Verfügbarkeit, die Sie einer Aufsicht geben können.

Eine Aufsicht fragt nicht, ob Sie sich verfügbar gefühlt haben. Sie fragt, wann der Incident begann, wie lange der Dienst ausgefallen war und woher Sie das wissen. Perstat erzeugt die Verfügbarkeitsnachweise hinter diesen Antworten, gemessen von außerhalb Ihres Dienstes und über Regionen hinweg bestätigt. Es erzeugt die Nachweise; es erfüllt die Vorgaben nicht für Sie.

Während eines Ausfalls in einem regulierten Unternehmen laufen zwei Uhren. Die eine ist der Ausfall. Die andere beginnt in dem Moment, in dem Sie den Incident als schwerwiegend einstufen, und unter DORA ist diese Uhr ein rechtliches Objekt: eine Erstmeldung innerhalb von 4 Stunden, ein Zwischenbericht innerhalb von 72 Stunden, ein Abschlussbericht innerhalb eines Monats. Keine der beiden Uhren wartet, bis Sie die Daten suchen gehen. Entweder die Aufzeichnung, wann der Dienst ausfiel, existiert, gemessen und mit Zeitstempel versehen, während es geschah, oder sie existiert nicht.

Perstat erzeugt die Verfügbarkeitshälfte dieser Aufzeichnung. Es reicht die Meldung nicht ein, und es erfüllt die Vorgaben nicht für Sie. Was es tut: Es sorgt dafür, dass die Antwort auf die Frage, wie lange Sie ausgefallen waren, bereits gemessen ist, bereits einen Zeitstempel trägt und von mehr als einem Punkt der Erde bestätigt ist, wenn die Prüfung sie stellt.

Illustration der Verfügbarkeitsaufzeichnung, die ein Prüfer nachrechnen kann: echte Fenstergrenzen, ein kuratierter Ausschluss, abgerundete Verfügbarkeit. Vereinfacht, kein Screenshot. Die Zahlen stimmen mit dem Beispiel-SLA-Report überein.

Was die Prüfung zuerst aufschlägt

Reduziert man eine DORA-Meldung eines Vorfalls oder einen aufsichtlichen Fragebogen auf die Verfügbarkeitsfragen, sind sie unverblümt: Wann begann der Incident, nicht wann ihn jemand bemerkte? Wie lange war der Dienst nicht verfügbar? Wann war er wiederhergestellt, und woher wissen Sie das? Jede davon ist eine Messung, bevor sie ein Satz ist, und eine Aufsicht, die Ihren Abschlussbericht einen Monat später liest, kann ihn mit Ihrer eigenen Statusseite abgleichen. Widersprechen sich die beiden, ist das ein Prüfungsbefund.

Perstat ist für die Messung gebaut. Der Startzeitpunkt des Incidents ist der Moment, in dem ein Quorum von Regionen den Ausfall bestätigt hat, auf die Sekunde festgehalten, nicht der erste fehlgeschlagene Check und nicht eine gerundete Minute. Erkennungs- und Wiederherstellungszeiten kommen aus dem Monitoring-System, während sie geschehen, nicht aus einer Erinnerung, die hinterher aufgeschrieben wurde. Die Grenze, auf die Sie alarmiert wurden, ist die Grenze, die die SLA-Aufzeichnung später verwendet: eine Uhr, und keine menschliche.

Seien Sie bei dieser Grenze genau, denn in dieser Branche wiegt sie am schwersten: Perstat erzeugt die Verfügbarkeitsnachweise, nach denen das Rahmenwerk immer wieder fragt. Es ist nicht die Meldung selbst, nicht die Einstufung und nicht das rechtliche Urteil, und es erfüllt DORA und NIS2 nicht für Sie. Das bleibt bei Ihnen. Wie sich das Feld für Feld abbildet, steht unter DORA-Meldungen von Vorfällen .

Eine Zahl, die das Nachrechnen übersteht

Eine Verfügbarkeitszahl ist für einen Prüfer nur dann etwas wert, wenn der geprüfte Dienst nicht seine eigenen Hausaufgaben benotet hat. Perstat misst von außerhalb des Dienstes, von Prüfpunkten auf sechs Kontinenten (na-ewr, eu-fra, as-sgp, sa-gru, af-jnb, oce-syd), und zählt einen Incident erst, wenn ein Quorum von Regionen übereinstimmt. Eine einzelne instabile Route fabriziert keinen Ausfall, und der gute Tag einer einzelnen Region verdeckt keinen echten.

Dieselbe Aufzeichnung speist drei Ansichten, die sonst auseinanderlaufen: die öffentliche Statusseite, die Incident-Zeitachse und die SLA-Aufzeichnung. Weil es eine Aufzeichnung ist, können die Darstellung für Ihren Kunden und die für Ihren Prüfer nicht heimlich auseinanderdriften. Kuratierte Ausschlussfenster tragen ihre echten Grenzen: Ein angekündigtes Wartungsfenster wird vom letzten guten Check davor bis zum ersten guten Check danach ausgeschlossen, und ein Ausschluss ohne passendes angekündigtes Fenster wird nicht akzeptiert. Korrekturen sind Teil der Aufzeichnung, keine Löschungen. Ein verworfener Fehlalarm trägt eine Begründung und die Person, die ihn verworfen hat, seine Wirkung auf die Uptime wird vor der Anwendung angezeigt, und er ist umkehrbar. Die Verfügbarkeitshistorie wird je nach Tarif aufbewahrt, 7 Tage, 30, 90, 1 Jahr, 2 Jahre.

