Digitale operationale Resilienz (DORA)

1. TicTac Learn und der Finanzsektor

In diesem Hinweis bezeichnet 'TicTac' die TicTac Learn Group AB und ihre operativen Gesellschaften, einschließlich der TicTac Learn AB (Schweden), der TicTac Learn GmbH (Deutschland) und der TicTac Learn Denmark A/S. Die vertragsschließende Gesellschaft ist diejenige, die im jeweiligen Auftrag oder Vertrag genannt ist.

TicTac bietet Lernplattformen und Dienstleistungen zur Inhaltserstellung an und vertreibt diese. E-Learning Autoren- und Videoproduktionswerkzeuge ausgewählter Technologiepartner werden Organisationen in den nordischen Ländern und Teilen Europas zur Verfügung gestellt. Zu unseren Kunden zählen Unternehmen des Finanzsektors, die dem Digital Operational Resilience Act (Verordnung (EU) 2022/2554, „DORA“) unterliegen.

Wir nehmen die regulatorischen Anforderungen unserer Kunden aus dem Finanzsektor ernst. Diese Seite erläutert unsere Rolle, unsere Sicherheitslage und welche vertragliche Unterstützung wir DORA-regulierten Kunden anbieten, um ihre eigenen Verpflichtungen zu erfüllen.

2. Unsere Rolle, je Produkt

Die TicTac Learn Group AB und ihre Konzerngesellschaften, darunter die TicTac Learn AB (Schweden) und die TicTac Learn GmbH (Deutschland), nehmen drei unterschiedliche Rollen ein. Welche Rolle zutrifft, bestimmt, welche DORA-relevanten Informationen und Nachweise relevant sind und von wem sie stammen.

• Vertriebene Plattformen (Articulate 360, Docebo, Vyond). TicTac ist autorisierter Distributor. Wir stellen die Lizenzen bereit, betreuen die Geschäftsbeziehung und leisten First-Level-Support, der selbst eine DORA-relevante Dienstleistung darstellt, die wir vertraglich abbilden können (siehe Abschnitt 4.3). Wir hosten, betreiben und warten diese Plattformen nicht und haben keinen Zugriff darauf. Die Plattform selbst wird vom jeweiligen Technologiepartner betrieben, der eigene Zertifizierungen und Nachweisdokumentation unterhält.
• Eigene SaaS-Angebote (Skillhabit, GO+, SkillUp). TicTac entwickelt, hostet und betreibt diese Dienste selbst und kontrolliert die darin verarbeiteten Daten.
• Professionelle Dienstleistungen (Content-Produktion, Schulungen, Lernstrategie-Beratung). Werden projektbasiert erbracht.

3. Unsere Sicherheitslage

Die Zertifizierung nach ISO/IEC 27001 wird gehalten von TicTac Learn AB, die Muttergesellschaft der Gruppe, und ihr Geltungsbereich sind im Zertifikat (auf Anfrage erhältlich) definiert. Die gleichen Informationssicherheitsmanagementpraktiken, die Risikomanagement, Zugriffskontrolle, Vorfallsmanagement, Geschäftskontinuität und Lieferantenmanagement umfassen, leiten die Arbeitsweise der Gruppe. Für Plattformprodukte, die von AB vertrieben werden, gilt Folgendes: TicTac Learn Bitte beachten Sie auch die Zertifizierungen des jeweiligen Technologiepartners, auf die in Abschnitt 5 unten verwiesen wird.

Für Einzelheiten zu unseren technischen und organisatorischen Sicherheitsmaßnahmen besuchen Sie bitte unser Trust Centre oder kontaktieren Sie uns direkt.

4. DORA und TicTac

4.1 Einstufung als kritischer IKT-Drittdienstleister

TicTac wurde nicht als kritischer IKT-Drittdienstleister nach Art. 31 DORA eingestuft. Diese Einstufung erfolgt durch die Europäischen Aufsichtsbehörden, nicht durch die Anbieter selbst oder ihre Kunden.

