Security-Compliance und Audit-Readiness
Security-Compliance und Audit-Readiness für ISO 27001, SOC 2, DSGVO, PCI DSS, HIPAA, NIS2 und DORA: Gap-Assessments, die technischen Kontrollen, die Auditoren testen, Richtlinien und Risikoregister sowie die Nachweise, dass jede Kontrolle läuft, mit dedizierten Compliance-Engineers für Ihr Team oder einem Readiness-Projekt, das wir bis zu Ihrem Audit liefern.
Compliance-Arbeit, die wir übernehmen
Einführung von ISO 27001
Geltungsbereich, Risikobewertung und Erklärung zur Anwendbarkeit (Statement of Applicability) für Ihr ISMS, die Kontrollen aus Anhang A, eingebaut in Ihre Systeme und Prozesse, Richtlinien, die Menschen wirklich befolgen, sowie ein internes Audit und eine Managementbewertung, abgeschlossen vor den Audits der Zertifizierungsstelle in Stufe 1 und Stufe 2.
SOC-2-Readiness
Die Trust Services Criteria im Geltungsbereich, mit Ihnen ausgewählt, Lücken gefunden und geschlossen, Kontrollen, die vor einem Type-I-Bericht laufen, und Nachweise, die über den Beobachtungszeitraum gesammelt werden, den ein Type-II-Bericht abdeckt, bereit für die Tests der CPA-Prüfgesellschaft.
Technische Maßnahmen nach DSGVO
Personenbezogene Daten, über Datenbanken, Logs und Lieferanten hinweg erfasst, Auskunfts- und Löschanfragen, die vom Produkt statt von Hand bearbeitet werden, Aufbewahrungsfristen, die durch geplante Löschung durchgesetzt werden, Verschlüsselung und Pseudonymisierung, wo das Risiko sie verlangt, sowie Verzeichnisse von Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzungen (DPIA), die aktuell gehalten werden.
Unterstützung bei der Audit-Durchführung
Ein benannter Ingenieur auf der Anforderungsliste des Auditors während der Prüfungsphase: für die Stichprobenziehung exportierte Grundgesamtheiten, Walkthroughs, wie jede Kontrolle funktioniert, und jede Abweichung, beantwortet mit einem datierten Maßnahmenplan, bevor der Bericht fertiggestellt wird.
PCI-DSS-Compliance
Der Geltungsbereich für Karteninhaberdaten, verkleinert durch Tokenisierung und gehostete Zahlungsfelder, Kontrollen nach PCI DSS v4.0.1, einschließlich Inventar und Integritätsüberwachung der Skripte auf Zahlungsseiten, vierteljährlicher ASV-Scans und des jährlichen Penetrationstests, bereit für einen Selbstbewertungsfragebogen oder den Report on Compliance eines QSA.
HIPAA-Schutzmaßnahmen
Die administrativen, physischen und technischen Schutzmaßnahmen der HIPAA Security Rule, in das Produkt eingebaut: eine dokumentierte Risikoanalyse, eindeutige Benutzerkennungen, Auditlogs bei jedem Zugriff auf geschützte Gesundheitsinformationen, Verschlüsselung und Business Associate Agreements mit jedem Cloud- und SaaS-Anbieter, der die Daten berührt.
NIS2-Readiness
Die Risikomanagementmaßnahmen und Meldepflichten für Vorfälle, die das NIS2-Gesetz Ihres Landes verlangt: von der Geschäftsleitung genehmigte Governance, Sicherheit der Lieferkette, Multi-Faktor-Authentifizierung, Verschlüsselung, Business Continuity und ein Meldeprozess, der die Fristen der nationalen Behörde einhält.
DORA: IKT-Risiko und Resilienz
Für Finanzunternehmen und die IKT-Dienstleister, die sie bedienen: der IKT-Risikomanagementrahmen, Klassifizierung und Meldung schwerwiegender IKT-bezogener Vorfälle, das Informationsregister zu IKT-Drittdienstleistern, die Vertragsklauseln, die DORA verlangt, und Resilienztests, die geplant und nachgewiesen werden.
