FAQ25 Fragen
Sicherheit, Compliance und Beschaffung
Sicherheitsnachweise
Wo werden die Daten von MuchSkills gehostet?
MuchSkills speichert ruhende Kundendaten in der EU, in Stockholm (Schweden), mit Amazon Web Services (eu-north-1) für das Hosting und MongoDB als Datenbank. Damit ist die Frage der Datenübermittlung in den meisten europäischen Sicherheitsprüfungen erledigt, bevor sie überhaupt aufkommt. Die Liste der Unterauftragsverarbeiter im MuchSkills Trust Center ist die maßgebliche Aufstellung darüber, wo Daten gespeichert werden, und Sie werden 30 Tage vor jeder Änderung informiert. Wenn Sie besondere Anforderungen an das Hosting haben, etwa in den USA oder im Vereinigten Königreich, sprechen Sie diese schon während der Evaluierung an und nicht erst beim Vertragsabschluss.
Wie lange dauert eine Sicherheitsprüfung von MuchSkills?
Wenn Sie MuchSkills einen Sicherheitsfragebogen schicken, senden wir ihn möglichst innerhalb einer Woche ausgefüllt zurück; danach hängt der Zeitplan von Ihrem eigenen Sicherheitsteam ab. Das meiste, was Prüfer anfordern, finden Sie bereits im MuchSkills Trust Center: Sicherheitsübersicht, Richtlinien, Penetrationstest-Bestätigung, Unterauftragsverarbeiter und aktueller Status der Kontrollen, wobei einige Dokumente nach einer kurzen Zugriffsanfrage freigegeben werden. Zwei Dinge beschleunigen den Prozess auf Ihrer Seite: Legen Sie früh fest, wer für die Kompetenzdaten der Verantwortliche ist, und senden Sie den Fragebogen bereits während der Evaluierung statt erst nach der kommerziellen Vereinbarung.
Hilft MuchSkills dabei, die Kompetenzanforderungen der ISO 9001 zu erfüllen?
Ja. MuchSkills ist auf Abschnitt 7.2 der ISO 9001 ausgelegt, den Abschnitt zur Kompetenz. Er verlangt, dass Sie die für jede Rolle erforderliche Kompetenz bestimmen, sicherstellen, dass die Personen sie besitzen, Maßnahmen ergreifen, wo das nicht der Fall ist, deren Wirksamkeit prüfen und dokumentierte Nachweise aufbewahren. MuchSkills erfasst die Anforderung je Rolle, das aktuelle Niveau und die Zertifikate jeder Person, die Kompetenzlücke, die ergriffene Maßnahme, etwa ein Entwicklungsziel oder eine Schulung, sowie ein vollständiges Änderungsprotokoll jeder Zertifikatsänderung: wer was wann geändert hat, wobei die gesamte Historie erhalten bleibt und nichts überschrieben wird. Genau diese Historie wollen Auditoren sehen. Mehr zu MuchSkills für Compliance.
Kann MuchSkills Nachweise für ein externes Audit liefern?
Ja. Mit MuchSkills Compliance Intelligence wählen Sie die betroffenen Personen aus, auch ehemalige Mitarbeitende, und laden alle Zertifikate und Nachweisdateien für sie herunter, korrekt benannt und bereit für den Auditor. Zertifikatsstatus, Ablaufdaten und das Änderungsprotokoll sind mit dabei: wer jedes Zertifikat wann hinzugefügt hat, wer es validiert hat und jede spätere Änderung, mit vollständiger Historie. Berichte nach Rolle, Team oder Standort zeigen, wer welche Anforderung erfüllt, bei wem ein Nachweis demnächst abläuft und bei wem er bereits abgelaufen ist.
Deckt MuchSkills die CSRD und die Berichterstattung zur Belegschaft ab?
Teilweise. MuchSkills hält Schulungs-, Kompetenz- und Zertifizierungsdaten in exportierbarer Form vor, die in die Angaben zur eigenen Belegschaft nach ESRS S1 einfließen, etwa Kennzahlen zu Schulung und Kompetenzentwicklung, sofern die CSRD für Sie gilt. MuchSkills ist keine Software für Nachhaltigkeitsberichterstattung und erstellt Ihren Bericht nicht. Betrachten Sie es als eine von mehreren Quellen für Ihr Reporting-Team, neben den Systemen für Lohnabrechnung, Arbeitsschutz und Diversität.
