Zertifizierungen und Referenzmodelle

Die technischen und organisatorischen Maßnahmen von SCHUHFRIED sind unter Bezugnahme auf international anerkannte Sicherheits- und Qualitätsrahmen konzipiert. Diese Seite beschreibt die Zertifizierungen, über die SCHUHFRIED verfügt (ISO 9001:2015 und ISO 13485:2016), und jene, die SCHUHFRIED aktiv anstrebt (Cybertrust Austria – Standard-Niveau). Zudem informiert diese Seite darüber, wie SCHUHFRIED die Anforderungen der Datenschutz-Grundverordnung (DSGVO) erfüllt, und inwiefern unsere implementierten Maßnahmen den wesentlichen Sicherheits-Referenzrahmen (NIS1- und NIS2-Richtlinie) entsprechen.

ISO 9001:2015 – Qualitätsmanagementsystem

ISO 9001:2015 ist der international anerkannte Standard für Qualitätsmanagementsysteme (QMS). Die Zertifizierung setzt voraus, dass eine Organisation ihre Prozesse wirksam steuert, sich zur kontinuierlichen Verbesserung verpflichtet und in der Lage ist, Kunden- und regulatorische Anforderungen dauerhaft zu erfüllen.

SCHUHFRIED hält die ISO-9001:2015-Zertifizierung, ausgestellt von SIQ Ljubljana (IQNET-Mitglied). Das Zertifikat umfasst Forschung, Entwicklung, Produktion und Vertrieb computergestützter psychologischer Diagnostik und kognitiver Rehabilitation.

Für Kunden bedeutet die ISO-9001:2015-Zertifizierung, dass die Entwicklungs-, Validierungs-, Support- und Releaseprozesse von SCHUHFRIED definiert, dokumentiert, regelmäßig überprüft und unabhängigen Drittparteiaudits unterzogen werden. Dies bildet ein strukturelles Fundament für eine zuverlässige und konsistente Softwarelieferung.

ISO 13485:2016 – Qualitätsmanagementsystem für Medizinprodukte

ISO 13485:2016 ist der QMS-Standard, der speziell für den Medizinproduktesektor entwickelt wurde. Er geht über ISO 9001 hinaus und stellt zusätzliche Anforderungen an die Einhaltung regulatorischer Vorschriften, das Risikomanagement, die Rückverfolgbarkeit von Geräten und die Marktüberwachung. Dies spiegelt die erhöhten Sicherheitsverpflichtungen wider, die für Diagnoseprodukte im Rahmen von Regelwerken wie der EU-Medizinprodukteverordnung (MDR 2017/745) gelten.

SCHUHFRIED hält die ISO-13485:2016-Zertifizierung, ausgestellt von SIQ Ljubljana (IQNET-Mitglied). Das Zertifikat umfasst Entwicklung, Produktion und Vertrieb von Biofeedback- und Reizstromgeräten.

Die Zertifizierung nach ISO 13485:2016 belegt, dass SCHUHFRIED unter einem strengen, auditierten Qualitätssystem arbeitet, das die besonderen Anforderungen medizinischer Produkte berücksichtigt, einschließlich strukturierter Entwicklungskontrollen, Risikomanagement über den gesamten Produktlebenszyklus und systematischer Marktbeobachtung nach dem Inverkehrbringen.

Cybertrust Austria – Standard-Niveau (Zertifizierung ausstehend)

Cybertrust Austria ist ein Cybersicherheitslabel, das gemeinsam von der Wirtschaftskammer Österreich (WKO) und dem österreichischen Bundeskanzleramt betrieben und von der österreichischen Bundesregierung als Maßstab für die organisatorische Cybersicherheitsreife anerkannt wird. Es richtet sich an österreichische Unternehmen und wird zunehmend in öffentlichen Ausschreibungen und B2B-Vertrauensbewertungen herangezogen.

SCHUHFRIED arbeitet aktiv darauf hin, das Cybertrust-Austria-Zertifikat auf Standard-Niveau zu erlangen. Die Zertifizierung ist derzeit im Gange. Nach ihrer Erteilung wird dies Kunden eine unabhängige Drittparteienbestätigung der organisatorischen Cybersicherheitslage von SCHUHFRIED bieten.

Datenschutz-Grundverordnung (DSGVO)

Die Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) ist die zentrale Rechtsgrundlage für den Schutz personenbezogener Daten in der Europäischen Union. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und legt verbindliche Anforderungen an die Erhebung, Verarbeitung, Speicherung und Weitergabe personenbezogener Daten fest — mit besonderem Augenmerk auf die Rechte betroffener Personen, die Sicherheit der Verarbeitung sowie die Transparenz gegenüber Kunden und Betroffenen.

