zazoon ag erfahrungen

ZAZOON AG

  • Zazoon GRC: Die moderne SaaS-Lösung für Governance, Risk & Compliance

    Zazoon GRC: Die moderne SaaS-Lösung für Governance, Risk & Compliance

    Einleitung: Warum GRC heute wichtiger ist denn je

    Unternehmen jeder Größe stehen unter wachsendem Druck, regulatorische Anforderungen zu erfüllen, Risiken zu steuern und interne Kontrollen lückenlos zu dokumentieren. Wer diese Aufgaben noch mit Excel-Tabellen, E-Mail-Verteilern und losen Word-Dokumenten bewältigt, verliert schnell den Überblick. Genau hier setzt eine professionelle GRC-Software an: Governance, Risk und Compliance werden in einem zentralen System gebündelt, statt in Dutzenden Einzeldateien zu versickern.

    Zazoon hat sich genau dieser Herausforderung verschrieben. Als spezialisierter Anbieter einer GRC-Plattform hilft das Unternehmen mittleren und großen Organisationen dabei, Compliance-Anforderungen, Risiken und Kontrollpflichten systematisch, digital und nachvollziehbar zu verwalten – ohne die Ineffizienzen manueller Tabellenkalkulationen.

    Was ist Zazoon GRC?

    Zazoon AG wurde bereits 1999 in Zürich von einer Gruppe von IT-Spezialisten gegründet und hat sich seither zu einem der führenden Anbieter im Bereich GRC und Frontline Governance entwickelt. Mehr über die Unternehmensgeschichte und die Vision hinter der Plattform erfährst du auf der Über uns“-Seite von Zazoon.

    Das Herzstück des Angebots ist die MyGRC Solution, eine Cloud-basierte SaaS-Lösung für Governance, Risk und Compliance. Ziel ist es, Unternehmen ein klares, transparentes Bild ihrer kritischen Daten und Prozesse zu verschaffen – und damit fundierte, strategische Entscheidungen zu ermöglichen. Ergänzt wird die Lösung durch die MyStaffApp, eine mobile Anwendung für effizientes Richtlinienmanagement, mit der sich Workflows steuern, Fortschritte verfolgen und Richtlinien unternehmensweit ausrollen lassen. Details dazu findest du direkt bei MyGRC Solution auf zazoon.com.

    Die Kernmodule der Zazoon GRC-Plattform

    Ein zentraler Vorteil von Zazoon liegt in der Breite der abgedeckten GRC-Module. Statt für jeden Teilbereich eine eigene Insellösung zu betreiben, lassen sich alle Prozesse in einem System zusammenführen:

    • Enterprise Risk Management – zentrale Risikobibliothek, in der Risiken erfasst, analysiert und behandelt werden können.
    • Internes Kontrollsystem (IKS) – klare Zuordnung von Verantwortlichkeiten und lückenlose Nachverfolgung von Kontrollen.
    • Compliance Management – Überwachung regulatorischer Anforderungen und automatisierte Nachweisführung.
    • Prozessmanagement – Dokumentation und Optimierung von Geschäftsprozessen.
    • Vendor- bzw. Third-Party-Management – Transparenz über Lieferanten- und Partnerrisiken, ein Thema, das laut einem Zazoon-Fachartikel zu Third-Party-Risiken angesichts globaler, vernetzter Lieferketten zunehmend an Bedeutung gewinnt.
    • Policy Management – gesteuert über die MyStaffApp, inklusive automatischer Benachrichtigungen an Dokumentenverantwortliche.
    • Datenschutz – Unterstützung bei der Einhaltung von Datenschutzanforderungen.
    • Audits & Reports – digitale Auditvorbereitung, Berichterstattung und Nachweisdokumentation.
    • ESG – Unterstützung bei Umwelt-, Sozial- und Governance-Reporting.

    Diese Modulvielfalt macht Zazoon zu einem echten Enterprise-Risk-Management-Software-Anbieter mit Anspruch auf ganzheitliche Abdeckung des GRC-Spektrums.

    Sicherheit und Technologie: Worauf Zazoon setzt

    Gerade bei einem Compliance Management System spielt die technische Sicherheit der Plattform eine entscheidende Rolle. Zazoon setzt hier auf mehrere Ebenen:

    • ISO 27001-Konformität sowie Einhaltung der EU- und Schweizer Datenschutzbestimmungen.
    • AES-256-Verschlüsselung für Daten sowohl im Ruhezustand als auch während der Übertragung.
    • Multi-Faktor-Authentifizierung als zusätzliche Sicherheitsebene über das Passwort hinaus.
    • Microsoft-Entra-Synchronisation, sodass Nutzerkonten direkt aus der bestehenden Microsoft-Umgebung übernommen werden können.
    • Granulare Nutzerberechtigungen, die sicherstellen, dass nur autorisierte Personen Zugriff auf bestimmte Daten und Funktionen erhalten.
    • Multi-Mandantenfähigkeit, um mehrere Organisationen oder Geschäftseinheiten sicher in einer einzigen Umgebung zu verwalten.
    • Betrieb auf Microsoft-Azure-Infrastruktur, was Skalierbarkeit, Zuverlässigkeit und Sicherheit gewährleisten soll.

    Wer sich für die technischen Details der mobilen App interessiert, findet weiterführende Informationen ebenfalls auf zazoon.com.

    Welche Vorteile bringt der Einsatz von Zazoon GRC?

    Unternehmen, die von klassischen Tabellenkalkulationen auf die Zazoon-Plattform umsteigen, berichten laut den Praxisbeispielen auf Zazoons „Mehrwert unserer Lösungen“-Seite von mehreren spürbaren Effekten:

    1. Zentralisierte Datenbasis – Governance-, Risiko- und Compliance-Daten werden in einem System zusammengeführt, Datensilos verschwinden.
    2. Bessere Entscheidungsgrundlagen – durch konsolidierte Sicht auf alle GRC-Aktivitäten lassen sich operative wie strategische Entscheidungen fundierter treffen.
    3. Zeitersparnis bei Dokumentation – integrierte Prozess- und Kontrolldokumentation reduziert den manuellen Aufwand deutlich.
    4. Effizientere Auditvorbereitung – Nachweise und Aufzeichnungen lassen sich strukturiert bereitstellen, was Planungszeit für Audits spart.
    5. Weniger Redundanz – automatisierte Module verringern doppelte Arbeit bei der Pflege von Archiven und Dateien.
    6. Klare Verantwortlichkeiten – jeder Stakeholder erhält ein eigenes Dashboard mit zugewiesenen Aufgaben, was die Überwachung erheblich vereinfacht.

    Auch auf unabhängigen Bewertungsportalen wie OMR Reviews und G2 wird Zazoon GRC als Lösung beschrieben, die mittleren und großen Unternehmen hilft, wachsende Compliance-Anforderungen, Risiken und Kontrollbedürfnisse zu bewältigen – bei gleichzeitig besserem Verständnis und höherer Transparenz der eigenen kritischen Daten und Prozesse.

    Für wen eignet sich Zazoon GRC?

    Die Plattform richtet sich in erster Linie an mittlere und große Unternehmen, die branchenübergreifend eingesetzt werden kann. Besonders profitieren Organisationen mit hohen regulatorischen Anforderungen, etwa aus dem Finanzsektor. So beschreibt eine Pensionskasse als langjähriger Zazoon-Kunde, dass die Sicherheit der eigenen Abläufe und Transparenz im Risikomanagement für sie höchste Priorität haben – und die GRC-Lösung von Zazoon genau dabei unterstützt, diese Verantwortung professionell und effizient wahrzunehmen.

    Auch die Zusammenarbeit mit Partnern wie der Future Intelligence Group zeigt, dass Zazoon strategische Sicherheit, Business Continuity Management und moderne Technologie miteinander verbindet, um eine ausfallsichere und zukunftsfähige digitale Transformation zu ermöglichen.

    Nachhaltigkeit und gesellschaftliche Verantwortung

    Neben der reinen Softwarelösung positioniert sich Zazoon auch als Unternehmen mit gesellschaftlichem Engagement: Ein Teil der Einnahmen wird jährlich an die Non-Profit-Organisation GiveDirectly gespendet, die Familien in Ostafrika durch bedingungslose Geldtransfers unterstützt. Zusätzlich unterstützt Zazoon die European Climate Foundation, die sich für eine klimaneutrale Gesellschaft in Europa und weltweit einsetzt. Mehr dazu findest du auf der Über uns-Seite von Zazoon.

