CIVAC als All-in-One-Compliance-Plattform für den Mittelstand: Architektur, Rollen, Belegtiefe

Mittelständische Unternehmen müssen heute Datenschutz nach DSGVO, Informationssicherheit nach NIS-2 und ISO/IEC 27001:2022, Arbeitsschutz nach ArbSchG, Hinweisgeberschutz nach HinSchG, Geldwäscheprävention nach GwG und je nach Branche 15 bis 25 weitere Pflichtrollen parallel führen. Das BSI schätzt allein die Zahl der NIS-2-betroffenen Unternehmen in Deutschland auf rund 29.500, die Bußgeldrahmen liegen bei wesentlichen Einrichtungen bei bis zu 10 Millionen Euro oder 2 Prozent des Konzernumsatzes. Die klassische Lösung waren bisher fünf bis zehn Excel-Tabellen, drei externe Beratungsverträge und ein Aktenschrank für die Bestellurkunden. Aufsichtsbehörden und Prüfer akzeptieren diese Fragmentierung immer weniger, weil sie systemische Konsistenzlücken erzeugt und im Ernstfall keine Vorlagefähigkeit innerhalb der gesetzlichen Fristen zulässt.

CIVAC ist als Compliance-Plattform und Officer-as-a-Service für genau dieses Problem gebaut. 25 Beauftragten-Rollen sind in einem Workspace abgebildet, vom Datenschutzbeauftragten bis zum Lieferanten-Auditor, mit 93 Controls nach ISO/IEC 27001:2022, 490 einsatzbereiten Audit-Vorlagen und einem NIS-2-Meldepfad mit 24-Stunden-Frühwarnung und 72-Stunden-Folgemeldung. Dieser Beitrag zeigt, wie die Plattform architektonisch aufgebaut ist, welche Belegtiefe sie liefert, welche zwei Bezugsmodelle KMU wählen können und in welchem Zeitfenster eine Erstbestellung tragfähig wird. Er erklärt zudem das Kostenmodell im Vergleich zur klassischen Beratung und die Implementierungsschritte von Tag 1 bis Woche 8.

Ein typisches mittelständisches Unternehmen mit 150 bis 800 Beschäftigten führt heute zwischen acht und zwölf Pflichtrollen parallel. Datenschutzbeauftragter nach Art. 37 DSGVO, Fachkraft für Arbeitssicherheit nach § 5 ASiG, Brandschutzbeauftragter nach ASR A2.2, Gefahrstoffbeauftragter nach GefStoffV, gegebenenfalls Gefahrgutbeauftragter nach § 1 GbV, Informationssicherheitsbeauftragter nach NIS-2 und BSI-Empfehlungen, interne Meldestelle nach HinSchG, Geldwäschebeauftragter nach § 7 GwG, Qualitätsmanagementbeauftragter nach ISO 9001:2015, Umweltschutzbeauftragter nach BImSchG oder KrWG. Hinzu kommen branchenspezifische Rollen wie Hygienebeauftragter in der Lebensmittelproduktion oder Strahlenschutzbeauftragter in radiologischen Praxen.

Jede Rolle hat eigene Bestellpflichten, eigene Berichtslinien, eigene Audit-Vorlagen, eigene Aufbewahrungsfristen und eigene Bußgeldrahmen. In der Praxis werden sie auf fünf bis zehn Personen verteilt, oft als Zusatzaufgabe ohne klare Stundenkontingente. Die Dokumentation liegt in Excel-Tabellen auf verschiedenen Laufwerken, die Bestellurkunden in Aktenordnern, die Audit-Protokolle in PDF-Sammlungen ohne Versionskontrolle. Bei einer anlassbezogenen Prüfung muss die Geschäftsführung innerhalb von 14 Tagen Konsistenz herstellen, die intern nie hergestellt war.

