ExpertCyber Monaco: IT-Partner prüfen

Der schwierigste Einkauf im Unternehmen

Fragen Sie einen monegassischen Unternehmer, wie er seinen IT-Dienstleister ausgewählt hat, und Sie hören fast immer dieselbe Antwort: Jemand hat ihn empfohlen – oder er war schon da, als die Firma gegründet wurde. Geprüft hat ihn niemand. Niemand hat einen Nachweis verlangt, dass die Person mit Administratorrechten über sämtliche Firmensysteme diese auch wirklich absichern kann.

Das ist keine Nachlässigkeit, sondern ein echtes Informationsproblem. Cybersicherheit ist einer der wenigen Einkäufe, bei denen der Käufer den Verkäufer praktisch nicht beurteilen kann. Eine Firewall-Konfiguration lässt sich von außen nicht bewerten. Und einen kompetenten Incident Responder von einem selbstbewussten Schwätzer unterscheidet man erst, wenn etwas schiefgeht – dann allerdings wird die Beurteilung teuer.

Monaco hat darauf eine formale Antwort gefunden. Das Fürstentum hat das Label ExpertCyber Monaco eingeführt: für IT-Dienstleister, die nachweisbare Cybersicherheitskompetenz vorweisen können, unter der Aufsicht der AMSN, der monegassischen Agentur für digitale Sicherheit. Ein kleiner Baustein – aber einer, der eine Entscheidung verändert, die die meisten Unternehmen bisher aus dem Bauch heraus treffen.

Was hinter dem Label steckt

ExpertCyber Monaco beruht auf zwei Texten aus dem Juli 2025: der Souveränen Verordnung Nr. 11.325 vom 10. Juli 2025, die die AMSN zur Vergabe des Labels ermächtigt, und der Ministerialverfügung Nr. 2025-342 vom 3. Juli 2025, die Bewertungskriterien und Verwaltung des Systems festlegt.

Die Mechanik lohnt einen genaueren Blick, denn sie erklärt, warum das Label Gewicht hat:

• Die AMSN trägt das System. Ihr Direktor vergibt das Label, führt das Register der gelabelten Dienstleister und kann es aussetzen oder entziehen, wenn die Anforderungen nicht mehr erfüllt sind.
• AFNOR Certification übernimmt die Konformitätsprüfung gegen das veröffentlichte Anforderungswerk. Die Bewertung ist also keine Selbstauskunft des Anbieters.
• Mitarbeitende, die unter dem Label tätig sind, benötigen eine persönliche Sicherheitsermächtigung, die alle drei Jahre erneuert wird; der Dienstleister muss ein aktuelles Verzeichnis der berechtigten Personen führen.

Genau diesen letzten Punkt übersehen Einkäufer am häufigsten. Das Label ist nicht nur ein Firmenabzeichen – es hängt an namentlich benannten Personen. Das ist ein deutlich höherer Maßstab als eine Werbeaussage auf einer Website.

Was ein Dienstleister nachweisen muss

Die Bewertung ist keine einzelne Prüfung. Ein Bewerber wird im Wesentlichen auf vier Feldern geprüft:

1. Administrative und regulatorische Konformität, einschließlich des Umgangs mit personenbezogenen Daten. In Monaco heißt das: Gesetz Nr. 1.565 vom 3. Dezember 2024 und die Aufsicht der APDP – nicht die europäische DSGVO, die für Monaco nicht unmittelbar gilt.
2. Die Qualität des Sicherheitsangebots – was tatsächlich verkauft wird, wie Leistungen abgegrenzt sind, wie Vorfälle bearbeitet werden.
3. Die Kompetenz der Mitarbeitenden, individuell bewertet und nicht auf Firmenebene.
4. Technisches Können, überprüft in einem Test unter Zeitdruck statt beschrieben auf Papier.

Inhaltlich geht es unter anderem um das Erkennen und Einordnen von Cyberangriffen, die Absicherung der Architektur eines Informationssystems, die Analyse von Softwareschwachstellen und Sicherheitswerkzeugen sowie um das Verständnis dafür, welche Rechtsrahmen und Zuständigkeiten greifen, wenn ein Vorfall strafrechtlich relevant wird.

Der Geltungsbereich ist bewusst praxisnah für kleinere Organisationen: betriebliche Informationssysteme, Geschäftstelefonie sowie Administration und Schutz von Websites. Also genau die drei Dinge, von denen ein typischer monegassischer Mittelständler täglich abhängt.

An wen sich das richtet

ExpertCyber Monaco adressiert IT-Dienstleister mit gewerblicher Kundschaft: jene Firmen, die Systeme installieren, betreuen und angerufen werden, wenn etwas ausfällt. Also genau die Lieferantenkategorie, auf die sich die meisten kleinen und mittleren Unternehmen in Monaco verlassen – und die sie am wenigsten beurteilen können.