Welche Zusagen macht MuchSkills zu Verfügbarkeit und Backups?
MuchSkills arbeitet mit einem monatlichen Verfügbarkeitsziel von 99,5 %, festgelegt in der Leistungsbeschreibung und den Service Levels im MuchSkills Trust Center. Backups werden mindestens alle sechs Stunden erstellt und bis zu 90 Tage aufbewahrt, mit einem Recovery Point Objective von 24 Stunden und einem Recovery Time Objective von 72 Stunden. Vertragliche Service Levels können im Enterprise-Tarif vereinbart werden.
Werden die Daten bei MuchSkills verschlüsselt?
Ja. MuchSkills verschlüsselt Kundendaten im Ruhezustand mit AES-256 auf Datenbank- und Speicherebene und bei der Übertragung mit TLS 1.2 oder höher, auch zwischen den eigenen Diensten. Der Zugriff auf Schlüssel ist auf namentlich benannte Administratoren beschränkt und wird protokolliert, und für jedes administrative Konto bei MuchSkills ist Multi-Faktor-Authentifizierung Pflicht. Die jeweils geltenden Details werden in den FAQ des MuchSkills Trust Center aktuell gehalten.
Bietet MuchSkills Single Sign-on und SCIM-Provisioning?
Ja. MuchSkills unterstützt in jedem Tarif Single Sign-on über Ihren eigenen Identitätsanbieter, darunter Okta, Google Workspace und Microsoft Entra ID (Azure Active Directory). Wer das Unternehmen verlässt und aus Ihrem Verzeichnis entfernt wird, verliert den Zugriff also über Ihren eigenen Prozess. Automatisierte Provisionierung und Deprovisionierung über SCIM ist ebenfalls in jedem Tarif enthalten. Einrichtungsanleitungen für jeden Identitätsanbieter finden Sie auf der Integrationsseite von MuchSkills.
Was passiert, wenn es bei MuchSkills zu einer Datenschutzverletzung kommt?
Erfährt MuchSkills von einer Datenschutzverletzung, die Ihre personenbezogenen Daten betrifft, informiert MuchSkills Sie unverzüglich, in jedem Fall aber innerhalb von 48 Stunden. Darin steht, was passiert ist, welche Kategorien und wie viele Personen und Datensätze ungefähr betroffen sind, welche Folgen wahrscheinlich sind und welche Maßnahmen ergriffen wurden oder vorgeschlagen werden. Danach unterstützt MuchSkills Sie dabei, Ihren eigenen Pflichten als Verantwortlicher nachzukommen; ob Sie die Aufsichtsbehörde und die Betroffenen benachrichtigen, entscheiden Sie selbst. Sicherheitsprobleme können Sie an security@muchskills.com melden.
Können wir die Sicherheit von MuchSkills selbst prüfen oder testen?
Ja. Sicherheitstests gegen Ihr eigenes MuchSkills-Konto und Ihre eigenen Daten sind erlaubt, sofern sie in gutem Glauben und im Einklang mit der Richtlinie zur Offenlegung von Schwachstellen erfolgen; Last- oder Denial-of-Service-Tests sowie alles, was einen anderen Kunden berührt, erfordern vorab eine schriftliche Zustimmung. Der Bericht des unabhängigen Penetrationstests und das Bestätigungsschreiben sind im MuchSkills Trust Center verfügbar, und die Auditrechte, einschließlich einer Vor-Ort-Prüfung einmal im Jahr auf Ihre Kosten, sind im Auftragsverarbeitungsvertrag geregelt.
Welche Unterauftragsverarbeiter setzt MuchSkills ein, und werden wir über Änderungen informiert?
MuchSkills veröffentlicht seine Unterauftragsverarbeiter jeweils mit Zweck, Standort und Garantie für die Datenübermittlung im MuchSkills Trust Center und im Auftragsverarbeitungsvertrag. Kundendaten werden im Ruhezustand in der EU gespeichert. Ein Teil der Verarbeitung findet außerhalb des EWR statt, etwa bei den KI-Funktionen, dem Support-Chat in der Anwendung und einem Teil der Abrechnung, stets auf Grundlage der Standardvertragsklauseln. Bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird, informieren wir Sie mindestens 30 Tage im Voraus, und Sie haben ein Widerspruchsrecht. Außerdem können Sie Updates abonnieren.