Diese Fragmentierung erzeugt drei systemische Risiken: Erstens werden Fristen übersehen, weil keine zentrale Sicht auf die Berichtslinien existiert. Zweitens entstehen Widersprüche zwischen Dokumenten, etwa zwischen DSB-Verzeichnis und ISMS-Asset-Liste. Drittens fehlt im Bußgeldverfahren der Nachweis ordnungsgemäßer Organisation nach § 130 OWiG. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Ein viertes Risiko ist betriebswirtschaftlich: Die Beraterhonorare summieren sich, ohne dass eine konsistente Belegbasis entsteht. Wer drei externe Beraterverträge mit Tagessätzen zwischen 1.200 und 2.500 Euro hält und parallel zwei bis vier Spezialtools lizenziert, gibt im KMU regelmäßig 60.000 bis 250.000 Euro pro Jahr aus, ohne dass eine einheitliche Sicht auf Risiken, Maßnahmen und Restrisiken entsteht. Bei Übernahmen, Bankenprüfungen, Versicherungsabschlüssen oder Beschaffungsverfahren rächt sich diese Lücke: Die Due-Diligence verzögert sich, die Konditionen verschlechtern sich, im schlimmsten Fall wird der Vertrag verloren.

CIVAC bildet alle 25 Beauftragten-Rollen in einem gemeinsamen Workspace ab. Die Rollen reichen vom Datenschutzbeauftragten (DSB) über den Compliance-Beauftragten (CO), den Informationssicherheitsbeauftragten (ISB), die Fachkraft für Arbeitssicherheit (SiFa), den Brandschutz-, Gefahrstoff-, Gefahrgut-, Umweltschutz-, Geldwäsche-, Qualitätsmanagement- und Lieferketten-Beauftragten bis zu spezialisierten Rollen wie Strahlenschutz-, Störfall-, Notfall-, Immissionsschutz-, Inklusions-, Abfall- und Gewässerschutzbeauftragten. Jede Rolle hat ein eigenes Modul mit Pflichtdokumenten, Audit-Vorlagen, Berichtslinie zur Geschäftsführung und Meldelogik gegenüber der zuständigen Aufsichtsbehörde.

Die Architektur folgt einem dreistufigen Belegmodell: Bestellung, Tätigkeit, Audit. Auf der Bestellebene wird die Bestellurkunde generiert, unterschrieben und mit der Meldung an die Aufsichtsbehörde verknüpft, sofern eine Meldepflicht besteht. Auf der Tätigkeitsebene werden die jährlichen Pflichtaktivitäten geplant und dokumentiert: Schulungen, Begehungen, Risikobewertungen, Verzeichnisse, Notfallübungen. Auf der Auditebene werden externe Prüfungen, ISO-Zertifizierungen oder Aufsichtsersuchen mit Vorbereitung, Durchführung und Nachverfolgung abgebildet.

Die 93 Controls nach ISO/IEC 27001:2022 sind als Mapping zu den NIS-2-Anforderungen, zu Art. 32 DSGVO und zu branchenspezifischen Rahmenwerken hinterlegt. Wer einen Control bearbeitet, aktualisiert automatisch die referenzierenden Dokumente. EU-Datenresidenz ist Standard, alle Inhalte liegen in einem nach ISO/IEC 27001:2022 zertifizierten Rechenzentrum in der Europäischen Union. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Verknüpfung zwischen den Modulen folgt einem konsequenten Referenzmodell: Jede Aussage in einem Dokument ist mit dem Belegdokument verknüpft, jede Bestellung mit der Meldung, jede Schulung mit dem Teilnahmenachweis, jeder Vorfall mit der Ursachenanalyse und dem Maßnahmenplan. Diese Verknüpfungen sind nicht optional, sondern Architekturprinzip. Wer ein Dokument verändert, sieht sofort, welche anderen Dokumente betroffen sind, und wird zur Aktualisierung geführt. Das verhindert die typischen Konsistenzlücken, die in der Excel-Welt zwischen Verzeichnis, AVV, TOM und DSFA entstehen und die in Aufsichtsprüfungen als Indizien für systemische Organisationsmängel gewertet werden.

CIVAC bietet zwei Bezugsmodelle, die je nach Unternehmensgröße, interner Kompetenz und gewünschter Haftungsverteilung gewählt werden. Im ersten Modell lizenzieren Unternehmen den Workspace für ihre intern bestellten Beauftragten. Die Rollen sind im Hause, die Bestellurkunden sind intern unterschrieben, die Plattform liefert die Templates, die Berichtslinien, die Audit-Vorlagen und die Versionskontrolle. Dieses Modell passt für Unternehmen mit ausgebauter interner Compliance-Funktion, etwa mit einer Rechtsabteilung, einem CISO, einer Personalleitung und einer QM-Funktion, die die operative Last tragen, aber die fragmentierte Dokumentation loswerden wollen.

