FAQ - Häufig gestellte Fragen

Lympha Technologies S.r.l. ist ein Service Provider und Systemintegrator mit eingetragenem Sitz in Bologna (Via Guglielmo Marconi, 32) und operativem Standort in Castel San Pietro Terme (BO). Das Unternehmen plant, betreibt und sichert Rechenzentren, Serverfarmen und IT-Systeme für die lokale öffentliche Verwaltung, das Gesundheitswesen, Großunternehmen und KMU.

Lympha ist eine altrömische Gottheit des Süßwassers, eine der zwölf duces-Gottheiten der römischen Landwirte. Aus dem Mythos leiten sich drei zentrale Bedeutungen ab: Saft (das, was nährt und wachsen lässt), klar (Klarheit und Transparenz) sowie Inspiration und Weisheit (Wissen, das aus der Quelle fließt).

Seit 2010, als das Projekt „Lympha Tech“ als innovative Geschäftsidee im IKT-Sektor für die Verbreitung von Virtualisierung und Cloud Computing anerkannt wurde. 2011 entstand die S.r.l., inkubiert von ASTER im Projekt WeTECH-OFF. Seit 2014 besteht die Partnerschaft mit Executive Service (heute EXE.IT S.r.l. SB), mit der das Green Data Center 00GATE realisiert wurde.

Das Unternehmen gliedert sich in 8 spezialisierte Business Units (CNS, PRJ, PCS, SEC, AED, NOC, NET, OTS) mit integrierten Kompetenzzentren, die vertikal in der eigenen Business Unit und übergreifend zur Unterstützung der anderen arbeiten – oder direkt in die IT-Abteilung des Kunden eingebunden sind.

Es ist eine der drei Säulen unserer Vision: Wir schaffen langfristig Wert, antizipieren Veränderungen und begleiten die Entscheidungen unserer Kunden. Wir vermeiden Vendor-Lock-in – auch dann, wenn es uns selbst betrifft.

Unser Green Data Center heißt 00GATE und befindet sich in Castel San Pietro Terme (BO), in der Via Antonio Meucci, 24/i/2. Die Daten bleiben ausschließlich in Italien.

E-Mail: info@lymphatech.it – Telefon: +39 051 0981815 – Operativer Standort: Via Antonio Meucci, 24/c – 40024 Castel San Pietro Terme (BO). Auf der Website steht ein Kontaktformular mit Auswahl des Interessenbereichs zur Verfügung.

Nein, wir sind dem Climate Neutral Data Center Pact nicht beigetreten; dabei handelt es sich um eine freiwillige Selbstverpflichtung mit Zielhorizont 2030. Bei 00GATE haben wir einen anderen Weg gewählt: von Anfang an so zu planen, dass keine Emissionen entstehen – Holzkonstruktion, Free Cooling ohne Kältemaschinen, 100 % erneuerbare Energie – und dies von einer unabhängigen Stelle mit der Zertifizierung Green Accredia® überprüfen zu lassen.

Ja, und sie sind offengelegt: Libraesva, Oplon und Veeam. Es bleiben Entscheidungen, keine Bindungen: Unser Ansatz ist herstellerneutral, und wir integrieren je nach Anwendungsfall Open-Source-Technologien (OpenStack, PostgreSQL, Ollama) oder kommerzielle Lösungen, ohne Sie an einen einzigen Anbieter zu binden – uns eingeschlossen.

Acht: CNS (Rechenzentrumsplanung), PRJ (Business Continuity & Disaster Recovery), PCS (Private Cloud Services & IT-Beratung), SEC (IT-Sicherheit), AED (Anwendungen, ERP & Entwicklung), NOC (Network & Security Operations Center), NET (Networking & Unified Communication), OTS (Outsourcing).

Wir haben kein eigenes Branchenangebot für Fashion und Luxus: Die Branchen, die wir mit spezifischen Inhalten und Kompetenzen abdecken, sind die lokale öffentliche Verwaltung, das Gesundheitswesen, Großunternehmen und KMU. Die Leistungen zu Betriebskontinuität, Datensicherung und Private Cloud sind jedoch branchenübergreifend und werden auf den kritischen Prozess des Kunden ausgelegt, gleich in welchem Sektor.

Wir haben weder eine vertikale Spezialisierung auf die Fertigungsindustrie noch ein eigenes OT/ICS-Angebot. Was wir einem Produktionsunternehmen bringen, ist das, was wir für alle tun: Betriebskontinuität, ausgelegt auf die BIA, Datensicherung, Private Cloud und NOC-Betreuung 24×7×365. Umfasst der Perimeter industrielle Netze, ist dies gemeinsam im Einzelfall zu bewerten.

Seit 2010: Das erste Projekt von Lympha war ein Open-Source-Virtualisierungssystem auf Basis von OpenStack, zu einer Zeit, als die Private Cloud noch ein Wagnis war. Diese Wurzel ist im heutigen Ansatz geblieben: offene Standards, keine Bindung an einen proprietären Stack.

Wir sind ein strukturiertes KMU: Organisation in acht Business Units mit integrierten Kompetenzzentren, formalisierte Prozesse und ein nach ISO 9001:2015 zertifiziertes Qualitätsmanagementsystem. Die Größe hält uns beweglich; die Organisation erlaubt uns, Enterprise-Projekte und öffentliche Rahmenverträge zu tragen.

Der LEI (Legal Entity Identifier) ist der eindeutige internationale Code, der juristische Personen an den Finanzmärkten identifiziert. Er steht für Transparenz und Compliance und ist besonders für Kunden aus dem Finanzsektor relevant.

Der eingetragene Sitz ist in Bologna (Via Guglielmo Marconi, 32). Der operative Standort ist in Castel San Pietro Terme in der Via Antonio Meucci 24/c, und das Green Data Center 00GATE liegt in derselben Straße bei Hausnummer 24/i/2: Es sind zwei verschiedene Adressen. Wir arbeiten landesweit mit dem SPOC-Modell aus der Ferne und geplanten Einsätzen vor Ort.

ITSM (Information Technology & System Management) ist die tägliche operative Steuerung der Systeme: Assets, wiederkehrende Verfahren, Verantwortungsebenen und Servicequalität. Wir strukturieren die Verwaltung nach den ITIL-Best-Practices.

SPOC = Single Point Of Contact: ein einziger Zugang für die Anwender und für die IT-Abteilung des Kunden. Dahinter filtert, klassifiziert und leitet ein Help Desk aus Front- und Backoffice jede Anfrage an den Remote-Support oder an einen Einsatz vor Ort weiter, ohne Hin und Her.

KMDB (Knowledge Management Database): gemeinsame Wissensbasis, die mit jedem geschlossenen Ticket wächst. CMDB (Configuration Management Database): stets aktuelle Übersicht der Assets (Seriennummern, technische Datenblätter, Konfigurationen).

Jede Störung folgt einem formalisierten Makroprozess: Meldung per Telefon/E-Mail/Ticket → Übernahme durch den SPOC → Klassifizierung und Abgleich mit CMDB/KMDB → Lösung aus der Ferne oder Warteschlange für den Einsatz vor Ort mit Priorität (VIP oder Standard) → Ticketschließung und Aktualisierung der Datenbanken.

SLA = Service Level Agreement: vereinbarte und gemessene Reaktions- und Lösungszeiten. Die regelmäßige Berichterstattung erlaubt es, den Service anhand von Zahlen zu beurteilen, nicht anhand von Eindrücken.

Ja. An unseren SPOC lassen sich wiederkehrende Tätigkeiten abgeben wie die Störungsbearbeitung an Arbeitsplätzen, neue Arbeitsplätze oder Ersatzgeräte, Softwareinstallationen und Kontenverwaltung – alle mit standardisiertem Servicekatalog und nachvollziehbaren Prozessen.

Inventarisierung und Verwaltung von Assets und Konfigurationen; Prozesse für Incident-, Request- und Change-Management; gesteuerte wiederkehrende Verfahren (Updates, Prüfungen, Wartungen); Berichtswesen und vereinbarte SLAs.

Nein. Unser Kompetenzzentrum ergänzt Ihre IT-Abteilung: keine Ersetzung, sondern Verstärkung. Richtlinien und Entscheidungen bleiben bei Ihrem IT-Manager.

FinOps ist die Disziplin, die Cloud-Kosten mit Transparenz und Verantwortlichkeit steuert. Wir wenden sie im VDC GREEN an (Pay-per-Use-Gebühr ohne Verbrauchsschwellen) und helfen Kunden, die Ausgaben in hybriden Umgebungen zu optimieren.

Ja, wo das Projekt es erfordert: CI/CD-Pipelines, Containerisierung und Infrastrukturautomatisierung, ausgeführt im Perimeter des Kunden. Das VDC GREEN stellt REST-APIs bereit, gerade damit es von diesen Werkzeugen gesteuert werden kann.

In der Softwareentwicklung (AED) nutzen wir agile Methoden mit iterativen Releases, kontinuierlichem Feedback und Kurskorrekturen. Für die Infrastruktur wenden wir Plan-Do-Check-Act-Zyklen (PDCA) an.

Ja. Der standardisierte Servicekatalog ist Teil des SPOC-Modells: Jede Leistung (neuer Arbeitsplatz, Austausch, Installationen) ist mit definierten SLAs, Fristen und Verantwortlichkeiten beschrieben.

Ja. Neben der Störungsbearbeitung führen wir Ursachenanalysen (Root Cause Analysis) durch, um Wiederholungen zu vermeiden, und ergänzen die KMDB um dauerhafte Workarounds.

Jede Änderung folgt einem formalisierten Prozess: Antrag → Folgenabschätzung → Genehmigung → Terminplanung → Umsetzung → Prüfung → dokumentierter Abschluss.

Ja. Regelmäßige Berichte (monatlich/vierteljährlich) mit Service-KPIs: Reaktionszeiten, Lösung beim Erstkontakt, Verfügbarkeit, geöffnete und geschlossene Tickets je Kategorie.

Ja. Die CMDB umfasst nicht nur Hardware, sondern auch Softwarelizenzen mit Laufzeiten, Verlängerungen und Optimierung (z. B. Erkennung nicht genutzter Lizenzen).

Ja. Der Prozess für einen neuen Arbeitsplatz umfasst die Kontoeinrichtung, die Vergabe von Berechtigungen und die Softwarekonfiguration nach Katalog, mit vollständigem Audit-Trail.

Beim Co-Sourcing bleiben Richtlinien und Entscheidungen bei Ihrem IT-Manager, während wir die wiederkehrenden operativen Tätigkeiten übernehmen. Es ist ein Modell zwischen Insourcing und vollständigem Outsourcing.

Ja. Patches für Betriebssystem, Middleware und Anwendungen werden geplant, in einer Staging-Umgebung getestet und in vereinbarten Zeitfenstern ausgerollt, mit Compliance-Berichten.

Wir nutzen Open-Source-Werkzeuge für Ticketing, Inventarisierung und Discovery, integriert mit CMDB und KMDB. Das ist stimmig zum Rest: keine Lizenzbindung an das System, das die Historie Ihres Service verwahrt, und die Möglichkeit, sie mitzunehmen.

Ja. Unser SPOC unterstützt plattformübergreifende Umgebungen: Windows, macOS und Linux, mit spezifischen Verfahren für jedes Betriebssystem.

Kritische Anwender (Führungskräfte, Schlüsselrollen) haben im SPOC-System vorrangige Warteschlangen mit verkürzten Reaktions-SLAs und direkter Eskalation.

Ja, als Paket im SPOC-Katalog: Kontoerstellung, Ausstattung mit Hard- und Software, Grundschulung, Integration mit Active Directory und HR-Systemen.

Ja. Der Prozess umfasst: Rücknahme des Geräts, sicheres Löschen der Daten (Wiping), Aktualisierung der CMDB und gegebenenfalls Wiederverwendung oder zertifizierte Entsorgung als Elektroaltgerät.

Ja. Wir beobachten Nutzungstrends, um Erweiterungsbedarf (Speicher, Rechenleistung, Netz) vorauszusehen, und verknüpfen das Capacity Planning mit dem DCMM.

Geplante Benachrichtigungen per E-Mail oder Ticket mit Vorlauf, vereinbartem Zeitfenster und einem Bericht nach dem Eingriff mit Prüfung des ordnungsgemäßen Betriebs.

Ja. Vollständiges ITAM mit physischer und logischer Inventarisierung, Nachverfolgung des Lebenszyklus, Kostenoptimierung, Lizenz-Compliance und Berichten für die Geschäftsleitung.

Ja, vor allem im VDC GREEN, wo jeder Kunde seinen eigenen isolierten Stack hat. Die Mandantenfähigkeit ist in unserer OpenStack-Architektur nativ angelegt.

Es ist die strategische Steuerung aller IT-Services: welche aktiviert, welche eingestellt und in welche investiert wird. Wir verbinden es mit der IT-Governance, um die IT am Geschäft auszurichten.

Die KMDB ist eine Wissensbasis, gegliedert in kategorisierte Artikel (gelöste Störungen, Workarounds, Verfahren), durchsuchbar für Mitarbeitende und Endanwender.

