Antworten für Lieferanten-Fragebögen

Unternehmen und Ansprechpersonen

Wer ist der Anbieter?

Neuralis GmbH i.G. (Gesellschaft mit beschränkter Haftung in Gründung), Stephansplatz 8/20, 1010 Wien, Österreich. Lexploris ist eine Marke der Neuralis GmbH i.G..

Wer vertritt das Unternehmen?

Die Geschäftsführung nennt das Impressum.

Firmenbuchnummer und UID-Nummer?

in VorbereitungAngabe folgt. Bitte fragen Sie bei security@lexploris.com an.

An wen richten wir Fragen zur Sicherheit?

An security@lexploris.com. Schwachstellen melden Sie vertraulich an dieselbe Adresse (security.txt). Wir bestätigen den Eingang binnen 2 Werktagen und melden uns binnen 10 Werktagen mit einer Einschätzung.

Fällt Lexploris selbst unter das NISG 2026?

Nach unserer Einschätzung vom 16.10.2026 nein. Wir beantworten Fragen zur Sicherheit der Lieferkette trotzdem, damit Sie Ihre Pflichten nach § 32 Abs. 4 lit. d NISG 2026 erfüllen können.

Datenschutz und Standort

Wo werden unsere Daten verarbeitet?

Auf einem gemieteten Server von netcup in einem Rechenzentrum in Wien. Eine zweite, verschlüsselte Kopie der Sicherungen liegt auf einem eigenen Server des Betreibers in Österreich. Die Sprachmodelle laufen bei Mistral AI in der EU.

Gibt es einen Auftragsverarbeitungsvertrag?

Ja. Der AVV nach Art. 28 DSGVO ist Bestandteil jedes Vertrags und wird mit dem Hauptvertrag geschlossen. Auf Wunsch stellen wir eine unterschriebene Fassung bereit.

Werden Daten in Drittländer übermittelt?

Die Unterauftragsverarbeiter verarbeiten die Daten in der EU. Setzt Mistral AI eigene Dienstleister außerhalb der EU ein, gelten Standardvertragsklauseln. Amazon Web Services (nur Ausweich bei Störungen) verarbeitet in Frankfurt am Main, gehört aber zu einem Konzern mit Sitz in den USA; dafür gelten das EU-US Data Privacy Framework und ergänzend Standardvertragsklauseln.

Werden unsere Daten zum Training von KI verwendet?

Nein. Jede KI-Aussage braucht ein wörtliches, automatisch geprüftes Zitat aus der Quelle. Auf Verlangen in Textform schalten wir die KI-Bewertung für Ihre Organisation ab; Lexploris arbeitet dann regelbasiert weiter.

Wie schnell melden Sie eine Verletzung des Schutzes personenbezogener Daten?

Ohne unangemessene Verzögerung, spätestens 48 Stunden nach Kenntnis, an die in Lexploris hinterlegte Adresse der Administration.

Was passiert mit den Daten bei Vertragsende?

Sie können Ihre Daten jederzeit selbst exportieren, nach Vertragsende noch 30 Tage. Danach löschen wir sie. Sicherungskopien werden spätestens 30 Tage nach der Löschung überschrieben. Die Löschung bestätigen wir auf Anfrage in Textform.

Dürfen wir prüfen?

Ja. Sie oder ein zur Verschwiegenheit verpflichteter Prüfer dürfen nach 14 Tagen Vorankündigung prüfen, in der Regel einmal je Jahr, vorrangig durch Auskünfte und Unterlagen.

§ 32 Abs. 4 lit. a NISG 2026

Risikoanalyse und Sicherheit der Informationssysteme

Gibt es eine Risikoanalyse?

Ja. Ein Bedrohungsmodell deckt Anwendung, Betrieb, Schnittstellen, KI und Lieferkette ab (Fassung 0.3 vom 20.10.2026, in Prüfung). Restrisiken nimmt die Geschäftsführung schriftlich an oder lässt sie beheben. Eine Zusammenfassung erhalten Sie auf Anfrage.

Wie sind die Daten der Kunden voneinander getrennt?

