FAQ
Cybersicherheit | Datenschutz
Allgemeine Fragen
Welche Arten von Organisationen können Data Guardians beauftragen?
Jede Organisation, die Wert auf Cybersicherheit und die Einhaltung der Datenschutzbestimmungen legt: private Unternehmen, öffentliche Körperschaften, Vereine und Stiftungen. Wir unterstützen sowohl KMU und öffentliche Körperschaften als auch Grossunternehmen. Zu den Branchen, in denen wir besonders häufig tätig sind, gehören Softwareentwicklung, Immobilienverwaltung, Finanzwesen, Treuhandunternehmen, Human Resources und Verwaltungsdienstleistungen.
Sind Sie in der ganzen Schweiz tätig?
Arbeiten Sie mit KMU zusammen?
Absolut. Wir passen unsere Dienstleistungen sowohl an KMU als auch an Grossunternehmen an. Jede Organisation verdient und benötigt eine auf ihre Grösse und ihren Kontext abgestimmte Cybersicherheit und Compliance.
Bieten Sie eine vorgängige Analyse an?
Ja, wenn Sie dies wünschen. Wir können vor einer Begleitung eine Gap-Analyse auf Grundlage des für Sie relevanten Standards oder Themas durchführen (ISO 27001, Cyber-Safe, DSG, DSGVO usw.). Dieser Schritt verschafft Ihnen einen klaren Überblick über Ihre aktuelle Situation und die zu behandelnden Prioritäten. Wenn Sie bereits wissen, was Sie benötigen, oder Ihren Reifegrad kennen, gehen wir direkt auf die relevanten Themen ein und passen unsere Begleitung entsprechend an.
Sind alle Ihre Mitarbeitenden in der Schweiz ansässig?sse ?
Ja. Unsere Sicherheitsexperten und auf Datenschutz spezialisierten Juristen arbeiten alle von der Schweiz aus. Ihre (sensiblen) Daten und vertraulichen Informationen verlassen im Rahmen unserer Einsätze niemals das Schweizer Hoheitsgebiet. Zudem kennen unsere Teams die regulatorischen und wirtschaftlichen Gegebenheiten der Schweiz bestens.
Kann ich Referenzen von Ihren bestehenden Kunden erhalten?
Ja. Unsere Expertise kann von mehreren Schweizer Organisationen bestätigt werden, die uns ihr Vertrauen schenken. Auf Anfrage und mit deren Einverständnis stellen wir Sie gegebenenfalls mit Kunden aus Ihrer Branche oder mit einer vergleichbaren Unternehmensgrösse in Kontakt, damit diese über ihre Erfahrungen mit unserer Begleitung berichten können.
Datenschutz (DSG / DSGVO)
Ist meine Organisation verpflichtet, einen DPO zu benennen?
Das hängt vom für Sie geltenden Rechtsrahmen ab.
Nach dem Schweizer DSG ist die Benennung eines Datenschutzberaters oder DPO für private Organisationen freiwillig; gesetzlich dazu verpflichtet sind nur Bundesorgane. Die Ernennung eines DPO kann dennoch vorteilhaft sein, insbesondere wenn Sie ihn bei einer Verarbeitung mit hohem Risiko konsultieren können, anstatt sich direkt an die Aufsichtsbehörde zu wenden. Auch bei einer Kontrolle, einem Vorfall oder gegenüber Kunden ist dies ein Zeichen von Sorgfalt.
Nach der DSGVO ist die Benennung eines DPO hingegen in bestimmten Fällen verpflichtend, insbesondere wenn Sie umfangreich sensible Daten verarbeiten oder eine systematische und regelmässige Überwachung betroffener Personen durchführen.
Was ist der Unterschied zwischen dem DSG und der DSGVO?
Das DSG (Bundesgesetz über den Datenschutz) ist das Schweizer Bundesgesetz zum Schutz personenbezogener Daten, während die DSGVO die europäische Verordnung zum gleichen Thema ist. Beide verfolgen dasselbe Ziel: den Schutz personenbezogener Daten. Sie weisen jedoch in bestimmten Punkten Unterschiede auf, etwa bei der Höhe der Sanktionen, den Meldepflichten und dem räumlichen Geltungsbereich. Ein Schweizer Unternehmen kann gleichzeitig beiden Regelwerken unterliegen.