Ja. Wir können als Vermittler gegenüber anderen Lieferanten auftreten (Internetanbieter, Softwarehersteller, andere MSP) und SLAs, Eskalationen und Berichte koordinieren.

Über die Rückmeldung beim Schließen des Tickets und über die regelmäßige Serviceberichterstattung, die der eigentliche Maßstab ist: Reaktions- und Lösungszeiten, Lösung beim Erstkontakt, Verfügbarkeit. Die Reviews mit dem Kunden werden im Servicevertrag vereinbart.

Das NOC arbeitet 24×7×365 und überwacht Systeme, Netze und Anwendungen. Der an die Anwender gerichtete Service Desk hat dagegen vertraglich festgelegte Zeiten, bei Bedarf mit Erweiterungen am Abend oder an Feiertagen: Es handelt sich um zwei getrennte Einheiten, die separat dimensioniert werden müssen.

DPaaS (Data Protection as a Service) ist der Managed-Backup-Service mit Pay-per-Use-Gebühr: Kosten jederzeit unter Kontrolle, keine Anfangsinvestition. Er eröffnet den Weg zum Disaster Recovery auch denen, die kein Budget für große Projekte haben.

Es sind die beiden Kennzahlen der Betriebskontinuität: RPO (Recovery Point Objective) = wie viele Daten ich mir zu verlieren leisten kann; RTO (Recovery Time Objective) = wie schnell ich wieder anfahren muss. Sie sind im Vokabular der ISO 22300 definiert und werden von ISO 22301 und ISO/IEC 27031 verwendet. Ihren Wert legt die Business Impact Analysis fest, nicht der Technologiekatalog.

Datensicherung ist kein Produkt, sondern eine Position auf einem Kontinuum. Links das Backup (niedrige Kosten, Wiederanlauf in Tagen oder Stunden), in der Mitte Rapid Data Recovery (Minuten oder Sekunden), rechts Continuous Availability (kein Datenverlust, höchste Kosten).

Das Sieben-Stufen-Modell (SHARE 1992, später IBM) beschreibt, wie schnell der Wiederanlauf gelingt. Die unteren Stufen leben allein auf dem Core Site mit Backup und asynchroner Replikation: Wiederanlauf in Tagen oder Stunden. Die mittleren Stufen ergänzen einen DR-Standort mit synchroner Replikation und Servern im Standby: Minuten oder Sekunden. Die oberen Stufen sind Hochverfügbarkeit zwischen Standorten mit dem Ziel, keine Daten zu verlieren.

Ja. Der Schutz steht im Einklang mit der DSGVO und den Unternehmensrichtlinien, und die Daten werden in einem emissionsfreien Rechenzentrum in Italien verwahrt.

Die Gebühr folgt dem Pay-per-Use-Prinzip: Kosten jederzeit unter Kontrolle, keine Anfangsinvestition (CAPEX). Es sind Betriebskosten (OPEX), vertraglich bemessen.

DPaaS ist der Einstieg in das Disaster Recovery. Mit unserem geführten Weg in 5 Phasen (Assessment/BIA → Zielarchitektur → Sicherheit → Umsetzung und Tests → kontinuierliche Verbesserung) geht es strukturiert voran.

Kopien zu haben bedeutet nicht, wieder anfahren zu können. Den Unterschied machen vier Dinge: klare Ziele (RTO und RPO), eine Folgenabschätzung (BIA), echte Restore-Tests und jemand, der die Jobs täglich im Blick hat.

Wir wählen die Technologie nach dem Anwendungsfall, nicht nach der Preisliste: Zu den offengelegten Technologiepartnern gehört Veeam für Backup, Replikation und Ransomware-Recovery, und wir nutzen Open-Source-Lösungen dort, wo sie die richtige Antwort sind. In allen Fällen ist die Zielinfrastruktur unser Rechenzentrum, und die Betreuung liegt beim NOC.

CDP ist eine Technik, die jede Datenänderung in Echtzeit erfasst und so Wiederherstellungen zu jedem beliebigen Zeitpunkt ermöglicht. Sie ist nützlich für Datenbanken und Workloads mit hohem Transaktionsaufkommen.

Vault Backup ist eine unveränderliche Kopie der Daten, geschützt vor versehentlichem Löschen oder Ransomware und in einer isolierten (air-gapped) Umgebung aufbewahrt.

Ja, auf Wunsch konfigurieren wir eine unveränderliche Aufbewahrung (WORM), um vor Ransomware und internen Manipulationen zu schützen, im Einklang mit der Best Practice 3-2-1-1-0.

Ja: 3 Kopien der Daten, 2 verschiedene Medien, 1 Kopie außer Haus (in unserem Rechenzentrum), 1 offline oder unveränderlich, 0 Fehler dank regelmäßiger Restore-Tests.

Ja, mit Technologien speziell für die VMware-Virtualisierung (vSphere, vCloud Director), Backup auf VM-Ebene, Wiederherstellung einzelner Dateien und Instant Recovery.

Ja: SQL Server, PostgreSQL, Oracle und MySQL mit anwendungsbewusstem Backup, garantierter Konsistenz und Point-in-Time-Recovery.

Ja. Backup von Exchange-E-Mails, SharePoint, OneDrive und Teams mit konfigurierbarer Aufbewahrung und granularer Wiederherstellung, denn Microsoft garantiert den Dienst, nicht aber die Nutzerdaten.

Containerisierte Workloads lassen sich wie alle anderen schützen, doch muss entschieden werden, was das Datum wirklich ist: die persistenten Volumes und die Konfigurationen, nicht die Container, die sich definitionsgemäß neu erzeugen. Das ist eine Bewertung, die im Projekt gemeinsam mit denen zu treffen ist, die das Cluster betreiben.

Ja, mit Deduplizierung, Komprimierung und Replikation in unser Green-Rechenzentrum für höchste Effizienz bei Kosten und Speicherplatz.

Ja, das ist Teil von DPaaS: Pay-per-Use-Gebühr, Infrastruktur inbegriffen, Überwachung durch das NOC und regelmäßige Restore-Tests.

Eine „übliche“ Aufbewahrungsfrist gibt es nicht: Sie wird im Vertrag festgelegt, ausgehend von den regulatorischen Pflichten der Branche und den Ergebnissen der BIA. Ein wiederkehrendes Schema verbindet kurzfristige tägliche Kopien mit mittelfristigen wöchentlichen und monatlichen Kopien sowie jährlichen Kopien dort, wo die Aufbewahrung gesetzlich vorgeschrieben ist – das ist jedoch ein Ausgangspunkt, keine Preisliste.

Ja, alle Backups liegen im Rechenzentrum 00GATE in Castel San Pietro Terme (BO), niemals im Ausland.

Mit Unveränderlichkeit, logischem Air-Gap, Netzsegmentierung, Anomalieüberwachung, Mehrfaktor-Authentifizierung und geprüften Restore-Tests.

Ein spezifisches SLA, das Folgendes festlegt: Backup-Häufigkeit, Aufbewahrung, RPO, Wiederherstellungszeiten, Berichtswesen und regelmäßige Tests.

Ja, auch Workloads auf AWS, Azure oder GCP lassen sich in unser Rechenzentrum sichern – für Datensouveränität und Schutz vor Lock-in.

Ja, konfigurierbar zwischen Core Site und DR-Standort, synchron oder asynchron je nach Ziel-RPO.

Das NOC überwacht alle Jobs rund um die Uhr, mit automatischen Warnmeldungen bei Fehlern, Berichten und proaktivem Eingreifen.

Ja, Ende-zu-Ende-Verschlüsselung mit AES-256 sowohl bei der Übertragung als auch im Ruhezustand, mit Schlüsseln, die nach der Richtlinie des Kunden verwaltet werden.

Disaster Recovery ist das, was einen beherrschten Vorfall von einem Stillstand des Geschäftsbetriebs trennt. Business Continuity ist die Ebene darüber: Systeme, die niemals stehenbleiben (Continuous Availability, kein Datenverlust), typischerweise in einer Architektur mit drei Rechenzentren.

Die BIA ist die Analyse, die die Geschäftsprozesse ordnet, misst, was geschieht, wenn jeder einzelne stillsteht, und RTO und RPO je Kritikalitätsstufe festlegt. Die Wiederanlaufziele bestimmt die BIA, nicht der Technologiekatalog.

Der DRP ist der strukturierte Plan, der beschreibt, wie kritische Dienste nach einem katastrophalen Ereignis wieder aktiviert werden – mit Machbarkeitsstudie, Marktvergleich, Entwurf der Teilsysteme, Umsetzung und regelmäßigen Tests.

Ein ungetesteter Plan ist kein Plan. Ein Betriebsstillstand ist nicht der richtige Moment, um festzustellen, dass das Backup nicht funktioniert oder die Verfahren unvollständig sind. Tests mit gestoppter Zeit sind fester Bestandteil des Service.

ISO 22301 (Betriebskontinuität), ISO/IEC 27031 (Brücke zwischen Kontinuität und Informationssicherheit), ISO/IEC 27001 (Maßnahme 5.30 der Fassung von 2022: geplante und getestete IKT-Bereitschaft).

Für Organisationen mit kritischen Diensten: Gesundheitswesen, lokale öffentliche Verwaltung, Produktion, Finanzwesen – und für alle, die ausgerechnet haben, was eine Stunde Stillstand kostet.

Ja. Die Verzahnung mit Datensicherung und NOC ist naheliegend: Wer überwacht, weiß auch, wie man wieder anfährt. Das gesamte Programm folgt dem Plan-Do-Check-Act-Zyklus.

Es ist die Verlagerung des Ziels vom System auf den Prozess: nicht „wie lange brauche ich, um den Server wieder hochzufahren“, sondern „der Prozess läuft weiter, während der Vorfall andauert“. Das erfordert an mehreren Standorten aktive Architekturen und ist das obere Band des Kontinuums, das in unserem Schema Continuous Availability heißt.

Ja: Wiederanlaufinfrastruktur in unserem Rechenzentrum, dokumentierte Failover- und Failback-Verfahren und regelmäßige Tests mit gestoppter Zeit. Die Ziele für RTO und RPO sind keine Preisliste: Sie ergeben sich aus der Business Impact Analysis und werden in den Servicevertrag geschrieben, wo sie zu überprüfbaren Zusagen werden.

Es gibt keinen für alle gültigen Prozentsatz: Es hängt von den geforderten RTO und RPO ab, vom Datenvolumen und davon, wie viel repliziert werden muss. Der strukturelle Vorteil von DRaaS liegt woanders: Das Pay-per-Use-Modell verwandelt eine Anfangsinvestition (CAPEX) in eine laufende Gebühr (OPEX) und macht Disaster Recovery auch für jene erreichbar, die sich keinen zweiten Standort leisten konnten. Die Dimensionierung geht immer von der BIA aus.

Ja, verpflichtende regelmäßige Tests: Tabletop (Simulation), partieller Failover und vollständiger Failover, mit Bericht und Maßnahmenplan.

Das RTO wählt man nicht aus einer Preisliste: Es ergibt sich aus der Business Impact Analysis, und danach kauft man die Architektur, die es trägt. Auf dem Kontinuum reicht die Spanne vom Backup (Wiederanlauf in Stunden oder Tagen) über Rapid Data Recovery (Minuten) bis zur Continuous Availability (ohne Unterbrechung). Der garantierte Wert wird nach dem Assessment in den Servicevertrag geschrieben und muss mit Tests unter gestoppter Zeit nachgewiesen werden.

Das hängt von der gewählten Architektur ab: Bei synchroner Replikation ist das Ziel kein Datenverlust, bei asynchroner Replikation bemisst es sich in Minuten, bei bloßem periodischem Backup im Abstand zwischen zwei Kopien. Welches Maß für Sie tragfähig ist, bestimmt die BIA, die den Datenverlust ins Verhältnis zum entstehenden Schaden setzt.

Ja, für Workloads mit anspruchsvollen RTO-Vorgaben. Der Failover wird von Monitoring- und Orchestrierungssystemen gesteuert.

Failback ist die Rückkehr in die primäre Umgebung nach dem Vorfall. Wir handhaben ihn mit dokumentierten Verfahren, Datensynchronisation und Konsistenzprüfungen.

Ja. Hybride Architekturen (on-premise + VDC + Public Cloud) mit über alle Umgebungen hinweg orchestriertem DR.

Die DR-Pläne umfassen Szenarien zur Wiederherstellung nach Cyberangriffen (Ransomware, Datenschutzverletzung), mit Wiederherstellung aus unveränderlichen Backups und Bereinigungsverfahren.

Unser Beitrag endet dort, wo die IT endet, und das gehört gesagt: BIA, RTO- und RPO-Ziele je Prozess, Kontinuitätsarchitekturen, Tests unter gestoppter Zeit und Störungsmanagement. Ein vollständiger Notfallplan für den Geschäftsbetrieb umfasst auch Menschen, Logistik und Nicht-IT-Lieferanten: Diese Bereiche bleiben bei der Organisation oder ihren Beratern.

