Blog
Compliance als Infrastruktur.
Fachbeiträge zu Executable Compliance, Policy-as-Code, NIS-2, DORA und EU AI Act von Brain-Media.de.
Grundlagen · Working Paper
Collect Once, Comply Many – wie ein Control NIS-2, DORA und den EU AI Act gleichzeitig erfüllt
Regulatorische Anforderungen wiederholen sich. IAM, Logging, Incident Response, Verschlüsselung – diese Controls tauchen in NIS-2, DORA, ISO 27001 und dem EU AI Act nahezu identisch auf. Executable Compliance macht das strukturell nutzbar.
Artikel lesen →Art. 21
Art. 9
A.8
Art. 9
Collect Once, Comply Many
Compliance-Praxis
Business Continuity Management nach ISO 22301: Der Unterschied zum reinen Notfallplan
Ein Notfallplan beschreibt, was im Ernstfall zu tun ist. ISO 22301 verlangt ein Managementsystem, das diesen Plan begründet, übt und nachweisbar verbessert. Was Auditoren an diesem Unterschied prüfen.
CISM · CISA · AAIA
CISA Domäne 3: IT-Systementwicklung und -beschaffung aus Prüfersicht
Business Case, Projektsteuerung, Entwicklung und Abnahme: welche Kontrollen ein Prüfer im Lebenszyklus eines Systems erwartet und worauf die Fragen zur dritten Domäne abzielen.
Compliance-Praxis
Penetrationstests als Compliance-Nachweis: Was NIS-2- und DORA-Audits tatsächlich verlangen
DORA schreibt für bestimmte Finanzunternehmen bedrohungsorientierte Tests vor, NIS-2 nennt Penetrationstests nicht ausdrücklich. Wann ein Testbericht als Nachweis trägt und wann nicht.
Compliance-Praxis
Third-Party-Risk-Management: SOC 2 und ISO 27001 im Lieferantennachweis
Ein Zertifikat belegt einen Stichtag, ein Type-2-Bericht einen abgelaufenen Zeitraum. Welcher Nachweis welche Frage nach NIS-2 und DORA beantwortet.
Research
KI-Agenten und Meldepflichten: Was zwei aktuelle ENISA-Studien zu DORA, DSGVO und NIS-2 bedeuten
Drei Meldeketten mit drei Auslösern, dazu eine Angriffsgeschwindigkeit, die Freigabewege überholt. Wo die Automatisierung in der Meldekette enden muss.
BAM Core · Release
BAM Core 2.0.4: Ein Startbefehl, ein Bericht, und ein Port, der absichtlich zu bleibt
Container und Druckansicht sind da. Warum der Bericht kein ausgedrucktes Tabellenblatt ist, warum der Erfüllungsgrad als Untergrenze ausgewiesen wird und warum der Port auf localhost gebunden bleibt.
BAM Core · Release
BAM Core 2.0.3 exportiert die Gap-Analyse, am Montag folgen Container und Druckansicht
Der Bewertungsstand kommt als Arbeitspapier heraus, in CSV, XLSX und JSON, mit der BAM-ID in jeder Zeile. Warum der Export nichts speichert und was BAM Core damit nicht wird.
Compliance Delta · Ausgabe 2
Ein Dezembertermin, eine Plattform, die anders rechnet
Die Kennzeichnungspflicht des EU AI Act greift am 2. Dezember und erfasst Bestandssysteme. Dazu die CRA-Meldeplattform der ENISA und die gestrichene KRITIS-Registrierungsfrist.
Launch · Klassiker
Grafikdesign mit Scribus 1.7 erscheint als Hardcover, E-Book inklusive
Das Standardwerk zum freien Desktop-Publishing kommt in fester Bindung: elf Kapitel von der Seiteneinrichtung bis zum druckfertigen PDF. Das vollständige E-Book als PDF ohne Kopierschutz ist im Preis enthalten.
Launch · Klassiker
Audio-Editing mit Audacity 4.x ist erschienen
Das Handbuch zur runderneuerten Version 4: 320 Seiten, 20 Kapitel, 34,00 EUR. Das E-Book als PDF ohne DRM ist im Preis enthalten.
CISM · CISA · AAIA
CISA Domäne 1: Der Auditprozess, was in der Prüfung wirklich zählt
Planung, Durchführung, Berichterstattung: worauf die Fragen zur ersten Domäne abzielen und welche Begriffe sicher sitzen müssen.