    Fazit: Lohnt sich der Umstieg auf Zazoon GRC?

    Wer im Unternehmen noch mit verstreuten Excel-Listen, E-Mail-Ketten und Papierdokumenten arbeitet, verschenkt Potenzial bei Transparenz, Effizienz und Rechtssicherheit. Eine spezialisierte GRC-Software wie Zazoon bündelt Risikomanagement, Compliance, interne Kontrollen, Richtlinienmanagement und ESG-Reporting in einer einzigen, sicheren Cloud-Plattform.

    Mit über 25 Jahren Erfahrung, einem breiten Modulportfolio und einem klaren Fokus auf Sicherheit (ISO 27001, AES-256-Verschlüsselung, Azure-Infrastruktur) positioniert sich Zazoon als ernstzunehmende Alternative zu manuellen Prozessen und punktuellen Insellösungen.

    Interessiert an einer Live-Demo? Auf der Demo-Anfrage-Seite von Zazoon kannst du direkt einen Termin mit den GRC-Experten von Zazoon vereinbaren – inklusive individueller Bedarfsanalyse und praxisnaher Produktvorführung.

    Weiterführende Informationen, Kundenstimmen und aktuelle Fachartikel rund um Governance, Risk und Compliance findest du fortlaufend im Zazoon-Blog.

    Wichtige Suchbegriffe in diesem Artikel: GRC-Software, Governance Risk Compliance, GRC-Plattform, Risikomanagement Software, Compliance Management System, Enterprise Risk Management Software, ISO 27001 Compliance Tool, Richtlinienmanagement Software, Third-Party-Risk-Management, SaaS-Lösung GRC

  • Globale Schadensbilanz 2025: Die strategische Bedeutung von GRC angesichts steigender Naturgefahren

    Globale Schadensbilanz 2025: Die strategische Bedeutung von GRC angesichts steigender Naturgefahren

    Die jüngste Veröffentlichung der Swiss Re zu den versicherten Schäden im ersten Halbjahr 2025 sendet ein klares Warnsignal an die Weltwirtschaft. Mit signifikanten Verlusten durch Waldbrände und schwere Gewitterstürme (Severe Convective Storms) zeigt sich erneut, dass sogenannte sekundäre Naturgefahren in ihrer finanziellen und operativen Auswirkung nicht mehr sekundär sind. Für Unternehmen bedeutet dies, dass das blosse Vertrauen auf Versicherungspolicen nicht mehr ausreicht. Vielmehr rückt eine integrierte Strategie aus Governance, Risk und Compliance (GRC) in den Fokus, um die Resilienz der Organisation zu sichern.

    Das Wichtigste in Kürze

    • Die erste Jahreshälfte 2025 verzeichnete laut Swiss Re massive versicherte Schäden, getrieben durch Waldbrände und Gewitterstürme.
    • Sogenannte sekundäre Gefahren übersteigen in ihrer Frequenz und Schadenshöhe zunehmend die klassischen Hauptgefahren wie Erdbeben oder Hurrikane.
    • Für Unternehmen steigen die Versicherungskosten, während gleichzeitig Deckungslücken (Protection Gaps) entstehen koennen.
    • Ein robustes GRC-Framework ist essenziell, um physische Klimarisiken in die Unternehmenssteuerung und das Berichtswesen (z. B. CSRD) zu integrieren.
    • Business Continuity Management (BCM) muss an die neue Realität volatiler Wetterereignisse angepasst werden.

    Analyse: Von der Schadensbilanz zur GRC-Strategie

    Die Daten der Swiss Re verdeutlichen einen Trend, der sich bereits in den Vorjahren abzeichnete und 2025 eine neue Intensität erreicht hat. Die Zunahme von extremen Wetterereignissen ist nicht mehr als statistischer Ausreisser zu werten, sondern als neue Normalität, die durch den Klimawandel befeuert wird. Aus Sicht von Governance, Risk und Compliance ergeben sich daraus konkrete Handlungsfelder, die weit über das reine Versicherungsmanagement hinausgehen.

    Governance: Die Verantwortung des Managements

    In der Governance-Dimension verschiebt sich die Verantwortung für Naturgefahren direkt in die Vorstandsetagen und Aufsichtsräte. Es genügt nicht mehr, Klimarisiken lediglich zur Kenntnis zu nehmen. Die Sorgfaltspflichten der Unternehmensführung verlangen eine aktive Auseinandersetzung mit der Frage, wie diese externen Schocks das Geschäftsmodell langfristig gefährden.

    Eine effektive Governance muss sicherstellen, dass physische Klimarisiken fester Bestandteil der strategischen Planung sind. Wenn Standorte durch Waldbrände bedroht sind oder Lieferketten durch Unwetter abreissen, ist dies kein reines „Wetter-Pech“, sondern ein vorhersehbares Szenario, auf das die Unternehmensführung vorbereitet sein muss. Governance bedeutet hier, Ressourcen für Prävention freizugeben und die Risikostrategie an den Daten von Rückversicherern wie der Swiss Re auszurichten.

    Risk Management: Neubewertung der Risikolandschaft

    Das Risikomanagement steht vor der Aufgabe, die Granularität seiner Analysen zu erhöhen. Die Berichte der Swiss Re zeigen, dass Gewitter und Hagel lokal sehr begrenzte, aber finanziell verheerende Schäden anrichten. Traditionelle Risikomodelle, die oft auf historischen Durchschnittswerten basieren, greifen hier zu kurz.

    Risikomanager müssen Szenarioanalysen durchführen, die spezifisch die sogenannten „Secondary Perils“ berücksichtigen. Dies umfasst nicht nur den direkten Sachschaden an eigenen Gebäuden oder Anlagen. Viel kritischer sind oft die indirekten Folgen: Betriebsunterbrechungen, Ausfall kritischer Infrastruktur (Strom, Wasser, Datenleitungen) und Unterbrechungen in der Zuliefererkette. Ein modernes Risikomanagement muss diese Abhängigkeiten kartieren und quantifizieren. Zudem müssen Unternehmen prüfen, ob ihre Versicherungspolicen noch adäquat sind oder ob durch Prämienerhöhungen und Ausschlussklauseln ein wirtschaftliches Risiko entsteht, das in der Bilanz Rückstellungen erfordert.

    Compliance: Regulatorischer Druck und Reporting

    Die Relevanz der Swiss Re Daten zeigt sich auch in der Compliance, insbesondere im Kontext der Nachhaltigkeitsberichterstattung. Vorschriften wie die Corporate Sustainability Reporting Directive (CSRD) in der EU verpflichten Unternehmen dazu, die finanziellen Auswirkungen von Klimarisiken offenzulegen.

    Wenn ein Unternehmen in Regionen operiert, die laut Swiss Re Bericht besonders betroffen sind (z. B. waldbrandgefährdete Gebiete in Nordamerika oder Südeuropa), muss dies im Reporting reflektiert werden. Compliance-Abteilungen müssen sicherstellen, dass die im Risikomanagement identifizierten physischen Risiken korrekt in die nicht-finanzielle und finanzielle Berichterstattung einfliessen. Ein Ignorieren dieser Datenlage kann als Greenwashing oder als irreführende Kapitalmarktkommunikation ausgelegt werden, was erhebliche Haftungsrisiken nach sich zieht.

    Business Continuity als operative Antwort

    Die Schnittstelle von Risk und Operations ist das Business Continuity Management (BCM). Die hohe Frequenz von Gewittern und Feuern erfordert agilere BCM-Pläne. Starre Notfallhandbücher helfen wenig gegen dynamische Wetterlagen. Gefordert sind flexible Reaktionsmechanismen, redundante Lieferantenstrukturen und dezentrale Lagerhaltungen, um Ausfälle abzufedern. Die Erkenntnisse aus dem ersten Halbjahr 2025 sollten direkt in die BCM-Tests und -Simulationen einfliessen, um die operative Resilienz zu härten.

    FAQ

    Was versteht man unter „Secondary Perils“ im Gegensatz zu Hauptgefahren?

    Hauptgefahren (Primary Perils) sind grossflächige Ereignisse wie tropische Wirbelstürme oder Erdbeben. Sekundäre Gefahren (Secondary Perils) sind Ereignisse, die oft häufiger auftreten, aber lokal begrenzter sind, wie schwere Gewitter, Hagel, Tornados, Dürren oder Waldbrände.

    Warum ist dieser Bericht für Unternehmen relevant, die keine Versicherer sind?