Es ist der Teil, der die Menschen und die Kommunikation während eines schweren Ereignisses betrifft: wer wen benachrichtigt, in welchen Fristen und gegenüber welchen Ansprechpartnern. Das ist keine Leistung, die wir erbringen. Was wir bereitstellen, ist die technische Voraussetzung: nachvollziehbare Eskalationen, jederzeit bekannter Systemzustand und gemessene Wiederherstellungszeiten, damit derjenige, der kommuniziert, weiß, wovon er spricht.

Im IT-Perimeter ja, und es gehört zur Überlegung über die Kontinuität: von welchen Lieferanten ein kritischer Dienst abhängt, was geschieht, wenn einer ausfällt, welche Alternativen bestehen. Die Bewertung des Lieferrisikos über die gesamte Kette des Unternehmens ist dagegen eine weiter reichende Aufgabe, die der Organisation obliegt.

Mit Kontinuitätsplänen, die auch die Menschen betreffen und nicht nur die Systeme: Arbeit aus der Ferne für die Funktionen, die das erlauben, NOC-Betreuung, die nicht von einem einzigen Standort abhängt, und dokumentierte Betriebsverfahren, damit jede diensthabende Person weiß, was zu tun ist. Die konkreten Szenarien werden gemeinsam mit dem Kunden im Notfallplan festgelegt.

Ja. DR, das Workloads auf AWS, Azure, GCP und in unserem VDC einbezieht, mit zentraler Orchestrierung.

Ein operatives Dokument Schritt für Schritt, das beschreibt, wie das DR aktiviert wird: wer was tut, in welcher Reihenfolge, mit welchen Werkzeugen und Prüfungen.

Mindestens jährlich oder bei wesentlichen Änderungen (neue Systeme, Fusionen und Übernahmen, regulatorische Änderungen).

Die geplanten Tests sind Teil des Service und werden im Vertrag vereinbart: Ein ungetesteter Kontinuitätsplan ist kein Plan. Zusätzliche oder außerplanmäßige Durchläufe werden gesondert angeboten.

Vulnerability Assessment und Penetrationstest mit individueller Berichterstattung; Sicherheit von Webanwendungen; Reverse Engineering und Code-Review; Log-Management, Datenanalyse und Korrelationen; Identity Management und Zugriffskontrolle; Reaktion auf Vorfälle (Malware, Datenschutzverletzung).

Es ist die erste Analyseebene: Wir prüfen, ob die wesentlichen Komponenten nach den Best Practices des Herstellers und den Branchenstandards konfiguriert sind, mit Augenmerk auf die Trennung (SAFE), das Berechtigungsmodell (Prinzip der geringsten Rechte) und die Kernfunktionen.

Ja. Der Netzwerk-Penetrationstest bewertet Erreichbarkeit und Exposition der kritischen Komponenten: Erfassung offener Ports und Dienste, bekannte Schwachstellen, Segmentierungs- und Firewall-Richtlinien. Wir gehen ihn aus zwei Blickwinkeln an – Cybersicherheit sowie Systeme und Infrastruktur.

Es ist ein Test speziell für Szenarien, in denen Bots und KI-Agenten mit PAM-Systemen zusammenwirken. Wir prüfen, ob sie sich durch Prompt Injection, Jailbreak oder Missbrauch der Autorisierungsabläufe manipulieren lassen, um unbefugten Zugang zu erlangen.

Ja. Ist die Plattform mit SSO (SAML 2.0, OIDC, AD/LDAP) verbunden, prüfen wir deren Umsetzung: Validierung der Authentifizierungsabläufe, Sitzungsverwaltung und Robustheit der Vertrauenskette.

Bearbeitung von Malware und Datenschutzverletzungen mit Analyse des Einfallsvektors und der Remoteverbindungen; Bereinigung des Informationssystems und Behebung der ausgenutzten Schwachstelle; Einsatz mit individuellen SLAs, auch innerhalb von 24 Stunden nach dem Anruf.

Es ist eine WAF, die als Managed Service erbracht wird und Webanwendungen vor Angriffen wie SQL-Injection, XSS und weiteren OWASP-Bedrohungen schützt, ohne dedizierte Hardware zu erfordern.

Zum Abschluss der Arbeiten erstellen wir einen ausführlichen Bericht mit nach Risikostufe eingeordneten Befunden – kritisch, hoch, mittel, niedrig – und praktischen Hinweisen zur Behebung für jeden einzelnen Punkt.

Ja. Die ACN-Vorgaben zur Cloud für die öffentliche Verwaltung und die NIS2-Richtlinie verlangen Souveränität und Lokalisierung der Daten sowie angemessene Sicherheitsmaßnahmen. Unsere Private Cloud ist ein eigener Perimeter, in Italien.

Ein SOC (Security Operation Center) ist die Einheit, die Sicherheitsvorfälle fortlaufend überwacht, erkennt und darauf reagiert. Was Lympha hat, ist das NOC – Network & Security Operations Center – rund um die Uhr 24×7×365 aktiv bei der Überwachung von Systemen, Netzen und Anwendungen, mit Eskalations- und Störungsmanagementverfahren. Offensive Analysen (Assessments und Penetrationstests) werden als Projekte von der Business Unit SEC erbracht, nicht als dauerhafte Betreuung.

Es ist die proaktive Suche nach Bedrohungen, die bereits in einer Infrastruktur vorhanden sind, statt auf einen Alarm zu warten. Wir erbringen es nicht als dauerhaften Service: Unser Bereich sind beauftragte Assessments und Penetrationstests, das Störungsmanagement und die NOC-Betreuung. Wo eine dauerhafte Hunting-Fähigkeit nötig ist, muss sie als eigenes Projekt gemeinsam mit Ihnen aufgebaut werden.

Es ist die gemeinsame Arbeit derer, die angreifen (Red Team), und derer, die verteidigen (Blue Team), gedacht so, dass jede Simulation eine messbare Verbesserung der Abwehr hervorbringt statt bloß eines Zeugnisses. Unser typischer Beitrag liegt auf der analytischen Seite: Penetrationstests, Configuration & Architecture Review und ein Maßnahmenplan mit nach Risiko geordneten Befunden.

Es ist die realitätsnahe Simulation eines fortgeschrittenen Angreifers, der versucht, eine Organisation über mehrere Wege zugleich zu kompromittieren: Phishing, Social Engineering, Exploits, laterale Bewegung. Es ist eine andere Übung als der Perimeter-Penetrationstest, den wir erbringen und dessen Ziel und Umfang vorab vereinbart werden.

Es ist das Sammeln und Auswerten von Informationen über Akteure, Techniken und Kompromittierungsindikatoren, um Angriffen zuvorzukommen, statt sie zu erleiden. Wir erbringen es nicht als Abonnement: Öffentliche Intelligence-Quellen fließen in unsere Assessments und in das Schwachstellenmanagement ein.

PAM (Privileged Access Management) ist die Plattform, die privilegierte Konten verwahrt und kontrolliert: Zugangsdaten im Tresor, Aufzeichnung der Sitzungen, Zugriff nur dann, wenn er gebraucht wird, Genehmigungsabläufe. Es ist der Perimeter, auf dem unser Security Assessment aufsetzt: Wer das PAM kontrolliert, hat die Schlüssel zum Königreich, und es muss geprüft werden, dass nur die Befugten sie nutzen.

Härtung der Nachrichtensysteme (E-Mail, Chat) mit Schutz vor Phishing und Spoofing (SPF, DKIM, DMARC) sowie Ende-zu-Ende-Verschlüsselung.

Es ist Sicherheit, die für Container-Umgebungen gedacht ist: Scannen der Images, Schutz zur Laufzeit, Durchsetzung von Richtlinien, Zero-Trust-Netzwerk zwischen den Diensten. Wir befassen uns damit, wenn der zu bewertende Perimeter sie umfasst, im Rahmen der Konfigurations- und Architektur-Assessments.

Verzahnung von Security- und Operations-Teams für eine schnellere Reaktion auf Vorfälle, Automatisierung der Playbooks und kürzere Zeiten bis zur Behebung.

Ein Sicherheitsmodell, das standardmäßig nichts vertraut: fortlaufende Prüfung von Identität, Gerät und Kontext bei jedem Zugriff auf Ressourcen.

Die Zero-Trust-Grundsätze – fortlaufende Identitätsprüfung, geringste Rechte, Segmentierung – sind jene, nach denen wir Architekturen in unseren Assessments bewerten, insbesondere im Configuration & Architecture Review und im SSO & Identity Integration Review. Ein vollständiges Zero-Trust-Programm ist allerdings ein mehrjähriger Weg der Organisation und kein Produkt, das man installiert.

EDR (Endpoint Detection & Response) überwacht die Endgeräte und zeichnet auffälliges Verhalten auf; XDR überträgt dieselbe Logik auf Netz, Cloud und Identität. Es sind Technologien, die wir bei Kunden installiert vorfinden und deren Konfiguration und Wirksamkeit wir in den Assessments prüfen; ihr laufender Betrieb wird im Einzelfall bewertet.

Ein strukturiertes Programm zum Scannen, Priorisieren und Beheben von Schwachstellen mit KPIs und fortlaufender Berichterstattung.

Es ist das Nachbilden der Taktiken und Techniken eines bestimmten Angreifers, katalogisiert in Rahmenwerken wie MITRE ATT&CK, um zu prüfen, ob die Abwehr genau dagegen standhält. Es ist eine Spezialdisziplin, die in unserem Katalog nicht vorkommt: Unser Bereich sind Penetrationstests von Netzen, Anwendungen und – das allerdings als Besonderheit – von LLM-basierten Agenten und Bots.

Ja: Der LLM-Penetrationstest prüft, ob Bots und Agenten auf Basis von Sprachmodellen durch Prompt Injection, Jailbreak oder Missbrauch der Autorisierungsabläufe manipuliert werden können, bis hin zu nicht vorgesehenen Zugriffen. Es ist der Punkt, an dem unsere Arbeit an der KI und die an der Sicherheit zusammentreffen: Wir bauen diese Systeme, also wissen wir, wo zu suchen ist.

Einsatz-SLA innerhalb von 24 Stunden, eigenes Team, Verfahren für Eindämmung, Beseitigung und Wiederherstellung sowie Auswertung der gewonnenen Erkenntnisse.

VDC GREEN ist unser Virtual-Data-Center-Dienst: dedizierte virtuelle Umgebungen (Rechenleistung, Speicher und Netz), isoliert und skalierbar, gehostet in unserem Green Data Center 00GATE. Jede Ressource (vCPU, vRAM, Speicher, Netz) skaliert unabhängig.

Jedes VDC lebt in einem isolierten Infrastruktur-Stack: Was innerhalb Ihres Perimeters liegt, gehört Ihnen, einschließlich VLANs und virtueller Netze mit feingranularer Kontrolle über die Firewall-Regeln. In der Public Cloud bleiben einzelne Elemente logisch zwischen Kunden geteilt.

On-premise: CAPEX-Lizenzen, begrenzte Skalierbarkeit, Wartung zulasten der internen IT. VDC GREEN: OPEX-Gebühr, Skalierbarkeit in Minuten, betreute Wartung, Sicherheit inbegriffen, DR vorbereitet. Der Unterschied ist bei Gesamtkosten und Beweglichkeit spürbar.

Eine im Voraus vereinbarte monatliche Pay-per-Use-Gebühr, ohne Verbrauchsschwellen bei irgendeiner Ressource (vCPU, vRAM, Speicher, Bandbreite). Auch die Softwarelizenzen folgen dem Verbrauch, und die Gebühr sinkt, wenn Nutzer oder Ressourcen reduziert werden.

Die Virtualisierung beruht auf etablierten, offenen Technologien – unsere Wurzel ist OpenStack, seit 2010. Die Plattform ist über eine einzige Web-Konsole und über REST-APIs für die DevOps-Automatisierung zugänglich.

Ja. Es ist von Accredia® (der italienischen nationalen Akkreditierungsstelle) Green-zertifiziert. Die Zertifizierung für die gehosteten Dienste ist für den Kunden kostenlos und wird im Register des Green Cloud Consortium veröffentlicht, für jedermann überprüfbar.

Tier-III-Konfiguration mit garantierter Betriebskontinuität von 99,98 % (höchstens 1,6 Stunden Ausfall pro Jahr).

Ja. Das Rechenzentrum verfügt über einen Housing-Bereich mit gesicherten Racks, in denen Sie Ihre eigenen Appliances installieren können; auf Wunsch installieren wir sie für Sie. Die logische Anbindung an das VDC übernimmt der technische Support.

Ja. Die Daten bleiben ausschließlich in Italien, in unserem Rechenzentrum 00GATE in Castel San Pietro Terme.

Ja. Wenn die Dienste, die Sie Ihren Kunden erbringen, in Ihrem VDC laufen, können diese ein von Ihrem abgeleitetes Zertifikat erhalten und das Siegel für nachhaltiges Hosting auf ihren eigenen Websites zeigen.

Das VDC GREEN beruht auf OpenStack. Wenn Sie bereits in VMware investiert haben, ist zuerst zu klären, was die Lizenzen kosten und wie übertragbar sie sind: Das bewerten wir gemeinsam, ohne vorauszusetzen, dass der beste Weg darin besteht, das Bestehende nachzubilden.

