Vertrauen & Compliance — ausgerichtet an EU- und US-Regeln gleichermassen.
Die technischen, datenschutzbezogenen und regulatorischen Nachweise, die Ihre Architektur-, Security- und Einkaufsprüfung braucht — überprüfbar, dokumentierbar und von Grund auf eingebaut, auf beiden Seiten des Atlantiks.
Nachweise statt Zusicherungen.
Überprüfbare, dokumentierbare Sicherheitslage — jede Aussage unten ist durch ein Artefakt belegt, das Ihr Team ablegen kann.
ISO 27001
Informationssicherheitsmanagement, ausgerichtet an ISO 27001 — die Kontrollen sind Annex A zugeordnet und werden auf Anfrage belegt. Die Readiness für ISO 42001 (KI-Managementsystem) ist im Aufbau.
DSGVO eingebaut
Privacy by Design und by Default. Mapping der Rechtsgrundlagen, Unterstützung bei der DSFA, Workflows für Betroffenenrechte fest eingebaut.
An SOC 2 ausgerichtete Kontrollen
Sicherheits-, Verfügbarkeits- und Vertraulichkeitskontrollen, ausgerichtet an den SOC-2-Trust-Kriterien.
Unabhängige Penetrationstests
Jährliche Penetrationstests durch Dritte sowie fortlaufendes Dependency-Scanning über den gesamten Stack.
Für Schweizer Unternehmen: revDSG, FINMA und der AI Act.
Die Schweiz hat kein eigenes KI-Gesetz — die Anforderungen sind trotzdem konkret. Wir bauen so, dass Sie deren Einhaltung nachweisen können.
Jede EU-Regel für agentenbasierte KI — vom ersten Tag an abgedeckt.
DSGVO, die EU-KI-Verordnung (AI Act), NIS2 und DORA sind keine nachträgliche Ergänzung — sie prägen die Architektur ab dem ersten Sprint.
Gebaut für die Regeln, die heute schon für Sie gelten.
KI- und Datenschutzregeln der US-Bundesstaaten gelten schon heute, weitere treten 2027 in Kraft — wir bauen nach der strengsten Regel, die für Sie gilt.
Für US-Unternehmen mit EU-Kunden: Wenn die Ergebnisse Ihrer KI Menschen in der EU erreichen, kann der AI Act für Sie gelten. Wir bauen von Anfang an danach, damit daraus später kein Umbau wird.
Ihre Daten bleiben dort, wo Sie es bestimmen.
EU-ansässiges Hosting ist der Standard und liegt ausserhalb der Reichweite des US CLOUD Act. Souveränität ist eine Design-Entscheidung: Betrieb in einer EU-Region bei EU-Anbietern, auf Anfrage in einer US-Region, oder vollständig selbst gehostete Open-Weight-Modelle innerhalb Ihres eigenen Perimeters — Cloud-Tenancy, privates Rechenzentrum oder air-gapped —, sodass Daten Ihren Bereich nie verlassen.
Keine Blackboxes. Keine stillen Zwischenstationen.
Sie sehen genau, wohin Daten fliessen, warum und unter welcher Kontrolle — die Antwort auf die Sorge vor undurchsichtigen KI-Datenflüssen.
Geregelte Datenverträge
Jede Datenbewegung ist ein expliziter, dokumentierter Vertrag. Keine stillen Multi-Provider-Weiterleitungen, keine Schattenkopien. Ihr Datenschutzbeauftragter kann die vollständige Karte einsehen.
Durchgängige Herkunftsnachweise
Jede Modellentscheidung protokolliert ihre Eingaben, Version und Policy-Gate — ein prüffähiger Herkunftsnachweis, den Sie nachvollziehen können, keine Blackbox.
Bei Übertragung & im Ruhezustand
TLS 1.3 bei der Übertragung, AES-256 im Ruhezustand, kundenverwaltete Schlüssel (BYOK/HYOK) bei Bedarf.
Zugriff nach dem Least-Privilege-Prinzip
Identitäten werden von Ihrem IdP übernommen. Zugriff ist rollenbasiert begrenzt, zeitlich befristet und vollständig protokolliert — kein dauerhafter Admin-Zugang.
Vier Schichten, durchgängig geregelt.
Sicherheit wird von der ersten Schicht an mitgedacht — nicht nachträglich nach der Demo angeflanscht.
Identität & Zugriff
SSO über Ihren IdP, SCIM-Provisionierung, MFA, rollenbasierte Zugriffskontrolle nach dem Least-Privilege-Prinzip, vollständiges Zugriffsprotokoll.
Netzwerk & Perimeter
Privates Networking, segmentierte VPCs, WAF, Secrets-Management, keine öffentlichen Modell-Endpunkte.
Daten & Governance
Klassifizierung, Herkunftsnachweise, Aufbewahrung, DLP sowie ein KI-Risikoregister, ausgerichtet an den Risikostufen des AI Act und den geltenden KI-Regeln der US-Bundesstaaten.
Modell & Betrieb
Eval-Gates, Guardrails, Prompt-/Versionskontrolle, Rollback sowie Human-in-the-Loop-Richtlinien, wo es darauf ankommt.
Ein Register, auf das Ihre DSFA verweisen kann — und ein Paket, das Ihr Einkauf direkt ablegen kann.
Transparent, aktuell und minimal. Standardmässig EU-ansässig; die vollständige Liste ist unter NDA verfügbar. Auf Anfrage senden wir das komplette Einkaufspaket: Antworten auf den Sicherheitsfragebogen, die Liste der Unterauftragsverarbeiter, eine AVV sowie Architektur- und Datenfluss-Diagramme.
| Unterauftragsverarbeiter | Zweck | Region | Schutzmassnahme |
|---|---|---|---|
| Microsoft Azure (EU) | Primäre Cloud & Compute | EU (West-/Nordeuropa) | EU-Datengrenze · SCCs |
| Databricks (EU) | Daten- & ML-Plattform | EU | EU-Datenresidenz · AVV |
| Selbst gehostete Modelle | Inferenz (souverän) | EU / Kunden-Perimeter | Keine externe Übertragung |
| Vollständiges, aktuelles Register auf Anfrage unter NDA · dpo@celthrac.com | |||
Verteidigbar.Von Grund auf.
Bringen Sie Ihren Sicherheitsfragebogen mit. Wir antworten mit Architektur und Artefakten, nicht mit Adjektiven.