Sicherheit, Compliance und die Antworten, nach denen Ausschreibungen immer fragen

Diese Seite ist die maßgebliche Quelle dafür, wie Vitalytics Ihre Daten verarbeitet, auf welche Frameworks wir unsere Kontrollen abbilden und welche Unterauftragsverarbeiter mit Ihren Informationen in Berührung kommen. Ihr Einkauf kann diese Angaben unverändert in einen Lieferantenfragebogen übernehmen.

Stand: Oktober 2026

Zertifizierungen & Frameworks

• An Cyber Essentials Plus ausgerichtete Kontrollen; die Zertifizierungsprüfung ist gebucht.
• Microsoft-Partner (Cloud Solution Provider über Giacom).
• UK GDPR: Verantwortlicher und Auftragsverarbeiter; beim Information Commissioner's Office (ICO) registriert unter ZB852223.

Unsere Kontrollen sind auf NIST CSF 2.0, Cyber Essentials und UK GDPR abgebildet. Die Zuordnung zeigen wir Ihnen auf Anfrage.

Wir arbeiten auf das NHS Data Security and Protection Toolkit (DSPT), ein an den Erwartungen der Financial Conduct Authority (FCA) ausgerichtetes Nachweispaket und SOC-2-Readiness hin.

ISMS-Geltungsbereich

Das Information Security Management System von Vitalytics umfasst alle kundenbezogenen Managed-IT-Leistungen, die aus unserem Betrieb in Großbritannien und der EU erbracht werden, einschließlich:

• Endpoint-, Identitäts-, E-Mail- und Netzwerkmanagement;
• Cloud-Infrastruktur auf Microsoft Azure und in der privaten OpenStack-Cloud von Vitalytics (London);
• Service Desk und Incident Response, außerhalb der Geschäftszeiten nach vertraglicher Vereinbarung;
• Backup und Disaster Recovery.

Nicht im Geltungsbereich: die öffentliche Vitalytics-Website (diese Website), die Cloudflare-DNS-Zonen unserer eigenen Domains sowie sämtliche vom Kunden kontrollierten SaaS-Dienste, mit deren Administration der Kunde uns nicht beauftragt hat.

Unterauftragsverarbeiter

Die folgenden Auftragsverarbeiter verarbeiten Kundendaten in unserem Auftrag.

Verschlüsselung

• Bei der Übertragung: mindestens TLS 1.2, bevorzugt TLS 1.3. HSTS-Preload für diese Domain.
• Im Ruhezustand: verschlüsselte Speicherung am Disaster-Recovery-Standort in Sofia.
• Schlüssel und Secrets: OpenBao, von Vitalytics betrieben; SSH-Zugriff ausschließlich per Schlüssel; interne PKI.

Identität & Zugriff

• SSO über Authentik (OIDC + SAML) für alle internen Tools.
• Gestuftes Administrationsmodell (Support / Engineering / Infrastruktur) mit Zugriffsgruppen je Kunde; Windows LAPS in den von uns verwalteten Umgebungen.

Business Continuity & Disaster Recovery

Wir replizieren fortlaufend von London an unseren Disaster-Recovery-Standort in Sofia, Bulgarien. Die Wiederherstellung der Tier-1-Dienste in Sofia haben wir im September 2026 geprobt. Ein vollständiges, verschlüsseltes Offline-Archiv der Plattform haben wir im August 2026 testweise wiederhergestellt.

Incident Response

• Reaktionszeiten nach Priorität: siehe unsere Reaktionsziele.
• Wir informieren betroffene Kunden ohne unangemessene Verzögerung über jeden Vorfall, der ihre Daten betrifft (UK GDPR).

Live-Statusseite: vts64.com/status.

Schwachstellenmanagement

• Patching nach festen Fristen: Arbeitsplatzrechner innerhalb von 3–7 Tagen, Server in einem wöchentlichen Wartungsfenster.
• Interne Schwachstellenscans mit Greenbone.
• Ein externer Penetrationstest unserer öffentlichen Website im Oktober 2026 ergab keine Schwachstellen.
• Coordinated Disclosure: security@vts64.com · /.well-known/security.txt.

Unterlagen, die unter NDA verfügbar sind

• Data Processing Addendum (UK GDPR + Standardvertragsklauseln).
• ISMS-Geltungsbereichserklärung & Dokumentenverzeichnis.
• Informationssicherheitsrichtlinie.
• BCDR-Plan mit Nachweisen des letzten Tests.
• Liste der Unterauftragsverarbeiter (Inhalt dieser Seite als PDF).

Ein Exemplar erhalten Sie per E-Mail an info@vts64.com.

Fragen zu unserem Sicherheitsniveau?

Schreiben Sie an security@vts64.com. Wir antworten innerhalb eines britischen Arbeitstags.