Das VDC GREEN beruht auf OpenStack, das seit 2010 unsere technologische Wurzel ist. Umgebungen auf anderen Hypervisoren werden als Projekt bewertet: Die richtige Frage ist nicht, welchen Hypervisor Sie bevorzugen, sondern wer den Betrieb dieses Stacks übernimmt und mit welchen Servicelevels.

Die Hyperkonvergenz vereint Rechenleistung, Speicher und Netz in einer einzigen softwaredefinierten Plattform und verringert die Zahl der getrennt zu verwaltenden Komponenten. Es ist eine Architektur, die wir bei der Planung von Infrastrukturen für Kunden in Betracht ziehen; unser VDC GREEN geht dagegen einen anderen Weg, mit Ressourcen, die unabhängig voneinander skalieren.

Nicht als Katalogleistung mit veröffentlichten SLAs. Das VDC GREEN bietet die Ressourcen und die APIs, auf denen ein Cluster laufen kann, und das NOC kann dessen Überwachung im Rahmen eines Betriebsvertrags übernehmen: Die Stufe – vom bloßen Ticket bis zum Full Management – wird gewählt und kann sich im Lauf der Zeit ändern.

Es ist keine Plattform, die wir aus dem Katalog erbringen. Das VDC GREEN stellt die Ressourcen (Rechenleistung, Speicher, Netz) und die REST-APIs bereit, auf denen eine Organisation ihre eigene Anwendungsplattform betreiben kann; sieht das Projekt OpenShift vor, ist gemeinsam zu klären, was bei Ihnen und was bei uns liegt.

Das Rechenzentrum verfügt über einen Housing-Bereich mit gesicherten Racks für Hardware im Eigentum des Kunden – nützlich für Workloads, die an hardwaregebundene Lizenzen oder besondere Leistungsanforderungen geknüpft sind. Es ist ein Colocation-Dienst, bei dem die logische Anbindung an das VDC von unserem technischen Support betreut wird, kein Bare-Metal-as-a-Service-Katalog.

Es ist die private Anbindung zwischen Ihrem VDC und den Public Clouds, ohne den Weg über das Internet, für hybride Szenarien. Sie ist zusammen mit allem Übrigen zu planen: Das Rechenzentrum ist über zwei Carrier mit doppeltem Glasfaserring angebunden, und die Verbindungstopologie hängt davon ab, welche Workloads Sie auf beiden Seiten halten müssen.

Im VDC können wir Datenbanken bereitstellen, bei denen Backup, Überwachung und Aktualisierungen je nach vereinbarter Betriebsstufe vom NOC übernommen werden. PostgreSQL ist zugleich die Grundlage, auf der auch unsere RAG-Plattform läuft. Der Leistungsumfang – und wer wofür einsteht – wird im Vertrag festgelegt.

Ja. Assessment, Planung, Durchführung und Validierung von Migrationen aus On-premise-Umgebungen oder anderen Clouds in unser VDC GREEN.

Eigener Rack-Platz in unserem Rechenzentrum für Hardware im Eigentum des Kunden. Strom, Kühlung, Anbindung und physische Sicherheit inbegriffen.

Ja. Docker-Laufzeitumgebung, private Registries, Orchestrierung mit K8s, Überwachung und Backup der Container.

Skalierbarer Speicher mit S3-kompatiblen APIs, ideal für Backups, Archive, Data Lakes und Medieninhalte.

Garantierte Bandbreite, Anbindung an 2 Carrier, redundante Glasfaseranbindung über einen doppelten Ring und Peering an den wichtigsten Internetknoten.

Ja, Besuche im Rechenzentrum 00GATE sind jederzeit willkommen. Nach Terminvereinbarung und unter Beachtung der Sicherheitsverfahren.

Es ist die Vorstellung, dass Daten und Betrieb unter der Rechtsordnung eines Landes bleiben. Sie will jedoch genau gelesen werden: Ein Rechenzentrum in Europa im Eigentum anderer macht Ihre Daten nicht souverän – es zählen Eigentum, Kontrolle und die Möglichkeit, wieder herauszukommen. In unserem Fall bleiben die Daten in Italien, in einem Rechenzentrum, das wir Ihnen zeigen können, und der Stack ist offen: Der Ausweg besteht.

Ja. Im VDC können Windows-Server-Umgebungen laufen, mit Lizenzen, die in der Gebühr enthalten sind oder von Ihnen mitgebracht werden. Es gilt das Pay-per-Use-Prinzip: Auch die Lizenzen folgen dem Verbrauch, und die Gebühr passt sich an, wenn die Zahl der Nutzer sinkt.

Ja, als Architekturbaustein innerhalb des VDC: Verteilung des Datenverkehrs auf Instanzen, TLS-Terminierung und Zustandsprüfungen, ausgelegt auf den zu veröffentlichenden Dienst. Die Betreuung liegt je nach vereinbarter Betriebsstufe beim NOC.

Ja. Isolierte Umgebungen für Tests, Entwicklung und Qualitätssicherung, mit der Möglichkeit, die Produktion zu klonen, und zu geringeren Kosten.

Jede Ressource des VDC GREEN (vCPU, vRAM, Speicher, Netz) skaliert unabhängig von den übrigen, in Minuten und ohne Verbrauchsschwellen: Die Gebühr folgt der Nutzung, auch nach unten, wenn Sie Nutzer oder Ressourcen reduzieren. Metrikgesteuerte Regeln zur automatischen Skalierung werden als Teil des Projekts auf den REST-APIs eingerichtet.

Ja. Vollständige APIs für Provisionierung, Verwaltung und Überwachung, integrierbar mit CI/CD-Pipelines und Infrastructure as Code (Terraform, Ansible).

IaaS ist das VDC GREEN: virtuelle Ressourcen, die Sie selbst verwalten. PaaS sind die Dienste, die wir oberhalb dieser Ressourcen übernehmen (Datenbanken, Anwendungsumgebungen), je nach gewählter Betriebsstufe. SaaS sind unsere Produkte – ACME ECMS und die Plattform ACME ECMS IA & RAG Integration. In allen Fällen ist die Infrastruktur dieselbe, und die Daten bleiben in Italien.

Das NOC (Network & Security Operations Center) ist unsere Betriebszentrale, die die Überwachung von Servern, Netzen und Anwendungen 24×7×365 übernimmt und proaktiv handelt, um Probleme zu lösen und die Kontinuität des Dienstes zu sichern.

Ja. Die Betreuung ist durchgehend und proaktiv, 24×7×365, mit sofortigen Eskalationsverfahren für unvorhersehbare Ereignisse (Stromausfall, durchtrennte Glasfaser).

Server, Netze und Anwendungen, aktiv und proaktiv; den Betrieb der IP-Netze; geplante Tätigkeiten (Prüfung der Backups, Patching, Log-Kontrolle); die Einhaltung der ITIL-Best-Practices im Störungsmanagement.

Für unvorhersehbare Ereignisse sind sofortige Eskalationsverfahren zu den zuständigen Technikern vorgesehen, mit lückenloser Nachverfolgung bis zur Lösung.

Ja. Wenn die Betreuung auch die Arbeitsplätze und den Anwendersupport umfasst, arbeitet das NOC im Tandem mit dem SPOC/Help-Desk-Modell: eine einzige Anlaufstelle, priorisierte Warteschlangen, gemeinsame KMDB/CMDB.

Ja. An das NOC lassen sich wiederkehrende geplante Tätigkeiten abgeben wie die Prüfung der Backups, das Patching und die Log-Kontrolle, mit anpassbaren Standardverfahren.

Man wählt die Stufe und kann sie im Lauf der Zeit ändern: vom einfachen Ticket bei Bedarf über das Co-Sourcing der virtuellen Server mit proaktivem NOC bei Tag und Nacht bis zum Full Management.

Überwachung der Anwendungsleistung: Antwortzeiten, Durchsatz, Fehler und verteiltes Tracing zur Erkennung von Engpässen.

Proaktive Überwachung mithilfe von Skripten, die reale Nutzer nachbilden: Prüfungen von Verfügbarkeit, Leistung und zentralen Funktionen.

Ja. Abfrageleistung, Verbindungspools, Replikationsverzögerung, Deadlocks und Kapazität, mit proaktiven Warnmeldungen.

Ja. Das Sammeln, Indizieren und Alarmieren auf Basis der Logs gehört zu den geplanten Tätigkeiten, die an das NOC abgegeben werden können, neben der Prüfung der Backups und dem Patching. Die Wahl des Stacks erfolgt im Einzelfall: Wo möglich bevorzugen wir Open-Source-Komponenten, um die Historie Ihrer Logs nicht an eine Lizenz zu binden.

Eine Weiterentwicklung des Monitorings: die Verbindung von Metriken, Logs und Tracing, um den inneren Zustand komplexer Systeme (Microservices, K8s) zu verstehen.

Die Beobachtbarkeit eines Systems wird mit dem System entworfen, nicht nachträglich hinzugefügt: Wo das Projekt es vorsieht, setzen wir die Instrumentierung um, und das NOC übernimmt die laufende Betreuung. Es ist kein Katalogpaket mit vorgegebenem Stack.

Die Überwachung des Betriebs der IP-Netze gehört zum NOC-Service. Bei bestimmten SD-WAN-Architekturen hängt der Umfang der Sichtbarkeit von der Plattform des Herstellers ab und ist in der Assessment-Phase zu prüfen: Die Business Unit NET befasst sich mit Netzen und Perimetersicherheit.

Ja. Trendanalyse, um die Erschöpfung von Ressourcen (Speicher, CPU, RAM, Bandbreite) vorherzusehen, mit vorausschauender Planung.

Das NOC überwacht Systeme, Netze und Anwendungen: Umfasst der vereinbarte Perimeter ein Cluster, überwachen wir dessen Verfügbarkeit und Ressourcen entsprechend der gewählten Betriebsstufe. Die konkrete Instrumentierung ist mit denjenigen abzustimmen, die das Cluster betreiben.

Das ist kein Feld, das wir mit eigenen Kompetenzen abdecken. Das NOC überwacht Systeme, Netze und Anwendungen 24×7×365: Umfasst ein Projekt periphere Geräte, ist gemeinsam zu bewerten, was tatsächlich beobachtbar ist und mit welchen Schwellenwerten.

DCIM (Data Center Infrastructure Management) ist die Überwachung der physischen Infrastruktur des Rechenzentrums: Stromversorgung, Kühlung, Platz in den Racks und Umgebungsbedingungen. Es ist ein Baustein der Zero Emission Data Center, die wir für Kunden planen, und dient dort dazu, Verbrauch und Effizienz unter Kontrolle zu halten.

Ja. Individuelle Dashboards und Berichte für unterschiedliche Adressaten: technisch, fachlich, für die Geschäftsleitung und für Compliance.

RAG (Retrieval-Augmented Generation) verbindet Sprachmodelle mit den realen Daten des Unternehmens – Dokumenten, Wissensdatenbanken, Verwaltungssystemen –, sodass die Antworten einschlägig, aktuell und überprüfbar sind, mit Verweis auf die Quellen.

Mit Agenten gehen wir den nächsten Schritt: Die KI antwortet nicht nur, sondern führt Tätigkeiten aus – sie fragt Systeme ab, bereitet Dokumente vor, stößt Abläufe an – innerhalb von Regeln und Berechtigungen, die der Kunde festlegt.

Unsere On-premise-RAG-Plattform heißt ACME ECMS IA & RAG Integration (Private, Simple & Fast RAG). Es ist ein vollständig containerisierter Stack, der auf dedizierten GPUs in einem isolierten privaten Netz läuft.

Nein. Alle Komponenten sind Open Source, die Modelle sind austauschbar (Mistral, Gemma, Qwen …), es gibt keine Aufrufe externer Dienste, keine Daten verlassen den Perimeter und es besteht kein Vendor-Lock-in.

Wenn ein Dokumentenassistent schlecht antwortet, liegt das Problem fast immer beim Retrieval und nicht beim Modell. Die Suche, die entscheidet, welche Dokumente das Modell liest, muss gemessen werden, bevor Geld ausgegeben wird. Wir nutzen ein hybrides Retrieval (Vektorindex + Wissensgraph).

Zusätzlich zum Vektorindex baut LightRAG einen Graphen aus Entitäten und Beziehungen auf (Apache AGE auf PostgreSQL): Die Antworten verknüpfen die Fakten, statt der Frage lediglich zu ähneln.

Die Modelle sind austauschbar: Mistral, Gemma, Qwen und weitere, ausgeführt über Ollama für LLMs und Embeddings sowie vLLM für das Re-Ranking. Keine Abhängigkeit von einem einzigen Anbieter.

Wir nutzen RAGAS, ein Werkzeug, das Testfragen aus Ihren eigenen Dokumenten erzeugt und die Antworten mit Kennzahlen auf Italienisch bewertet. Qualität wird gemessen, nicht behauptet.

Es bedeutet, Dokumente zu verarbeiten, ohne dass sie den Unternehmensperimeter verlassen. Die Frage der Kunden hat sich geändert: nicht mehr „dürfen wir generative KI einsetzen?“, sondern „können wir diese Dokumente verarbeiten, ohne dass sie unseren Perimeter verlassen?“. Die Antwort lautet ja.