Gilt die DSGVO für meine Organisation, wenn ich nur Schweizer Kunden habe?
Grundsätzlich gilt das DSG, wenn Sie ausschliesslich Daten von Personen in der Schweiz verarbeiten. Die DSGVO kann jedoch auch für Sie gelten, wenn Sie Personen in der Europäischen Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten, selbst wenn Ihr Unternehmen dort nicht ansässig ist. Wir analysieren Ihre Datenverarbeitungen, um genau zu bestimmen, welcher Rechtsrahmen für Sie gilt.
Welche Risiken bestehen für meine Organisation bei einem Verstoss gegen das DSG?
Das DSG sieht Bussen von bis zu CHF 250’000.– vor, die insbesondere die innerhalb der Organisation verantwortlichen natürlichen Personen betreffen. Neben finanziellen Sanktionen kann ein Verstoss gegen den Datenschutz zu Reputationsschäden, einem Vertrauensverlust bei Kunden und Partnern sowie zu geschäftlichen Schwierigkeiten führen, wenn Kunden Nachweise für den Schutz ihrer Daten verlangen.
Kann ich die Funktion des DPO auslagern?
Ja. Das DSG und die DSGVO erlauben ausdrücklich die Benennung eines externen DPO. Dies ist häufig sogar vorteilhaft: Sie profitieren von einem spezialisierten Juristen ohne die Kosten einer Vollzeitstelle, von vollständiger Unabhängigkeit gegenüber Ihren internen Abteilungen und von einer Expertise, die sich auf zahlreiche Organisationen stützt. Unsere Data Guardians können offiziell als Ihr externer DPO benannt werden.
Cybersicherheit (CISO / SOC / Vorfälle)
Was ist der Unterschied zwischen einem CISO und einem IT-Verantwortlichen?
Ihr IT-Verantwortlicher stellt sicher, dass Ihre Systeme funktionieren: Verfügbarkeit, Leistung und Support für die Benutzer. Der CISO hingegen steuert die Sicherheit dieser Systeme: Risikoanalyse, Governance, Schutzstrategie und Compliance. Es handelt sich um zwei unterschiedliche und sich ergänzende Rollen. Die Verantwortung für die Sicherheit dem IT-Verantwortlichen zu übertragen, bedeutet, ihn zum Richter über seine eigene Arbeit zu machen: Er kann die Sicherheit der von ihm selbst implementierten Systeme nicht objektiv beurteilen.
Reicht mein IT-Dienstleister nicht aus, um mich zu schützen?
Ihr IT-Dienstleister verwaltet Ihre Infrastruktur und implementiert Sicherheitstools. Seine Aufgabe besteht jedoch darin, den Betrieb Ihrer Systeme sicherzustellen, nicht darin, Ihre gesamte Sicherheitsstrategie zu definieren und zu steuern oder Ihre regulatorische Compliance sicherzustellen. Eine unabhängige Sichtweise ist erforderlich, um Ihr Schutzniveau objektiv zu beurteilen, blinde Flecken zu erkennen und Sie bei organisatorischen und rechtlichen Aspekten zu unterstützen, die Ihr technischer Dienstleister nicht abdeckt.
Was ist im Falle eines Cyberangriffs zu tun?
Reagieren Sie schnell, aber nicht überstürzt. Kontaktieren Sie uns umgehend, vermeiden Sie es, die betroffenen Geräte auszuschalten (dies kann Beweise vernichten), isolieren Sie die betroffenen Systeme nach Möglichkeit vom Netzwerk und zahlen Sie kein Lösegeld, bevor Sie Experten konsultiert haben. Unsere Teams greifen schnell ein, um den Vorfall einzudämmen, seine Ursache zu analysieren, Beweise zu sichern und Sie bei allfälligen Meldepflichten gegenüber den Behörden zu unterstützen.