Im zweiten Modell übernimmt CIVAC die Bestellung der externen Beauftragten als Officer-as-a-Service. Die Bestellung wird mit Bestellurkunde, Meldung an die Aufsichtsbehörde und vertraglich fixierter Berichtslinie zur Geschäftsführung dokumentiert. Die operative Verantwortung für die Rollenführung übernimmt CIVAC im vertraglich fixierten Umfang, von der Erstellung des Verzeichnisses nach Art. 30 DSGVO über die Reaktion auf Datenpannen nach Art. 33 DSGVO bis zur Vorbereitung auf Aufsichtsprüfungen. Die Geschäftsführung bleibt verantwortlich nach Art. 24 DSGVO und § 130 OWiG, hat aber eine vertraglich verbindliche Eskalations- und Berichtsstruktur.

Beide Modelle lassen sich kombinieren: Ein Unternehmen kann den DSB intern führen, den ISB extern bestellen und den Geldwäschebeauftragten als reine Workspace-Lizenz halten, je nach Kompetenz und Auslastung. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Die CIVAC-SLA von zwei Werktagen bis zur unterzeichneten Bestellung gilt in beiden Modellen.

Die Wahl zwischen den Modellen ist nicht allein eine Kostenfrage, sondern eine Frage der Haftungsverteilung und der internen Kapazität. Bei internen Bestellungen trägt die Geschäftsführung die volle Verantwortung nach Art. 24 DSGVO, § 130 OWiG und den jeweiligen Fachgesetzen. Bei externer Bestellung verlagert sich die operative Last vertraglich auf CIVAC, die Letztverantwortung bleibt jedoch beim Verantwortlichen. Diese Verteilung wird im Officer-as-a-Service-Vertrag mit klaren Eskalationsregeln, Reaktionsfristen und Berichtspflichten fixiert, sodass die Geschäftsführung auch bei externer Bestellung den nach § 130 OWiG geforderten Aufsichtsmaßstab konkret nachweisen kann.

Audit-Festigkeit entsteht durch drei Eigenschaften: lückenlose Verknüpfung von Aussagen und Belegen, Versionierung mit Änderungshistorie und Vorlagefähigkeit innerhalb der gesetzlichen Fristen. Die CIVAC-Plattform erfüllt alle drei Punkte als Architekturprinzip, nicht als Add-on. Jede Aussage im Verzeichnis nach Art. 30 DSGVO ist mit dem unterliegenden AVV, dem TOM-Dokument und der gegebenenfalls vorhandenen DSFA verknüpft. Jede ISMS-Aussage ist mit dem entsprechenden Control nach ISO/IEC 27001:2022 verknüpft. Jede Bestellung ist mit der Meldung an die zuständige Aufsichtsbehörde verknüpft und mit dem aktuellen Tätigkeitsstand.

Versionierung ist nicht optional. Jede Änderung wird mit Zeitstempel, Bearbeiter und Vorher-Nachher-Vergleich abgelegt. Bei einem Aufsichtsersuchen, einem Bußgeldverfahren oder einer Due-Diligence-Prüfung lässt sich der historische Stand zu einem beliebigen Stichtag rekonstruieren. Das ist nicht nur ein Komfortmerkmal, sondern ein konkreter Beweismittelstand: In Schadensersatzverfahren nach Art. 82 DSGVO oder in Bußgeldverfahren nach Art. 83 DSGVO trägt der Verantwortliche die Nachweislast, dass er ordnungsgemäß organisiert war.

Vorlagefähigkeit innerhalb der Fristen ist die dritte Säule. Bei einer Datenpanne nach Art. 33 DSGVO greift die 72-Stunden-Meldepflicht, bei NIS-2 die Logik aus 24 Stunden Frühwarnung und 72 Stunden Folgemeldung. Die Plattform stellt den Meldepfad mit vorbereiteten Templates bereit, die Pflichtfelder sind verlinkt mit dem ISMS und dem Verzeichnis. Der Prüfer ruft an, der Nachweis liegt bereit. Audit-fest, dokumentiert, § 30-fest, § 8a-fest, ISO-fest.

Die Audit-Festigkeit wirkt sich auch in der Sales-Pipeline und in Lieferantenaudits aus. Banken, Versicherungen, KRITIS-Betreiber und Behörden verlangen in Beschaffungsverfahren zunehmend Nachweise zu DSGVO-Verzeichnis, ISO-Zertifizierung, AVV, TOM und Hinweisgeber-Meldestelle. Wer diese Belege binnen Stunden statt Wochen liefert, gewinnt Verträge, die andere verlieren. Bei Übernahmen und Due-Diligence-Prüfungen reduziert die Belegtiefe den Aufwand für den Datenraum und schlägt sich direkt in Kaufpreis und Garantieumfang nieder, weil die Risikoabschläge entfallen, die bei lückenhafter Compliance regelmäßig angesetzt werden.