Hier die konkrete Gestalt, aus dem Beispiel-SLA-Report für einen Demo-Dienst über ein Quartal: 91 Tage, 131.040 Minuten, 1.572.480 Checks über sechs Regionen. Ein bestätigter Incident, ein Check, der um 02:40:42 aus eu-fra fehlschlägt, ein Quorum, das um 02:41:12 bestätigt, als na-ewr und as-sgp übereinstimmen, eine Wiederherstellung, die um 02:48:24 über die Regionen hinweg bestätigt wird. Verfügbarkeit brutto 99,925 %, und 99,994 % nach dem einen kuratierten, angekündigten Wartungsausschluss. Abgerundet, nie aufgerundet, weil eine SLA-Zahl eine Untergrenze sein sollte, die Sie vertreten können. Sie können jede Zahl nachrechnen, und die Glaubwürdigkeit des Ergebnisses hängt an keinem Zertifikatsstatus. Die Säule Nachweise ist das Ganze davon.

Incident-Zeitachsen, die Sie nicht um 02:40 zusammensuchen

Ein Abschlussbericht will Ursache und eine vollständige Zeitachse innerhalb eines Monats, und der schlechteste Zeitpunkt, damit anzufangen, ist während des Incidents. In Perstat ist die Zeitachse bereits die Aufzeichnung: rohe Statuswechsel je Region auf dem einen Reiter, kuratierte Ausfälle auf dem nächsten und ein Konfigurations-Audit, samt “Report verworfen” und “Report wiederhergestellt”, auf dem dritten. Eine Quittung ist Fallbesitz, festgehalten und geräteübergreifend, sodass auch belegt ist, wer den Incident wann übernommen hat.

Ab Sentinel hängt ein Post-mortem an dem Incident, zu dem es gehört, mit einer Vorlage für Auswirkung, Ursache und Lehren, vom Entwurf zur Veröffentlichung auf Ihr Wort hin. Sie entscheiden, ob es intern bleibt oder auf einer Statusseite öffentlich wird; nichts wird stillschweigend veröffentlicht. Wenn der Monatsbericht fällig ist, liegen die Zeitachse und die Aufarbeitung dort, wo Sie sie gelassen haben, am Incident, nicht verstreut über einen Chatverlauf.

Wo die Daten liegen und wer sie erreichen kann

Hier wird die Herkunft geprüft, nicht vorausgesetzt: Fragebögen von Kunden und Aufsichtsbehörden fragen, wo die Daten liegen und wer sie herausverlangen kann. Perstat ist eine deutsche GmbH ohne US-Mutter. Die Control Plane wird in der EU betrieben, die DSGVO gilt mit einem AVV, den Sie unterschreiben können, und der US CLOUD Act greift nicht, weil kein US-Unternehmen in der Kette sitzt. Die Prüfpunkte auf sechs Kontinenten sind Messpunkte; sie halten keine Kundenkontodaten, und Steuerung und Daten bleiben in der EU.

Das macht Perstat zu einer sauberen Zeile in Ihrem eigenen Informationsregister zu IKT-Drittdienstleistern nach DORA Artikel 28. Sie tragen den Eintrag ein; das DSGVO-Paket, das ihn stützt, also AVV, Liste der Unterauftragsverarbeiter sowie technische und organisatorische Maßnahmen, gibt es heute auf Anfrage. Zur Einordnung, mit Datum: DORA gilt seit dem 17. Januar 2025, mit seiner Kaskade von 4 Stunden, 72 Stunden und einem Monat; NIS2 zieht weit über hunderttausend Unternehmen in der EU in den Anwendungsbereich, geschätzt 30.000 bis 40.000 allein in Deutschland, von denen rund 39 % zur Frist im März 2026 registriert waren (BSI). Perstat ist der unabhängige Verfügbarkeitsnachweis, der in einen Prüfungsbericht nach ISAE 3402 oder IDW PS 951 und in eine DORA-Meldung eines Vorfalls eingeht. Es ist nicht dieser Bericht.

Ehrliche Grenzen

Perstat nennt Maßnahmen, die Sie prüfen können, und einen Gründer, der CISSP, CCSP und ISSAP persönlich hält, statt einer Wand geliehener Siegel. Siehe die Sicherheitsseite .
Perstat ist ein Monitoring-Produkt, keine Compliance-Beratung. Es erzeugt Verfügbarkeitsnachweise; es stuft Ihre Incidents nicht ein und schreibt Ihre Meldungen nicht.
Die Aufzeichnung ist nachrechenbar, nicht manipulationssicher. Sie können die Zahl nachrechnen; eine Write-once-Archivierung, die einer Prüfung standhält, ist eine Roadmap-Notiz, keine aktuelle Behauptung.
Ein Report-Export ist der angekündigte nächste Schritt. Heute sind die Nachweise die kuratierte Aufzeichnung, ihre Ausschlüsse, die Zeitachse und die Post-mortems; ein PDF- oder CSV-Export davon läuft vorerst auf Anfrage an hello@perstat.io .
Enterprise-SSO (SAML) gibt es noch nicht; die Anmeldung läuft heute über E-Mail. Der Umfang ist bewusst gewählt: Uptime und ihre Nachweise, kein APM und kein Log-Management.

Es steht.

Wenn die Prüfung fragt, wie lange Sie ausgefallen waren, sollte die Antwort bereits gemessen, mit Zeitstempel versehen und über Regionen hinweg bestätigt sein, nicht hinterher zusammengesucht. Das ist die Hälfte des Problems, die Perstat löst, und es ist die Hälfte, die eine Aufsicht zuerst prüft.

Einen Beispiel-SLA-Report ansehen , die Sicherheitsmaßnahmen lesen , oder sehen, wie sich die Aufzeichnung auf DORA-Meldungen von Vorfällen abbildet.