    Die Daten zeigen, dass die Wahrscheinlichkeit für Betriebsunterbrechungen und Sachschäden global steigt. Unternehmen müssen ihre Risikovorsorge anpassen, da Versicherungen teurer werden oder bestimmte Risiken gar nicht mehr decken. Zudem fordern Regulatoren Transparenz über diese Risiken.

    Welche Rolle spielt die CSRD in diesem Kontext?

    Die CSRD fordert von betroffenen Unternehmen eine Doppelte Wesentlichkeitsanalyse. Dabei müssen auch die finanziellen Risiken, die durch den Klimawandel auf das Unternehmen einwirken (Outside-In-Perspektive), bewertet und berichtet werden. Die Zunahme von Naturkatastrophen ist hierbei ein zentraler Faktor.

    Wie kann GRC helfen, Versicherungskosten zu senken?

    Ein starkes GRC-System demonstriert gegenüber Versicherern, dass das Unternehmen seine Risiken kennt und aktiv mindert (z. B. durch präventiven Brandschutz oder redundante Systeme). Dies kann die Verhandlungsposition bei der Erneuerung von Versicherungspolicen verbessern

  • Weihnachtsgeschenke für Geschäftspartner in DACH: Diese Regeln gelten aktuell in Deutschland, Österreich und der Schweiz

    Weihnachtsgeschenke für Geschäftspartner in DACH: Diese Regeln gelten aktuell in Deutschland, Österreich und der Schweiz

    In der Weihnachtszeit nutzen viele Unternehmen die Gelegenheit, Geschäftspartnern für die Zusammenarbeit zu danken. Kleine Aufmerksamkeiten stärken Beziehungen, zeigen Wertschätzung und können ein wichtiger Teil der Firmenkultur sein. Gleichzeitig müssen jedoch steuerliche Vorgaben, Compliance-Regeln und unternehmensinterne Richtlinien beachtet werden – und diese unterscheiden sich je nach Land.

    Der folgende Artikel bietet einen aktuellen, ausgewogenen Überblick über die rechtlichen und steuerlichen Rahmenbedingungen in Deutschland, Österreich und der Schweiz. Er gibt Orientierung, wie Firmen Weihnachtsgeschenke richtig handhaben, Risiken vermeiden und gleichzeitig seriös auftreten.

    Das wichtigste in Kürze

    • In allen drei Ländern gilt: Geschenke müssen betriebliche Zwecke erfüllen und angemessen sein.
    • Deutschland: steuerliche Freigrenze für Geschenke an Geschäftspartner bei 50 Euro pro Empfänger und Kalenderjahr.
    • Österreich und Schweiz haben keine exakt festgelegten einheitlichen Wertgrenzen, orientieren sich aber stark an Angemessenheit, Dokumentation und Compliance.
    • Klare interne Richtlinien und eine nachvollziehbare Dokumentation sind in jedem DACH-Land empfehlenswert.
    • Besonders bei Empfängern im öffentlichen Sektor gelten strenge Regeln. Zurückhaltung und Transparenz sind essenziell.

    Warum klare Regeln in allen drei Ländern wichtig sind

    Unabhängig davon, ob man in Österreich, der Schweiz oder Deutschland geschäftlich tätig ist: Geschenke dürfen nie den Anschein erwecken, geschäftliche Entscheidungen beeinflussen zu sollen. Compliance-Standards, Antikorruptionsgesetze und steuerrechtliche Vorgaben dienen dazu, saubere Geschäftsbeziehungen sicherzustellen.

    Deshalb sollten Unternehmen in jedem Land nachvollziehbare und einheitliche Grundsätze anwenden – auch wenn die gesetzlichen Details variieren.

    Die aktuellen Regelungen im Überblick

    Deutschland

    Deutschland definiert als einziges DACH-Land eine konkrete steuerliche Freigrenze für Geschenke an Geschäftspartner. Seit 2024 liegt diese bei 50 Euro pro Person und Jahr. Wichtig ist die richtige Dokumentation: Empfänger, Wert, Anlass und betrieblicher Zweck müssen festgehalten werden. Geschenke über 50 Euro können steuerlich nachteilig sein, ausser sie sind eindeutig und ausschliesslich betrieblich nutzbar.

    Österreich

    Österreich arbeitet grundsätzlich ohne fix festgelegte Wertgrenze, legt aber grossen Wert auf:

    • betriebliche Veranlassung
    • Angemessenheit des Geschenks
    • vollständige Dokumentation

    Dazu kommt: Unternehmen in Österreich müssen — wie in allen DACH-Staaten — sicherstellen, dass Geschenke nicht als unzulässige Beeinflussung interpretiert werden können. Gerade im B2G-Bereich ist Vorsicht besonders wichtig.

    Schweiz

    Auch in der Schweiz existieren keine starren gesetzlichen Wertlimiten für Weihnachtsgeschenke an Geschäftspartner. Stattdessen stehen folgende Kriterien im Vordergrund:

    • Übliche Angemessenheit (zu teure Geschenke können schnell heikel werden)
    • Transparenz und Nachvollziehbarkeit
    • Strikte Einhaltung von Compliance-Vorgaben und Branchenrichtlinien

    Die Schweizer Geschäftskultur ist traditionell eher zurückhaltend bei Geschenken. Firmen setzen daher häufig auf kleine, hochwertige, aber unaufdringliche Aufmerksamkeiten.

    Gemeinsame Grundprinzipien für die gesamte DACH-Region

    Trotz nationaler Unterschiede lassen sich einige Grundregeln identifizieren, die in allen drei Ländern gelten:

    Angemessenheit

    Das Geschenk sollte den geschäftlichen Rahmen widerspiegeln und nicht übertrieben wirken.

    Betriebliche Veranlassung

    Das Geschenk dient der Beziehungspflege, nicht der Einflussnahme.

    Dokumentation

    Jedes Unternehmen sollte folgende Angaben erfassen:

    • Empfänger
    • Anlass
    • Wert
    • Datum
    • Zweck

    Vorsicht bei öffentlichen Stellen

    Bei Behörden, staatlichen Einrichtungen, öffentlichen Krankenhäusern, Universitäten und ähnlichen Institutionen gelten in allen Ländern besonders strenge Vorgaben.

    Empfehlungen für Unternehmen in DACH

    1. Eine klare, schriftliche Geschenke-Policy erstellen
    2. Höchstwerte intern festlegen
    3. Transparente Dokumentation führen
    4. Sensible Bereiche besonders beachten (Gesundheitswesen, öffentliche Hand, regulierte Branchen)
    5. Geschenke frühzeitig planen und Wertgrenzen nicht ausreizen
    6. Alternativen zum materiellen Geschenk prüfen (z. B. Spenden im Namen des Partners)

    Warum Zurückhaltung oft die beste Strategie ist

    Unabhängig vom Land kann ein zu teures Geschenk falsche Signale senden. Es wirkt schnell unangemessen, unter Umständen sogar manipulativ. Kleine, geschmackvolle Präsente oder eine persönliche handgeschriebene Karte erzielen oft eine stärkere, authentischere Wirkung als kostspielige Artikel.

  • Holiday gifts for business partners in the DACH region

    Holiday gifts for business partners in the DACH region

    During the Christmas season, many companies take the opportunity to thank their business partners with small gifts. These gestures strengthen relationships, show appreciation and are often part of a company’s culture. At the same time, tax rules, compliance requirements and internal guidelines must be respected – and these differ between Germany, Austria and Switzerland.

    This article provides a current and balanced overview of the legal and practical framework for holiday gifts in all three DACH countries. It explains what companies should consider in order to give appropriately, avoid risks and maintain trust.

    Key Takeaways

    • In all three countries, the same core principles apply: gifts must be business related, appropriate and transparent.
    • Germany has a tax threshold of 50 euros per recipient and calendar year for business gifts.
    • Austria and Switzerland do not use a single statutory value limit, but focus on appropriateness, business purpose and documentation.
    • Clear internal guidelines and consistent documentation are recommended throughout the DACH region.
    • Gifts to people in the public sector or highly regulated industries require particular caution.

    Why clear rules are important in all three countries

    Regardless of whether a company is based in Austria, Switzerland or Germany, gifts must never give the impression that they are intended to influence business decisions improperly. Compliance standards, anti-corruption rules and tax legislation are designed to ensure clean business relationships.

    Companies should therefore apply clear and comprehensible principles in every country in which they operate. This prevents misunderstandings, reduces legal and tax risks and creates a uniform standard for all employees.