Compliance-Praxis
Datenschutz-Folgenabschätzung: Wann sie Pflicht ist und wie sie in fünf Schritten gelingt
Schwellenwertprüfung, Risikobewertung, Abhilfemaßnahmen: der Ablauf in fünf Schritten und die Fälle, in denen Artikel 35 DSGVO ohne Ermessensspielraum greift.
Compliance-Praxis
Was ein Compliance-Audit im Mittelstand tatsächlich kostet
Realistische Aufwandsschätzung nach Unternehmensgröße: interne Vorbereitung, externe Tagessätze und die Posten, die regelmäßig vergessen werden.
CISM · CISA · AAIA
Kontinuierliche Überwachung von KI-Systemen: Was Prüfer im laufenden Betrieb sehen wollen
Was Prüfer im laufenden Betrieb sehen wollen: Kennzahlen, Schwellenwerte und die Nachweise, die ein Monitoring erst auditfähig machen.
Compliance-Praxis
ISO 27001 vs. NIS-2: Wo eine Zertifizierung Auditpflichten abdeckt und wo nicht
Ein Zertifikat entlastet, aber nicht überall: welche gesetzlichen Pflichten es belegt und welche es unberührt lässt.
Executable Compliance · Compliance Trace
Compliance Trace: Warum regulatorische Anforderungen einen Bezeichner brauchen
Für Schwachstellen gibt es CVE, für Angriffstechniken ATT&CK. Für regulatorische Anforderungen bisher nichts – 59 stabile, dauerhaft auflösbare BAM-IDs schließen die Lücke.
Compliance-Praxis · Data Act
Access by Design: Was seit dem 12. September für neue vernetzte Produkte gilt.
Art. 3 Abs. 1 Data Act greift für alle vernetzten Produkte, die ab diesem Datum neu in Verkehr gebracht werden – Zugang zu den Produktdaten muss ab Werk mitgedacht sein.
Compliance Delta · Ausgabe 1
Drei Vorgänge, zwei davon mit Handlungsbedarf.
CRA-Meldepflichten nach Art. 14, Registrierungsstand nach § 33 BSIG und die verschobenen Hochrisiko-Fristen im EU AI Act – mit Zuordnung zu den betroffenen BAM-IDs.
Research
heyData, Kertos, secjur: Was unterschiedliche Preismodelle über Zielgruppen verraten
Preis pro Nutzer, pro Standort oder pauschal: was die Modelle über die adressierte Unternehmensgröße aussagen.
Executable Compliance · Roadmap
Die Roadmap für BAM Core: Fristenmanagement zuerst, und warum das kein Kalender ist.
Reihenfolge statt Termine: was in 2.1 bis 3.0 kommt, warum Meldefristen eine Stoppuhr sind und was bewusst nicht geplant ist.
Compliance-Praxis
BAM Core 2.0 verfolgt jetzt auch, wenn sich das Gesetz ändert.
Ein neuer Regulatory-Change-Layer verknüpft laufende EU-Gesetzesänderungen mit den betroffenen Controls – am Beispiel des AI-Omnibus.
Compliance-Praxis
Incident-Response-Pläne: Was NIS-2-Audits in der Praxis tatsächlich prüfen
Nicht das Dokument entscheidet, sondern der Nachweis: worauf Prüfer bei Reaktionsplänen, Rollen und Übungen wirklich schauen.
CISM · CISA · AAIA
AAIA Domäne 2: Wie Auditoren den laufenden Betrieb von KI-Systemen prüfen
Mit 46 Prozent die schwerste der drei AAIA-Domänen – und anders als der Name vermuten lässt keine Governance-, sondern eine Betriebs-Domäne: Monitoring, Modell-Drift, Freigabemanagement.
Compliance-Praxis · ISO 27001
ISO 27001 Rezertifizierung: Was sich seit der letzten Prüfung geändert hat
Drei Jahre nach dem Erstaudit steht der Rezertifizierungszyklus an: welche Änderungen der Fassung 2022 jetzt nachweispflichtig werden.
Compliance-Praxis · Meldepflichten
Meldewege im Ernstfall: Wie sich NIS-2-, DORA- und CRA-Meldepflichten in Fristen und Adressaten unterscheiden
Drei Regelwerke, drei Meldeketten: welche Fristen tatsächlich laufen, wer Adressat ist und wo sich die Pflichten im Vorfall überlagern.
