Standards & Compliance

Die Rahmenwerke, gegen die wir jedes Audit führen · Letzte Aktualisierung: Juli 2026

Jedes Audit, das RFI-IRFOS durchführt, wird gegen geltendes EU- und österreichisches Recht geführt. Wir verfolgen neue Standards, sobald sie in Kraft treten, und halten unsere Methodik aktuell. Diese Seite listet auf, was das in der Praxis tatsächlich bedeutet — die konkreten Rahmenwerke, nicht nur die Behauptung, wir würden „Best Practices" befolgen.

NIS-2 · NISG 2026

Die EU-Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau, umgesetzt in österreichisches Recht als NISG 2026. Sie verlangt Risikomanagement nach dem Stand der Technik, strenge Vorfallsmeldung an nationale Behörden und persönliche Haftung der Unternehmensführung. In Österreich betrifft sie direkt rund 4.000 wesentliche und wichtige Einrichtungen, plus geschätzte 50.000 Lieferkettenpartner.

In der Praxis umfasst das drei Dinge: Risikomanagement (Kryptografie, Zugriffskontrolle, Lieferkettensicherheit), Vorfallsreaktion (verpflichtende Meldung innerhalb strenger Fristen) und Unternehmensverantwortung (Geschäftsführung persönlich haftbar bei Nichteinhaltung). Umfang: ~4.000 Einrichtungen direkt, ~50.000 Lieferkettenpartner — siehe nis.gv.at.

DSGVO · EU 2016/679

Art. 6 Rechtsgrundlage, Art. 9 besondere Kategorien (Gesundheit/Biometrie), Art. 8 Kinder, Art. 33 Meldung von Verletzungen. Das Rückgrat jeder Offenlegung, die wir einreichen.

EU AI Act · EU 2024/1689

Risikogestufte Pflichten für KI-Systeme: Transparenz, Governance, Analyse verbotener Praktiken für die Modelle, die wir prüfen und bauen.

EU DSA · EU 2022/2065

Digital Services Act. Pflichten zu systemischen Risiken und illegalen Inhalten. Bei Plattform-Funden direkt beim irischen Digital Services Coordinator (Coimisiún na Meán) eingereicht.

ISO/IEC 29147 · International

Offenlegung von Schwachstellen. Unser koordinierter Rahmen folgt dem Standard aus 90-Tage-Embargo und Behördenbenachrichtigung — siehe unsere Sicherheitsrichtlinie für den Prozess selbst.

ISO/IEC 30111 · International

Prozesse zur Behandlung von Schwachstellen. Der interne Triage-, Validierungs- und Nachverfolgungs-Workflow hinter jeder koordinierten Offenlegung, die wir durchführen.

ISO/IEC 27001 · International

Informationssicherheits-Management. Das Kontrollset hinter unserem Umgang mit Evidenz, NDAs und Kundendaten.

COPPA · US · 15 U.S.C. §6501

Online-Datenschutz für Kinder. Angewendet über unsere Minderjährigenschutz-Audits von Apps, Spielen und Streaming-Plattformen hinweg.

EU MDR · EU 2017/745

Medizinprodukteverordnung. Klasse-IIb-Prüfung für Gesundheits-/Wearable-Apps, die Internet-of-Bodies-Daten verarbeiten.

eIDAS / Trust Services · EU 910/2014

Elektronische Identifizierung und Vertrauensdienste. Relevant für die biometrischen und Identitätsprüfungs-SDKs unter unserer Lupe.

ePrivacy-Richtlinie · EU 2002/58/EG

Einwilligung für Tracking, Zugriff auf Endgeräte, Vertraulichkeit der elektronischen Kommunikation. Art. 5 Abs. 3 ist das rechtliche Rückgrat jedes SDK-Einwilligungsfundes, den wir veröffentlichen.