jede Auswahl erzeugen wir automatisch eine typische Bedrohung, eine Standardmaßnahme und eine Schutzbedarfsstufe für Ihr Risiko-Inventar (Abschnitt 2).

Incident-Response: Meldekette

Warum: bei einem Sicherheitsvorfall zählt jede Stunde – die gesetzlichen Fristen (24 Std./72 Std./1 Monat) sind vorgegeben und werden in Ihrem Dokument automatisch ergänzt, hier tragen Sie nur ein, WER zuständig ist.

Erstkontakt im Ernstfall – wird als erste Meldestelle genannt (Art. 33–34 DSGVO, § 32 BSIG-E). Mit E-Mail landet diese Person automatisch im Team-Tab mit Funktion "Incident-Verantwortliche:r" – bereits vorhanden (gleiche E-Mail), wird die Funktion dort nur ergänzt.

Zusatzkontakte für den Vorfall – anders als oben keine eigene gesetzliche Rolle mit eigenem Rechtsrahmen, sondern praktische Ansprechpersonen innerhalb der Incident-Response, damit im Ernstfall niemand erst suchen muss. Landen deshalb bewusst nicht im Team-Tab als eigene Funktion.

Zuständig für Kommunikation nach außen – Kund:innen, Behörden, ggf. Presse.

Zuständig für technische Eindämmung und Ursachenanalyse des Vorfalls. Namen unbekannt oder noch nicht festgelegt? Feld einfach leer lassen und später nachtragen – erscheint dann als offene Aufgabe im Kundenbereich.

Optional, solange Sie Basic oder Pro nutzen. Warum: mehrere Standorte brauchen im Business-Tarif eine eigene Übersicht statt einer einzelnen Firmenadresse. Output: jeder erfasste Standort erscheint einzeln in Abschnitt 11 Ihres Compliance-Dokuments, inklusive eigenem White-Label-Zertifikat. Ein Standort (Hauptsitz) ist vorausgefüllt, mit „+ Weiteren Standort hinzufügen" beliebig viele weitere ergänzbar.

White-Label-Zertifikat & Support

Auf Ihrem Zertifikat erscheint die oben genannte verantwortliche Person als Aussteller:in, nicht Pflichtpilot – wir liefern nur die Vorlage und die Textbausteine.

Firmenlogo

PNG, JPG, SVG oder WebP, max. 2 MB. Erscheint auf Ihren Zertifikaten und Dokumenten anstelle des Pflichtpilot-Logos. Optional – ohne Logo bleibt der bisherige Textplatzhalter.

Wirkt sich nur auf die Anzeige auf Ihrem Zertifikat aus – der eigentliche Support-Kontaktweg bleibt vorerst das Kontaktformular.

Das ist die einzige Stelle, an der Sie aktiv bestätigen müssen – erst danach wird gespeichert und Ihr Compliance-Dokument erzeugt. Wenn etwas nicht stimmt: über "Zurück" oder die Schritt-Übersicht oben jederzeit zum jeweiligen Abschnitt zurückspringen.

Was jetzt passiert: Ihr Compliance-Dokument für Ihren aktuellen Tarif wird sofort neu erzeugt und Sie werden direkt dorthin weitergeleitet. Ihre offenen Aufgaben im Kundenbereich aktualisieren sich automatisch mit. Etwas ändert sich später? Einfach hierher zurückkommen, Feld anpassen, erneut bestätigen.

Eine typisierte Einschätzung auf Basis Ihrer Angaben – keine individuelle Rechtsberatung und keine Haftungsübernahme für die Richtigkeit im Einzelfall. Bitte kurz prüfen, dann geht es weiter.

Hinweis: Diese Vorschläge basieren auf Ihren Angaben im Fragebogen und sind eine erste, typisierte Einschätzung für Unternehmen Ihrer Art und Größe – keine individuelle Rechtsberatung und keine Haftungsübernahme. Bitte prüfen Sie die automatisch angelegten Einträge und passen Sie sie bei Bedarf im jeweiligen Bereich an.