Beeinträchtigt ein Sicherheitsaudit meine Geschäftstätigkeit?
Nein, sofern es korrekt geplant wird. Unsere Audits basieren hauptsächlich auf Interviews, der Prüfung von Dokumentationen und Analysen, die Ihre Produktion nicht beeinträchtigen. Bei Penetrationstests legen wir gemeinsam einen klar definierten Umfang und präzise Grenzen fest und vereinbaren Kommunikationswege für den Fall, dass kritische Schwachstellen entdeckt werden. So stellen wir einen reibungslosen Ablauf Ihrer Geschäftstätigkeit sicher.
Zertifizierungen (ISO 27001 / Cyber-Safe)
Wie lange dauert es, eine ISO-27001-Zertifizierung zu erhalten?
Die Dauer hängt von der Grösse Ihrer Organisation, dem gewählten Geltungsbereich und Ihrem anfänglichen Reifegrad im Bereich Informationssicherheit ab. In der Regel sollten Sie mindestens 6 Monate einplanen, realistischerweise eher 9 Monate, um gut vorbereitet in das Zertifizierungsaudit zu gehen. Die Zertifizierung ist anschliessend drei Jahre gültig, mit einem jährlichen Überwachungsaudit.
Was ist der Unterschied zwischen ISO 27001 und Cyber-Safe?
ISO 27001 ist eine internationale Norm, die sich auf ein Managementsystem konzentriert: Richtlinien, Prozesse und Governance zur nachhaltigen Steuerung Ihrer Informationssicherheit. Sie umfasst sämtliche Informationen (digital, auf Papier und mündlich), beinhaltet einen erheblichen Dokumentationsaufwand und wird häufig von Kunden mit einem gewissen Cyber-Reifegrad verlangt.
Cyber-Safe ist ein von der Schweizerischen Eidgenossenschaft unterstütztes Schweizer Label, das auf die Cybersicherheit von Daten und IT-Systemen ausgerichtet ist. Der Ansatz basiert auf technischen Anforderungen und konkreten Indikatoren, die erfüllt werden müssen, bei deutlich geringerem Dokumentationsaufwand.
Garantiert eine Zertifizierung, dass ich niemals angegriffen werde?
Nein, und kein seriöser Anbieter wird Ihnen dies versprechen. Eine Zertifizierung bestätigt, dass Sie ein strukturiertes Managementsystem zur Steuerung Ihrer Sicherheitsrisiken eingerichtet haben. Sie reduziert die Wahrscheinlichkeit eines Vorfalls erheblich und verbessert vor allem Ihre Fähigkeit, einen Vorfall schnell zu erkennen und darauf zu reagieren. Es handelt sich um einen kontinuierlichen Verbesserungsprozess, nicht um eine absolute Garantie.
Schulungen & Sensibilisierung
Wie häufig sollten Mitarbeitende sensibilisiert werden? ses collaborateurs ?
Sensibilisierung muss kontinuierlich erfolgen, um wirksam zu sein, da sich Bedrohungen ständig weiterentwickeln und gute Verhaltensweisen mit der Zeit nachlassen. Wir empfehlen regelmässige Massnahmen über das ganze Jahr hinweg: Sensibilisierungssitzungen, simulierte Phishing-Kampagnen und Evaluationsfragebögen. Durch die Wiederholung und Kontextualisierung der wichtigsten Botschaften lässt sich eine nachhaltige Sicherheitskultur verankern – insbesondere angesichts der Tatsache, dass mehr als 90 % der erfolgreichen Cyberangriffe auf menschliche Fehler zurückzuführen sind.
Wird ein Mitarbeitender bestraft, wenn er auf eine simulierte Phishing-Mail klickt?
Nein. Unsere simulierten Phishing-Kampagnen verfolgen einen pädagogischen und unterstützenden, nicht einen strafenden Ansatz. Ziel ist es, zu lernen und nicht zu bestrafen. Die Ergebnisse werden gesamthaft analysiert, um Themenbereiche zu identifizieren, die verstärkt werden sollten, ohne einzelne Personen zu stigmatisieren.