Diese Seite beschreibt, was wir belegen können und was nicht. Welche Entscheidungen in der Architektur stecken, steht unter Ethik; der Gesamtrahmen unter Governance-Überblick.
Was wir nicht behaupten
SynapSync ist nicht zertifiziert. Keine ISO 27001, kein TISAX, kein Testat nach BSI-Grundschutz. Wer Ihnen als Anbieter dieser Größe etwas anderes erzählt, sollte das Zertifikat zeigen können.
Diese Seite behauptet auch nicht, dass Sie durch den Einsatz unserer Systeme irgendeine Vorschrift erfüllen. Das tun Sie durch Ihre eigene Bewertung, Ihre Dokumentation und Ihre Prozesse. Was wir beschreiben, ist etwas Engeres und Nachprüfbareres: welche Eigenschaft der Architektur welchen Nachweis erleichtert.
DSGVO: Der Unterschied zwischen „darf nicht" und „kann nicht"
Ein Auftragsverarbeitungsvertrag regelt, was ein Anbieter mit Ihren Daten tun darf. Er setzt voraus, dass der Anbieter grundsätzlich Zugriff hat, und begrenzt ihn vertraglich.
Bei einem air-gapped Deployment gibt es diesen Zugriff nicht. Die Verarbeitung läuft vollständig auf Ihrer Hardware, es besteht kein Rückkanal zu uns, und es wird keine Telemetrie übertragen. Damit verschiebt sich die Frage von der vertraglichen auf die technische Ebene — sie wird nicht zugesichert, sondern ist nicht herstellbar.
Wo Sie trotzdem hinsehen müssen: Maschinendaten sind in der Regel keine personenbezogenen Daten. Schichtzuordnungen, Bedienerkennungen und Wartungsprotokolle mit Namen können es sehr wohl sein. Ob und wie das bei Ihnen zutrifft, gehört in Ihre Verarbeitungsübersicht — wir können es nicht für Sie entscheiden und tun es auch nicht.
EU AI Act: Die Einstufung nimmt der Betreiber vor
Der EU AI Act knüpft an den Verwendungszweck an, nicht an den Anbieter. Vorausschauende Wartung an Produktionsanlagen ist in aller Regel kein Hochrisiko-Anwendungsfall. Wird dieselbe Erkennung jedoch als Sicherheitsbauteil einer Maschine eingesetzt — also so, dass ein Fehlurteil Personen gefährden kann — verschiebt sich die Einstufung.
Diese Bewertung nehmen Sie vor. Was wir dafür liefern:
- Technische Dokumentation des eingesetzten Modells: Trainingsgrundlage, Signalklassen, bekannte Grenzen.
- Nachvollziehbarkeit der Einzelentscheidung — auf welches Signal, welchen Zyklus und welchen Zusammenhang sich eine Erkennung stützt.
- Dokumentiertes Verhalten bei Unsicherheit: Reicht die Konfidenz nicht, wird der Fall zur menschlichen Prüfung markiert statt geraten.
- Menschliche Aufsicht als Konstruktionsprinzip: Henri liefert Entscheidungsgrundlagen. Schalthandlungen und Wartungsentscheidungen bleiben beim Betreiberpersonal.
NIS2 und KRITIS: Lieferkette ist der Punkt
NIS2 verlangt von betroffenen Einrichtungen unter anderem, Risiken in der Lieferkette zu beherrschen und Sicherheitsvorfälle zu melden. Für Sie heißt das: Sie müssen begründen können, warum ein Lieferant tragbar ist.
Ein System ohne Fernzugang lässt sich hier einfacher begründen als eines mit. Nicht, weil wir Sicherheit zusagen, sondern weil die üblichen Wege ausfallen: Es gibt keinen Wartungszugang, über den ein Angreifer hereinkäme, keine Cloud, deren Ausfall Sie trifft, und keine Telemetrie, deren Abfluss Sie erklären müssten.
Der Preis dafür ist ehrlich zu nennen: Aktualisierungen erfordern einen physischen oder freigegebenen Weg in Ihre Umgebung. Bequemer ist eine Cloud-Lösung. Nachweisbarer ist diese.
Was Sie konkret bekommen
Diese Seite ist keine Rechtsberatung. Sie beschreibt technische Eigenschaften, damit Ihre eigene Bewertung schneller zu einem Ergebnis kommt — nicht, damit sie entfällt.
Häufig gestellte Fragen
Ist SynapSync ISO 27001 oder TISAX zertifiziert?
Nein. Wir haben kein Zertifikat und behaupten keines. Was wir liefern, sind Architektureigenschaften — Verarbeitung vor Ort, kein Rückkanal, protokollierte administrative Zugriffe — und die Unterlagen, mit denen Ihre eigene Prüfung arbeiten kann.
Brauchen wir einen Auftragsverarbeitungsvertrag mit SynapSync?
Das entscheidet Ihr Datenschutzbeauftragter, nicht wir. Der Punkt ist ein anderer: Bei einem air-gapped Deployment verarbeitet SynapSync im laufenden Betrieb keine Daten, weil kein Zugang besteht. Ein Vertrag regelt, was ein Anbieter darf. Eine Architektur ohne Rückkanal regelt, was er kann.
Fällt das System unter den EU AI Act?
Das hängt vom Einsatz ab, nicht vom Anbieter. Vorausschauende Wartung ist in aller Regel kein Hochrisiko-Anwendungsfall; wird dieselbe Technik jedoch als Sicherheitsbauteil einer Maschine eingesetzt, kann sich das ändern. Die Einstufung nimmt der Betreiber vor. Wir liefern die technische Dokumentation, die er dafür braucht.
Wie hilft das bei NIS2?
NIS2 verlangt unter anderem, Risiken in der Lieferkette zu beherrschen. Ein Lieferant ohne Fernzugang, ohne Telemetrie und ohne Cloud-Abhängigkeit reduziert genau diese Angriffsfläche — nicht weil er es zusagt, sondern weil die Verbindung nicht existiert. Den Nachweis führen Sie, wir liefern die Belege dazu.