    Current regulations at a glance

    Germany

    Germany is the only DACH country with a clearly defined tax limit for gifts to business partners. Business gifts are tax deductible up to 50 euros per recipient and calendar year if they are business related and properly documented.

    For gifts that exceed this amount, the tax deduction may be denied unless the gift is clearly and exclusively usable for business purposes.

    Austria

    Austria does not work with a uniform fixed value limit. Instead, the following aspects are crucial:

    • the gift must serve a clear business purpose
    • the value must be reasonable in relation to the relationship and the occasion
    • the gift must be documented in a comprehensible way

    As in the other DACH countries, gifts must not be used to gain improper advantages. Particular care is required in the public sector and in strongly regulated industries.

    Switzerland

    Switzerland also has no statutory standard limit for gifts to business partners. The focus is on:

    • usual appropriateness according to Swiss business practice
    • transparency and traceability
    • compliance with internal rules and industry-specific regulations

    Swiss business culture tends to favour modest, high-quality but unobtrusive gifts rather than expensive luxury items.

    Common basic principles for the entire DACH region

    Despite the legal differences, companies in Germany, Austria and Switzerland can follow a common set of basic rules.

    Appropriateness

    The gift should match the business relationship, the role of the recipient and the occasion. Very expensive or flashy gifts can quickly appear inappropriate.

    Business purpose

    Holiday gifts should always serve a legitimate business purpose, such as maintaining a good relationship or thanking partners for successful cooperation. They must not be used to steer decisions or promises of business.

    Documentation

    For every gift, companies should record at least the following:

    • name of the recipient and company
    • occasion
    • date
    • value
    • business purpose

    This documentation helps during tax audits and internal or external compliance checks.

    Caution with public sector recipients

    For employees of authorities, public hospitals, universities, municipalities and similar organisations, stricter requirements usually apply in all three countries. Often only very small tokens are permitted, and in some cases gifts are completely prohibited. When in doubt, it is better to ask in advance or avoid gifts altogether.

    Recommendations for companies in the DACH region

    1. Create a clear, written gifting policy that applies in all locations.
    2. Define maximum values for gifts per person and per year.
    3. Ensure consistent documentation of all gifts to business partners.
    4. Pay special attention to sensitive sectors such as the public sector, healthcare or regulated industries.
    5. Plan gifts early and avoid borderline cases in terms of value or type of gift.
    6. Consider alternatives such as charitable donations in the name of a business partner instead of material gifts.

    Why restraint is often the best strategy

    No matter in which of the three countries a company operates, gifts that are too expensive or too personal can send the wrong signal. They may be perceived as an attempt to influence decisions and can trigger tax or compliance issues.

    Modest, tasteful gifts or a personal handwritten card are often more effective and credible than high-value items. What counts in the long term is trust and partnership – not the material value of a present.

    FAQ – Frequently asked questions in the DACH region

    Is there a single value limit that applies to the whole DACH region?

    No. Germany has a defined tax threshold of 50 euros per recipient and calendar year for business gifts. Austria and Switzerland use the principles of appropriateness, business purpose and documentation instead of fixed legal limits.

    May I give expensive gifts in Austria or Switzerland if they seem appropriate?

    In principle this is possible, but it is usually not advisable. High-value gifts increase the risk of compliance concerns, negative perceptions and disputes during audits. In practice, modest gifts are safer and more in line with expectations.

    How should a business gift be documented correctly?

    For each gift you should record who received it, for which company the person works, the date, the occasion, the value and the business reason. This information should be stored centrally, for example in a simple gifts register.

    Are gifts to employees treated in the same way as gifts to business partners?

    No. Gifts to employees are subject to different tax and payroll regulations in all three countries. Companies should therefore treat gifts to staff separately from gifts to external business partners and observe the respective rules.

    How should I handle gifts to governmental bodies or public organisations?

    With particular caution. In all DACH countries there are strict rules for the public sector, and many organisations either prohibit gifts completely or limit them to very small amounts. If you are unsure, ask for written guidance or refrain from giving a gift.

  • FINMA Risk Monitor 2025: The Key Risks for Swiss Financial Institutions

    FINMA Risk Monitor 2025: The Key Risks for Swiss Financial Institutions

    FINMA has released its Risk Monitor 2025, offering a comprehensive overview of the most critical risks facing the Swiss financial sector over the next three years. Banks, insurers, asset managers and other financial institutions must contend with a mix of traditional financial risks and newly emerging challenges linked to digitalisation, geopolitics and increasingly complex value chains.

    The report makes one thing clear: institutions need stronger governance, more effective risk oversight and a more mature compliance culture to remain resilient in a rapidly evolving landscape.

    Key Takeaways

    • The FINMA Risk Monitor 2025 outlines nine major risks that will be crucial for the Swiss financial industry in the coming years.
    • Particularly important are real estate and mortgage risks, credit and market risks, cyber and ICT risks, money laundering threats and outsourcing dependencies.
    • Many risks remain at elevated levels or are increasing.
    • FINMA formulates concrete supervisory expectations, especially around risk culture, technical resilience, monitoring, outsourcing controls and crisis preparedness.

    Why the Risk Monitor 2025 Matters

    The Swiss financial centre is highly international, strongly digitalised and significantly exposed in areas such as mortgage financing. Rising interest rates, geopolitical tensions, technological dependencies and new business models increase the pressure on institutions to identify, assess and manage risks proactively.

    The Risk Monitor acts as an early warning system. It highlights where vulnerabilities are emerging, where systemic threats may arise and which areas FINMA will scrutinise more closely. For GRC functions, the report provides a clear roadmap of the areas requiring the highest priority.

    The Most Important Risks at a Glance

    The Risk Monitor 2025 describes several major risk categories. The most relevant include:

    Real Estate and Mortgage Risks

    The Swiss property market remains tight, with high prices and persistent demand. At the same time, interest rates and leverage ratios have risen, while household debt levels remain high. FINMA expects institutions to apply strict lending standards, conduct realistic stress tests and closely monitor their exposures.

    Credit and Market Risks

    Volatile markets, geopolitical uncertainties and higher credit spreads increase pressure on institutions. The report emphasises the need for risk-based credit management, adequate value adjustments and close monitoring of concentrated exposures.

    Money Laundering and Sanctions Risks

    International business models, cross-border activities and new digital financial products increase exposure to financial crime. Institutions must enhance customer risk assessments, strengthen monitoring systems and ensure consistent reporting. A strong risk culture and adequate compliance resources are essential.

    Cyber and ICT Risks

    With digitalisation accelerating, cyber and ICT risks continue to rise. Attacks on financial infrastructure, failures of IT providers or vulnerabilities in third-party software can have severe consequences. FINMA expects robust systems, effective incident response plans and stringent ICT governance.

    Outsourcing and Third-Party Risks

    Many institutions rely heavily on outsourced or cloud-based services. This reduces costs but increases vulnerability. FINMA demands clear governance over outsourcing arrangements, monitoring of service providers and the ability to maintain critical functions even during disruptions.

    Liquidity and Funding Risks

    Even though liquidity conditions appear stable, market stress can quickly lead to funding pressure. Institutions should monitor risk indicators, run scenario analyses and ensure they remain capable of acting in adverse conditions.

    What GRC Teams Should Do Now

    The Risk Monitor’s message is clear: strong governance, rigorous risk management and consistent compliance are essential for financial stability. Institutions should:

    • update their enterprise-wide risk assessments based on the FINMA risk categories
    • strengthen risk culture through clear responsibilities and open communication
    • conduct regular scenario analyses and stress tests
    • improve cyber and ICT resilience, including incident and recovery planning
    • map and monitor all outsourcing arrangements and third-party dependencies
    • enhance AML/KYC processes and reassess monitoring systems
    • define transparent reporting and escalation channels
    • modernise technological infrastructure to detect risks earlier

    Conclusion

    The FINMA Risk Monitor 2025 shows that the Swiss financial sector faces a demanding and highly dynamic risk environment. Many risks remain elevated and require active, forward-looking management. For GRC leaders, this means strengthening governance structures, improving risk transparency and promoting a culture in which risk awareness is embedded across the organisation.

    Institutions that act early will not only meet regulatory expectations but also build long-term resilience and trust.

    FAQ

    What is the FINMA Risk Monitor?
    An annual report identifying the most important risks to the Swiss financial market and outlining the supervisory expectations associated with them.

    Which risks are highlighted in 2025?
    Real estate and mortgage risks, credit and market risks, cyber and ICT risks, money laundering risks, outsourcing risks and liquidity risks.