Intelligente Dokumentensuche: Archive, Beschlüsse und Handbücher mit Quellenangabe abfragen; interne Assistenten auf der Wissensbasis des Unternehmens; Analyse und Vorbereitung von Dokumenten; Agenten in den Prozessen: wiederkehrende Tätigkeiten, die die KI in den Arbeitsabläufen ausführt.

Es ist die KI, die unter der Kontrolle derer bleibt, die sie nutzen: Modelle, Daten und Infrastruktur innerhalb eines festgelegten Perimeters. Unsere RAG-Plattform erfüllt diese Anforderung auf möglichst direktem Weg – sie läuft on-premise auf dedizierten GPUs in einem isolierten Netz, die Komponenten sind Open Source, die Modelle sind austauschbar und kein Aufruf geht an externe Dienste hinaus.

Es ist die KI, die sich nicht auf Antworten beschränkt, sondern handelt: Sie fragt Systeme ab, bereitet Dokumente vor und stößt Arbeitsabläufe an, stets innerhalb von Regeln und Berechtigungen, die der Kunde festlegt. Genau das tun wir mit Agenten in Dokumenten- und Genehmigungsprozessen.

Wir haben kein Branchenangebot für die Fertigungsindustrie: Vorausschauende Instandhaltung und visuelle Qualitätskontrolle verlangen Fachwissen und Prozessdaten, die nicht unser Metier sind. Was wir mitbringen, ist die Infrastruktur, um so etwas bei Ihnen im Haus zu betreiben – dedizierte GPUs, isoliertes Netz, Daten, die nicht hinausgehen – sowie RAG- und Agentenarchitekturen für die Unternehmensdokumente.

Ein Arbeitsablauf, in dem autonome KI-Agenten komplexe Aufgaben mit Planung, Ausführung, Validierung und Interaktion mit Systemen erledigen.

Es ist die Verarbeitung von Daten in prozessorseitig verschlüsselten Enklaven, sodass nicht einmal diejenigen, die die Infrastruktur betreiben, sie lesen können. Es ist keine Technologie, die wir einsetzen: Das Problem, das sie löst – sensible Daten verarbeiten zu lassen, ohne sie Dritten preiszugeben –, gehen wir vorgelagert an, indem wir die Verarbeitung im Perimeter des Kunden halten.

Die Qualität eines RAG-Systems muss über die Zeit beobachtet und nicht einmalig bei der Abnahme gemessen werden: Mit RAGAS erzeugen wir Testfragen aus Ihren eigenen Dokumenten und bewerten die Antworten bei jeder wesentlichen Änderung neu. So werden Verhaltensdrift und Verschlechterungen sichtbar.

Die Verbindung von Ähnlichkeitssuche (Vektoren) und Wissensgraph (Entitäten und Beziehungen) für ein genaueres Retrieval. Das ist unsere LightRAG-Architektur.

Ja. Mistral ist eines der Modelle, die auf der Plattform laufen können, neben Gemma, Qwen und weiteren: Sie sind aus architektonischer Entscheidung austauschbar, sodass die Wahl des Modells umkehrbar bleibt und nicht zur Bindung wird.

Ja. Gemma wird als Open-Source-Alternative für bestimmte Workloads unterstützt.

Ja. Die Qwen-Familie steht für mehrsprachige Szenarien oder besondere Leistungsanforderungen zur Verfügung.

Ja. Llama gehört zu den Modellen, die on-premise auf der Plattform laufen können. Das Auswahlkriterium ist nicht der Name des Modells, sondern die Nutzungslizenz, der Umgang mit der italienischen Sprache und das an Ihren Dokumenten gemessene Verhalten.

In den meisten Fällen ist es nicht nötig, und darauf legen wir Wert: Wenn ein Dokumentenassistent schlecht antwortet, liegt das Problem fast immer beim Retrieval und nicht beim Modell. Zuerst misst man die Qualität des Retrievals (wir nutzen RAGAS auf einem italienischsprachigen Testsatz), dann bewertet man, ob ein Eingriff am Modell wirklich etwas beiträgt.

Eine Technik, die die gefundenen Dokumente nach Einschlägigkeit neu ordnet, bevor sie an das LLM übergeben werden. Für das eigens vorgesehene Re-Ranking nutzen wir vLLM.

Es sind die Kontrollen darüber, was in ein KI-System hinein- und aus ihm herausgeht: Filter gegen Umgehungsversuche, Schutz personenbezogener Daten und die Prüfung, ob die Antwort an den Quellen verankert bleibt. In unserer Architektur ist das erste Guardrail struktureller Art: Das Modell antwortet unter Angabe der Dokumente, aus denen es geschöpft hat, sodass die Aussage überprüfbar ist.

Es ist die Anwendung der DevOps-Praktiken auf Modelle: Versionierung, Auslieferung, Überwachung, Nachtrainieren. In unserer Plattform wiegt vor allem die fortlaufende Messung der Qualität: Bei jeder Konfigurationsänderung wird das System mit RAGAS neu bewertet, denn Qualität wird gemessen, nicht behauptet.

KI, die auf Endgeräten am Rand des Netzes (IoT, Edge-Server) statt in der Cloud ausgeführt wird, für niedrige Latenz und Datenschutz.

Das ist kein Feld, das wir abdecken. Unser Ansatz ist der entgegengesetzte und bewusst gewählte: die Verarbeitung auf dedizierten GPUs innerhalb des Unternehmensperimeters zu bündeln, wo die Daten steuerbar bleiben, statt sie auf periphere Geräte zu verteilen.

Es ist die Technik, mit der ein kleines Modell darauf trainiert wird, das Verhalten eines großen nachzubilden, wodurch die Ausführungskosten sinken. Sie macht die „Off-grid“-KI praktikabel: Modelle, die kompakt genug sind, um auf dedizierten GPUs bei Ihnen im Haus zu laufen, ohne dass die Dokumente zur Verarbeitung hinausgehen müssen.

Eine Vektordarstellung von Text oder Bildern in einem mehrdimensionalen Raum. Grundlage des Retrievals im RAG.

Open-Source-Modelle wie Nomic, BGE und E5, on-premise über Ollama ausgeführt.

Eine für die Ähnlichkeitssuche über Vektoren optimierte Datenbank. Wir nutzen pgvector (eine PostgreSQL-Erweiterung).

Eine Darstellung von Entitäten und Beziehungen. Für angereichertes RAG nutzen wir Apache AGE auf PostgreSQL.

Ja, innerhalb des Perimeters des Kunden: Die Plattform umfasst neben den Sprachmodellen auch die Bilderzeugung on-premise (ComfyUI mit FLUX/SDXL) sowie die Verarbeitung von Dokumenten, die Text und Bilder zugleich enthalten. Es gilt dieselbe Regel wie für alles Übrige: Nichts verlässt das isolierte Netz.

Ja. ComfyUI + FLUX/SDXL für die Bilderzeugung im Unternehmensumfeld, ohne den Perimeter zu verlassen.

Ein Rahmenwerk aus Richtlinien, Prozessen und Kontrollen für einen ethischen, regelkonformen und sicheren Einsatz von KI.

Unser Beitrag liegt dort, wo die KI-Verordnung die Steuerung der IT berührt: die eingesetzten KI-Systeme erfassen, ihr Risiko einstufen, die Entscheidungen dokumentieren und die technischen Transparenzmaßnahmen vorbereiten. Das ist IT-Governance-Arbeit, keine Rechtsberatung: Rechtliche Einordnungen sind mit einem Berater zu validieren.

Es ist die Arbeit daran, Inhalte für dialogorientierte Assistenten zitierfähig zu machen, die immer häufiger zwischen den Menschen und den Websites stehen. Es ist eine Praxis, die wir zuallererst auf uns selbst anwenden: Diese Seite gibt es auch in Markdown und in JSON-LD, gerade damit ein Assistent sie vollständig abrufen und genau zitieren kann.

ACME ECMS ist unsere CMS-Plattform, um digitale Inhalte strukturiert, skalierbar und konsistent zu erstellen, zu ordnen und zu veröffentlichen. Es ist ein Produkt von Lympha Technologies (eigene Website: acmecms.it), modular aufgebaut auf CakePHP 5.2.

Ja. Die Inhalte sind für alle nutzbar – eine Anforderung aus dem eigenen Hause für alle, die mit der öffentlichen Verwaltung arbeiten. Das CMS erfüllt die WCAG 2.1 AA und die Leitlinien der AgID (italienisches Gesetz 4/2004).

Mehrere Websites und Domains aus einer einzigen Installation, mit Inhalten in mehreren Sprachen, abgestimmt und konsistent im selben redaktionellen Ablauf.

Der offizielle Katalog umfasst derzeit 31 Plugins: Module, Erweiterungen und Integrationen, die die Plattform wachsen lassen, ohne einmalige Entwicklungen zu erfordern.

Wir beginnen nicht bei der Technologie, sondern beim Prozess, der unterstützt werden soll. Bevor Code geschrieben wird, erfassen wir Anwendungsfälle, Rollen und Schnittstellen gemeinsam mit denen, die den Prozess täglich leben, und entwerfen dann eine Anwendung, die sich in die bestehenden Systeme einfügt, statt sie zu ersetzen.

Wo möglich, nutzen wir Open-Source-Technologien: Die Software bleibt Ihre und steuerbar. Offene Standards und Eigentum am Ergebnis = kein Vendor-Lock-in.

Wir verbinden Anwendungen und Dienste zu stimmigen, orchestrierten Abläufen, in denen jeder Schritt automatisch ist, wenn er es sein kann, und menschlich, wenn er es sein muss – und stets nachvollziehbar bleibt.

Genehmigungsabläufe (Anträge, Freigaben, Unterschriften); Integration zwischen Verwaltungssystemen (ERP, CRM); Onboarding und Provisionierung; Benachrichtigungen und Fristenverwaltung; KI-Agenten in den Abläufen (Klassifizierung, Zusammenfassung, Vorbereitung).

Ja. Wir bieten einen einzigen Ansprechpartner von der Entwicklung bis zum Betrieb: Hosting in der Private Cloud, Überwachung durch das NOC und laufenden Support. Die Weiterentwicklung wird geplant, nicht erlitten.

Ja. Wir entwickeln Lösungen mit Agenten und RAG-Architekturen, die on-premise laufen, in dem Perimeter, den der Kunde kontrolliert. Wir sind Anbieter von KI im Sinne der Verordnung (EU) 2024/1689 (KI-Verordnung).

Eine Disziplin, um Geschäftsprozesse durchgängig zu modellieren, zu automatisieren, zu überwachen und zu optimieren.

Ja. Prozessanalyse, BPMN-Modellierung, Umsetzung von Arbeitsabläufen, KPI-Überwachung.

Die Verwaltung des Lebenszyklus von Unternehmensinhalten: Erstellung, Zusammenarbeit, Veröffentlichung, Archivierung. ACME ECMS ist unser ECM.

Zentrale Steuerung der Kommunikation gegenüber Kunden: personalisierte, kanalübergreifende und regelkonforme Dokumente.

Nicht als eigenständiges Produkt. ACME ECMS verwaltet kanalübergreifende und mehrsprachige Inhalte aus einer einzigen Installation und ist die Grundlage, auf der wir die Kommunikation gegenüber Nutzern und Bürgern aufbauen, wenn sie Teil eines Prozesses ist, den wir digitalisieren.

Plattformen, die es erlauben, Anwendungen mit einem Minimum an Programmierung über visuelle Oberflächen zu erstellen.

ACME ECMS enthält konfigurierbare Module für Formulare und Arbeitsabläufe, die die wiederkehrenden Fälle ohne Entwicklung abdecken. Für komplexe Logik bevorzugen wir die Individualentwicklung: Eine Low-Code-Plattform verschiebt die Bindung, sie beseitigt sie nicht, und die Software muss Ihre bleiben und steuerbar sein.

Es sind von KI erzeugte Avatare, die für Betreuung oder Kommunikation eingesetzt werden. Wir erstellen sie nicht. Es sei daran erinnert, dass seit dem 2. August 2026 Artikel 50 der KI-Verordnung vorschreibt, die Interaktion mit einem KI-System erkennbar zu machen und synthetische Inhalte zu kennzeichnen: eine Pflicht, die denjenigen trifft, der sie veröffentlicht.

Systeme so zu entwerfen, dass die APIs als Vertrag am Anfang stehen, und damit Integration und Wiederverwendbarkeit sicherzustellen.

Ja. Jede Anwendung, die wir entwickeln, hat dokumentierte REST-/GraphQL-APIs als primäre Schnittstelle.

Eine Integrationsplattform für Unternehmen, um On-premise- und Cloud-Anwendungen über Arbeitsabläufe zu verbinden.

Unsere Art, Anwendungen und Dienste zu verbinden, ist Workflow & Process Orchestration: Abläufe, in denen jeder Schritt automatisch ist, wenn er es sein kann, und menschlich, wenn er es sein muss, und stets nachvollziehbar bleibt. Ist die richtige Lösung eine am Markt verfügbare Integrationsplattform, bewerten wir das, wir vertreiben aber keine aus dem Katalog.

Ja. PWAs für mobile, app-ähnliche Erlebnisse ohne Veröffentlichung in den App-Stores.