4.2 Kritische oder wichtige Funktionen

DORA verlangt von jedem Finanzunternehmen, zu bewerten, ob die von ihm bezogenen IKT-Dienstleistungen eine kritische oder wichtige Funktion des Unternehmens unterstützen (Art. 3 Nr. 22). Dies ist ein eigenständiger Begriff, getrennt von der oben genannten Einstufung durch die ESA. Es handelt sich um die eigene Bewertung des Finanzunternehmens, basierend auf Art, Umfang und Komplexität seiner Geschäftstätigkeit.

Kommt ein Finanzunternehmen zu dem Ergebnis, dass eine Dienstleistung eine kritische oder wichtige Funktion unterstützt, gelten für diese Beziehung die strengeren DORA-Anforderungen an vertragliche Vereinbarungen, Governance, Unterauftragsvergabe, Ausstiegsplanung und Registerdokumentation. Diese Bewertung liegt in der Verantwortung des Finanzunternehmens. TicTac trifft diese Einstufung nicht stellvertretend für seine Kunden, stellt aber gerne die Informationen bereit, die unsere Kunden für ihre eigene Bewertung benötigen.

4.3 Vertragliche Vereinbarungen

TicTac bietet eine DORA-konforme Vertragsergänzung für die Dienstleistungen an, die wir selbst betreiben. Dies umfasst zwei Bereiche: unsere eigenen SaaS-Produkte (Skillhabit und verwandte Produkte), bei denen TicTac Betreiber ist, sowie unseren eigenen First-Level-Support, den wir im Zusammenhang mit den von uns vertriebenen Plattformen erbringen, einschließlich Articulate 360, Docebo und Vyond. Support ist selbst eine eigenständige IKT-Dienstleistung, und wir sind bereit, hierfür eine DORA-Ergänzung abzuschließen, die auf das begrenzt ist, was wir tatsächlich erbringen, zusätzlich zu Ihrer bestehenden Vereinbarung für die jeweilige Plattform.

Für die Plattformen selbst (Articulate 360, Docebo, Vyond) werden die plattformbezogenen DORA-relevanten vertraglichen Zusicherungen und Nachweise unmittelbar durch den jeweiligen Technologiepartner bereitgestellt, über dessen eigene Zertifizierungen, Trust Center und Standardbedingungen. Die Rolle von TicTac bei diesen Produkten beschränkt sich auf Vertrieb und First-Level-Support; wir hosten, betreiben oder kontrollieren diese Plattformen nicht und können keine plattformbezogenen DORA-Zusagen im Namen unseres Partners abgeben.

5. Datenverarbeitungsort und Unterauftragsvergabe

Daten im Zusammenhang mit unseren eigenen SaaS-Produkten und unserem First-Level-Support (einschließlich Support-Anfragen) werden innerhalb der EU/des EWR verarbeitet und gespeichert. Für vertriebene Plattformen werden Verarbeitungsort und Unterauftragsvergabe vom jeweiligen Technologiepartner bestimmt; bitte beachten Sie dessen eigene Sicherheitsdokumentation (Articulate Trust Center, Docebo Trust Center und Vyond Trust Center).

6. Exit und Übergang

Für unsere eigenen SaaS-Produkte unterstützen wir den Datenexport und leisten angemessene Unterstützung beim Übergang im Falle einer Beendigung, wie in der jeweiligen Vereinbarung festgelegt. Für vertriebene Plattformen werden Datenexport und Übergangsunterstützung vom jeweiligen Technologiepartner bereitgestellt.

7. Unterstützung für Ihr DORA-Informationsregister

Art. 28 Abs. 3 DORA verpflichtet Finanzunternehmen, ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern zu führen. TicTac stellt die Informationen bereit, die unsere Kunden zur Führung und Aktualisierung dieses Registers für unsere eigenen Dienstleistungen benötigen, einschließlich Leistungsbeschreibungen, Orten der Datenverarbeitung, Unterauftragsvergabe und Kontaktdaten. Für vertriebene Plattformen sind die Registerangaben zur Plattform selbst beim jeweiligen Technologiepartner einzuholen.