// sicherheit & vertrauen

Prüfbare Nachweise. Verifizierbare Kontrollen.

Kotav Labs liefert autorisierte Sicherheitsbewertungen in einem kontrollierten Auftragsmodell. Diese Seite beschreibt Schutzmaßnahmen, Lieferkontrollen und klare Grenzen.

Sicherheitspaket anfordern Verantwortungsvolle Offenlegung

KOTAV / TRUST CENTER

Autorisierte Tests

EU-gehostete Nachweise

Geprüfte Ergebnisse

Trennung der Kundendaten

// operative schutzmaßnahmen

Sicherheit im Liefermodell verankert.

Diese Schutzmaßnahmen gelten über den gesamten Kundenprozess – von der schriftlichen Autorisierung bis zu geprüften Nachweisen und nachvollziehbarer Lieferung.

Autorisierte Tests

Tests beginnen erst, wenn Umfang, betroffene Systeme, Zeitfenster, Ausführungsgrenzen, Schreibrechte und Einsatzregeln dokumentiert sind.

EU-gehostete Nachweise

Bewertungsinfrastruktur und Nachweise werden in Deutschland gehostet. Unterauftragsverarbeiter und weitere Orte werden je Auftrag offengelegt.

Geprüfte Ergebnisse

Wesentliche Schwachstellen werden fachlich geprüft und mit bestätigten Nachweisen in einem prüfungsgeeigneten Bericht dokumentiert; PDF und SARIF stehen bei Bedarf zur Verfügung.

Trennung der Kundendaten

Der Zugriff ist auf die Daten des jeweiligen Kunden beschränkt. Eindeutige Rollen und serverseitige Autorisierung schützen Daten und Vorgänge.

Kontosicherheit

HttpOnly-Sitzungen, rotierende Token, TOTP-MFA, einmalige Wiederherstellungscodes und verschlüsselte Zugangsdaten schützen die Konten.

Nachvollziehbarkeit

Ausführungen, Änderungen an Schwachstellen, Nachprüfungen, Rollenänderungen und sensible Verwaltungsaktionen werden mit dem jeweiligen Verantwortlichen protokolliert.

// leistungsumfang

Klare operative Grenzen

Argus Sentinel gleicht öffentliche Informationen mit früheren Prüfungen ab. Rund-um-die-Uhr-Überwachung und Reaktion auf Sicherheitsvorfälle sind nicht Teil dieses Dienstes; eine Zertifizierung setzt eine unabhängige Prüfung voraus. Aufbewahrung, Unterauftragnehmer, Testfreigaben und Unterlagen werden je Auftrag vereinbart.

// sicherheitsprüfung

Unterlagen für die Sicherheitsprüfung

Während der Erstprüfung können wir die Vereinbarung zur Datenverarbeitung, Antworten auf Sicherheitsfragen, Angaben zu Unterauftragnehmern, Musterunterlagen und technische Erläuterungen unter angemessenen Vertraulichkeitsbedingungen bereitstellen.

DPA Verantwortungsvolle Offenlegung security.txt

// nachweisregister

Status und Umfang der Sicherheitsmaßnahmen.

Jeder Eintrag nennt seinen aktuellen Umfang und Status. Wir unterscheiden operative Kontrollen, freiwillige Verpflichtungen, Selbstauskünfte und unabhängige Zertifizierung.

Lokale Nachweise am 9. Oktober 2026 geprüft; externe Entscheidungen getrennt

ISO/IEC 27001:2022

Sicherheitskontrollen in Betrieb; Zertifizierung offen

Für Zugriff und MFA, Auditprotokolle, Überwachung, Backups und Branch-Schutz liegen datierte Nachweise vor. Das ISMS ordnet 16 Risiken und 93 Annex-A-Kontrollen zu. ISO-spezifische Freigaben, ein durchgeführtes internes Audit, Managementbewertung und unabhängige Zertifizierung stehen noch aus.

ISO-Hinweise

ISO/IEC 42001:2023

Interne Umsetzung abgeschlossen

AIMS, KI-Inventar, Folgen- und Risikobehandlung, Kontrollzuordnung, Betriebsnachweise, internes Audit und Managementbewertung sind im definierten Umfang abgeschlossen. Die unabhängige akkreditierte Zertifizierung steht noch aus.

Implementierungsnachweis öffnen

ISO 22301

Interne BCMS-Umsetzung abgeschlossen

Business-Impact-Analyse, Kontinuitätsstrategien, Wiederherstellungsübungen, Lieferantenabhängigkeiten, Managementbewertung und Korrekturmaßnahmen sind im definierten Umfang umgesetzt. Die unabhängige akkreditierte Zertifizierung steht noch aus.

Implementierungsnachweis öffnen

SOC 2 Type II

Kontrollbasis umgesetzt

Kontrolldesign, Verantwortlichkeiten und Nachweisprozess sind im definierten Umfang umgesetzt. Die Prüfung durch einen unabhängigen Service Auditor und der Type-II-Bericht stehen noch aus.