Security-Fragebögen und Trust Center
Sicherheitsfragebögen von Kunden wie SIG und CAIQ, beantwortet aus einer gepflegten Bibliothek freigegebener Antworten, ein Trust Center, das Ihre Berichte unter NDA teilt, und die Kontrollen hinter jeder Antwort, die auch dann zutreffend bleiben, wenn sich das Produkt ändert.
Compliance-Engineers einstellen
Dedizierte Compliance-Engineers
Compliance-Engineers, die in Vollzeit zu Ihrem Team gehören, in Ihren Tools und Ihrem Prozess arbeiten und an Ihren Lead berichten. Sie führen die Interviews; wir tragen den ukrainischen Vertrag, die Gehaltsabrechnung, die Rechnungsstellung und den Urlaub.
Projekte im Bereich Compliance Engineering
Ein abgegrenztes Arbeitspaket im Bereich Compliance Engineering mit festem Umfang, festem Plan und einem benannten Verantwortlichen auf unserer Seite, der das Ergebnis verantwortet und den Fortschritt in Ihren Kanälen berichtet.
Compliance Engineering als laufender Service
Compliance Engineering als fortlaufende Leistung: jeden Monat dieselben Personen, ein Backlog, das Sie priorisieren, und Stunden, die Sie in unserem Portal und auf der Rechnung einsehen können.
Die Seite zum dedizierten Team erklärt, wie Spezialisten zu Ihrem Team stoßen, und die Seite zum Outsourcing behandelt Projektlieferung, Übernahmen und unsere Abrechnung.
Wer sich bei Ihnen um Compliance Engineering kümmert
Compliance-Ingenieure
Kontrollen, Nachweise und Auditor-Anfragen
Informationssicherheitsmanager
ISMS, Richtlinien, Risikoregister und Managementbewertungen
Cloud- und DevOps-Ingenieure
Technische Kontrollen als Infrastructure as Code
Privacy Engineers
DSGVO-Datenerfassung, Aufbewahrung und Betroffenenanfragen
Penetrationstester
Die Tests, die Auditoren und Standards verlangen
Wie wir Sie auf ein Audit vorbereiten
Zertifikate werden von akkreditierten Zertifizierungsstellen ausgestellt, SOC-2-Berichte von unabhängigen CPA-Prüfgesellschaften und PCI-DSS-Reports on Compliance von QSAs; unser Anteil sind die Kontrollen und die Nachweise, die sie prüfen. Die Arbeit beginnt mit einem Gap-Assessment gegen den Standard und den Geltungsbereich, den Sie brauchen, dann folgt ein Plan, geordnet danach, was der Auditor zuerst prüft, wobei jede Kontrolle in Ihre Systeme eingebaut wird und nicht nur in einer Richtlinie steht.
Kontrollen werden, wo immer möglich, als Code umgesetzt: Zugriffsregeln, Verschlüsselung, Logging, Backups und Änderungsfreigabe liegen in Terraform und den Pipelines, sodass der Nachweis ein vom System erzeugter Datensatz ist und kein Screenshot aus der Woche vor dem Audit. Dieselbe Disziplin wenden wir auf unsere eigenen Geräte an: Unsere Laptops werden von einem in Rust geschriebenen Agenten gegen unsere Sicherheitsbasis geprüft, unter Windows, macOS und Ubuntu, mit Prüfungen, die ISO 27001, CIS, Cyber Essentials, Essential Eight und SOC 2 zugeordnet sind.
Weitere Leistungen in Cloud, DevOps und Sicherheit
AWS-Entwicklung
Services für AWS-Entwicklung: Container mit EKS und ECS, Serverless, Landing Zones, Migrationen, Datenbanken, Datenplattformen, generative KI mit Bedrock, Sicherheit und Kostenoptimierung, mit dedizierten AWS-Engineers oder Projektlieferung.