Wenn Sie ein Unternehmen mit fünf bis hundert Mitarbeitenden führen – eine Beratung, eine Agentur, ein Handelsgeschäft, ein Family Office, eine Hotelgruppe – haben Sie mit hoher Wahrscheinlichkeit einen solchen Dienstleister. Und er verfügt vermutlich über mehr Zugriff auf Ihr Unternehmen als jeder andere Externe.

Wichtig ist die Abgrenzung zu einem zweiten monegassischen Verfahren: Die PINH-Qualifikation für Cloud- und Hosting-Anbieter, geregelt in der Ministerialverfügung Nr. 2026-59 vom Februar 2026, betrifft den Ort, an dem Ihre Daten liegen. ExpertCyber Monaco betrifft diejenigen, die an Ihren Systemen arbeiten. Zwei verschiedene Fragen, zwei getrennte Register, beide bei der AMSN geführt. Ein gut geführtes Unternehmen interessiert sich am Ende für beide.

Wie Sie das Label praktisch einsetzen

Ein Label nützt nur, wenn es tatsächlich in das Einkaufsgespräch einfließt. Einige praktische Ansätze:

Prüfen Sie das Register vor der Unterschrift, nicht danach. Die AMSN führt die Liste der gelabelten Dienstleister, AFNOR veröffentlicht Informationen zum Verfahren. Verifizieren Sie an der Quelle statt anhand eines Logos auf einer Startseite – Label werden auch nach Ablauf noch gezeigt.

Fragen Sie nach den konkreten Personen. Da das Label an ermächtigte Mitarbeitende gebunden ist, sind „unser Unternehmen ist gelabelt" und „der Ihnen zugeteilte Techniker ist ermächtigt" zwei verschiedene Aussagen. Bestehen Sie auf der zweiten.

Ein Dienstleister ohne Label ist nicht disqualifiziert. Das Verfahren ist jung, das Register füllt sich erst. Viele kompetente Fachleute in Monaco haben es noch nicht durchlaufen. Das Label ist ein starkes positives Indiz; sein Fehlen ist schlicht ein Anlass, genauer nachzufragen.

Nutzen Sie es als Raster, auch wenn Sie beim bisherigen Partner bleiben. Die vier Prüffelder ergeben eine brauchbare Tagesordnung für den Jahresreview: Wer hat Zugriff, wie werden Vorfälle behandelt, was geschieht mit personenbezogenen Daten, und wer im Team ist tatsächlich qualifiziert.

Trennen Sie die Rollen. Wer Ihr Netzwerk betreut, ist selten der Richtige, um Ihre öffentliche Website zu bauen und abzusichern. Wenn Ihre Website Anfragen, Buchungen oder Kundendaten verarbeitet, gehört deren Sicherheit zu demjenigen, der Ihre Webentwicklung und Website-Wartung verantwortet – mit schriftlich geklärter Zuständigkeit für Updates, Backups und Zugänge.

Der größere Zusammenhang

Monaco baut Schritt für Schritt offizielle Bezugspunkte auf, mit denen Unternehmen Aussagen überprüfen statt sie zu glauben: die APDP als aktive Datenschutzbehörde nach Gesetz Nr. 1.565, die PINH-Qualifikation für Cloud und Hosting – und nun ein Label für die Menschen, die Ihre Systeme betreuen. Keines davon ist eine Pflicht, die Sie erfüllen müssen. Alle verschieben das Informationsgefälle zugunsten des Käufers.

In Monaco wiegt das schwerer als in einem großen Markt. Der Anbieterkreis ist klein, Beziehungen sind langjährig, und ein Wechsel ist sozial unangenehm. Ein objektiver externer Maßstab liefert Ihnen einen neutralen Anlass, eine direkte Frage zu stellen – oft der schwierigere Teil.

Eine Einschränkung, klar gesagt: Solche Verfahren entwickeln sich weiter, Register ändern sich, und Einzelheiten zu Zulassung und Erneuerung verwaltet die AMSN. Wenn eine Lieferantenentscheidung oder eine Compliance-Frage daran hängt, prüfen Sie direkt bei der AMSN nach und holen Sie fachlichen Rat ein – dieser Beitrag bietet Orientierung, keine Rechtsberatung.

Wenn Sie klären möchten, welche Teile Ihrer digitalen Landschaft diese Prüftiefe brauchen – und welche gut so sind, wie sie sind – nehmen Sie Kontakt auf. Wir sehen uns Ihre Website an, Ihren Datenumgang nach den APDP-Regeln und die Stellen, an denen Ihre Digitalstrategie und Ihre Lieferantenbeziehungen straffer werden sollten.