    Why are cyber risks so prominent?
    Because cyberattacks and ICT failures have increased significantly in frequency and impact, and can cause rapid, widespread disruption.

    What does risk culture mean?
    A mindset where all employees actively identify, report and manage risks, not only the compliance or risk department.

    What should institutions do now?
    Reassess risks, strengthen ICT resilience, improve governance and monitoring, ensure transparent reporting and oversee outsourcing arrangements more rigorously.

  • FINMA-Risikomonitor 2025: Welche Risiken die Schweizer Finanzbranche jetzt im Blick haben muss

    FINMA-Risikomonitor 2025: Welche Risiken die Schweizer Finanzbranche jetzt im Blick haben muss

    Die FINMA hat ihren Risikomonitor 2025 veröffentlicht und damit ein klares Bild der Risikolandschaft im Schweizer Finanzsektor gezeichnet. Banken, Versicherer, Vermögensverwalter und andere Finanzinstitute sehen sich im kommenden Drei-Jahres-Horizont mit einer Vielzahl makroökonomischer, technologischer und regulatorischer Risiken konfrontiert. Der Bericht zeigt deutlich, dass klassische Risiken wie Hypotheken und Kreditexpositionen weiterhin relevant sind, während neue Themen wie Cyberangriffe, IKT-Abhängigkeiten und komplexe Dienstleisterketten stark an Bedeutung gewinnen.

    Der Risikomonitor macht klar: Unternehmen müssen ihre Governance-, Risiko- und Compliance-Strukturen weiterentwickeln, um in einem zunehmend instabilen Umfeld widerstandsfähig zu bleiben.

    Das Wichtigste in Kürze

    • Der Risikomonitor 2025 identifiziert neun zentrale Risiken, die für die Schweizer Finanzbranche in den nächsten Jahren besonders kritisch sind.
    • Besonders hervorgehoben werden Immobilien- und Hypothekenrisiken, Kredit- und Marktrisiken, Cyber- und IKT-Risiken, Geldwäschereirisiken sowie Gefahren aus Auslagerungen.
    • Viele der Risiken bleiben hoch oder nehmen weiter zu.
    • Die FINMA formuliert klare Erwartungen an Institute, insbesondere im Hinblick auf Risikokultur, technische Sicherheit, Überwachung, Auslagerungskontrollen und Krisenmanagement.

    Warum der Risikomonitor 2025 so relevant ist

    Der Schweizer Finanzplatz ist stark international vernetzt, digitalisiert und in Bereichen wie Hypothekenkrediten hoch exponiert. Durch geopolitische Spannungen, hohe Zinsen, technologische Abhängigkeiten und neue Marktmodelle wächst der Druck auf Finanzinstitute, Risiken konsequent zu identifizieren, zu bewerten und zu steuern.

    Der FINMA-Risikomonitor dient dabei als Frühwarnsystem. Er zeigt, wo sich Schwachstellen entwickeln, wo systemische Gefahren bestehen und bei welchen Themen die Aufsicht künftig strenger hinschauen wird. Für GRC-Verantwortliche bietet der Bericht eine klare Orientierung, welche Themen höchste Priorität haben.

    Die zentralen Risiken im Überblick

    Im Risikomonitor 2025 werden mehrere Risikokategorien ausführlich beschrieben. Die wichtigsten davon sind:

    Immobilien- und Hypothekenrisiken

    Die Immobilienmärkte sind weiterhin angespannt, Nachfrage und Preise auf einem erhöhten Niveau. Gleichzeitig steigen Zinsen und Belehnungsquoten, während Haushalte hohe Verschuldungsgrade aufweisen. Banken und Versicherer müssen sicherstellen, dass ihre Kreditvergabestandards robust sind und dass Stresstests realistisch durchgeführt werden.

    Kredit- und Marktrisiken

    Volatile Märkte, geopolitische Unsicherheiten und mögliche Abwertungen bei Kreditnehmern belasten Finanzinstitute zusätzlich. Der Risikomonitor betont die Bedeutung eines risikobasierten Kreditmanagements, ausreichender Wertberichtigungen und einer engen Überwachung von Konzentrationen.

    Geldwäscherei- und Sanktionsrisiken

    Durch internationale Geschäftsmodelle, neue digitale Produkte und Kryptowährungen entstehen erhöhte Risiken. Institute müssen kundenbezogene Risiken besser einschätzen, Monitoring-Systeme weiterentwickeln und Meldeprozesse konsequent einhalten. Eine starke Risikokultur und ausreichende Ressourcen im Compliance-Bereich sind entscheidend.

    Cyber- und IKT-Risiken

    Digitale Abhängigkeiten haben stark zugenommen. Angriffe auf Finanzinfrastrukturen, Ausfälle bei IT-Dienstleistern oder Schwachstellen in Drittprodukten können gravierende Folgen haben. Die FINMA erwartet stabile Systeme, belastbare Notfallpläne und ein strenges Monitoring von Schwachstellen.

    Outsourcing- und Dienstleisterrisiken

    Viele Institute haben zentrale Funktionen ausgelagert. Das reduziert Kosten, erhöht aber Verwundbarkeit. Der Risikomonitor fordert eine klare Steuerung der Dienstleister, transparente Verträge, Kontrollrecht für Institute und die Fähigkeit, kritische Dienstleistungen auch bei Störungen weiterzuführen.

    Liquiditäts- und Refinanzierungsrisiken

    Auch wenn die Liquiditätssituation stabil erscheint, können Marktspannungen schnell zu Engpässen führen. Institute sollen definierte Frühwarnindikatoren nutzen, Szenarien simulieren und sicherstellen, dass sie im Stressfall handlungsfähig bleiben.

    Was GRC-Verantwortliche jetzt tun sollten

    Der Risikomonitor sendet eine deutliche Botschaft: Gute Governance, stabiles Risikomanagement und konsequente Compliance sind die Grundlage für Widerstandskraft. Konkret sollten Institute:

    • ihre Risikoanalysen aktualisieren und mit den FINMA-Risikofeldern abgleichen
    • eine klare Risikokultur etablieren, in der alle Mitarbeitenden Verantwortung übernehmen
    • Szenarioanalysen und Stresstests regelmässig durchführen
    • Cyber- und IKT-Resilienz stärken, inklusive Notfall- und Wiederanlaufplänen
    • Auslagerungen vollständig inventarisieren und kritisch überwachen
    • Geldwäscherei-Prozesse, KYC-Standards und Monitoring-Systeme neu bewerten
    • Reporting- und Eskalationswege klar definieren
    • die technische Infrastruktur modernisieren, um Risiken frühzeitig zu erkennen

    Fazit

    Der FINMA-Risikomonitor 2025 zeigt deutlich: Die Risikolage bleibt angespannt, und viele Herausforderungen nehmen eher zu als ab. Für die Schweizer Finanzbranche bedeutet das, dass Governance, Risiko- und Compliance-Strukturen noch stärker in den Mittelpunkt rücken müssen.
    Nur Institute, die Risiken konsequent steuern, ihre Prozesse modernisieren und eine lebendige Risikokultur schaffen, werden langfristig robust bleiben.

    FAQ

    Was ist der FINMA-Risikomonitor?
    Ein jährlich veröffentlichter Bericht, der die wichtigsten Risiken für den Schweizer Finanzmarkt identifiziert und Erwartungen der Aufsicht formuliert.

    Welche Risiken stehen 2025 im Fokus?
    Immobilien- und Hypothekenrisiken, Kreditrisiken, Marktrisiken, Cyber- und IKT-Risiken, Geldwäscherei, Outsourcing sowie Liquiditätsrisiken.

    Warum betont die FINMA Cyberrisiken so stark?
    Weil Cyberangriffe und IT-Ausfälle in ihrer Häufigkeit und Wirkung stark zunehmen und sehr schnelle, weitreichende Schäden verursachen können.

    Was bedeutet Risikokultur?
    Eine Haltung im Unternehmen, bei der jede Person Risiken aktiv erkennt, offen anspricht und verantwortungsvoll handelt – nicht nur die Compliance-Abteilung.

    Was sollten Finanzinstitute jetzt tun?
    Risiken neu bewerten, Governance und Monitoring verstärken, technische Resilienz erhöhen, Dienstleister kontrollieren und Prozesse für Geldwäscherei- und Cyberthemen professionalisieren.

  • NIS-2 Implemented: Why German Companies Must Act Now

    NIS-2 Implemented: Why German Companies Must Act Now

    In November 2025, the German Bundestag passed the law implementing the NIS-2 Directive. This introduced new national rules for cybersecurity and information security that go far beyond previous requirements. Companies that have so far operated under the radar must now assess whether they are affected – and if so, urgently adapt their security measures, processes and governance structures.