Die Übergangsfrist für ISO/IEC 27001:2022 läuft am 31. Oktober 2026 ab, ab diesem Datum sind nur noch Zertifikate nach der neuen Norm gültig. Die 93 Controls der neuen Anhang-A-Struktur sind in vier Themen gegliedert: organisatorische, personenbezogene, physische und technologische Maßnahmen. Die CIVAC-Plattform bildet alle 93 Controls als bearbeitbare Templates ab, mit Verknüpfung zu den NIS-2-Anforderungen nach BSIG, zu Art. 32 DSGVO und zu branchenspezifischen Rahmenwerken wie B3S für KRITIS-Betreiber. Jeder Control hat einen Reifegradindikator von 1 bis 5, einen Verantwortlichen, ein Review-Datum und einen Verknüpfungspunkt zu Audit-Findings.

NIS-2 verpflichtet rund 29.500 Unternehmen in Deutschland nach der Einstufung in wesentliche und wichtige Einrichtungen. Wesentliche Einrichtungen tragen ein Bußgeldrisiko von bis zu 10 Millionen Euro oder 2 Prozent des Konzernumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Die NIS-2-Meldepflicht folgt der 24/72-Logik: eine Frühwarnung an das BSI innerhalb von 24 Stunden ab Kenntnis, eine Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

CIVAC bildet diese Logik als ISB-Modul ab. Die Frühwarnung wird in einem geführten Workflow erstellt, mit verpflichtenden Feldern für Sachverhalt, Betroffenheit, Verfügbarkeitseinschränkung und Erstmaßnahmen. Die Folgemeldung baut auf der Frühwarnung auf und ergänzt die Ursachenanalyse und die geplanten Folgemaßnahmen. Frist läuft ab Kenntnis. Wer ohne System arbeitet, verliert die 24-Stunden-Frist regelmäßig in den ersten Stunden, weil interne Eskalation und externe Meldung parallel passieren müssen.

Die ISO/IEC 27001:2022-Zertifizierung wird durch akkreditierte Stellen ausgesprochen, nicht durch CIVAC. Die Plattform bereitet die Zertifizierung jedoch konsequent vor: alle 93 Controls sind bewertet, dokumentiert und mit Belegen verknüpft, die internen Audits sind geplant und durchgeführt, das Management-Review ist als Funktion abgebildet, und die Findings aus früheren Audits sind mit Maßnahmenplänen hinterlegt. Wer als KMU zum ersten Mal in eine ISO-Zertifizierung geht, reduziert mit der CIVAC-Plattform die Vorbereitungszeit von typischerweise sechs bis zwölf Monaten auf drei bis sechs Monate.

Eine Compliance-Plattform verarbeitet besonders sensible Daten: Bestellurkunden mit Namen und Anschriften der Beauftragten, Audit-Findings mit Schwachstellenbeschreibungen, Hinweisgeber-Meldungen mit Identitätsangaben, Risikoanalysen mit Bedrohungsmodellen, Verzeichnisse mit Übersichten über alle Verarbeitungstätigkeiten. Diese Informationen sind das Kernziel jeder Aufsichtsprüfung und gleichzeitig ein attraktives Ziel für Angreifer, weil sie ein vollständiges Bild der Schwachstellen eines Unternehmens enthalten. Datenresidenz und Vertraulichkeit sind daher keine Compliance-Nebenbedingungen, sondern Architekturentscheidungen.

CIVAC betreibt die Plattform in einer EU-Datenresidenz nach ISO/IEC 27001:2022 mit 93 Controls. Alle Inhalte, einschließlich Backups und Logs, liegen in Rechenzentren innerhalb der Europäischen Union. Es findet keine routinemäßige Drittlandübermittlung statt. Die Mandantentrennung ist logisch und kryptografisch umgesetzt, mit getrennten Schlüsselhierarchien je Mandant. Privilegierte Zugriffe durch CIVAC-Personal sind protokolliert, Vier-Augen-pflichtig und auf vertraglich definierte Anlässe beschränkt.

