01 Zertifizierungen und Alignments
Vier aktive ISO-Zertifizierungen, durch Drittstellen verifiziert, zusätzlich zur operativen Ausrichtung an den wichtigsten europäischen Regulierungsrahmen.
Informationssicherheits-Management
Informationssicherheits-Managementsystem. Jährliches Audit, Überwachung alle 12 Monate.
Qualitätsmanagement
Qualitätsmanagementsystem. Referenz für operative Prozesse und Governance.
Umweltmanagement
Umweltmanagementsystem. Messung und Reduktion der Umweltauswirkung der Services.
Arbeits- und Gesundheitsschutz
Managementsystem für Arbeits- und Gesundheitsschutz. Schutz des operativen Personals.
Regulatorische Alignments
Posture ausgerichtet an den Anforderungen für wesentliche und wichtige Einrichtungen. Unterstützung des Meldeprozesses an das nationale CSIRT (24/72h).
Operativ ausgerichtet an den Anforderungen des Digital Operational Resilience Act für den europäischen Finanzsektor.
Vollständige Ausrichtung. Strukturierte DPA (Art. 28) für jeden Kunden. DSFA auf Anfrage.
Ausgerichtet an den ENISA-Leitlinien zur Mindest-Baseline für Cybersecurity und am nationalen Cyber-Perimeter.
02 Data Residency
Alle operativen Daten (SOC-Telemetrie, Kunden-Logs, Kontaktdaten) werden in Rechenzentren in der Europäischen Union gehalten, vorrangig in Italien und anderen EU-Mitgliedstaaten. Keine kritischen Daten werden außerhalb der EU repliziert. Das Personal, das auf die Daten zugreift, ist vollständig europäisch und operiert vom Mailänder Hauptsitz aus.
Kontrollierte Ausnahmen: Webfont-Laden (keine PII) und — nur mit ausdrücklicher Einwilligung des Nutzers — Analytics- und Marketing-Pixel. Etwaige Extra-EU-Übermittlungen erfolgen ausschließlich unter Standard Contractual Clauses (SCC 2021/914) und, soweit anwendbar, dem EU-US Data Privacy Framework.
Spezifische Anbieter unter NDA. Die detaillierte Liste der Infrastruktur-Provider, der genutzten Regionen und der DPAs ist in der Sub-Processor-Liste unten verfügbar und — in signierter Fassung — auf Anfrage an info@fortgale.com.
03 Sub-Processor-Liste
Liste der externen Auftragsverarbeiter (DSGVO Art. 28), die zur Erbringung der Services genutzt werden. Aktualisiert zum 5. Mai 2026. Kunden mit aktiver DPA werden mindestens 30 Tage vor jeder wesentlichen Änderung benachrichtigt.
| Provider | Zweck | Region | Vertrag |
|---|---|---|---|
| Microsoft Ireland Operations Ltd | E-Mail, Teams, SharePoint, Bookings | EU (Irland · NL) | Microsoft DPA · Online Services Terms |
| EU-IaaS-Anbieter (unter NDA) | Webhosting, Staging- und Produktionsumgebungen | EU | DPA + SCC 2021/914 |
| Google Ireland Limited | Google Fonts (Typografie-CDN) | EU + US | Google DPA + SCC + EU-US DPF |
| LinkedIn Ireland Unlimited | Insight Tag (nur mit Einwilligung) | EU + US | LinkedIn DPA + SCC |
| Plausible Insights OÜ | Privacy-first-Analytics (keine PII) | EU | Plausible DPA · EU-only |
04 Öffentliche SLA
Die ausgewiesenen Werte sind Service-Ziele, die auf aktiven Retainer-Verträgen anwendbar sind und über die letzten 12 Monate gemessen werden. Kundenspezifische vertragliche SLAs werden im jeweiligen Service Agreement definiert.
05 Security Posture
Technische und organisatorische Maßnahmen zum Schutz von Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz der Systeme (DSGVO Art. 32 · ISO-27001-Annex-A-Controls).
Verschlüsselung
TLS 1.3 in Transit · AES-256 at Rest · Key-Management auf Microsoft HSM.
Zugriff
Zero Trust · Multi-Faktor-Authentifizierung · Just-in-time-Access · getracktes Break-Glass.
Monitoring
Zentralisierte Logs · 24/7-SOC-Monitoring · Aufbewahrung 12+ Monate.
Backup
Redundante Backups · periodischer DR-Test.
Vulnerability-Management
Continuous Scanning · jährlicher Pentest · differenzierte Patching-SLA (P1 < 48h).
Personal
Permanente NDA · halbjährliche Cyber-Schulung.
06 Responsible Disclosure
Wenn Sie eine Schwachstelle in unseren Systemen (Website, Infrastruktur, Produkt) gefunden haben, bitten wir Sie, unser Verfahren zur koordinierten Disclosure zu befolgen.
Kontaktieren Sie uns umgehend
E-Mail an info@fortgale.com mit Beschreibung, technischem PoC und Ihren Kontaktdaten. PGP-Verschlüsselung auf Anfrage verfügbar.
Wir antworten innerhalb von 48 Stunden
Empfangsbestätigung, initiale Klassifizierung, ETA für den Fix. Wir triagieren jede Meldung, auch wenn sie nicht in unseren Perimeter fällt.
Koordinierte Disclosure
Wir vereinbaren das Disclosure-Fenster (typischerweise 90 Tage nach dem Fix). Wir erwähnen Sie öffentlich in der Hall of Thanks, wenn Sie es wünschen.
Was nicht zu tun ist: unautorisierte Zugriffsversuche auf Drittdaten, DDoS, Social Engineering gegen Personal, Datenzerstörung. Wir operieren im Safe Harbor mit Forschenden, die in gutem Glauben handeln.
07 Downloadbare Dokumente
Dokumentation öffentlich oder auf Anfrage verfügbar (einige nach NDA-Unterzeichnung).
08 Security-Kontakte
Für technische Security-Fragen, Vendor-Onboarding, Due Diligence:
Responsible Disclosure, Vendor-Security-Fragebogen, SOC2/CAIQ.
Ausübung von DSGVO-Rechten, DPA, DSFA, Sub-Processor-Änderungsanfragen.