Jede Abfrage ist auf die eigene Organisation beschränkt. Eine zweite Schutzebene bilden Zeilenrechte (Row Level Security) in PostgreSQL für alle mandantenbezogenen Tabellen.

§ 32 Abs. 4 lit. b NISG 2026

Bewältigung von Sicherheitsvorfällen

Gibt es einen Prozess für Sicherheitsvorfälle?

Ja. Vorfälle werden in vier Schweregrade eingestuft. Beim höchsten Grad (Dienst nicht erreichbar, Datenverlust, Verdacht auf Datenleck) beginnen wir sofort und informieren betroffene Kunden binnen 1 Stunde. Für Ausfall, Sicherung, Datenpanne und Auslieferung gibt es schriftliche Abläufe.

Wann reagieren Sie auf Alarme?

Montag bis Freitag von 8 bis 18 Uhr (Wien) binnen 1 Stunde. Außerhalb dieser Zeiten nach bestem Bemühen; Vorfälle des höchsten Grades möglichst am selben Tag.

Wie werden wir informiert?

Per E-Mail an die Administration Ihrer Organisation und über die Statusseite.

§ 32 Abs. 4 lit. c NISG 2026

Aufrechterhaltung des Betriebs, Sicherung und Wiederherstellung

Wie werden die Daten gesichert?

Täglich Datenbank, Dateien und Archiv, mit AES-256 verschlüsselt. Aufbewahrung 14 Tage auf dem Server und höchstens 30 Tage als zweite Kopie an einem getrennten Ort in Österreich.

Wird die Wiederherstellung getestet?

Ja, vierteljährlich und nach jeder Änderung an Sicherung oder Datenbank. Zuletzt am 17.10.2026 mit der Live-Sicherung (bestanden) und am 20.10.2026 auf dem Server in Wien mit Demodaten (bestanden).

Welche Wiederherstellungsziele gelten?

Höchstens 24 Stunden Datenverlust (RPO) und Wiederherstellung binnen 4 Stunden (RTO).

Kann eine fehlerhafte Version zurückgenommen werden?

Ja. Vor jeder Auslieferung wird gesichert. Die Rücknahme auf die vorige Version ist geübt (Probelauf 20.10.2026: 10 Sekunden).

Wer vertritt die verantwortliche Person bei Ausfall?

in VorbereitungAngabe folgt. Bitte fragen Sie bei security@lexploris.com an.

§ 32 Abs. 4 lit. d NISG 2026

Sicherheit der Lieferkette

Welche Dienstleister verarbeiten unsere Daten?

netcup GmbH (Server in Wien), Mistral AI SAS (Sprachmodelle in der EU) und webgo GmbH (System-E-Mails, Deutschland). Amazon Web Services (Bedrock, Frankfurt am Main) nur als Ausweich bei Störungen der KI. Die vollständige Liste steht auf der Seite Unterauftragnehmer.

Wie sind die Dienstleister verpflichtet?

Jeder Unterauftragsverarbeiter ist vertraglich auf ein gleichwertiges Schutzniveau verpflichtet (Art. 28 Abs. 4 DSGVO). Wir haften für die Einhaltung.

Erfahren wir von neuen Dienstleistern?

Ja, mindestens 30 Tage vorher in Textform. Sie können aus datenschutzrechtlichen Gründen widersprechen.

Wie gehen Sie mit Software-Abhängigkeiten um?

Abhängigkeiten stehen in festen Versionen. Die CI prüft bei jeder Änderung auf bekannte Schwachstellen und prüft die Signaturen der Pakete. Für Release-Versionen erzeugt die CI eine Stückliste der Software (SBOM, CycloneDX).

§ 32 Abs. 4 lit. e NISG 2026

Entwicklung, Wartung und Umgang mit Schwachstellen

Wie wird die Software entwickelt und geprüft?

Jede Änderung läuft über einen Pull Request mit Code-Review, automatischen Tests (darunter Mandantentrennung und Berechtigungen), Suche nach Geheimnissen im Code und Prüfung der Abhängigkeiten.

Sind Entwicklung, Test und Betrieb getrennt?

