Meine Resilienz-Versicherung

Nur die französische Fassung ist verbindlich. Diese Fassung ist eine Übersetzung zu Ihrer Information. Französische Fassung anzeigen

Wenn ein Unternehmen seine Daten und Prozesse einem Dienstleister anvertraut, lautet die eigentliche Frage nicht „Funktioniert es?“, sondern „Was, wenn es nicht mehr funktioniert, oder wenn ich gehen möchte?“. Für Finanzunternehmen macht die europäische DORA-Verordnung daraus eine Pflicht. Für alle anderen ist es gesunder Menschenverstand.

Das Etrebil-Abonnement wurde mit dieser Frage im Kopf entworfen: Es dient als Sicherheitspolster, wie eine Versicherung. Einerseits hilft es Ihnen, Ihre aktuellen Systeme leichter zu verlassen. Andererseits bindet es Sie nicht an uns. Dazwischen gibt es Ihnen die Mittel, einen Kontinuitätsplan vorzubereiten, den Sie tatsächlich durchspielen und vorzeigen können.

1. Eine Versicherung im Sinne einer Vorsorge

Das Wort „Versicherung“ ist ein Bild. Es ist kein Versicherungsvertrag und keine Erfolgsgarantie, und es ist keine Entschädigung vorgesehen. Es handelt sich um konkrete Vorkehrungen, die Sie selbst überprüfen können:

Ihre Daten bleiben Ihre Daten, und mehrere Anwendungen exportieren sie in ein ZIP-Archiv, das sich ohne unsere Werkzeuge lesen lässt (CSV, JSON, Markdown);
für die meisten dieser Anwendungen läuft ein Desktop-Pendant offline unter Windows, Linux und Android, mit den Daten auf dem Gerät;
Werkzeuge für den Ausstieg (Migration, DataVirt, Contracts) helfen Ihnen, ein bestehendes System zu verlassen, ohne den Betrieb zu stören;
Register und Bewertungen (Process, Architektur und Prozesse, Policies) führen die Dokumentation, die eine Ausstiegsstrategie verlangt.

2. Was DORA verlangt und wo wir helfen

Die Verordnung (EU) 2022/2554, kurz DORA, zielt auf die digitale operationale Resilienz von Finanzunternehmen. Vier ihrer Anforderungen betreffen das Thema dieser Seite unmittelbar:

Artikel 28 Absatz 8: Für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, legt das Finanzunternehmen Ausstiegsstrategien fest, die umfassend, dokumentiert, ausreichend getestet und regelmäßig überprüft sind;
Artikel 30 Absatz 3 Buchstabe f: Der Vertrag mit dem Dienstleister sieht diese Ausstiegsstrategien vor, insbesondere eine verbindliche angemessene Übergangsfrist;
Artikel 12: dokumentierte Richtlinien für die Datensicherung und Verfahren zur Wiederherstellung, deren Verfahren regelmäßig getestet werden;
Artikel 11: eine Richtlinie zur Fortführung der IKT-Geschäftstätigkeit mit ihren Reaktions- und Wiederherstellungsplänen.

Etrebil hilft bei der Vorbereitung dieser Punkte. Wir bescheinigen nichts: Die Bewertung Ihrer Lage, die Wahl Ihrer kritischen Funktionen und die Entscheidung über die Konformität bleiben bei Ihnen, gemeinsam mit Ihrer Rechtsberatung und Ihrer Aufsichtsbehörde. Die in Policies mitgelieferten Referenzanforderungen sind umformulierte Beispiele, wenige an der Zahl und ohne Anspruch auf Vollständigkeit.

Das gilt in beide Richtungen. Ihre eigenen IKT-Dienstleister unterliegen Ihren Ausstiegsanforderungen; Etrebil ist einer davon, wenn Sie uns wichtige Dienste anvertrauen. Wir geben Ihnen deshalb lieber die Mittel, uns zu verlassen, als Sie zu bitten, uns aufs Wort zu glauben.