Eignet sich MuchSkills für AS9100, IATF 16949 und andere Normen auf Basis von ISO 9001?
Ja. Qualitätsnormen, die auf ISO 9001 aufbauen, etwa AS9100 in der Luft- und Raumfahrt oder IATF 16949 in der Automobilindustrie, übernehmen die Kompetenzanforderung aus Abschnitt 7.2 der ISO 9001 und ergänzen sie um branchenspezifische Vorgaben. Die Nachweise aus MuchSkills gelten daher genauso: welche Kompetenz jede Rolle erfordert, welchen Stand und welche Zertifikate jede Person aktuell hat, wo Lücken bestehen, welche Maßnahmen ergriffen wurden, dazu eine vollständige Änderungshistorie. Dasselbe gilt für andere ISO-Managementsystemnormen mit einem Abschnitt zur Kompetenz, etwa ISO 14001, ISO 45001 und ISO 22000. Compliance Intelligence lädt sämtliche Zertifikate und Nachweisdateien der betreffenden Personen herunter, und im Compliance-Tarif bekommen Auditoren ohne Aufpreis einen eigenen Zugang.
Können wir externen Auditoren Zugang zu MuchSkills geben?
Ja. Der Compliance-Tarif von MuchSkills ist eine Organisationslizenz mit unbegrenzt vielen Admins, Betrachtern und Auditoren ohne Zusatzkosten. So können Sie externen Auditoren einen eigenen Zugang zu den benötigten Nachweisen einrichten. Mit Compliance Intelligence wählen Sie außerdem die betroffenen Personen aus, auch ehemalige Mitarbeitende, und laden alle zugehörigen Zertifikate und Nachweisdateien herunter, korrekt benannt und bereit zur Übergabe.
Unterstützt MuchSkills Banken und Finanzinstitute bei der Umsetzung von DORA?
Ja. Für Banken, Versicherer, Zahlungsdienstleister und andere Finanzunternehmen, die unter den EU Digital Operational Resilience Act (DORA) fallen, stellt MuchSkills ein DORA-Addendum bereit, das die Enterprise Terms und den Auftragsverarbeitungsvertrag ergänzt. Fordern Sie es während der Evaluierung bei uns an, da es nicht auf der öffentlichen Seite mit den rechtlichen Dokumenten steht. Im MuchSkills Trust Center finden Sie die Sicherheitsdokumentation, die Sie für die Risikoprüfung von IKT-Drittdienstleistern benötigen.
Ist MuchSkills für GxP oder 21 CFR Part 11 validiert?
Nein. MuchSkills wird nicht als validiertes GxP-System bereitgestellt und bietet weder elektronische Signaturen nach 21 CFR Part 11 noch ein IQ-, OQ- und PQ-Paket. Für Teams in Pharma, Biotech und Medizintechnik kann MuchSkills den Schulungs- und Zertifizierungsstatus mit vollständiger Änderungshistorie erfassen. Verlangt Ihr Qualitätssystem eine Validierung für einen definierten Verwendungszweck, liegt diese Validierung bei Ihnen. Teilen Sie uns frühzeitig mit, welche Dokumentation Sie benötigen.
Prüft MuchSkills, ob ein Zertifikat echt ist?
MuchSkills dokumentiert, was von wem und wann hochgeladen wurde, bestätigt aber nicht selbst die Echtheit eines Zertifikats. Eine Führungskraft oder HR kann jedes Zertifikat anhand der Nachweisdatei, der Lizenznummer oder des Credential-Links validieren; es gilt dann als validiert statt nur als angegeben. Über Credly synchronisierte Zertifikate kommen als digitale Badges direkt vom Aussteller an. Jede spätere Änderung wird mit Person und Zeitpunkt protokolliert.
Kann MuchSkills die Kompetenz unserer Mitarbeitenden für unser ISO-27001- oder SOC-2-Audit nachweisen?