Implementierungsnachweis öffnen

NIS2

Dossier vorbereitet; Abschluss offen

Das interne Dossier umfasst 12 Prüfbereiche und 42 Nachweisquellen. Zehn Abschlussmaßnahmen sind offen, darunter aktuelle Betriebsnachweise, Managementfreigaben, rechtliche Anwendbarkeit und unabhängige Bewertung.

EU-Überblick zu NIS2

DORA

IKT-Lieferantenkontrollen umgesetzt

Das Kundennachweispaket deckt Sicherheit, Vorfälle, Resilienztests, Kontinuität, Unterauftragnehmer, Auditkooperation und Ausstiegsunterstützung ab. DORA stellt kein Lieferantenzertifikat aus; die kundenspezifische rechtliche Prüfung bleibt separat.

Implementierungsnachweis öffnen

EU Cyber Resilience Act

Produktkontrollen umgesetzt

Kontrollen für sichere Entwicklung, Schwachstellenbehandlung, Abhängigkeiten, Release-Nachweise und Support sind umgesetzt. Produktklassifizierung und anwendbarer Konformitätsweg müssen noch formell bestimmt werden.

Implementierungsnachweis öffnen

CSA STAR Level 1

Selbstauskunft veröffentlicht

CSA veröffentlichte die CAIQ-v4.1-Level-1-Selbstauskunft von Kotav Labs am 14. September 2026 im STAR Registry. Dies ist eine Selbstauskunft des Anbieters, keine unabhängige Prüfung.

CSA-Eintrag öffnen

CSA STAR for AI Level 1

Selbstauskunft veröffentlicht

CSA veröffentlichte die AI-CAIQ-v1.1.0-Selbstauskunft für Argus am 14. September 2026 im STAR Registry. Dies ist eine Selbstauskunft des Anbieters, keine unabhängige Zertifizierung oder Prüfung.

CSA-Eintrag öffnen

CREST AI Charter

Verpflichtung eingereicht

Kotav Labs hat sich am 5. September 2026 zu den neun CREST-KI-Grundsätzen bekannt. Öffentliche Listung und Badge stehen noch aus.

CREST-Grundsätze

MITRE-CNA-Antrag

Antragspaket vorbereitet

Offenlegungsrichtlinie und öffentliches Advisory-Verzeichnis sind veröffentlicht; primärer und stellvertretender operativer Kontakt sind benannt. Authentifizierte Einreichung und Annahme durch das CVE-Programm stehen noch aus.

Öffentliches Advisory-Verzeichnis

NIST CSF 2.0 und AI RMF

Rahmenwerke im Einsatz

Abgegrenzte Ist- und Zielprofile strukturieren unser internes Verbesserungsprogramm und die Prüfung der zugehörigen Nachweise.

NIST CSF

OWASP ASVS 5.0 und SAMM

Methodik eingeführt

Prüf- und Entwicklungspraktiken beziehen ausgewählte OWASP-Anforderungen ein und bewahren Prüfnachweise auf.

OWASP ASVS

NIST SP 800-115 / PTES

Prüfmethodik umgesetzt

Autorisierung, Umfang, Erkennung, kontrollierte Validierung, Nachweisbehandlung, Berichte, Behebung und Nachprüfung folgen einer dokumentierten, wiederholbaren Methode. NIST und PTES stellen hierfür kein Zertifikat aus.

Implementierungsnachweis öffnen

CSA AI Trustworthy Pledge

Offizielles Badge ausgestellt

CSA hat Kotav Labs das offizielle Trustworthy AI Pledge Badge 2026 ausgestellt. Die Aufnahme in das öffentliche Verzeichnis ist noch zu bestätigen.

CSA Pledge

EU Cybersecurity Skills Pledge

Zur Prüfung eingereicht

Kotav Labs hat die Verpflichtung und die Schulungsinitiative am 21. September 2026 zur Prüfung durch die Plattform eingereicht. Vorgesehen ist kostenlose Schulung für mindestens 25 Entwicklungs- und Sicherheitsfachkräfte in der EU bis zum 30. September 2027; Annahme und Veröffentlichung stehen noch aus.

EU-Verzeichnis der Zusagen

SME Climate Hub

Verpflichtung aktiv

Registrierung und E-Mail-Aktivierung wurden am 19. September 2026 abgeschlossen. Als Nächstes folgt die Emissionsbasis; ein Nachweis für ein öffentliches Profil wurde noch nicht erfasst.

Klimaverpflichtung

// grundlage einer aussage

Nachweise für jeden Status.

Eine Richtlinie allein beweist keinen Betrieb. Öffentliche Aussagen brauchen definierten Umfang, Verantwortliche, datierte Nachweise und dokumentierte Prüfung.

Autorisierung, Umfang und Einsatzregeln

Ausführungs- und Eingriffsprotokolle

Nachweisherkunft und fachliche Entscheidungen

Lieferanten-, KI- und Datenflussprüfungen

Wiederherstellungs-, Zugriffs- und Änderungsnachweise

Berichte, Empfehlungen und Ergebnisse der Nachprüfung