3. Ihre aktuellen Systeme leicht verlassen

Eine Ausstiegsstrategie ist nur etwas wert, wenn es eine Ausweichlösung gibt und der Wechsel geübt wurde. Dabei helfen folgende Werkzeuge.

Migration: in Wellen umziehen

Migration übernimmt E-Mails von einem IMAP-Server, Microsoft 365 oder Google Workspace auf einen IMAP-Server oder Microsoft 365, in Wellen, die Sie starten, anhalten und fortsetzen; eine Synchronisierung der letzten Änderungen geht der Umstellung voraus.
Es liest Active Directory, LDAP, Entra ID oder eine CSV- oder LDIF-Datei und ordnet die Identitäten von Quelle und Ziel einander zu.
Es synchronisiert Dateifreigaben (lokaler Ordner, Windows-Freigabe, WebDAV) mit ihren Windows-Zugriffsrechten, nach einer Vorschau dessen, was getan würde.
Was es noch nicht kann: Kalender und Kontakte migrieren, in das Zielverzeichnis schreiben, Google Workspace als Ziel verwenden. Es befindet sich in Vorbereitung und wurde noch nicht an echten Postfächern oder echten Verzeichnissen erprobt.

Odoo: Ihre Daten in Business übernehmen

Business kann aus Odoo 17, 18 oder 19 Angebote, Aufträge, Rechnungen und die Buchhaltung übernehmen, mit Summen, die mit denen von Odoo abgeglichen sind; automatisierte Regeln kommen deaktiviert an und sind zu prüfen.
Diese Übernahme wurde auf einem Prüfstand erprobt, nicht mit Ihren Daten: Planen Sie eine Probe ein, bevor Sie sich darauf verlassen.

DataVirt: üben, ohne die Produktion anzufassen

DataVirt erzeugt in wenigen Sekunden eine virtuelle Datenbank über Ihrer Produktion, mit maskierten personenbezogenen Daten. Alles, was Sie dort schreiben, bleibt in der virtuellen Datenbank.
Die Auswirkungsanalyse spielt Ihre Abfragen vor und nach einer Änderung erneut ab: kaputte Abfragen, veränderte Ergebnisse, verlorene Indizes und alles, was von einer entfernten Spalte abhängt.
So können Sie eine Migration oder Umstellung mehrfach von Anfang bis Ende ausprobieren, ohne Risiko für den Betrieb.

Contracts: wissen, wann und zu welchem Preis man geht

Contracts führt das Register Ihrer Verträge: Daten, stillschweigende oder ausdrückliche Verlängerung, Kündigungsfristen, berechnete Fälligkeiten, frühestes Ende und die verbleibende feste Bindung.
Es kennzeichnet einen Dritten als kritischen Dienstleister, wenn eine wichtige Tätigkeit von ihm abhängt, und erzeugt einen Terminplan zum Import in Ihren Kalender.

4. Sich auch nicht an uns binden

Der Ausstieg gilt auch für Etrebil. Dafür gibt es das Desktop-Pendant und den Export.

Export, lesbar ohne unsere Werkzeuge: Business (für seine Marken), Contracts, CRM (einschließlich Kampagnen), Payroll, Policies und HR (für seine Spesenabrechnungen) exportieren die Organisation als ZIP-Archiv (Register als CSV, Objekte als JSON, Texte als Markdown, Originalanhänge). Connect exportiert seine Unterhaltungen ebenso, und SOC exportiert seine Ereignisse als CSV oder NDJSON und seine Konfiguration als JSON.
Geprüfter Import: Contracts und Policies prüfen das Archiv beim Import, mit verifizierten Prüfsummen, und wenden alles in einer einzigen Transaktion an.
Offline-Pendant: Business (für seine Marken), Contracts, CRM, Payroll und HR (für seine Spesenabrechnungen) laufen unter Windows, Linux und Android ohne Server, mit den Daten auf dem Gerät; Policies läuft unter Windows und Linux und lässt sich unter Android lesen.
Das Architekturmodell von Architektur und Prozesse liegt in einer Datei, mit seinem Dokumentenordner, auf einem Windows-Rechner, ohne Server.