Google-Cloud-Entwicklung
Services für Google-Cloud-Entwicklung: Cloud Run und GKE, BigQuery, Firebase-Backends, Cloud SQL und AlloyDB, Gemini auf der Agent Platform, Sicherheit und Migrationen, mit dedizierten Google-Cloud-Engineers oder Projektlieferung.
Kubernetes-Beratung
Kubernetes-Beratung und -Entwicklung: Cluster auf EKS, AKS, GKE und On-Premises, Helm, GitOps mit Argo CD oder Flux, Cluster-Sicherheit, Upgrades und GPU-Workloads, mit dedizierten Kubernetes-Engineers oder Projektlieferung.
DevOps und CI/CD
Services für DevOps und CI/CD: Pipelines, Terraform als Infrastructure as Code, Observability, SRE und Bereitschaftsdienst, DevSecOps, Platform Engineering und FinOps, mit dedizierten DevOps- und SRE-Engineers oder laufender DevOps-Arbeit.
Cybersicherheit und Pentesting
Services für Cybersicherheit und Penetrationstests: Pentests von Web, Mobile, APIs, Netzwerken und Cloud, sicheres Code-Review, SOC und Incident Response, ISO 27001 und SOC 2, mit dedizierten Security-Engineers oder klar umrissenen Projekten.
IT-Infrastruktur
Services für IT-Infrastruktur und Systemadministration: Windows- und Linux-Server, Netzwerke, Microsoft 365 und Entra ID, Virtualisierung, Backups und Telekommunikation, mit dedizierten Systemadministratoren oder laufendem Support.
Site Reliability Engineering
Services für Site Reliability Engineering: SLOs, Observability mit OpenTelemetry, Bereitschaftsdienst und Incident-Management, Lasttests, Disaster Recovery und Chaos Engineering, mit dedizierten SRE-Engineers oder Projektlieferung.
Platform Engineering
Services für Platform Engineering: interne Entwicklerplattformen, Backstage-Portale, Golden Paths und Templates, Self-Service-Infrastruktur und Kubernetes-Plattformen, mit dedizierten Platform Engineers oder Projektlieferung.
Cloud-Architektur
Services für Cloud-Architektur und -Beratung: Entwürfe für AWS, Azure und Google Cloud, Migrationspläne, Landing Zones, Well-Architected-Reviews, Resilienz und Kosten, mit dedizierten Cloud-Architekten oder Projektlieferung.
FinOps
Services für FinOps und Cloud-Kostenoptimierung: Kostenzuordnung, Rightsizing, Savings Plans und Reservierungen, Kubernetes-, Daten- und KI-Kosten, Budgets und Anomalie-Alerts, mit dedizierten FinOps-Engineers oder Projektlieferung.
Terraform und IaC
Services für Terraform und Infrastructure as Code: Terraform- und OpenTofu-Module, Importe, Pipelines für Plan und Apply, Drift-Kontrolle, Policy as Code und Ansible, mit dedizierten Terraform-Engineers oder Projektlieferung.
Linux-Administration
Services für Linux-Administration: Server mit Ubuntu, Debian, RHEL, Rocky Linux und AlmaLinux, eingerichtet, gepatcht, gehärtet, überwacht und gesichert, sowie Upgrades bei Ende des Supports, mit dedizierten Linux-Administratoren oder laufendem Support.
Netzwerktechnik
Services für Netzwerktechnik: Routing und Switching, Firewalls, SD-WAN und Zero-Trust-Zugriff, Cloud-Netzwerke, WLAN und Automatisierung auf Cisco, Juniper und Fortinet, mit dedizierten Netzwerktechnikern oder Projektlieferung.
Cloud-Sicherheit
Services für Cloud-Sicherheit: CSPM und CNAPP, IAM-Reviews, Kubernetes-Sicherheit, Netzwerk- und Datenschutz sowie Cloud-Compliance auf AWS, Azure und Google Cloud, mit dedizierten Cloud-Security-Engineers oder Projektlieferung.
