Der Berater liefert die Lückenliste. Ich schließe sie technisch.

Die Lücke zwischen Beratung und Umsetzung

Der typische Ablauf sieht so aus: Eine Beratung nimmt den Ist-Zustand auf, gleicht ihn gegen das Rahmenwerk ab und liefert am Ende ein Dokument mit Anforderungslisten, Reifegradbewertung und Maßnahmenkatalog. Das ist gute und notwendige Arbeit. Nur endet sie genau an der Stelle, an der es teuer wird: bei der Frage, wer die Maßnahmen jetzt technisch baut.

Denn die meisten Punkte auf so einer Liste sind keine Papierarbeit. Protokolle müssen tatsächlich erzeugt, zentral gesammelt und über die geforderte Frist aufbewahrt werden. Backups müssen nicht nur laufen, sondern nachweislich zurückspielbar sein. Zugriffe müssen technisch eingeschränkt sein, nicht nur in einer Richtlinie beschrieben. Ich arbeite an dieser Stelle: technische Umsetzung, nicht juristische Bewertung.

Semantischer Abgleich statt Volltextsuche

Der erste Schritt ist meist der langweiligste und trotzdem der aufwendigste: herausfinden, was von den Anforderungen bereits irgendwo dokumentiert ist. In Unternehmen liegen Richtlinien, Betriebshandbücher, Verfahrensanweisungen und alte Prüfberichte verstreut über Jahre und Ablagen. Eine Volltextsuche hilft dabei kaum, weil das Rahmenwerk von "Resilienztests" spricht und Ihr Dokument von "jährlicher Wiederanlaufübung".

Ein semantischer Abgleich löst das anders. Anforderungen und Dokumentenabschnitte werden in Vektoren übersetzt, sogenannte Embeddings, die die Bedeutung eines Textes als Zahlenreihe abbilden. Zwei Texte, die dasselbe meinen, liegen in diesem Raum nahe beieinander, auch bei völlig unterschiedlichem Wortlaut. Eine Vektordatenbank findet zu jeder Anforderung die inhaltlich nächsten Stellen aus Ihrer Dokumentation, ein lokales Sprachmodell bewertet anschließend, ob die Stelle die Anforderung wirklich abdeckt oder nur streift. Dieses Verfahren heißt RAG: das Modell antwortet nicht aus dem Gedächtnis, sondern ausschließlich auf Basis der ihm vorgelegten Fundstellen.

Warum das lokal laufen muss

Die Dokumente, die in so einen Abgleich hineingehen, sind mit die sensibelsten im Unternehmen: interne Richtlinien, Netzpläne, Notfallkonzepte, Ergebnisse vergangener Prüfungen, dokumentierte Schwachstellen. Genau die Sammlung, die ein Angreifer sich wünschen würde. Diese Unterlagen an eine Cloud-API zu schicken, deren Anbieter in einem Drittstaat sitzt, wirft für ein Vorhaben, das ausgerechnet Compliance verbessern soll, die falschen Fragen auf.

Deshalb läuft der Abgleich auf Ihrer eigenen Hardware. Sprachmodell, Embedding-Modell und Vektordatenbank liegen auf demselben Server wie die Dokumente, es gibt keine ausgehende Verbindung zu einem Modellanbieter, und es entsteht kein Auftragsverarbeitungsvertrag mit einem Drittstaat. Ein Nebeneffekt: Das System bleibt danach nutzbar. Sie können neue Dokumente nachziehen und den Abgleich beliebig oft wiederholen, ohne dass pro Durchlauf Kosten entstehen.

Welche Rahmenwerke und was danach ansteht

Abgebildet sind derzeit DORA für Finanzunternehmen und deren IT-Dienstleister, ISO 27001 mit dem Anhang A, der BSI IT-Grundschutz und NIS2. Die Rahmenwerke überschneiden sich stark, weshalb ein Abgleich gegen mehrere gleichzeitig sinnvoll ist: Ein dokumentiertes Zugriffskonzept zahlt auf alle vier ein. Wichtig zur Einordnung: Das Ergebnis ist eine Lückenliste mit Fundstellen, die die Nachweisführung unterstützt. Es ersetzt weder die rechtliche Bewertung durch Ihre Compliance- oder Rechtsabteilung noch die Prüfung durch eine akkreditierte Zertifizierungsstelle.

Nach der Lückenliste beginnt die eigentliche Arbeit, und das ist der Teil, für den ich üblicherweise geholt werde. Das sind konkrete technische Maßnahmen, keine Dokumentenvorlagen.

• Protokollierung: Logs aus Anwendungen, Servern und Netzkomponenten zentral sammeln, gegen nachträgliche Änderung schützen und über die geforderte Frist aufbewahren.
• Backups mit getesteter Recovery: Sicherungen über zwei Standorte, dazu regelmäßige Rückspieltests mit protokolliertem Ergebnis. Ein Backup ohne belegten Restore ist kein Nachweis.
• Zugriffskonzepte: Rollen und Berechtigungen technisch durchsetzen statt beschreiben, Dienstkonten auf das Nötige begrenzen, Anbindung an Ihr Identitätsmanagement.
• Monitoring und Alarmierung: Überwachung der Systeme, die für die kritischen Prozesse tatsächlich gebraucht werden, samt nachvollziehbarer Historie.
• Nachvollziehbare Änderungen: Infrastruktur und Deployments deklarativ in Git, sodass jede Änderung mit Zeitpunkt, Urheber und Begründung belegbar ist.
• Absicherung eingesetzter KI-Systeme: Berechtigungen der Agenten, Protokollierung ihrer Aktionen und Freigaben an den Stellen, an denen sie eigenständig eingreifen dürfen.