Wir haben kein eigenes Team für die native mobile Entwicklung. Die Anwendungen, die wir umsetzen, sind API-first entworfen und auch auf Mobilgeräten über den Browser zugänglich; verlangt ein Projekt eine native App, ist dieser Punkt in der Analysephase offen anzusprechen.

Das ist nicht unser Feld: Wir haben weder ein E-Commerce-Angebot noch Kompetenzen zu Handelsplattformen. Wir entwickeln Verwaltungs- und Dokumentenanwendungen, die auf dem Prozess aufbauen – Genehmigungsabläufe, Integrationen mit ERP- und Verwaltungssystemen, Orchestrierung der Abläufe.

Es ist das stimmige Kundenerlebnis an allen Kontaktpunkten – Web, Mobilgerät, Schalter, Callcenter. Das ist ein Thema von Marketing und Customer Experience: Es ist nicht das Feld, in dem wir arbeiten, nämlich das der internen Prozesse und der digitalen Dienste für die Bürger.

Nein. Wir verbinden Anwendungen und Dienste zu orchestrierten und nachvollziehbaren Abläufen – das ist Workflow & Process Orchestration –, aber die Verzahnung von CRM, E-Commerce, Kassensystemen und Callcenter zur 360-Grad-Sicht auf den Kunden gehört nicht zu unserem Angebot.

Ein Headless CMS trennt die Verwaltung der Inhalte von ihrer Darstellung: Die Inhalte werden über APIs veröffentlicht und können verschiedene Kanäle bedienen. ACME ECMS ist API-first entworfen, was es ermöglicht, es in Projekten, die das verlangen, auf diese Weise einzusetzen.

Wenn das Problem es rechtfertigt. Wir beginnen nicht bei der Technologie, sondern beim Prozess, der unterstützt werden soll: Eine Microservices-Architektur erzeugt Betriebsaufwand und ist dann sinnvoll, wenn sie einen Vorteil bringt, den der Prozess wirklich verlangt. Die Anwendungen sind in jedem Fall API-first entworfen, mit dokumentierten Schnittstellen.

Ja, wo der Prozess es verlangt: Ereignisse, die Systeme entkoppeln, sind oft die richtige Antwort, um Verwaltungssysteme zu verbinden, die einander nicht kennen müssen. Die Wahl der Komponenten erfolgt im Projekt, nach der immer gleichen Regel: offene Standards und keine Bindung.

Automatisierung wiederkehrender Aufgaben durch Software-Bots. Wir verbinden sie mit KI-Agenten zur Hyperautomatisierung.

Die Automatisierung wiederkehrender Schritte gehört zu Workflow & Process Orchestration, und immer häufiger übernimmt ein KI-Agent das, was zuvor einen Bot erforderte: ein Dokument klassifizieren, seine Daten auslesen, einen Vorgang vorbereiten. Der Unterschied ist, dass der Agent innerhalb der von Ihnen festgelegten Regeln und Berechtigungen arbeitet und jeder Schritt nachvollziehbar bleibt.

Der Entwurf der Oberfläche gehört zur Entwicklung, mit einer Sorgfalt, die für uns nicht optional ist: Barrierefreiheit nach WCAG 2.1 AA ist eine Anforderung aus dem eigenen Hause, weil wir mit der öffentlichen Verwaltung arbeiten. Wir haben allerdings kein eigenständiges Designteam, das wir als separate Leistung anbieten könnten.

Sie ist das, was es erlaubt, die IT wie den Rest des Unternehmens zu steuern: mit ausdrücklichen Prioritäten, begründeten Budgets, gemessenen Risiken und vergleichbaren Ergebnissen. Wir helfen beim Aufbau von Entscheidungsmodellen, Service- und Projekt-KPIs sowie der Steuerung von Investitionen.

Das DCMM ist das 2011 von The Green Grid veröffentlichte Modell zur Messung von Effizienz und Nachhaltigkeit eines Rechenzentrums auf einer Skala von sechs Stufen (0–5) und in zwei Dimensionen: Facility (Stromversorgung, Kühlung, Gebäude) und IT (Rechenleistung, Speicher, Netz).

Das Ergebnis ist keine Note, sondern eine Roadmap: zu wissen, wo man heute steht, um zu entscheiden, wohin es morgen gehen soll. Es dient dazu, vor dem Investieren zu messen, Investitionen dorthin zu lenken, wo sie den größten Wert schaffen, und die Weiterentwicklung zu planen, statt Notfällen hinterherzulaufen.

Nein. Seine Fragen gelten unverändert für einen Serverraum mit drei Racks: Wie viel verbraucht die Kühlung? Wie stark sind die Server ausgelastet? Belegen kalte Daten teuren Speicher? Wir nutzen es als Analyseraster für Organisationen jeder Größe.

Wir betreuen den vollständigen Lebenszyklus des Service nach dem Ansatz des ITIL Service Lifecycle in vier Phasen: Strategie und Design → Transition → Betrieb → kontinuierliche Verbesserung. Ein einziger Verantwortlicher von Anfang bis Ende.

Ein einziger Verantwortlicher über den gesamten Zyklus; überprüfbare Phasen und Ergebnisse, also keine Grauzonen zwischen Projekt und Betrieb; die planenden Kompetenzzentren sind mit denen verzahnt, die betreiben und unterstützen.

PUE (Power Usage Effectiveness); ERF (Energy Reuse Factor); CUE (Carbon Usage Effectiveness); WUE (Water Usage Effectiveness); durchschnittliche monatliche Auslastung der Server; Effizienz der Stromversorgungskette.

Festlegung von Entscheidungsmodellen (wer entscheidet was); über die Zeit gemessene Service- und Projekt-KPIs; Steuerung von Investitionen, Prioritäten und IT-Risiko; fortlaufende Abstimmung zwischen IT und Geschäftszielen.

Environmental, Social, Governance: drei Dimensionen der Nachhaltigkeit. Sie werden für den Zugang zu Krediten, für Ausschreibungen und für Investoren immer wichtiger.

Im Juni 2026 hat Ecomate Lympha Technologies die Note BBB des ESG SME Rating mit einer Gesamtpunktzahl von 51/100 zuerkannt: Environmental 45, Social 52, Governance 57. Das Profil ist öffentlich, und das Rating wird regelmäßig aktualisiert: Der hier genannte Wert stammt aus der Erhebung vom Juni 2026.

Umweltbezogene Aussagen, die nicht überprüfbar oder irreführend sind. Wir vermeiden es durch zertifizierte und messbare Daten.

Durch Prüfungen Dritter und nicht durch Erklärungen: Die Green-Zertifizierung des Rechenzentrums wird nach einem Regelwerk erteilt und im Register des Green Cloud Consortium veröffentlicht, für jedermann überprüfbar; das ESG-Rating vergibt ein externer Bewerter, und das Profil ist öffentlich. Wo wir eine Angabe nicht veröffentlichen, beanspruchen wir sie auch nicht.

Ein Rahmenwerk für die wirtschaftliche Steuerung der Cloud: Transparenz, Optimierung, Verantwortlichkeit.

Ja. Assessment, Umsetzung, Schulung und laufende Überwachung zur Optimierung der Cloud-Kosten.

Die Gesamtkosten eines IT-Assets über seinen Lebenszyklus (Anschaffung, Betrieb, Wartung, Außerbetriebnahme).

Ja, um Szenarien zu vergleichen (on-premise gegenüber Cloud, verschiedene Hersteller, verschiedene Architekturen).

Die Weiterentwicklung von ITIL: Sie umfasst Agile, DevOps, digitale Transformation, Wertströme und die 4 Dimensionen des Service Managements.

Das Unternehmen ist nach ISO 9001:2015 zertifiziert (Registrierung 19349-A, Zertifizierungsstelle Kiwa, Akkreditierung durch Accredia). ITIL ist keine Unternehmenszertifizierung, sondern eine Sammlung von Best Practices: Unsere Prozesse für Incident-, Request- und Change-Management sind daran ausgerichtet, wie auf den Seiten zu ITSM und Service Lifecycle beschrieben.

Die ITIL-Phase für die kontinuierliche Verbesserung auf Grundlage von Kennzahlen, Reviews und Korrekturmaßnahmen.

Ja, und sie ist eine ausdrückliche Phase unseres Service Lifecycle, kein guter Vorsatz: Die Serviceberichterstattung liefert die Zahlen, und die Zahlen führen zu den Korrekturmaßnahmen. Der Takt der Reviews mit dem Kunden ist der im Servicevertrag vereinbarte.

TOGAF ist ein Rahmenwerk für Unternehmensarchitektur: Es setzt Geschäft, Daten, Anwendungen und Technologie in ein einheitliches Bild. Es ist einer der Bezugspunkte im Nachdenken über Governance; das Modell, das wir operativ zur Messung des Reifegrads der Infrastruktur einsetzen, ist das DCMM von The Green Grid.

COBIT ist ein Rahmenwerk für die Steuerung der IT und ergänzt ITIL: Wo ITIL beschreibt, wie Dienste erbracht werden, beschreibt COBIT, wie sie gesteuert und gemessen werden. In unserer IT-Governance-Arbeit ist das Ziel dasselbe – ausdrückliche Entscheidungsmodelle, gemessene KPIs, begründete Investitionen – mit den Werkzeugen, die die Organisation bereits nutzt.

Erkennen, Analysieren und Behandeln von IT-Risiken anhand von Rahmenwerken (ISO 27005, NIST SP 800-30).

Ja. Strukturierte Bewertung mit Risikomatrix, Behandlungsplan und Überwachung.

Ein am Geschäft ausgerichteter Bauplan der IT-Organisation: Prozesse, Daten, Anwendungen, Technologie.

Wir arbeiten an der Steuerung der IT und am Reifegrad der Infrastruktur: Entscheidungsmodelle, Service- und Projekt-KPIs, Steuerung von Investitionen und Risiko sowie die DCMM-Bewertung als Ausgangsaufnahme. Ein Auftrag zur Unternehmensarchitektur im engeren Sinne, über die gesamte Anwendungslandschaft der Organisation hinweg, ist nicht unser Metier.

Eine Governance-Struktur zur Koordination von Initiativen der digitalen Transformation.

Der organisatorische Entwurf einer solchen Struktur ist nicht das, was wir verkaufen. Was wir beitragen, ist der IT-Teil, an dem eine Transformation trägt oder scheitert: den Reifegrad messen, bevor investiert wird, festlegen, wer was entscheidet, und vergleichbare KPIs für Dienste und Projekte einführen.

Die Bewertung des Reifegrads eines Bereichs (IT, Sicherheit, Rechenzentrum) anhand von Rahmenwerken (DCMM, CMMI, ISO).

Das Modell, das wir verwenden, ist das DCMM (Data Center Maturity Model) von The Green Grid: sechs Stufen, zwei Dimensionen (Facility und IT) und als Ergebnis eine Roadmap statt einer Note. Es funktioniert bei einem Rechenzentrum ebenso wie bei einem Serverraum mit drei Racks.

Es ist das Instrument, mit dem eine Organisation aufkommende Technologien verfolgt und entscheidet, ob sie sie einführt, erprobt oder ruhen lässt. Es ist die Art von Entscheidung, die die IT-Governance ausdrücklich macht, statt sie der Dringlichkeit zu überlassen: erklärte Prioritäten, begründete Investitionen, gemessene Risiken.

Ein Rechenzentrum, das auf minimale Umweltwirkung ausgelegt ist: Holzkonstruktion mit niedrigem Wärmedurchgang, geringe Infrastrukturdichte, Free Cooling ohne Kältemaschinen, 100 % erneuerbare Energie. Unser 00GATE ist von Accredia® Green-zertifiziert und gehört, so wie es gebaut ist, zu den ersten seiner Art in Südeuropa.

Der PUE (Power Usage Effectiveness) ist eine 2007 entstandene Kennzahl, die misst, wie effizient ein Rechenzentrum Energie nutzt. Ein PUE von 1,0 wäre perfekt (die gesamte Energie geht an die IT). Es ist die Zahl, die gesteuerte Rechenzentren von bloß erduldeten trennt.

In neueren Rechenzentren verbrauchen die IT-Systeme 70–90 % der Energie – genau den Teil, den der PUE nicht misst. Nötig sind Kennzahlen zur Arbeitskapazität, zur Produktivität je Megawattstunde und die neuen Kennzahlen zur Arbeitseffizienz.

Holzkonstruktion für minimalen Wärmedurchgang; geringe Dichte (50 % der Rack-Fläche genutzt) für natürliche Wärmeabfuhr; Free Cooling (Konvektionsströmung, ohne Kältemaschinen); Betriebstemperatur von rund 28 °C statt der üblichen 18–20 °C; 100 % erneuerbare Energie (Photovoltaik und Wind).

Durchschnittswerte (Quelle: Gartner): ≈200 g CO₂ für eine E-Mail mit 10 MB Anhang; 250 g CO₂ für eine Minute Video; 200 g CO₂ für eine SMS; 4 g CO₂ für eine Webseite.

Ja. Im Juni 2026 hat Ecomate Lympha Technologies die Note BBB (ESG SME Rating) mit 51/100 Punkten zuerkannt: Environmental 45/100, Social 52/100, Governance 57/100.

