nDSG-Compliance nachweisen: warum der Penetrationstest der belastbarste Beleg ist

01 Was Art. 8 nDSG verlangt

Artikel 8 ist das Herzstück der technischen Compliance. Er verpflichtet Verantwortliche und Auftragsbearbeiter, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten [ nDSG, Art. 8 ] . Die begleitende Datenschutzverordnung wird konkreter. Sie nennt in den Art. 1 bis 3 vier Schutzziele, die Ihre Massnahmen erreichen müssen [ DSV, Art. 1–3 ] .

Der entscheidende Satz steht in Art. 1 Abs. 5 DSV. Er verlangt, dass Sie die Massnahmen während der gesamten Bearbeitungsdauer überprüfen. Nicht einmal einrichten und vergessen. Laufend prüfen, ob sie noch wirken. Genau hier setzt der Penetrationstest an. Er ist die systematische Prüfung, ob Ihre Schutzmassnahmen einem realen Angriff standhalten oder nur in der Theorie funktionieren.

02 Warum der Pentest der Nachweis ist

Ein Penetrationstest simuliert einen echten Angriff auf Ihre Infrastruktur, Ihre Anwendungen und Ihre Netzwerke. Zertifizierte Operatoren suchen die Schwachstellen, die ein Angreifer suchen würde, und verketten sie zu einem Weg hinein. Das Ergebnis ist kein Fragebogen und keine Vermutung. Es ist eine Liste bewiesener Lücken, geordnet nach Risiko. Fünf Gründe machen diesen Bericht zum stärksten Compliance-Nachweis, den Sie führen können.

Der Unterschied zu einem automatisierten Scan ist grundlegend. Ein Vulnerability-Scan findet, was ein Werkzeug kennt: bekannte Schwachstellen, abgeglichen mit einer Datenbank. Ein Penetrationstest geht weiter. Erfahrene Tester versuchen aktiv einzudringen, kombinieren einzelne Schwächen zu Angriffsketten und prüfen auch, ob Ihre Mitarbeitenden auf Social Engineering hereinfallen. Für den nDSG-Nachweis ist der Test die deutlich stärkere Massnahme, weil er die reale Sicherheit unter realen Bedingungen prüft.

03 nDSG gegen DSGVO

Das nDSG lehnt sich in vielem an die EU-DSGVO an. Der Gesetzgeber wollte die Äquivalenzanerkennung der EU sichern, damit Schweizer Betriebe weiter ungehindert mit europäischen Kunden arbeiten. Trotzdem bleiben Unterschiede, die Sie kennen müssen, besonders wenn Ihr Betrieb Daten aus beiden Räumen bearbeitet.

Ein Unterschied wiegt schwerer als alle anderen. Die DSGVO bestraft das Unternehmen. Das nDSG richtet die Busse gegen die verantwortliche natürliche Person, in der Regel gegen die Geschäftsführung oder die IT-Leitung. Diese persönliche Haftung lässt sich nicht über eine Unternehmensversicherung abwälzen. Sie trifft Sie direkt. Wer beide Regelwerke erfüllen muss, deckt mit einem umfassenden Penetrationstest die technischen Anforderungen beider Gesetze ab.

04 Bussen und persönliche Haftung

Die Strafbestimmungen des nDSG sind bewusst schärfer als im alten Recht. Die Art. 60 bis 66 nDSG sehen Bussen bis CHF 250'000 vor, unter anderem bei vorsätzlicher Verletzung der Sorgfaltspflichten. Kann die fehlbare Person nicht ermittelt werden, haftet subsidiär das Unternehmen mit bis zu CHF 50'000. Das Grundprinzip bleibt: die Busse sucht sich eine Person.

Die Zahl aus der Erhebung des Bundesamtes für Statistik zeigt, wie real das Risiko ist. Rund 36 Prozent der Schweizer Betriebe mit mehr als zehn Mitarbeitenden erlebten 2023 mindestens einen IT-Sicherheitsvorfall, der einen Ausfall von IT-Diensten auslöste [ BFS 2023 ] . Unter dem nDSG kann ein solcher Vorfall nun strafrechtliche Folgen haben, wenn eine ungenügend gesicherte Infrastruktur die Ursache war. Die Rechnung für den Angriff und die Rechnung für die Busse laufen getrennt, ausgelöst durch denselben Vorfall.

05 Ihr Fahrplan zur Compliance

nDSG-Compliance ist kein einmaliges Projekt, sondern ein Zyklus. Sechs Schritte bringen Ihren Betrieb von der offenen Frage zum dokumentierten Nachweis. Sie folgen der Logik der Verordnung: erst die Daten kennen, dann das Risiko bewerten, dann die Massnahmen prüfen und laufend wiederholen.

So gehen wir vor. Im Scoping benennen wir gemeinsam mit Ihnen die Systeme, die Personendaten bearbeiten, und ihr Risikoprofil. Dann prüfen unsere OSCP-zertifizierten Tester Infrastruktur, Webanwendungen, APIs und Netzwerke. Sie erhalten einen Bericht mit priorisierter Schwachstellenliste, Risikobewertung und konkreten Handlungsempfehlungen, direkt verwendbar als nDSG-Nachweis. Danach begleiten wir die Behebung und führen einen Nachtest durch. RTP Robin ist das Dashboard dahinter: Ein Test kauft ein Jahr unbegrenzter Nachtests, ein Mensch prüft jeden Befund, bevor er Sie erreicht, und Ihr Compliance-Nachweis bleibt aktuell, wenn sich Ihre Angriffsfläche verändert.

Sie wollen wissen, wie es um Ihre nDSG-Compliance steht? Ein kostenloses Erst-Audit von Red Team Partners liefert Ihnen die Angriffsfläche, den wahrscheinlichsten Weg hinein und eine priorisierte Fix-Liste, geschrieben für Ihre Technik und Ihren Vorstand. Enterprise-grade. Nicht enterprise-priced.