Für Mandanten, die unter NIS-2 oder branchenspezifische Regelungen wie BAIT, VAIT, DORA fallen, stellt CIVAC eine Auftragsverarbeitung nach Art. 28 DSGVO mit Standardvertragsklauseln, eine TOM-Dokumentation nach Art. 32 DSGVO und eine ISMS-Schnittstelle zur Verfügung. Die Konfiguration der Schutzbedarfsklassen erfolgt mandantenspezifisch und folgt den BSI-Standards 200-2 und 200-3, sodass die CIVAC-Plattform sich nahtlos in vorhandene ISMS-Strukturen einfügt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Die Hinweisgeber-Meldestelle nach HinSchG erfordert besondere Vertraulichkeitsgarantien, weil identifizierende Informationen geschützt sein müssen. CIVAC bildet die Meldestelle als eigenen, mandantengetrennten Bereich mit zusätzlicher Verschlüsselung der Inhalte ab, mit einer dedizierten Berichtslinie an die durch das Unternehmen benannte Empfangsperson und mit einer auditierbaren Trennung der Zugriffsrechte. Der Zugriff durch CIVAC-Personal ist auf vertraglich definierte Wartungsanlässe beschränkt und vollständig protokolliert, sodass die Anforderungen an den Schutz der Identität der hinweisgebenden Person nach § 8 HinSchG eingehalten werden.

Die Erstimplementierung folgt einem standardisierten Pfad mit der CIVAC-SLA von zwei Werktagen für die Bestellung der externen Beauftragten und vier bis acht Wochen für den Vollausbau der Plattform. Tag 1 nach Vertragsabschluss: Workspace eingerichtet, Mandant aktiviert, Benutzerrollen vergeben, erste Bestellurkunde aus dem Template generiert und unterschriftsreif. Tag 2: Bestellurkunde unterschrieben, gegebenenfalls Meldung an die Aufsichtsbehörde versandt, Berichtslinie zur Geschäftsführung als Funktion eingerichtet.

Woche 1 bis 2: Stammdaten der Verarbeitungstätigkeiten aus dem Bestand übernommen oder mit den Fachbereichen in zwei bis drei Workshops je Bereich erhoben. AVV-Register importiert, TOM-Dokument auf den Stand der 93 ISO-Controls aktualisiert, erste Risikoanalyse nach ISO/IEC 27005 vorbereitet. Woche 3 bis 4: Audit-Vorlagen aus den 37 Templates für die spezifischen Rollen ausgewählt, erstes Jahresprogramm geplant, Schulungsplanung für die Beschäftigten erstellt.

Woche 5 bis 8: Erstes internes Audit durchgeführt, Findings dokumentiert, Maßnahmenplan beschlossen. Schnittstellen zu HR-Systemen, Ticket-Systemen und SIEM-Lösungen konfiguriert. Geschäftsführung erhält den ersten CO-Bericht nach Standardstruktur mit Risiken, Maßnahmen und Restrisiken. Im Vergleich zur klassischen Implementierung, die typischerweise zwei bis sechs Monate dauert, ist die Plattform in unter zwei Monaten in produktivem Betrieb. Aus dem Lesen einen Auftrag machen.

Im laufenden Betrieb übernimmt die Plattform die Erinnerungslogik für Pflichttermine: jährliche Schulungen, Begehungen, Risikobewertungen, ISMS-Reviews, ISO-Re-Zertifizierungen, GwG-Sorgfaltspflichten, NIS-2-Tests. Jede Erinnerung ist mit dem zuständigen Beauftragten und der Eskalationsstufe in der Berichtslinie verknüpft. Die Geschäftsführung sieht in einem Dashboard die kommenden 30, 60 und 90 Tage und die offenen Maßnahmen aus dem letzten Audit. Diese Sicht ersetzt das übliche Quartalsmeeting mit fünf Excel-Tabellen durch eine konsolidierte Risikosicht, die in 15 Minuten erfasst werden kann.

Die klassische Compliance-Beratung im Mittelstand kombiniert zwei bis fünf externe Berater mit Tagessätzen von 1.200 bis 2.500 Euro, Aufwänden zwischen 20 und 80 Tagen pro Jahr je nach Rollenumfang, und einer Software-Landschaft aus zwei bis vier Spezialtools mit jährlichen Lizenzkosten zwischen 8.000 und 40.000 Euro. Die typische Gesamtbelastung eines mittelständischen Unternehmens mit acht bis zwölf Pflichtrollen bewegt sich zwischen 60.000 und 250.000 Euro pro Jahr, ohne dass eine konsistente Belegtiefe entsteht.

