Insights & Blog | Spirity Enterprise

Insights

Praxisnahe Beiträge zu unserer Arbeit — Compliance, Risiko, Detection und die Entscheidungen dahinter.

20. Oktober 2026
EBA-Leitlinien: Bestimmte Anbieter für interne Kontrollfunktionen gelten automatisch als kritisch
Die finalen Leitlinien der EBA zum Drittparteienrisiko stufen Anbieter, die Compliance, Risikomanagement und Audit unterstützen, ohne großes Aufsehen standardmäßig als kritisch ein. Die erste Aufgabe ist nicht eine weitere Fragebogenaktion, sondern die Neuaufnahme der Lieferantenübersicht, damit die Unternehmensleitung Risiken sieht, die bisher als Routine geführt wurden.
- third-party-risikomanagement
- eba-leitlinien
- lieferantenmanagement
- berichterstattung an den vorstand
- dora
- lieferantenprüfung
18. Oktober 2026
Kontinuität wird zum neuen Cybersecurity-Maßstab auf Vorstandsebene
Europäische Bankenaufsichtsbehörden beurteilen Institute inzwischen danach, ob kritische Dienste einen Angriff überstehen, und nicht mehr danach, ob der Angriff gestoppt wurde. So werden Kontinuitätsziele zu Nachweisen auf Leitungsebene.
- cyberresilienz
- dora
- vorstandsverantwortung
- geschäftskontinuität
- drittparteienrisiken
- cybersicherheit
16. Oktober 2026
Das 24-Stunden-Meldefenster des CRA ist ein Problem der Datenintegration
Die 24-Stunden-Meldefrist des Cyber Resilience Act (CRA) lässt sich nur einhalten, wenn Kriterien für die Bewertung von Sicherheitslücken und die relevanten Datenquellen bereits vor Eingang einer Warnmeldung dokumentiert sind. Der Beitrag zeigt, welche Prozesse zuerst festgelegt werden sollten, welche Systeme miteinander verknüpft werden müssen und welche Fragen Unternehmen ihren Lieferanten stellen sollten.
- cyber resilience act
- schwachstellenmanagement
- sbom
- schwachstellen-triage
- compliance
- framework-mapping
14. Oktober 2026
Ransomware-Angriffe: Wem können Unternehmen bei der Wiederherstellung wirklich vertrauen?
Ein Retainer verlegt die teuerste Beschaffungsentscheidung auf einen Zeitpunkt, an dem Sie noch Fragen stellen und Antworten erwarten können.
- ransomware
- incident response
- drittparteienrisiken
- beschaffungsrisiken
- recovery-betrug
9. Oktober 2026
Wenn ChatGPT die Strategie schreibt, tragen die Geschäftsführer die Verantwortung für die Entscheidung
Der Fall Lanmar verändert die Anforderungen an die Unternehmensleitung beim Einsatz von KI für Entscheidungen auf Leitungsebene. So wird die menschliche Prüfung in einem mittelständischen Unternehmen zu einem benannten, dokumentierten Schritt.
- ki-governance
- verantwortung des aufsichtsgremiums
- geschäftsführerpflichten
- corporate governance
- ki-risikomanagement
8. Oktober 2026
Eine vertraute Stimme am Telefon reicht nicht mehr zur Zahlungsfreigabe aus
Der Fideuram-Transfer zeigt, dass eine vertraute Stimme eine Zahlungsanweisung nicht mehr bestätigen kann, sobald synthetische Stimmen billig verfügbar sind. Die dauerhafte Lösung ist ein vorab vereinbarter zweiter Kanal, unabhängig von jeder Nachricht, den kein einzelner Anruf umgehen kann.
- deepfake-betrug
- zahlungsfreigabe
- verifizierung über einen separaten kommunikationskanal
- synthetische stimme
- security awareness
- finanzkontrollen
7. Oktober 2026
Die Rechtsabteilung übernimmt die Verantwortung für Cybersecurity, bevor der Vorstand einen Verantwortlichen benennt
Eine benannte verantwortliche Person für Sicherheit wird zum fehlenden Bindeglied, sobald die Rechtsabteilung die Verantwortung trägt; denn jemand muss vertragliche und regulatorische Pflichten in Sicherheitsmaßnahmen übersetzen, die die Unternehmensleitung überprüfen kann.
- cybersecurity-governance
- general counsel
- verantwortlichkeit für informationssicherheit
- virtueller ciso
- berichterstattung an den vorstand
- incident-response-planung
6. Oktober 2026
Was Lieferantenfragebögen nicht zeigen: Wer Zugriff auf Ihre Systeme hat
Angreifer nutzen gestohlene Lieferanten-Logins, um in Kundensysteme zu gelangen. Die entscheidenden Maßnahmen – MFA auf dem Verbindungskonto, zeitnahes Offboarding, Minimalrechte – lassen sich vor der nächsten Vertragsverlängerung überprüfen.
