Vertrauen ist ein Bauwerk. Jemand muss es errichten.

In Rom war die arx die befestigte Kuppe des Kapitolshügels. Dort lagen der Staatsschatz, die Auspizien und die letzte Verteidigungslinie. Wenn die Unterstadt fiel, blieb die arx — und solange sie stand, war die Stadt nicht gefallen.

Mit dem Vertrauen in ein Unternehmen verhält es sich genauso. Es ist weder ein Satz auf einer Website noch ein gerahmtes Zertifikat. Es ist ein Bauwerk: festgehaltene Entscheidungen, Kontrollen, die funktionieren, Nachweise, die auf Anforderung vorliegen, und Menschen, die um drei Uhr nachts wissen, was zu tun ist. Es wird langsam gebaut und fortwährend verteidigt.

2026 kommt der Druck aus vier Richtungen zugleich. NIS2 hat Tausende mittelständischer Unternehmen in den Anwendungsbereich geholt und ihre Geschäftsleitungen persönlich in die Pflicht genommen. DORA verlangt von Finanzunternehmen und ihren IKT-Dienstleistern den Resilienznachweis, Vertrag für Vertrag. Der Cyber Resilience Act macht Sicherheit zur Marktzugangsbedingung für alles mit digitalen Elementen. Der AI Act begründet Pflichten für Organisationen, die ein KI-System lediglich nutzen, nicht nur für jene, die es bauen.

Zugleich hat sich die Angriffsfläche verschoben. Die Cloud hat kritische Systeme aus dem Perimeter geholt. Generative KI hat Unternehmensdaten in Werkzeuge gebracht, die niemand freigegeben hat. Lieferketten haben jeden Lieferanten zu einem möglichen Einstiegspunkt gemacht.

Die Unternehmen dazwischen — fünfzig bis zweitausend Beschäftigte — haben selten eine Compliance-Abteilung. Sie haben eine IT-Leitung mit vollem Tisch, eine Finanzleitung mit Blick auf das Budget und ein Aufsichtsgremium, das gerade festgestellt hat, dass es haftet. Die großen Beratungshäuser werden ihnen ein Programm anbieten, das sie sich nicht leisten können, besetzt mit Berater:innen, die das Rahmenwerk im letzten Quartal gelernt haben.

Wir haben Arx Fidei genau für diese Lücke gegründet. Ein Senior-Ansprechpartner, der vom ersten Gespräch bis zur Abschlusspräsentation im Auftrag bleibt. Vier Praxisfelder — Cybersicherheit, Compliance, Cloud und DevSecOps, KI — in denselben Händen, weil zwischen den Feldern die Feststellungen und die Vorfälle entstehen.

Darunter ein vereinheitlichtes Kontrollrahmenwerk. NIS2, DORA, ISO 27001, SOC 2, DSGVO und AI Act stellen einander überschneidende Fragen in unterschiedlichen Worten. Wir bilden sie einmal ab, sodass eine Kontrolle einmal umgesetzt, einmal belegt und in jedem Audit wiederverwendet wird, das sie verlangt. In der Praxis liegt die Überschneidung bei etwa siebzig Prozent.

Und Sicherheit, die in die Auslieferungskette eingebaut ist, statt darüber berichtet zu werden. Eine Feststellung in einem Pull Request kostet eine Stunde. Dieselbe Feststellung in einem Auditbericht kostet ein Quartal.

Achtzig Prozent unseres Katalogs werden zum Festpreis verkauft, mit vor der Beauftragung schriftlich fixierten Ergebnissen. Unsere Pakete tragen Namen, Zeitpläne und Preisspannen, veröffentlicht auf dieser Website statt nach einer Analysephase eröffnet.

Unser Vorgehensmodell hat sechs Schritte und einen wöchentlichen Termin von dreißig Minuten. Sie wissen jederzeit, was getan wurde, was als Nächstes kommt und ob wir im Zeitplan liegen.

Compliance ist kein Projekt, das endet. Ein Zertifikat muss gepflegt, ein Register aktuell gehalten und ein KI-System bei jeder Änderung erneut geprüft werden. Deshalb sind wir um laufende Leistungen herum gebaut — vCISO, Compliance as a Service, Managed DevSecOps — und nicht um Einzelprojekte, die einen Bericht hinterlassen und niemanden, der ihn pflegt.

Ein Paket ist meist der Einstieg. Was folgt, ist eine Beziehung.