CIVAC bündelt diese Aufgaben in einer Plattform mit einem Lizenzmodell, das nach Rollen und Bezugsmodell skaliert. Im Workspace-Modell zahlen Unternehmen eine jährliche Lizenz, die alle 25 Rollen mit Templates, Versionierung, Audit-Vorlagen und Schnittstellen umfasst. Im Officer-as-a-Service-Modell wird je bestellter Rolle ein monatliches Fixhonorar abgerechnet, das die operative Führung, die Berichtspflicht und die Vorbereitung auf Aufsichtsprüfungen abdeckt. Mischmodelle sind erlaubt.

Der ROI entsteht in drei Dimensionen. Erstens: direkte Kosteneinsparung durch Bündelung in einer Plattform statt drei bis fünf Spezialtools und mehrerer Beraterverträge. Zweitens: vermiedene Bußgeld- und Schadensersatzrisiken nach Art. 83 DSGVO bis 10 Millionen Euro, nach NIS-2 ebenfalls bis 10 Millionen Euro, nach § 130 OWiG persönliche Haftung der Geschäftsführung. Drittens: Beschleunigung der Sales-Pipeline und Due-Diligence, weil Lieferantenaudits und Beschaffungsverfahren ohne Verzögerung beantwortet werden können. Der Prüfer ruft an, der Nachweis liegt bereit.

Eine konservative Rechnung für ein mittelständisches Unternehmen mit acht Pflichtrollen und 300 Beschäftigten ergibt regelmäßig eine Kostenparität bereits im ersten Jahr und eine Kostenreduktion zwischen 30 und 50 Prozent ab dem zweiten Jahr, gerechnet ohne die Vermeidungseffekte bei Bußgeldern und ohne die positiven Effekte in der Sales-Pipeline. Werden diese Effekte mit konservativen Eintrittswahrscheinlichkeiten bewertet, liegt der wirtschaftliche Vorteil deutlich über der reinen Kostenrechnung. Wesentlicher als der ROI ist allerdings das vermiedene Restrisiko, das im KMU mit fragmentierter Compliance regelmäßig unterschätzt wird, weil es nicht in der Bilanz steht.

CIVAC ersetzt nicht die unternehmerische Verantwortung, aber es ersetzt die Aktenschrank-Logik durch eine Software-Logik. Wer die fragmentierte Excel- und Beraterwelt heute betreibt, kennt das Risiko: eine einzige Aufsichtsprüfung, eine einzige Datenpanne, eine einzige Lieferantenanfrage kann tagelang Ressourcen binden, weil interne Konsistenz nicht existiert. Wer auf eine Plattform umstellt, baut sich nicht nur ein Reporting-Werkzeug, sondern ein operatives System, das die Compliance-Last der nächsten fünf bis zehn Jahre tragen kann, inklusive NIS-2-Erweiterungen, AI-Act-Pflichten und kommenden ESG-Reporting-Anforderungen nach CSRD.

Die Entscheidung zwischen den beiden Bezugsmodellen hängt vor allem an interner Kompetenz und an der gewünschten Haftungsverteilung. Wer einen erfahrenen CISO, eine eingespielte Rechtsabteilung und eine geübte QM-Funktion hat, lizenziert den Workspace und führt die Rollen intern. Wer die Bestellung externer Beauftragter sucht, weil die internen Ressourcen fehlen oder die Haftung auf einen vertraglich gebundenen Partner übergehen soll, bestellt die Beauftragten als Officer-as-a-Service. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Wenn Sie für Ihr Unternehmen den Bestand prüfen oder eine konkrete Rolle bestellen wollen, machen Sie aus dem Lesen einen Auftrag. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir antworten innerhalb eines Werktags mit einem konkreten Vorschlag, der Rolle, Umfang, Berichtslinie und SLA verbindlich macht. Die FAQ-Seite beantwortet die häufigsten Fragen zu Rollen, Bestellurkunde und Datenresidenz vorab. Wer zunächst nur eine Standortbestimmung sucht, kann einen 45-minütigen Termin vereinbaren, in dem CIVAC den aktuellen Compliance-Stand gegen die 25 Rollen spiegelt, die offenen Pflichten identifiziert und einen Vorschlag für die Reihenfolge der Bestellung macht.