Ja. Nach ISO 27001 müssen Sie die Kompetenz der Personen, deren Tätigkeit die Informationssicherheit beeinflusst, bestimmen und nachweisen, ebenso ihr Sicherheitsbewusstsein und ihre Schulung. SOC 2 erwartet ein Bekenntnis dazu, kompetente Mitarbeitende zu gewinnen, weiterzuentwickeln und zu halten. MuchSkills bündelt die Sicherheitszertifizierungen, Schulungsbadges und Kompetenzen, die jede Rolle braucht, erinnert Mitarbeitende rechtzeitig vor dem Ablauf von Zertifikaten und führt eine vollständige Änderungshistorie, die Sie dem Auditor vorlegen können. Davon zu unterscheiden ist der eigene Zertifizierungsstatus von MuchSkills, den wir in unserer Antwort zu ISO 27001 erläutern.
Können wir in MuchSkills für jede Rolle Pflichtzertifizierungen festlegen?
Ja. Sie hinterlegen die für jede Rolle erforderlichen Zertifikate zusammen mit den Kompetenzen und Niveaus im Rollenprofil. MuchSkills zeigt dann in Echtzeit, wer die Anforderung erfüllt, wer nicht und wer sie bald nicht mehr erfüllt, weil Zertifikate demnächst ablaufen. Mitarbeitende sehen ein fehlendes oder abgelaufenes Pflichtzertifikat rot markiert in ihrer eigenen Lückenansicht, und HR kann allen Personen in einer Rolle auf einmal ein Zertifikatsziel zuweisen.
Kann MuchSkills die Zertifizierungen im Blick behalten, auf denen unser Microsoft- oder AWS-Partnerstatus basiert?
Ja. Bereits heute zeigen Zertifizierungsberichte nach Hersteller, wer welches AWS-, Microsoft- oder sonstige Herstellerzertifikat hat und wann es abläuft, mit Warnungen, bevor es verfällt. Außerdem bringt MuchSkills gerade ein Monitoring der Partnerstufen heraus. Es prüft fortlaufend, ob Sie für jede Partnerstufe noch genug zertifizierte Personen haben, während Leute kommen und gehen und Zertifikate ablaufen, und warnt Sie, wenn es nicht mehr reicht.
Kann MuchSkills neben Herstellerzertifikaten auch Lizenzen und interne Berechtigungen verwalten?
Ja. Zusätzlich zu den über 9.700 Zertifizierungen in der Datenbank kann Ihre Organisation in MuchSkills eigene Zertifikate, Lizenzen, Mitgliedschaften und interne Berechtigungen anlegen, etwa einen Staplerschein, einen Werksausweis oder eine Freigabe für die Arbeit an einem bestimmten System. Jeder Eintrag erhält ein Ablaufdatum, eine Nachweisdatei sowie dieselben Benachrichtigungen und denselben Änderungsverlauf.
Müssen wir mit MuchSkills einen separaten Auftragsverarbeitungsvertrag (AVV) abschließen?
Nein. Der Auftragsverarbeitungsvertrag von MuchSkills erfüllt die Anforderungen von Art. 28 DSGVO und ist Bestandteil des Vertrags. Er gilt daher ohne gesonderte Unterschrift. Einkaufsabteilungen, die ein unterschriebenes Exemplar benötigen, können es anfordern. Der AVV wird nicht Punkt für Punkt verhandelt; haben Sie eine bestimmte Anforderung, geben Sie sie bei Ihrer Bestellung an, dort wird sie geklärt.
Unterstützt MuchSkills Sie bei der EU-Entgelttransparenzrichtlinie?
Teilweise. Die EU-Entgelttransparenzrichtlinie (2023/970) nennt Kompetenzen neben Belastungen, Verantwortung und Arbeitsbedingungen als Kriterien für den Vergleich gleichwertiger Arbeit. MuchSkills dokumentiert das Kriterium Kompetenzen: welche Kompetenzen auf welchem Niveau jede Rolle erfordert und welche Nachweise für jede Person vorliegen. MuchSkills ist kein Tool für Vergütung oder Stellenbewertung; Entgeltanalyse und Berichterstattung bleiben daher in Ihren HR- und Vergütungssystemen.
Lässt sich MuchSkills für ITAR- oder CMMC-Projekte nutzen?
MuchSkills speichert Kundendaten ausschließlich in der EU und eignet sich daher nicht für ITAR-kontrollierte technische Daten oder für Controlled Unclassified Information. Rüstungs- und Behördenauftragnehmer in den USA können damit die Kompetenzen und Zertifikate ihrer Mitarbeitenden verwalten, einschließlich der Sicherheitszertifizierungen, die ihre Verträge verlangen, sofern die Arbeit keine kontrollierten Daten betrifft.