Compliance-Angebote von SAP

C5 hat sich aufgrund seiner Objektivität, seines Umfangs, seiner Kompaktheit und Testfähigkeit als Nachweis einer stabilen Grundlage für interne Audits und für das Management der Informationssicherheit in regulierten Branchen bewährt.

Die neueste EU-Richtlinie NIS-2 dient dem Zweck, die Cybersicherheits-Rahmenbedingungen für Anbieter kritischer Infrastruktur anzugleichen und zu verbessern. SAP ist nicht nur selbst als Anbieter kritischer Infrastruktur registriert, sondern kommt bei Betreibern kritischer Infrastrukturen in vielen Ländern zu Unterstützung der Einhaltung der jeweiligen Vorschriften für Cybersicherheit zum Einsatz. SAP ist ein in Deutschland registrierter Anbieter kritischer Infrastruktur (KRITIS) und unterliegt deutschem Recht. Wir verfolgen die weitere Umsetzung des NIS-2-Gesetzentwurfs in Deutschland und werden die Informationen entsprechend aktualisieren.

SAP wurde am 17. November 2025 von den Europäischen Aufsichtsbehörden (European Supervisory Authorities, ESA) offiziell als kritischer IKT-Drittanbieter (Critical ICT Third-Party Service Provider, CTPP) ausgewiesen. Diese Ernennung würdigt die wichtige Rolle von SAP zur Unterstützung der digitalen Infrastruktur des Finanzsektors. Als CTPP unterliegt SAP der direkten Aufsicht durch die ESA, wodurch eine bessere operative Resilienz und ein besseres Risikomanagement gewährleistet werden. Für unsere Kunden aus dem Finanzdienstleistungssektor verbessert diese Ernennung die Transparenz und stärkt das Vertrauen. Zudem zeigt sie, dass SAP bei der Bereitstellung von IKT-Dienstleistungen für die Finanzbranche die höchsten Standards in Bezug auf Sicherheit und Kontinuität erfüllt.

Der vom Europäischen Datenschutzausschuss verabschiedete und von der belgischen Datenschutzbehörde genehmigte EU Cloud Code of Conduct ermöglicht es Cloud-Dienstleistern, die Einhaltung von Artikel 28 der DSGVO und der damit verbundenen Artikel nachzuweisen.

Die EU-Datenverordnung (anwendbar seit dem 12. September 2025) soll die Zugänglichkeit und Nutzung von Daten innerhalb der EU erleichtern und damit die Datenwirtschaft und einen wettbewerbsfähigen Datenmarkt in der EU fördern. Ziel ist es, datengestützte Innovationen voranzutreiben und die Datenverfügbarkeit zu verbessern. Die in den 27 Mitgliedstaaten der Europäischen Union geltende Verordnung gibt Cloud-Kunden von Datenverarbeitungsdiensten das Recht, innerhalb einer festgelegten Kündigungsfrist den Anbieter zu wechseln.

Das EU-Gesetz zur künstlichen Intelligenz ist ein umfassendes neues Gesetz, mit dem potenziellen Risiken für Gesundheit, Sicherheit und Grundrechte durch die Entwicklung und den Einsatz von Technologien der künstlichen Intelligenz begegnet werden soll.

IT-Grundschutz ist ein vom BSI (Bundesamt für Sicherheit in der Informationstechnik) entwickeltes Rahmenwerk zur systematischen Gewährleistung der Informationssicherheit, das technische, organisatorische, infrastrukturelle und personelle Aspekte gleichermaßen berücksichtigt. Unser Informationssicherheitsnetzwerk deckt den sicheren Betrieb der Gebäudeinfrastruktur von SAP-eigenen Rechenzentren (in St. Leon-Rot und Walldorf) ab. Diese dienen als Grundlage für die Implementierung und Wartung redundanter Service- und IT-Infrastrukturen in Deutschland.

HDS (deutsch: Speicherung von Patientendaten) ist eine Zertifizierung für Dienstanbieter, die personenbezogene Gesundheitsdaten französischer Staatsangehöriger hosten. HDS wurde im Rahmen des französischen Gesetzes zur Modernisierung des Gesundheitswesens (Gesetz Nr. 2016-41) etabliert. Die SAP-Systeme zur Gewährleistung der Informationssicherheit sowie ausgewählte Cloud-Regionen und SAP-Standorte verfügen über Zertifikate für HDS 817871 und HDS 754140.

Der nationale Sicherheitsrahmen (National Security Framework, ENS) besteht aus den Grundprinzipien und Mindestanforderungen, die für einen angemessenen Schutz der verarbeiteten Informationen und der von einer Organisation erbrachten Dienste erforderlich sind. Die ENS-Compliance trägt dazu bei, den Zugang, die Vertraulichkeit, die Integrität, die Rückverfolgbarkeit, die Authentizität, die Verfügbarkeit und die Aufbewahrung von Daten und Diensten, die mit elektronischen Mitteln verarbeitet werden, sicherzustellen.

Cyber Essentials ist ein von der britischen Regierung unterstütztes Zertifizierungsprogramm für Cybersicherheit, das Unternehmen dabei unterstützt, sich vor gängigen Cyberbedrohungen zu schützen. Cyber Essentials ist in den folgenden Zertifizierungsstufen verfügbar:

1. Cyber Essentials (Stufe 1): eine Selbstbewertung, bei der Unternehmen einen Fragebogen ausfüllen, der anschließend von einer unabhängigen Zertifizierungsstelle geprüft wird
2. Cyber Essentials Plus (Stufe 2): eine technische Prüfung der IT-Systeme durch eine unabhängige Zertifizierungsstelle