Ja. Entwicklung und Testsystem laufen auf einem eigenen System, getrennt vom Betrieb und nur mit Demodaten. Automatische Tests nutzen eine getrennte Testdatenbank.

Wie werden Server aktuell gehalten?

Das Betriebssystem spielt Sicherheitsupdates automatisch ein. Die Anwendung wird als geprüfte Version mit Sicherung vorab ausgeliefert.

Gibt es einen Penetrationstest?

Noch nicht. Ein Test durch externe Prüfer ist geplant, danach in regelmäßigen Abständen.

§ 32 Abs. 4 lit. f NISG 2026

Bewertung der Wirksamkeit

Wie prüfen Sie, ob die Maßnahmen wirken?

Wir überprüfen die technischen und organisatorischen Maßnahmen mindestens jährlich und bei wesentlichen Änderungen. Verfügbarkeit und Aktualität der Datenquellen messen wir laufend gegen festgelegte Ziele. Vor dem Start mit zahlenden Kunden prüfen wir die Betriebsbereitschaft nach einer festen Liste.

Gibt es eine unabhängige Prüfung?

Noch nicht. Der geplante Penetrationstest ist der erste Schritt.

§ 32 Abs. 4 lit. g NISG 2026

Cyberhygiene und Schulungen

Welche Grundregeln gelten im Betrieb?

Anmeldung am Server nur mit Schlüssel, eingehend nur SSH und HTTPS, Schutz vor wiederholten Fehlversuchen, administrativer Zugang nur mit Zwei-Faktor-Anmeldung. Geheimnisse liegen nie im Code.

Werden die Beschäftigten zur Sicherheit geschult?

in VorbereitungAngabe folgt. Bitte fragen Sie bei security@lexploris.com an.

§ 32 Abs. 4 lit. h NISG 2026

Kryptografie und Verschlüsselung

Wie werden Daten bei der Übertragung geschützt?

Ausschließlich über TLS mit HTTP Strict Transport Security. TLS endet auf unserem Server.

Wie werden gespeicherte Daten geschützt?

Sicherungen sind mit AES-256 verschlüsselt, bevor sie den Server verlassen; den Schlüssel hat nur der Betreiber. Passwörter sind mit Argon2id gehasht, API-Schlüssel nur als Hash gespeichert, Geheimnisse für Schnittstellen verschlüsselt. Webhooks sind mit HMAC signiert.

Sind die Datenträger des Servers verschlüsselt?

in VorbereitungAngabe folgt. Bitte fragen Sie bei security@lexploris.com an.

§ 32 Abs. 4 lit. i NISG 2026

Personal, Zugriffskontrolle und Verwaltung der Anlagen

Wer hat administrativen Zugriff?

Nur namentlich benannte Personen, mit Zwei-Faktor-Anmeldung und persönlichen Schlüsseln. Derzeit ist das allein der Geschäftsführer.

Sind die Personen zur Vertraulichkeit verpflichtet?

Ja. Wir setzen nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (§ 6 DSG), auch nach Ende der Tätigkeit.

Wie steuern Sie Rechte in der Anwendung?

Über Rollen je Organisation (Administration, Recht und Compliance, Management, Fachbereich, Lesen, Auditor, externe Beratung). Jeder Zugriff wird auf dem Server gegen Rolle und Berechtigung geprüft. Jede fachliche Änderung steht mit Person und Zeitpunkt im Audit-Trail, verkettet über SHA-256.

§ 32 Abs. 4 lit. j NISG 2026

Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

Gibt es Zwei-Faktor-Anmeldung für unsere Benutzer?

Ja: Zwei-Faktor-Anmeldung (TOTP), Bestätigung neuer Geräte per E-Mail und widerrufbare Sitzungen. Im Paket Enterprise Single Sign-on (OpenID Connect, SAML) und SCIM, auf Wunsch verpflichtend.

Sind die Konten des Betreibers mit Zwei-Faktor geschützt?

Ja für den administrativen Zugang, das Betreiberkonto der Anwendung und die Konten beim Hosting-Anbieter.

Gibt es gesicherte Kommunikation für Notfälle?

in VorbereitungAngabe folgt. Bitte fragen Sie bei security@lexploris.com an.