Als Anbieter eines Systems zur psychologischen Diagnostik ist SCHUHFRIED unmittelbar von der DSGVO betroffen. Bei VTS online agiert SCHUHFRIED als Auftragsverarbeiter im Auftrag seiner Kunden, die als Verantwortliche im Sinne der DSGVO handeln. SCHUHFRIED bestätigt die vollständige Einhaltung der geltenden DSGVO-Anforderungen in allen relevanten Bereichen. Die technischen und organisatorischen Schutzmaßnahmen gemäß Art. 32 DSGVO sind auf den Seiten Technische Maßnahmen und Organisatorische Maßnahmen detailliert dokumentiert. Die vertragliche Grundlage der Auftragsverarbeitungsbeziehung, einschließlich Regelungen zu Betroffenenrechten, Datenpannen und Unterauftragsverarbeitung, ist im Auftragsverarbeitungsvertrag (AVV) festgelegt, der für alle Kunden von VTS online gilt. Die eingesetzten Unterauftragsverarbeiter sind auf der Seite Unterauftragsverarbeiter aufgeführt.

EU-KI-Gesetz (EU 2024/1689)

Das EU-KI-Gesetz (Verordnung (EU) 2024/1689, auch bekannt als AI Act) ist die erste umfassende Regulierung für Künstliche Intelligenz in der Europäischen Union. Es klassifiziert KI-Systeme nach ihrem Risikoniveau und legt entsprechende Anforderungen an Entwickler und Betreiber fest. Besondere Aufmerksamkeit gilt dabei sogenannten Hochrisiko-KI-Systemen, darunter ausdrücklich Systeme, die im Bereich psychologischer Bewertungen oder bei Entscheidungen über natürliche Personen eingesetzt werden.

Das Wiener Testsystem enthält keine Komponenten, die als KI-Systeme im Sinne des EU-KI-Gesetzes zu klassifizieren wären. Die im WTS verfügbaren psychologischen Testverfahren sind wissenschaftlich fundierte Instrumente, die auf Basis etablierter psychologischer Theorien entwickelt, auf ihre psychometrischen Eigenschaften geprüft und normiert wurden. Die Auswertung und Interpretation der Ergebnisse erfolgt auf Basis von rein regelgeleiteten wissenschaftlich fundierten Methoden und von Normen. Maschinelles Lernen, neuronale Netze oder maschinelle Entscheidungssysteme kommen nicht zum Einsatz. Das EU-KI-Gesetz begründet daher keine unmittelbaren regulatorischen Verpflichtungen für SCHUHFRIED in Bezug auf das WTS.

NIS1-Richtlinie (EU 2016/1148)

Die erste Richtlinie über Netz- und Informationssicherheit (NIS1, Richtlinie 2016/1148/EU), in österreichisches Recht umgesetzt als Netz- und Informationssystemsicherheitsgesetz (NISG), führte verbindliche Sicherheits- und Meldepflichten für zwei Kategorien von Organisationen ein: Betreiber wesentlicher Dienste (OES) (in Sektoren wie Energie, Verkehr, Banken, Gesundheitswesen und digitale Infrastruktur) und Anbieter digitaler Dienste (DSPs) (Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste, die bestimmte Größenschwellen überschreiten).

SCHUHFRIED ist nicht als Betreiber wesentlicher Dienste im Sinne von NIS1 eingestuft und erfüllt auch nicht die Größen- und Kategorieschwellen der Richtlinie für regulierte Anbieter digitaler Dienste. Dementsprechend begründet NIS1 keine unmittelbaren rechtlichen Verpflichtungen für SCHUHFRIED. Dennoch sind die von SCHUHFRIED implementierten Sicherheitsmaßnahmen, die Zugangskontrolle, Verschlüsselung, Protokollierung, Incident-Reaktion und Geschäftskontinuität umfassen, inhaltlich an der Sicherheitsbaseline ausgerichtet, die NIS1 von betroffenen Organisationen verlangt.

NIS2-Richtlinie (EU 2022/2555)

Die NIS2-Richtlinie (Richtlinie 2022/2555/EU) erweitert den Anwendungsbereich und die Anforderungen des ursprünglichen NIS1-Rahmens erheblich. Sie führt eine breitere Palette von abgedeckten Sektoren ein, senkt die Größenschwelle für betroffene Einrichtungen, definiert neue Kategorien (wesentliche Einrichtungen und wichtige Einrichtungen) und verschärft Anforderungen rund um Lieferkettensicherheit, Schwachstellenoffenlegung, Incident-Meldung und Managementverantwortung. In Österreich wird NIS2 als NISG 2024 umgesetzt (mit Bestimmungen, die schrittweise bis 2024–2026 in Kraft treten).

SCHUHFRIED fällt auf Basis seiner Sektorklassifizierung und Organisationsgröße nicht in den Anwendungsbereich der NIS2-Richtlinie für wesentliche oder wichtige Einrichtungen. Unmittelbare regulatorische Verpflichtungen aus NIS2 gelten daher nicht für SCHUHFRIED als Softwareanbieter im Bereich der psychologischen Diagnostik.