Diese Liste umfasst nicht den ganzen Katalog. Andere Anwendungen wie CMDB, Business, Family oder Polls haben derzeit keinen Export der Organisation. Bevor Sie eine Ausstiegsstrategie auf eine Anwendung gründen, prüfen Sie auf ihrer Seite, dass sie exportiert und was sie exportiert.

Zwei Punkte sind noch festzulegen, und wir sagen sie Ihnen lieber: wie lange ein Desktop-Pendant arbeitet, ohne den Server zu erreichen, und was nach Ende des Abonnements mit dem Export geschieht. Exportieren Sie bis dahin vor der Kündigung, nicht danach, und rechnen Sie nicht mit zeitlich unbegrenzter Offline-Arbeit.

5. Ein Kontinuitätsplan, einfach und belegbar

Ein Plan, der nie durchgespielt wurde, ist nur eine Absicht. Hier eine Übung, die Sie selbst durchführen, mit Schritten, die heute in den oben genannten Anwendungen funktionieren:

exportieren Sie die Organisation einer Anwendung als ZIP-Archiv und notieren Sie Datum und Anwendung;
öffnen Sie das Archiv mit einer einfachen Tabellenkalkulation und einem Texteditor: Wenn Sie Ihre Daten lesen können, brauchen Sie uns dafür nicht;
trennen Sie bei einem Rechner das Netzwerk und öffnen Sie das Desktop-Pendant: Das Register bleibt les- und bearbeitbar;
importieren Sie das Archiv in eine leere Organisation und vergleichen Sie: In Contracts und Policies prüft der Import die Prüfsummen der Dateien;
halten Sie das Ergebnis fest: In Architektur und Prozesse enthält die Bewertung eines Lieferanten ein Feld „getesteter Kontinuitätsplan“; in Contracts kennzeichnen Sie den Lieferanten als kritischen Dienstleister; Process führt die DORA-Register (IKT-Dienstleister, Vorfälle, Risiken), mit einem Prüfpfad, dessen Einträge jeweils einen SHA-256-Fingerabdruck tragen.

Die Produkte erzeugen keinen Übungsbericht: Das Protokoll ist Ihres, und Sie werden es vorzeigen. Etrebil sorgt dafür, dass die Übung kurz ist, mit lesbaren Dateien arbeitet und eine Spur hinterlässt, die Sie aufbewahren können.

Für die Überwachung und das Inventar rund um diesen Plan führt CMDB das Inventar der IT-Assets, SOC bündelt die Protokolle und löst Alarme aus, und die Sicherheitsprüfung durchleuchtet Verzeichnis, Rechner, Netzwerk und Anwendungen.

6. Was diese Seite nicht sagt

Dies ist weder eine Garantie noch ein Versicherungsvertrag noch eine Rechtsberatung. Keine Etrebil-Anwendung bescheinigt die Konformität mit DORA oder einem anderen Text.
Das DORA-Informationsregister von Process wird als XML in einem Process-eigenen Format exportiert, nicht im offiziellen Einreichungsformat, das in Vorbereitung ist.
Mehrere Anwendungen sind noch in Vorbereitung. Der Stand jeder einzelnen, ihre Plattformen und ihre Grenzen stehen auf ihrer Seite: Lesen Sie sie, bevor Sie sich darauf verlassen.
Backup, die Sicherung des Rechners, startet noch keine Sicherung: Wir rechnen sie in diesen Plan nicht ein.
Nichts davon ersetzt einen Test mit Ihren eigenen Daten.

7. Der Einstieg

Wählen Sie eine Funktion, die für Sie zählt, und die Anwendung, die sie trägt.
Spielen Sie die Übung des vorigen Abschnitts mit Testdaten durch.
Halten Sie das Ergebnis fest und wiederholen Sie es, sobald Sie Werkzeug oder Dienstleister wechseln.