Ein auf europäischem Boden errichtetes, aber in fremdem Eigentum stehendes Rechenzentrum macht Ihre Daten nicht souverän: Es zählen Eigentum, Kontrolle und die Möglichkeit, wieder herauszukommen. Wir garantieren, dass die Daten in Italien und unter Ihrer Kontrolle bleiben.

Ja. Unsere Erfahrung ist zu einer Leistung geworden: Wir planen Zero Emission Data Center für Kunden – emissionsfreie Rechenzentren, mit erneuerbarer Energie versorgt, mit optimiertem PUE und DCIM-Überwachung von Verbrauch und Effizienz.

Es sind die Einstufungen des Uptime Institute zur Redundanz eines Rechenzentrums: Tier III lässt sich warten, ohne die Dienste anzuhalten, Tier IV verkraftet den Ausfall einer Komponente ohne Unterbrechung. 00GATE ist in Tier-III-Konfiguration ausgeführt, mit garantierter Betriebskontinuität von 99,98 % – höchstens 1,6 Stunden Ausfall pro Jahr.

Es ist in Tier-III-Konfiguration ausgeführt, mit garantierter Betriebskontinuität von 99,98 % – höchstens 1,6 Stunden Ausfall pro Jahr – und einem physischen Schutz durch nahezu 200 Geräte aus Zutrittskontrolle, Detektion und Videoüberwachung.

LEED (Leadership in Energy and Environmental Design) ist eine internationale Zertifizierung für die Nachhaltigkeit von Gebäuden, die Materialien, Verbrauch und Aufenthaltsqualität bewertet. Sie ist im Bauwesen verbreitet, Rechenzentren eingeschlossen.

Nein. Die externe Prüfung, für die wir uns entschieden haben, ist die Green-Zertifizierung, die nach einem Regelwerk erteilt und von Accredia® akkreditiert ist, im Register des Green Cloud Consortium veröffentlicht und für jedermann überprüfbar. LEED betrifft die Nachhaltigkeit des Gebäudes; jene Zertifizierung betrifft den Betrieb des Rechenzentrums.

Der CUE (Carbon Usage Effectiveness) misst die Kohlenstoffemissionen je Einheit der von der IT verbrauchten Energie. Es ist die Kennzahl, bei der die Wahl der Energiequelle den Ausschlag gibt: Die Versorgung von 00GATE stammt zu 100 % aus erneuerbaren Quellen, und genau das – und nicht ein Kompensationsmechanismus – beeinflusst das Ergebnis.

Der WUE (Water Usage Effectiveness) misst die Liter Wasser, die je Einheit IT-Energie verbraucht werden. Es ist eine Kennzahl von Gewicht, weil viele Rechenzentren mit Wasser kühlen. 00GATE tut das nicht: Es nutzt Free Cooling durch Konvektionsströmung, ohne Kälteanlagen und damit ohne Wasserverbrauch zur Kühlung.

Der ERF (Energy Reuse Factor) misst, welcher Anteil der verbrauchten Energie zurückgewonnen und andernorts wiederverwendet wird, typischerweise als Abwärme. Es ist eine Kennzahl, die Rechenzentren hoher Dichte mit viel konzentrierter Wärme belohnt; 00GATE ist genau umgekehrt ausgelegt – geringe Dichte und natürliche Wärmeabfuhr – und die rückgewinnbare Wärme ist strukturell gering.

Der Herkunftsnachweis ist das europäische Zertifikat, das die erneuerbare Herkunft des Stroms bescheinigt. Die Versorgung des Rechenzentrums stammt zu 100 % aus erneuerbaren Quellen, Photovoltaik und Wind; die Zertifikate unserer Lieferverträge sind veröffentlicht und auf der Seite zur Nachhaltigkeit herunterladbar.

DORA (Digital Operational Resilience Act) ist die europäische Verordnung zur digitalen operationalen Resilienz des Finanzsektors. Auf uns als solche findet sie keine Anwendung: Sie gilt für Finanzunternehmen und, über vertragliche Weitergabe, für die IKT-Dienstleister, die sie betreuen. Wenn Sie DORA unterliegen, sind die Anforderungen an Kontinuität, Tests und Störungsmanagement in Vertragsklauseln zu übersetzen: Das ist eine Prüfung, die gemeinsam vor der Unterschrift zu erfolgen hat, keine Konformitätserklärung unsererseits.

Es ist die freiwillige Initiative, mit der sich europäische Rechenzentrumsbetreiber zur Klimaneutralität bis 2030 verpflichtet haben, mit Zielen zu Effizienz, sauberer Energie, Wasser und Kreislaufwirtschaft. Wir sind ihr nicht beigetreten: 00GATE wurde von Anfang an so geplant, dass keine Emissionen entstehen, und die externe Prüfung, die wir vorweisen, ist die Green-Zertifizierung von Accredia®.

Es ist das freiwillige Programm der Europäischen Kommission zur Energieeffizienz von Rechenzentren, mit einer öffentlichen Liste von Teilnehmern und Unterstützern. Wir sind darin nicht aufgeführt: Die externe Prüfung, für die wir uns bei 00GATE entschieden haben, ist die Green-Zertifizierung von Accredia®, veröffentlicht im Register des Green Cloud Consortium.

Die ISO 50001 ist die Norm für Energiemanagementsysteme; sie verlangt, die erbrachte Arbeit je Einheit verbrauchter Energie zu messen – nicht nur, wie viel Energie verbraucht wird. Wir sind nicht nach ISO 50001 zertifiziert: Die einzige Systemzertifizierung von Lympha Technologies ist die ISO 9001:2015 (Registrierung 19349-A, Zertifizierungsstelle Kiwa, Akkreditierung durch Accredia).

Es ist die Reihe internationaler Normen zu den Infrastrukturen von Rechenzentren – Stromversorgung, Kühlung, physische Sicherheit, Verkabelung –, ihrem Zweck nach vergleichbar mit der US-amerikanischen TIA-942. 00GATE ist in Tier-III-Konfiguration ausgeführt und von Accredia® Green-zertifiziert; eine erklärte Konformität mit der Reihe 22237 gehört nicht zu den Zertifizierungen, die wir veröffentlichen.

Der momentane PUE sagt wenig aus: Er hängt von Last und Jahreszeit ab und lässt sich im günstigsten Augenblick auswählen. Der jährliche Wert, ein Mittel über zwölf Monate, ist der einzige vergleichbare. Dazu kommt eine unbequemere Vorbemerkung: In neueren Rechenzentren verbraucht die IT 70–90 % der Energie, also genau den Teil, den der PUE nicht misst.

Kühlung mit Außenluft ohne kompressorbasierte Kälteerzeugung. 00GATE nutzt ausschließlich winterliches und konvektives Free Cooling.

Es ist die Einhausung der warmen Gänge, mit der warme und kalte Luftströme getrennt werden, um keine Kühlleistung zu verschwenden. Es ist eine Technik für Räume hoher Dichte: 00GATE geht einen anderen Weg – geringe Dichte, bewusst nur die Hälfte der Rack-Fläche genutzt und Wärmeabfuhr durch natürliche Konvektionsströmung.

Es ist die Kühlung mit Flüssigkeit, nötig dann, wenn die Leistungsdichte je Rack zu hoch wird, als dass Luft ausreichte – es ist der Weg der Räume für Hochleistungsrechnen. 00GATE geht konstruktiv in die entgegengesetzte Richtung: bewusst nur die Hälfte der Rack-Fläche genutzt, Betriebstemperatur um 28 °C und konvektives Free Cooling, ohne Kälteanlagen.

Unter den Durchschnittswerten, die wir anführen (Quelle: Gartner), wiegt eine E-Mail mit 10 MB Anhang rund 200 g CO₂. Zum Vergleich: 250 g eine Minute Video, 200 g eine SMS, 4 g eine Webseite. Es sind Größenordnungen, die helfen zu verstehen, dass das Digitale sehr wohl einen Umweltpreis hat.

Es ist der Gesamtfußabdruck der digitalen Tätigkeiten einer Organisation: Endgeräte, Netz, Rechenzentrum, Cloud-Dienste. Ihn zu messen erfordert Daten, die an verschiedenen Orten liegen, und das ist einer der Gründe, warum wir auf die Erfassung der Assets bestehen: Die CMDB und die Überwachung des Verbrauchs sind die Voraussetzung jeder glaubwürdigen Messung.

Konformität mit dem CAD (italienisches Gesetzesdekret 82/2005): Vorrang für Open-Source-Software und Nachnutzung (Artikel 68–69), Barrierefreiheit nach WCAG 2.1 AA, vollständige DSGVO-Konformität mit qualifiziertem Datenschutzbeauftragten, Datensouveränität nach NIS2 und den Vorgaben der ACN.

Gesundheitsdaten sind besondere Kategorien (Artikel 9 DSGVO): verstärkte Garantien, Datenminimierung, Nachvollziehbarkeit der Zugriffe. Wir bieten Business Continuity und Disaster Recovery mit RTO/RPO je klinischem Dienst, ein NOC rund um die Uhr, eine eigene Private Cloud und KI on-premise, ohne dass Daten hinausgehen.

Die NIS2 betrifft die wesentlichen und wichtigen Sektoren – darunter Gesundheitswesen, Energie, Verkehr, öffentliche Verwaltung, Finanzwesen und Telekommunikation – und verlangt angemessene Sicherheitsmaßnahmen, getestete Kontinuitätspläne und die Meldung von Vorfällen. Fallen Sie in den Anwendungsbereich, sind die Punkte, an denen wir ansetzen, die infrastrukturellen: Kontinuität mit aus der BIA abgeleiteten RTO und RPO, Tests unter gestoppter Zeit, dokumentiertes Störungsmanagement, Sicherheitsassessments. Die Einordnung Ihrer Einrichtung als NIS2-Adressat ist allerdings eine Feststellung, die Ihnen obliegt.

Wir bieten IT-Governance und DCMM zur Steuerung von Investitionen in großem Maßstab, Rechenzentrumsplanung und Facility Management (auch Zero Emission), die Betreuung des Arbeitsplatzbestands über SPOC mit VIP-Warteschlangen und CMDB sowie integrierte Kompetenzzentren.

Modular kombinierbare Pakete gegen Gebühr: 1. Schutz und Kontinuität – DPaaS gegen Gebühr; 2. Betreute Arbeitsplätze – SPOC-/Help-Desk-Modell; 3. Vollständig betreute IT – NOC + laufender Support.

Ja – Stillstand, Datenverlust, Angriffe –, aber nicht dieselben Budgets und keine strukturierte IT-Abteilung. Das Pay-per-Use-Modell und die modularen Pakete erlauben es, mit dem zu beginnen, was wirklich gebraucht wird, und bei Bedarf zu wachsen.

Ja. Die Planung von Rechenzentren und das Facility Management gehören zur Business Unit CNS, mit Architekturen, Capacity Planning und Facility Planning für Serverfarmen und Rechenzentren.

In der Sprache öffentlicher Rahmenverträge: formalisierte Prozesse, SLAs und Berichtswesen. Das CMS ACME ECMS erfüllt das CAD und die AgID-Leitlinien zur Barrierefreiheit.

Es ist das System, das die Krankengeschichte der Bürgerinnen und Bürger in digitaler Form zusammenführt und auf regionaler Ebene betrieben wird. Wir setzen keine FSE-Systeme um: Unsere Rolle im Gesundheitswesen ist die Infrastruktur unterhalb der klinischen Anwendungen – Kontinuität, Datensicherung, laufende Betreuung, Private Cloud mit Daten in Italien.

Das Gesundheitswesen ist einer der vier Bereiche, die wir abdecken. Der Ansatz ist der auf der eigenen Seite beschriebene: Kontinuität und Disaster Recovery mit je klinischem Dienst festgelegten RTO und RPO, NOC-Betreuung 24×7×365, eigene Private Cloud mit Daten in Italien und KI on-premise für Dokumente, die nicht hinausgehen dürfen. Konkrete Referenzen teilen wir auf Anfrage mit.

Das CAD (Codice dell'Amministrazione Digitale, italienisches Gesetzesdekret 82/2005) ist der rechtliche Rahmen für die Digitalisierung der öffentlichen Verwaltung. Die Artikel, die uns am unmittelbarsten betreffen, sind 68 und 69 zum Vorrang für Open-Source-Software und zur Nachnutzung: Deshalb entwickeln wir mit offenen Technologien, und die Software bleibt Eigentum der Behörde.

ACME ECMS enthält das Plugin Acme SpidFedera für die Authentifizierung mit SPID und Federa sowie das Plugin Acme LDAP für Unternehmenskonten. Die Integration mit CIE gehört nicht zum veröffentlichten Plugin-Katalog: Verlangt ein Projekt sie, ist sie ausdrücklich vorzusehen.

PagoPA erscheint nicht im veröffentlichten Plugin-Katalog von ACME ECMS. Es ist eine Integration, die sich als Individualentwicklung innerhalb eines Projekts für die öffentliche Verwaltung umsetzen lässt, doch sie ist vorzusehen und zu bemessen: Es ist keine bereits im Katalog verfügbare Funktion.