- third-party risk
- supply chain security
- credential management
- vendor due diligence
- mfa
- offboarding
2. Oktober 2026
Identitätsbetrug beginnt dort, wo interne Sicherheitskontrollen nicht mehr greifen
Was die Zunahme von Verkäufer-Identitätsbetrug für Verantwortliche in Finanz- und Immobilienunternehmen bedeutet, die in diesem Quartal ihre Betrugskontrollen überprüfen – und wo sie ansetzen sollten, bevor Abschlussanweisungen eintreffen. Die ALTA-Studie zeigt: Die Versuche haben sich verdoppelt; die Angriffsfläche sind Domains, Profile und Dokumente, die einen Betrug glaubwürdig machen.
- cybersicherheit
- digital risk protection
- online-betrug
- identitätsmissbrauch
- bec
- social engineering
- domain-monitoring
- zahlungbetrug
1. Oktober 2026
Die fünf Fragen des EDSA, die über ein DSGVO-Bußgeld entscheiden
Eine Konsultation gibt Sicherheitsverantwortlichen eine fünfstufige Methode an die Hand, mit der sie schon jetzt prüfen können, ob ihr DSGVO-Bußgeldrisiko einer Überprüfung standhalten würde – statt auf einen Vorfall zu warten.
- dsgvo
- datenschutz
- governance
- behördliche durchsetzung
- drittanbieterrisiken
- cybersecurity-beratung
30. September 2026
NIS2: Der Nachweis der Cybersicherheit kann zur Voraussetzung für den Vertragsabschluss werden
Der Lieferantenfragebogen eines Kunden ist das erste Anzeichen dafür, dass NIS2 ein mittelständisches Unternehmen erreicht hat. Wer Nachweise vorbereitet, bevor die Anfrage eintrifft, schließt schneller ab und erhält weniger Nachprüfungen.
- nis2
- cybersicherheit
- nis2-konformität
- lieferantenrisikomanagement
- lieferkettensicherheit
- lieferantenprüfung
- informationssicherheit
- cybersecurity compliance
29. September 2026
Bevor Geld fließt, ist das Rückfrage-Skript die Kontrolle
Deepfake-Betrug hat die reine Erkennung hinter sich gelassen. Die entscheidende Kontrolle ist ein skriptbasierter Verifikationsschritt vor Zahlungen und Datenanfragen, den Finanz- und Personalabteilung unter realistischem Druck einüben.
- deepfake fraud
- payment fraud
- cyber awareness
- verification controls
- social engineering
28. September 2026
Österreichs NISG 2026 tritt am 1. Oktober in Kraft – die Fristen der Geschäftsführung kommen zuerst
Was am 1. Oktober in Kraft tritt, welche Fristen zuerst die Geschäftsführung treffen – noch vor der IT – und welche Prüfungen vor dem Ende der Registrierungsfrist am 31. Dezember anstehen.
- nis2
- nisg-2026
- austria
- cybersecurity-compliance
- management-liability
- bcs
28. September 2026
Awareness-Programme sollten messen, ob Mitarbeitende unerwartete Anfragen verifizieren
Microsofts Abschaltung einer KI-gestützten Cybercrime-Plattform ist eine kleine Meldung mit einer weitreichenden Konsequenz für Schulungen: Wenn Angreifer gestohlenen Zugang mit weniger menschlichem Aufwand in Betrug verwandeln können, sollten Awareness-Programme die Verifizierung unerwarteter Anfragen über einen zweiten Kanal testen – und nicht allein das Erkennen von Fehlern.
- cyber awareness
- phishing simulation
- ai cybercrime
- business email compromise
- security training
24. September 2026
Der synthetisierte CEO-Anruf ist bereits der günstigste Weg, Ihre Freigaben zu umgehen
Die Umfrage ordnet KI-Stimmenkopien in einen Bericht über Schutzrechtsverletzungen ein. Die dringendere Gefahr ist die Zahlungsanweisung, die darauf aufsetzt – und die eine Prüfung, die sie stoppt.
- synthetic voice fraud
- executive impersonation
- digital risk protection
- payment fraud
- social engineering
- ai voice cloning
6. September 2026
Ihre Cybersicherheits-Checkliste für Januar
Ein praktischer, wirkungsvoller Leitfaden für einen Start ins Jahr mit einer soliden Sicherheitsgrundlage.
- cyber-checklist
- audit
- patch
6. September 2026
Warum steigt das menschliche Risiko zu Jahresbeginn sprunghaft an?
Branchen- und unternehmensgrößenübergreifend beobachten wir jedes Jahr dasselbe Muster: Im Januar nehmen Sicherheitsvorfälle, die auf menschliches Versagen zurückzuführen sind, zu.
- phishing
- awareness
- humanrisk