    The delay in implementation gave many organisations a bit of breathing room, but now the pressure to act begins. Those who prepare early can gain a competitive advantage – those who react too late risk penalties, reputational damage or even business disruption.

    Key Points at a Glance

    The Bundestag adopted the NIS-2 Implementation Act on 13 November 2025.

    The law expands its scope to significantly more companies and public authorities – an estimated 29,500 entities in Germany.

    New obligations include risk management, technical and organisational measures, incident reporting with defined deadlines (e.g., first report within 24 hours), as well as expanded oversight and sanctions by the Federal Office for Information Security (BSI).

    Companies should now carry out an impact assessment, revise regulatory and compliance processes and align governance and IT security architecture with the tightened requirements.

    Why This Topic Matters

    Digital connectivity and dependency on IT systems and services have increased significantly in recent years. At the same time, the threat posed by cyber attacks, targeted sabotage, espionage and hybrid attacks on critical infrastructure continues to grow. In this environment, the previous legal framework in Germany was no longer considered sufficient by many experts.

    The EU NIS-2 Directive aims to ensure a high and consistent level of security for network and information systems across the Union.

    Since Germany missed the deadline for implementing the directive, action was required – the newly adopted law represents the next crucial step.

    For companies, this means the following: not only traditional operators of critical infrastructures (KRITIS) are affected, but also many organisations that were previously not within this category. This significantly increases the number of regulated entities – creating a competitive advantage for those who prepare early.

    What Requirements and Obligations Must Be Met?

    Companies that fall under the new rules face several new elements. The most important obligations at a glance:

    Scope and Categories

    The law distinguishes between “essential entities” and “important entities”. Both categories are subject to the requirements, with different intensities depending on criticality.

    Companies from sectors such as energy, healthcare, transport, digital services or public administration typically fall under these rules. However, other organisations may also be affected if their services are relevant for the functioning of society.

    Technical and Organisational Measures (TOM)

    Affected entities must implement IT security measures that reflect the state of the art. These include risk analyses, business continuity plans, backup concepts, encryption, access controls and monitoring and detection of attacks.

    The integration of supply chain and third-party risks is now much more strongly required – companies must understand and manage their dependencies.

    Incident Reporting and Notification Obligations

    A central element is the reporting obligation for security incidents. A new three-stage regime applies:

    • First notification within 24 hours after detection
    • Interim report after 72 hours
    • Final report no later than one month later

    These deadlines turn incident reporting into a time-critical compliance and management task.

    Expanded Oversight and Sanctions

    The BSI assumes expanded supervisory and audit functions. It can issue sanctions, publish guidance and maintain the required registers.

    Companies must also register and designate responsibilities – such as a person responsible for information security.

    Role of Public Administration

    New: Public authorities and federal administration are now also subject to minimum requirements. This brings governmental IT security to the same level as the private sector – an important step for overall resilience.

    What Companies Should Do Now

    • Conduct an impact assessment to determine whether the organisation falls under the categories “essential” or “important”.
    • Perform a gap analysis of existing IT security, governance and reporting processes and align them with NIS-2 requirements.
    • Revise governance and risk management processes: Who is responsible? How is risk measured? How quickly do we report incidents?
    • Implement and document technical measures: risk analysis, access controls, incident response plan, backup and recovery strategy.
    • Establish reporting and notification processes: define responsibilities and ensure deadlines can be met.
    • Provide training and awareness programmes for employees: cyber risks, reporting obligations, responsibilities.
    • Set up monitoring and reporting structures: dashboards for incidents, risks and measures, including third-party risk management.

    Those who start early can not only ensure compliance but also gain competitive advantages – for example, by strengthening trust in partner relationships or reducing insurance premiums.

    Conclusion

    With the law implementing the NIS-2 Directive, Germany marks a decisive step towards digital resilience. For companies, this means cybersecurity is no longer voluntary but becomes a regulated and strategically essential task.

    The requirements are demanding – but those who act early secure legal certainty and build trust with customers, partners and investors.

    FAQ

    Who is affected by NIS-2 implementation?
    Affected are companies classified as “essential entities” or “important entities”, particularly in sectors such as energy, healthcare, transport, digital services, as well as public authorities and administration.

    When do the new regulations apply?
    The Bundestag adopted the law on 13 November 2025. It still needs approval by the Bundesrat and publication in the Federal Law Gazette before it enters into force.

    What deadlines apply for reporting security incidents?
    Initial report within 24 hours of detection, interim report after 72 hours, final report after one month at the latest.

    What happens if the requirements are not met?
    The BSI receives extended supervisory and sanctioning powers. Violations may lead to fines and further legal consequences.

    How should companies proceed now?
    Conduct an impact and gap analysis, adjust governance and risk processes, document technical measures, establish reporting processes and train employees.

  • NIS-2 umgesetzt: Warum deutsche Unternehmen jetzt handeln müssen

    NIS-2 umgesetzt: Warum deutsche Unternehmen jetzt handeln müssen

    Im November 2025 hat der Deutscher Bundestag das Gesetz zur Umsetzung der NIS‑2‑Richtlinie verabschiedet. Damit wurden auf nationaler Ebene neue Regeln für Cybersicherheit und Informationssicherheit eingeführt, die weit über bisherige Vorgaben hinausgehen. Unternehmen, die bislang unter dem Radar waren, müssen nun prüfen, ob sie betroffen sind – und wenn ja, ihre Sicherheitsmassnahmen, Prozesse und Governance-Strukturen dringend anpassen.
    Die Verzögerung bei der Umsetzung hat vielen Firmen zwar etwas Luft verschafft, doch jetzt beginnt der Handlungsdruck. Wer früh vorbereitet ist, kann Wettbewerbsvorteile erzielen – wer zu spät reagiert, riskiert Strafen, Reputationsverlust oder gar Geschäftsschädigung.

    Das Wichtigste in Kürze

    • Der Bundestag hat am 13. November 2025 das NIS-2-Umsetzungsgesetz beschlossen.
    • Das Gesetz erweitert den Anwendungsbereich auf deutlich mehr Unternehmen und Behörden – schätzungsweise rund 29.500 Einrichtungen in Deutschland.
    • Neue Pflichten betreffen u. a. Risikomanagement, technische & organisatorische Massnahmen, Vorfall-Meldepflichten mit definierten Fristen (z. B. erste Meldung innerhalb 24 Stunden) sowie erweiterte Aufsicht und Sanktionen durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).
    • Unternehmen sollten jetzt eine Betroffenheitsanalyse durchführen, Regulierungs- und Compliance-Prozesse überarbeiten, sowie Governance und IT-Sicherheitsarchitektur auf nach oben geschärfte Anforderungen ausrichten.

    Warum das Thema so wichtig ist

    Die digitale Vernetzung und Abhängigkeit von IT-Systemen und Dienstleistungen haben in den letzten Jahren stark zugenommen. Gleichzeitig wächst die Bedrohung durch Cyberangriffe, gezielte Sabotage, Spionage und hybride Angriffe auf Einrichtungen der kritischen Infrastruktur. In diesem Umfeld war die bisherige Gesetzeslage in Deutschland aus Sicht vieler Experten nicht mehr ausreichend.
    Die EU-Richtlinie NIS-2 verfolgt das Ziel, ein hohes und einheitliches Sicherheitsniveau für Netz- und Informationssysteme in der gesamten Union sicherzustellen.
    Da Deutschland die Frist zur Umsetzung der Richtlinie verpasst hat, war Handeln erforderlich – mit dem nun beschlossenen Gesetz ist der nächste Schritt gesetzt.
    Für Unternehmen bedeutet das konkret: Nicht nur Betreiber klassischer Kritischer Infrastrukturen (KRITIS) sind betroffen, sondern erstmals auch Unternehmen, die bisher nicht unter dieser Kategorie standen. Damit steigt die Zahl der regelpflichtigen Unternehmen deutlich – dies schafft Wettbewerbsvorteile für jene, die sich früh vorbereiten.