SOC und Sicherheitsüberwachung
SOC as a Service und Sicherheitsüberwachung: Managed SOC, SIEM-Einführung, Anbindung von Logs, Detection Engineering, EDR, Threat Hunting und Incident-Response-Retainer, mit dedizierten SOC-Analysten oder laufender Überwachung.
Fragen zur Security-Compliance
In welchen Branchen arbeiten Ihre Compliance-Engineers?
Überwiegend SaaS- und Softwareunternehmen, die sich auf SOC 2 und ISO 27001 vorbereiten, weil ihre Kunden danach fragen; Fintech, Banking und Versicherung unter PCI DSS und DORA; Healthcare- und Medtech-Produkte, die Patientendaten nach HIPAA und DSGVO verarbeiten; E-Commerce- und Handelsunternehmen, die Kartenzahlungen annehmen; Cybersicherheitsunternehmen sowie Industrie-, Energie-, Hosting- und Telekommunikationsunternehmen, die unter NIS2 fallen.
Wie lange dauert die Vorbereitung auf ein ISO-27001- oder SOC-2-Audit?
Das hängt vom Geltungsbereich ab und davon, wie viel bereits vorhanden ist, deshalb steht ein Gap-Assessment am Anfang und endet mit einem datierten Plan. Ein SOC-2-Type-II-Bericht braucht außerdem einen Beobachtungszeitraum, üblicherweise drei bis zwölf Monate, in dem die Kontrollen laufen und Nachweise hinterlassen, und dieser Zeitraum kann beginnen, sobald die Kontrollen live sind.
Gelten NIS2, DORA und der Cyber Resilience Act für uns?
Das hängt von Ihrer Branche, Ihrer Größe und davon ab, was Sie in der EU verkaufen. NIS2 erfasst mittlere und große Einrichtungen in kritischen Sektoren über das jeweilige nationale Gesetz; DORA gilt für Finanzunternehmen der EU seit dem 17. Januar 2025 und erreicht deren IKT-Dienstleister über Verträge; und der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 zu melden, wobei seine Hauptpflichten ab dem 11. Dezember 2027 gelten. Wir klären, welche für Sie gelten, und bauen die Kontrollen, die jede verlangt.
Wie schnell können Compliance-Engineers starten?
Steht für die Position Compliance-Engineer eine passende Person zur Verfügung, hängt der Start nur von Ihrem Interview sowie von NDA und IP-Übertragung ab. Andernfalls starten wir eine Suche, die typischerweise innerhalb von zwei bis drei Wochen Kandidatenprofile liefert, und niemand beginnt, bevor Sie zugestimmt haben.
Wie stellen wir Compliance-Engineers über BigTree108 ein?
Nennen Sie uns die Aufgabe, die Seniorität und die benötigten Stunden. Wir schlagen ein oder zwei Personen mit ihren Profilen vor, Sie führen die Interviews so, wie Sie Ihre eigene Neueinstellung interviewen würden, unterzeichnen einen Vertrag mit BIG TREE 108 LLC und erhalten eine Rechnung im Monat.
Wem gehören die Arbeitsergebnisse?
Sie. Jeder Spezialist hat einen unterzeichneten Vertrag mit BigTree108, der alle Arbeitsergebnisse dem Unternehmen überträgt, und unser Vertrag mit Ihnen überträgt sie an Sie weiter. Code, Designs und Dokumente werden in Ihre eigenen Repositories und Tools geliefert und nicht dort aufbewahrt, wo nur wir sie ändern können.
Bereiten Sie sich auf ein Audit vor?
Nennen Sie uns den Standard, den Geltungsbereich und einen Audittermin oder eine Kundenfrist, auf die Sie hinarbeiten. Sie erhalten innerhalb eines Werktags eine Antwort: einen Umfang für ein Gap-Assessment, einen Readiness-Plan oder Kandidatenprofile.