Die Integration mit der IO-App gehört nicht zum veröffentlichten Plugin-Katalog von ACME ECMS. Wie bei den übrigen Diensten der nationalen öffentlichen Plattform lässt sie sich als Individualentwicklung umsetzen und ist im Projekt vorzusehen.

Die Integration mit ANPR (dem italienischen nationalen Melderegister der Wohnbevölkerung) gehört nicht zum veröffentlichten Plugin-Katalog von ACME ECMS. Sie lässt sich als Individualentwicklung im Rahmen eines Projekts für kommunale Meldedienste umsetzen.

Die Bereiche, in denen wir tätig sind – Cloud-Migration, Sicherheit, Digitalisierung von Prozessen, Barrierefreiheit –, sind jene, in die viele Behörden mit Mitteln des italienischen Aufbau- und Resilienzplans investiert haben. Wir arbeiten in der Sprache öffentlicher Rahmenverträge: formalisierte Prozesse, SLAs und Berichtswesen. Die Mittelabrechnung bleibt Sache der Behörde und ihrer Berater.

Es ist der Grundsatz, wonach eine Verwaltung zuerst Cloud-Lösungen prüfen und ihre Entscheidung begründen muss, wenn sie sich anders entscheidet. Er ist zusammen mit den Anforderungen an Souveränität und Lokalisierung der Daten zu lesen, auf die NIS2 und die Vorgaben der ACN verweisen: Unsere Private Cloud ist ein eigener Perimeter mit Daten in Italien. Wo eine Ausschreibung die ACN-Qualifizierung der Dienste verlangt, ist diese Anforderung vorab zu prüfen.

Wir haben kein eigenes Angebot für den Hochschulbereich. Unsere Wurzeln führen allerdings nah daran vorbei: Lympha entstand 2011, inkubiert von ASTER, dem Konsortium der Region Emilia-Romagna mit der Universität Bologna, dem CNR und der ENEA. Die Bereiche, die wir mit spezifischen Inhalten und Kompetenzen abdecken, sind die lokale öffentliche Verwaltung, das Gesundheitswesen, Großunternehmen und KMU.

Wir haben kein eigenes Angebot für Stiftungen. Die Leistungen zu Kontinuität, Datensicherung, betreuten Arbeitsplätzen und Private Cloud sind bereichsübergreifend und werden auf die anfragende Organisation ausgelegt, gleich welcher Rechtsform.

Wir haben kein eigenes Angebot für den Genossenschaftsbereich. Es gilt dasselbe wie für andere Organisationen: Die modularen Pakete gegen Gebühr – Schutz und Kontinuität, betreute Arbeitsplätze, vollständig betreute IT – werden danach ausgewählt, was wirklich gebraucht wird, und wachsen mit der Zeit.

Wir haben kein eigenes Angebot für Konsortien. Die Infrastruktur und die betreuten Dienste, die wir erbringen, sind dieselben und werden auf den kritischen Prozess der Organisation ausgelegt: Ausgangspunkt ist stets die Frage, welchen Stillstand man sich nicht leisten kann.

Die Zulassung zum elektronischen Marktplatz der italienischen öffentlichen Verwaltung ist auf dem Portal Acquisti in Rete zu prüfen, wo die Liste der Anbieter öffentlich und stets aktuell ist. Zu den Beschaffungswegen und den für Ihre Einrichtung geltenden Rahmenverträgen fragen Sie am schnellsten direkt bei uns nach.

Die Verordnung (EU) 2024/1689 ist das erste umfassende Regelwerk zur künstlichen Intelligenz in Europa: Sie staffelt die Pflichten nach dem Risiko des Systems, von absoluten Verboten bis zu Transparenzpflichten. Sie wurde durch die Verordnung (EU) 2026/1744 geändert, den „Digital Omnibus zur KI“, in Kraft seit dem 27. Juli 2026, der einige ihrer Artikel neu gefasst und die Fristen für das hohe Risiko nach hinten verschoben hat.

Die Transparenzpflichten des Artikels 50, das Sanktionsregime und die Arbeitsfähigkeit der Marktüberwachungsbehörden: Es ist die Frist, die der Digital Omnibus bestätigt und nicht verschoben hat. Sie betreffen alle, die Menschen mit einem KI-System interagieren lassen oder erzeugte Inhalte veröffentlichen, auch jene, die sich nicht als „KI-Unternehmen“ verstehen.

Nur das hohe Risiko, und zwar mit zwei verschiedenen, vom Digital Omnibus festgelegten Daten: der 2. Dezember 2027 für die Systeme nach Anhang III (Artikel 6 Absatz 2) und der 2. August 2028 für die in Produkte nach Anhang I eingebetteten Systeme (Artikel 6 Absatz 1). Unverändert beim 2. Dezember 2026 bleiben dagegen die Übergangsfrist für die Kennzeichnung von Inhalten, die von bereits am Markt befindlichen Systemen erzeugt werden, sowie die durch den Omnibus neu eingeführten Verbote.

Anbieter ist, wer ein KI-System unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt, auch wenn das zugrunde liegende Modell von Dritten stammt; Betreiber ist, wer es unter eigener Verantwortung einsetzt. Diese Unterscheidung bestimmt alle weiteren Pflichten und ist die erste Feststellung, die es System für System zu treffen gilt. Für die Plattformen, die wir umsetzen, gelten wir als Anbieter, und wir halten im Vertrag schriftlich fest, welche Pflichten wir erfüllen und welche bei Ihnen bleiben.

Ja. ACME ECMS erfüllt das CAD (italienisches Gesetzesdekret 82/2005), die AgID-Leitlinien, das italienische Gesetz 4/2004 zur Barrierefreiheit (WCAG 2.1 AA) und die DSGVO, mit qualifiziertem Datenschutzbeauftragten.

Die Entscheidungen, von denen wir berichten, sind struktureller Art und nicht nachträglich hinzugefügt: das nach ISO 9001:2015 zertifizierte Qualitätssystem, das von Accredia® Green-zertifizierte Rechenzentrum, die DSGVO-Konformität mit qualifiziertem Datenschutzbeauftragten und das Legalitätsrating. Bei NIS2 und der KI-Verordnung ist unsere Rolle eine andere, und das gehört genau gesagt: Nicht wir machen Sie konform, aber wir steuern die infrastrukturellen und technischen Aspekte, von denen Ihre Konformität abhängt.

Die italienische Agentur für nationale Cybersicherheit ist die zuständige Behörde für Cybersicherheit: Sie verwaltet die Qualifizierung von Cloud-Diensten für die öffentliche Verwaltung und die Aufsicht über die Umsetzung der NIS2. Mit dem italienischen Gesetz 132/2025 wurde ihr zusätzlich eine Rolle im Bereich künstliche Intelligenz zugewiesen – Aufsicht, Prüfungen und Sanktionen –, während Meldung, Bewertung und Akkreditierung der AgID obliegen.

CISPE (Cloud Infrastructure Services Providers in Europe) ist der Verband der europäischen Anbieter von Cloud-Infrastrukturen, bekannt für seinen Verhaltenskodex zum Datenschutz, der nach Artikel 40 DSGVO anerkannt ist. Wir gehören ihm nicht an: Die externen Prüfungen, die wir vorweisen, sind die Green-Zertifizierung des Rechenzentrums und das Qualitätssystem nach ISO 9001:2015.

Gesundheits-, biometrische und genetische Daten, politische Meinungen, Religion, Sexualleben. Sie erfordern verstärkte Garantien.

Mit den Garantien, die besondere Datenkategorien verlangen: Verschlüsselung, Datenminimierung, feingranulare Zugriffskontrolle und Nachvollziehbarkeit, wer was gesehen hat. Wenn wir solche Daten im Auftrag eines Kunden verarbeiten, tun wir dies als Auftragsverarbeiter im Rahmen der Weisungen des Verantwortlichen; die Folgenabschätzung, soweit erforderlich, obliegt dem Verantwortlichen.

Es ist die Datenschutz-Folgenabschätzung, verpflichtend für Verarbeitungen, die ein hohes Risiko für die Rechte der betroffenen Personen bergen. Es ist eine Pflicht des Verantwortlichen: In Projekten mit besonderen Datenkategorien liefern wir die nötigen technischen Bausteine – Sicherheitsmaßnahmen, Datenflüsse, Aufbewahrungsfristen – und unser qualifizierter Datenschutzbeauftragter kann Sie begleiten, doch die Abschätzung selbst bleibt bei Ihnen.

Eine für die öffentliche Verwaltung und für bestimmte private Stellen verpflichtende Funktion. Wir bieten einen externen, qualifizierten Datenschutzbeauftragten als Dienstleistung an.

Vier Stufen: verbotene Praktiken (Artikel 5), hohes Risiko (Artikel 6 und Anhang III), Transparenzrisiko (Artikel 50) und minimales Risiko. Die Sanktionen folgen derselben Staffelung: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes bei verbotenen Praktiken, bis zu 15 Millionen oder 3 % bei Verstößen gegen die Transparenzpflichten. Die Einstufung ist schriftlich zu begründen: Es ist das erste Dokument, das eine Behörde verlangt.

In der Regel nicht: Die Dokumentenplattformen und Agenten, die wir umsetzen, fallen unter die Transparenzpflichten des Artikels 50 oder unter das minimale Risiko. Die Einstufung erfolgt jedoch System für System, anhand der konkreten Nutzung: Der realistischste Hochrisikofall für ein Unternehmen ist die Personalauswahl (Anhang III), die oft ein blinder Fleck ist, weil das Werkzeug aus der Personalabteilung kommt und nicht aus der IT.

Es ist das Verfahren, mit dem geprüft wird, ob ein hochriskantes System die Anforderungen der Verordnung erfüllt, bevor es in Verkehr gebracht wird; in bestimmten Fällen ist eine benannte Stelle einzuschalten. Der Digital Omnibus sieht ein vereinfachtes Formblatt für die technische Dokumentation von KMU und Start-ups vor, das benannte Stellen anzunehmen haben.

Es ist die Kennzeichnung, die die Konformität eines hochriskanten Systems bescheinigt und vor dem Inverkehrbringen in der EU erforderlich ist. Sie ist von einer anderen Pflicht zu unterscheiden, die früher greift und weit mehr Beteiligte betrifft: die maschinenlesbare Kennzeichnung von KI-erzeugten Inhalten nach Artikel 50 Absatz 2, die den Anbieter trifft, mit Übergangsfrist bis zum 2. Dezember 2026 für bereits am Markt befindliche Systeme.

Die KI-Verordnung sieht eine EU-Datenbank vor (Artikel 71), in der hochriskante Systeme vor dem Inverkehrbringen zu registrieren sind, mit Informationspflichten des Anbieters. Es ist kein allgemeines Register aller KI-Systeme: Für die nur dem Artikel 50 unterliegenden Systeme besteht die Pflicht in Transparenz gegenüber den Menschen, nicht in einer Registrierung.

Der Digital Operational Resilience Act ist die europäische Verordnung, die Finanzunternehmen einen strukturierten Rahmen für das Management des IKT-Risikos vorschreibt: Erfassung der Abhängigkeiten, Resilienztests, Meldung von Vorfällen und verpflichtende Klauseln in den Verträgen mit IKT-Dienstleistern. Die Pflichten treffen das Finanzunternehmen, das sie vertraglich an die Lieferkette weitergibt.

An den Punkten, an denen die Verordnung die Infrastruktur berührt: Kontinuitäts- und Disaster-Recovery-Pläne, getestet unter gestoppter Zeit, dokumentiertes Störungsmanagement, Sicherheitsassessments und als Nachweis verwendbare Berichte. Die von DORA verlangten Vertragsklauseln sind ausdrücklich zu vereinbaren; die rechtliche Einordnung des Verhältnisses ist mit Ihren Beratern zu validieren.

Die CER-Richtlinie (Critical Entities Resilience) betrifft die physische und organisatorische Resilienz kritischer Einrichtungen – Energie, Verkehr, Gesundheitswesen, Banken – und ergänzt die NIS2, die sich ihrerseits mit der Informationssicherheit befasst. Beide sind zusammen zu lesen: Ein Kontinuitätsplan, der nur den Cybervorfall abdeckt, lässt die Hälfte des Problems ungelöst.

Eine geografische Vorgabe dazu, wo die Daten physisch liegen. Unsere Daten liegen ausschließlich in Italien.

Ja. Das Gesundheitswesen gehört zu den wesentlichen Sektoren (NIS2-Richtlinie) – nötig sind getestete Kontinuitäts- und Wiederherstellungspläne, keine bloß erklärten.

Das CAD (italienisches Gesetzesdekret 82/2005), die DSGVO, die NIS2, die ACN-Vorgaben zur Cloud, die Barrierefreiheit nach dem italienischen Gesetz 4/2004 und den WCAG 2.1 AA sowie nun die KI-Verordnung. Unser Beitrag liegt dort, wo diese Vorschriften die Infrastruktur und die Anwendungen berühren: Souveränität und Lokalisierung der Daten, getestete Kontinuität, geprüfte Barrierefreiheit, Nachvollziehbarkeit. Die Pflichten, die die Behörde als Verantwortliche treffen, bleiben ihre eigenen.