    Welche Anforderungen und Pflichten erfüllt werden müssen

    Unternehmen, die unter die neuen Regeln fallen, sehen sich mit mehreren neuen Elementen konfrontiert. Die wichtigsten Pflichten im Überblick:

    Anwendungsbereich und Kategorien

    Das Gesetz unterscheidet künftig zwischen „wesentlichen Einrichtungen“ und „wichtigen Einrichtungen“. Beide Kategorien sind von den Vorgaben betroffen – je nach Kritikalität mit unterschiedlich intensiven Anforderungen.
    Unternehmen aus den Bereichen Energie, Gesundheit, Verkehr, digitale Dienste oder öffentliche Verwaltung zählen üblicherweise dazu. Aber auch andere Unternehmen können betroffen sein, wenn ihre Services relevant für das Funktionieren der Gesellschaft sind.

    Technische und organisatorische Massnahmen (TOM)

    Betroffene Stellen müssen IT-Sicherheitsmassnahmen umsetzen, die dem Stand der Technik entsprechen. Dazu zählen etwa Risikoanalysen, Business-Continuity-Pläne, Backup-Konzeptionen, Verschlüsselung, Zugangskontrollen sowie Überwachung und Erkennung von Angriffen.
    Auch die Einbindung von Lieferketten- und Drittparteirisiken ist nun stärker gefordert – Unternehmen müssen ihre Abhängigkeiten kennen und steuern.

    Vorfallsmeldung und Berichtspflichten

    Ein zentrales Element sind die Meldepflichten bei Sicherheitsvorfällen. Neu ist ein dreistufiges Regime:

    • Erste Meldung innerhalb 24 Stunden nach Entdeckung.
    • Zwischenbericht nach 72 Stunden.
    • Abschlussbericht spätestens nach einem Monat.
      Diese Fristen machen aus der Vorfallmeldung eine dringliche Compliance- und Steuerungsaufgabe.

    Erweiterte Aufsicht und Sanktionen

    Das BSI übernimmt erweiterte Aufsichts- und Prüfungsfunktionen. Es kann Sanktionen verhängen, Leitfäden herausgeben und die Registerführung übernehmen.
    Außerdem müssen Unternehmen sich registrieren und ihre Zuständigkeiten benennen – etwa eine verantwortliche Person für Informationssicherheit.

    Rolle der Verwaltung

    Neu: Auch Behörden und Bundesverwaltung unterliegen künftig den Mindestanforderungen. Damit wird staatliche IT-Sicherheit auf ein Niveau mit der Wirtschaft gehoben – was für die gesamte Resilienz bedeutsam ist.

    Was Unternehmen jetzt tun sollten

    • Eine Betroffenheitsanalyse durchführen: Prüfen, ob das Unternehmen unter die Kategorien „wesentliche“ oder „wichtige“ Einrichtung fällt.
    • Eine Gap-Analyse der bestehenden IT-Sicherheits-, Governance- und Meldeprozesse erstellen und auf NIS-2-Konformität ausrichten.
    • Governance- und Risikomanagement-Prozesse überarbeiten: Wer ist verantwortlich? Wie wird Risiko gemessen? Wie schnell melden wir Vorfälle?
    • Technische Massnahmen implementieren und dokumentieren: Risikoanalyse, Zutritts- & Zugriffskontrollen, Incident-Response-Plan, Backup-/Recovery-Strategie.
    • Melde- und Berichtspflichten etablieren: Prozesse definieren, wer meldet, wie Fristen eingehalten werden.
    • Schulungen und Sensibilisierung für Mitarbeitende: Cyberrisiken, Meldepflichten, Verantwortlichkeiten.
    • Monitoring & Reporting einrichten: Dashboards über Vorfälle, Risiken, Massnahmen. Behandlung von Drittparteirisiken mit einbeziehen.

    Wer diese Schritte früh angeht, kann nicht nur Compliance sicherstellen, sondern Wettbewerbsvorteile nutzen – z. B. indem vertrauenswürdige Partnerbeziehungen gestärkt und Versicherungsprämien gesenkt werden.

    Fazit

    Mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie markiert Deutschland einen entscheidenden Schritt Richtung digitaler Resilienz. Für Unternehmen bedeutet das: Nicht länger nur freiwillig, sondern reguliert und druckvoll wird Cybersicherheit zu einer zentralen strategischen Aufgabe.
    Die Anforderungen sind hoch – aber diejenigen, die früh handeln, sichern sich nicht nur Rechtssicherheit, sondern auch Vertrauen von Kunden, Geschäftspartnern und Investoren.

    FAQ

    Wer ist von der NIS-2-Umsetzung betroffen?
    Betroffen sind Unternehmen der Kategorien „wesentliche Einrichtungen“ und „wichtige Einrichtungen“, insbesondere aus Bereichen wie Energie, Gesundheit, Verkehr, digitale Dienste sowie Behörden und Verwaltung.

    Ab wann gelten die neuen Regelungen?
    Der Bundestag hat das Gesetz am 13. November 2025 beschlossen. Es muss noch vom Bundesrat bestätigt und im Bundesgesetzblatt verkündet werden, bevor es verbindlich in Kraft tritt.

    Welche Fristen gelten für die Meldung von Sicherheitsvorfällen?
    Erstmeldung innerhalb von 24 Stunden nach Entdeckung, Zwischenbericht nach 72 Stunden, Abschlussbericht spätestens nach einem Monat.

    Was passiert bei Nicht-Beachtung der Vorgaben?
    Das BSI erhält erweiterte Aufsichts- und Sanktionsbefugnisse. Bei Verstössen können Bußgelder und weitere Rechtsfolgen drohen.

    Wie sollten Unternehmen jetzt vorgehen?
    Eine Betroffenheits- und Gap-Analyse durchführen, Governance- und Risikoprozesse anpassen, technische Massnahmen dokumentieren, Meldeprozesse etablieren und Mitarbeitende schulen.

  • Die Fehler von Boeing durch fehlerhaftes Risikomanagement – Update November 2025

    Die Fehler von Boeing durch fehlerhaftes Risikomanagement – Update November 2025

    Einleitung

    In einem früheren Zazoon-Artikel haben wir beleuchtet, wie Boeing durch mangelbehaftete Fertigungsprozesse, fehlende Rückverfolgbarkeit und eine schwache Risikokultur in eine tiefe Krise geriet. Seitdem hat das Unternehmen angekündigt, seine Steuerungs- und Sicherheitsmechanismen zu stärken. Doch wie sieht die Realität heute aus? Aus Sicht von November 2025 prüfen wir, was sich bei Boeing verbessert hat, wo noch Lücken bestehen und welche Lehren sich für das Risikomanagement in industrie- und regulierungsintensiven Unternehmen ergeben.

    Das Wichtigste in Kürze

    • Boeing hat erste Verbesserungen im Risikomanagement eingeführt, etwa Meldesysteme und stärkeres Qualitätscontrolling.
    • Ein aktueller Audit zeigt jedoch weiterhin erhebliche Defizite im Prozess- und Qualitätsmanagement.
    • Hauptproblem bleibt die nicht ausreichend funktionierende Verbindung zwischen Fertigung, Zulieferern, Risikoüberwachung und Führungsebene.
    • Regulatorischer Druck ist hoch – Boeing sieht sich nach wie vor starken Auflagen und Kontrolleinheiten gegenüber.
    • Fazit: Fortschritt erkennbar, echter Wandel aber noch nicht abgeschlossen.

    Rückblick auf die damalige Situation

    In unserem ursprünglichen Artikel beschrieben wir vier wesentliche Schwachstellen bei Boeing: mangelhafte Dokumentation in der Fertigung, eine Sicherheitskultur mit Hinweis- und Meldedefiziten, eine starke Priorisierung von Wachstum statt von Qualität sowie ein formales Risikomanagement, das nicht mit den physischen Prozessen verknüpft war. Dieser Zustand führte dazu, dass Risiken nicht frühzeitig adressiert wurden und Fehlentwicklungen sich ungehindert fortsetzen konnten.

    Was ist seitdem passiert?

    Boeing hat mehrere Initiativen gestartet: Meldesysteme wurden erweitert, Qualitätspersonal aufgestockt, Prozessvorgaben neu formuliert, und der Umgang mit Zulieferern intensiviert. Zudem wächst externer Druck durch Regulatoren, was das Thema Risiko und Sicherheit weiter auf die Agenda setzt. Diese Maßnahmen sind wichtige erste Schritte in Richtung eines robusteren Risikomanagements.

    Wo bleiben die Lücken?

    Trotz dieser Schritte zeigt sich im Jahr 2025: Die Umsetzung bleibt unvollständig. Audits offenbaren immer noch erhebliche Qualitäts- und Prozessmängel – Fertigungsteile werden beispielsweise nicht durchgehend korrekt dokumentiert oder Rückverfolgbarkeit nicht gewährleistet. Die Verbindung zwischen Meldungen aus der Produktion, Ergebnissen von Kontrollen, Zuliefererinformationen und strategischer Risikosteuerung funktioniert noch nicht vollumfänglich. Kultur- und Governance-Aspekte bleiben schwach verankert: Eine echte Fehler- und Meldungskultur ist noch nicht über alle Ebenen hinweg etabliert.

    Bewertung und Bedeutung für das Risikomanagement

    Aus heutiger Sicht ist Boeing in einem Übergang: vom traditionellen, reaktiven Risikomanagement hin zu einem integrierten Ansatz. Doch dieser Wandel ist noch nicht abgeschlossen. Entscheidend ist, Risikomanagement nicht mehr isoliert zu sehen, sondern als Teil des gesamten Steuerungssystems – von Fertigung über Zulieferung bis zu Führung und Strategie. Transparenz, Verantwortlichkeit und Verbindung von Daten und Prozessen sind dabei Schlüsselbegriffe.

    Fazit

    Boeing hat wichtige Schritte zur Verbesserung seines Risikomanagements unternommen. Die ehrliche Anerkennung der Schwächen und die ersten Maßnahmen sind positiv. Doch der tiefgreifende Wandel – hin zu einer Unternehmenskultur, in der Risiko- und Qualitätssteuerung selbstverständlich sind – ist noch nicht umgesetzt. Für Unternehmen, insbesondere in regulierten Industrien, zeigt sich: Es braucht nicht nur technische Prozesse, sondern eine ganzheitliche Verankerung von Risikomanagement in Kultur, Struktur und Strategie, damit Kontrolle nicht nachträglich erfolgt, sondern Risiken vorab neutralisiert werden.

    FAQ

    Was heisst hier Risikomanagement konkret?
    Risikomanagement umfasst alle Massnahmen zur Identifikation, Bewertung, Steuerung und Überwachung von Risiken – angefangen bei Fertigung und Zulieferung bis hin zu Kultur, Kommunikation und Strategie.

    Warum ist bei Boeing trotz Verbesserungen noch Handlungsbedarf?
    Weil die Verbindung zwischen physischen Prozessen (wie Fertigung), Meldesystemen, Zulieferern und strategischer Steuerung noch unvollständig ist. Solange diese Integration fehlt, bleiben Risiken bestehen.

    Welche Rolle spielt die Unternehmenskultur?
    Eine zentrale. Ohne eine Kultur, in der Mitarbeitende Risiken melden können und wollen, bleibt Risikomanagement Stückwerk. Prozesse allein reichen nicht.

    Was können andere Unternehmen lernen?
    Dass Risikomanagement nicht nur Compliance oder Technik ist, sondern integraler Bestandteil der Unternehmenssteuerung. Es erfordert klare Verantwortlichkeiten, vernetzte Prozesse und eine gelebte Kultur der Offenheit.

    Ab wann gilt ein Risikomanagement als „integriert“?
    Wenn Meldungen, Daten, Prozesse, Führung und Strategie zusammenwirken – Risiken früh erkannt und gesteuert werden können und Risikomanagement nicht isoliert als Funktion existiert.

  • How Technology is Strengthening GRC – Studies Reveal the Shift in 2025

    How Technology is Strengthening GRC – Studies Reveal the Shift in 2025

    For years, Governance, Risk, and Compliance (GRC) was seen as a necessary burden – a box-ticking exercise to satisfy regulators and auditors. But that perception is changing fast. New studies from 2025 show that technology is transforming GRC from a reactive compliance function into a strategic driver of business performance.

    Companies that have digitized their GRC processes report greater transparency, faster audits, and significantly improved risk control. Automation, data integration, and artificial intelligence are helping organizations manage complexity, build trust, and stay compliant — all while saving time and resources.

    Key Takeaways

    • According to “The State of GRC 2025” report, 96 percent of executives now view GRC as a strategic business enabler.
    • McKinsey’s research shows that digital GRC systems can reduce audit preparation time by up to 40 percent.
    • Automated risk assessment and real-time monitoring dramatically reduce human error.
    • Companies with integrated GRC technology respond faster to crises and regulatory changes.

    The Evolution of GRC: From Control Function to Strategic Platform

    The past decade has seen a profound transformation in how organizations approach GRC. Spreadsheets, manual checklists, and reactive processes are being replaced by integrated digital platforms that connect data, people, and decisions.

    McKinsey’s 2025 report “Governance, Risk, and Compliance: A New Lens on Best Practices” highlights that while many companies have strong governance frameworks, they still struggle with “limited tech enablement.” In contrast, organizations that have digitized their GRC processes see clear benefits — higher efficiency, improved visibility, and stronger accountability.

    Similarly, “The State of GRC 2025 – From Cost Center to Strategic Business Driver” finds that nearly all surveyed companies (96 percent) now treat GRC as a core part of their business strategy. Technology integration, AI-driven analytics, and automated reporting are turning GRC into the nervous system of modern corporate governance.

    How Technology Strengthens GRC

    Technology reshapes GRC on multiple levels — structurally, culturally, and operationally.

    1. Automation of Repetitive Tasks
      Routine tasks such as risk documentation, policy tracking, and control testing can now be automated. According to the study “GRC Automation in Manufacturing”, companies using automation reduced compliance-related workloads by up to 70 percent.
    2. Centralized Data Integration
      Modern GRC platforms consolidate data from ERP, HR, cybersecurity, and audit systems, creating a single source of truth. This integrated view allows leaders to identify interdependencies and manage risks proactively rather than reactively.
    3. Real-Time Monitoring and Early Warning Systems
      Real-time analytics enable organizations to detect and respond to risks faster. Automated alerts and risk scoring tools transform GRC from an after-the-fact reporting function into a dynamic early warning system.
    4. Collaboration Through Digital Workflows
      Cloud-based GRC solutions promote collaboration across departments. Tasks, reviews, and approvals flow through unified digital workflows, increasing transparency and accountability.
    5. Artificial Intelligence and Predictive Analytics
      AI-powered platforms can detect anomalies, analyze emerging threats, and forecast potential compliance breaches. Predictive insights help organizations shift from reactive compliance to proactive prevention.

    Measurable Impact: What the Studies Show

    The business impact of GRC technology is now quantifiable — and the numbers are compelling.

    • McKinsey reports that digitized GRC processes reduce audit preparation times by up to 40 percent.
    • The “GRC Automation in Manufacturing” study found that automation can save up to 70 percent of compliance reporting time.
    • Financier Worldwide notes that GRC platforms deliver major efficiency gains in third-party and supply chain risk management.
    • The Wolfpack Risk “State of GRC 2025” report found that companies with integrated GRC systems respond twice as fast to critical incidents as those relying on manual processes.

    In short: GRC is no longer an administrative function — it has become a data-driven management discipline.

    Technology as the Enabler of a New GRC Culture

    While technology provides the tools, success depends on people and culture. True transformation happens when organizations integrate technology into their governance structures, leadership practices, and decision-making processes.

    Companies that view GRC as a shared responsibility — not just a compliance task — achieve not only better control but also greater agility. Digital platforms create visibility, but leadership and culture turn that visibility into trust and accountability.

    In 2025, GRC technology is more than an efficiency booster — it’s the backbone of organizational resilience.

    Conclusion

    In 2025, GRC is no longer a burden; it’s a competitive advantage. Technology enables organizations to connect governance, risk, and compliance in a single digital ecosystem — reducing complexity, accelerating decisions, and building long-term trust.

    Those who invest in digital GRC today are not just staying compliant — they are shaping a smarter, safer, and more transparent future. The shift is clear: from obligation to opportunity.

    FAQ

    What does GRC technology mean in practice?
    It refers to digital systems that centralize, automate, and monitor governance, risk, and compliance processes — such as integrated GRC platforms, AI-driven analytics, and automated audit tools.

    What are the main benefits of GRC platforms?
    They reduce manual effort, increase transparency, identify risks in real time, and simplify regulatory reporting.

    Which studies confirm these effects?
    Key sources include McKinsey (2025), Wolfpack Risk (2025), Financier Worldwide (2025), and GRC Automation in Manufacturing (2025).

    Is technology alone enough for effective GRC?
    No. Technology must be combined with clear governance structures, defined responsibilities, and a risk-aware culture.

    Which industries benefit the most from digital GRC?
    Financial services, manufacturing, logistics, healthcare, and other highly regulated sectors benefit most from integrated, technology-enabled GRC systems.