Research · Digital Omnibus
Warum juristische Fachliteratur den Digital Omnibus anders bewertet als die Praxis
Eine Gegenüberstellung der wissenschaftlichen Einordnung mit der betrieblichen Umsetzungsrealität, als Vertiefung zum Digital-Omnibus-Ankerartikel vom 20. Juli.
Compliance-Praxis
DSGVO Auftragsverarbeitung: Die fünf Klauseln, die in den meisten AVV fehlen
Art. 28 DSGVO verlangt mehr, als viele Mustervorlagen abbilden: fünf Regelungspunkte, die in der Prüfpraxis regelmäßig fehlen.
CISM · CISA · AAIA
AAIA, CISA oder CISM zuerst?
Welche Reihenfolge für KI-Auditoren in der EU den meisten Karrieresinn ergibt: NIS-2 schafft Nachfrage nach CISM-Profilen, der EU AI Act nach AAIA-Profilen, CISA bleibt die Basisqualifikation.
Launch · AAIA
AAIA Prüfungsvorbereitung ist da
Aufbau der drei Prüfungsdomänen, Zielgruppe und Abgrenzung zu CISA und CISM: das neue Buch zur AAIA-Zertifizierung im Überblick.
Research · Methodik
Wie wir Compliance-Software bewerten: Die Methodik hinter dem ersten unabhängigen DACH-Marktreport
Bewertungskriterien, Gewichtung und Rating-Skala offengelegt: worauf die Einordnung der Anbieter im Compliance-Software-Report DACH 2026 beruht.
Compliance-Praxis
CRA und ISO 42001: Wenn ein Produkt sowohl vernetzt als auch KI-gestützt ist
Was passiert, wenn ein einzelnes Produkt gleichzeitig unter den Cyber Resilience Act und die KI-Managementnorm fällt.
AAIA-Vorlauf
AAIA-Prüfungsaufbau: Welche Domänen erwarten KI-Auditoren von Ihnen?
Ein erster Überblick vor dem Launch: wie sich die drei Prüfungsdomänen der neuen ISACA-Zertifizierung zueinander verhalten.
Compliance-Praxis
NIS-2-Lieferkettensicherheit: Was Zulieferer nachweisen müssen
Warum die Sicherheit der eigenen Lieferkette zunehmend so genau geprüft wird wie die eigene IT-Infrastruktur.
CISM/CISA Vertiefung
CISA Domäne 5: Schutz von Informationsbeständen — die unterschätzte Prüfungsdomäne
Warum diese Domäne in der Prüfungsvorbereitung oft zu kurz kommt, obwohl sie im Alltag ständig gefragt ist.
AAIA · Domäne 3
AAIA Domäne 3: Prüfmethoden und Tools für KI-Audits
Was Domäne 3 von KI-Auditoren verlangt: Datenzugriff, Bias-Tests und Nachweisdokumentation im Überblick.
Compliance-Praxis
DORA und der Cyber Resilience Act: Wo sich Hersteller- und Finanzpflichten überschneiden
Wer Software an Finanzunternehmen liefert, unterliegt oft beiden Regelwerken gleichzeitig — eine Abgrenzung der Zuständigkeiten.
Entscheider
Drei Berater oder ein System: Was die Doppelpflicht aus DSGVO und NIS-2 wirklich kostet
Ein Kostenvergleich für die Geschäftsführung: getrennte Beratungsmandate gegen eine gemeinsame Datenbasis für beide Pflichten.
Anleitung · Cross-Framework
Ein Asset-Inventar aufbauen, das DSGVO-, NIS-2-, EU-AI-Act- und ISO-27001-Audits gleichzeitig besteht
Schritt-für-Schritt-Anleitung: welche Felder ins Inventar gehören und wie ein Asset gleichzeitig vier Frameworks bedient.
CISA · Domäne 4
CISA Domäne 4: Was Prüfer über IT-Betrieb und Resilienz wirklich wissen wollen
Die mit 26 Prozent größte CISA-Domäne im Detail: IT-Betrieb, Business Impact Analysis und der Unterschied zwischen BCP und DRP.
Regulierung · Digital Omnibus
Digital Omnibus: Was der Stand vom 21. Juli 2026 für Ihr Cross-Framework-Inventar bedeutet
Der KI-Omnibus ist beschlossen, der Datenomnibus noch offen. Was das konkret für DSGVO, NIS-2 und den EU AI Act bedeutet – und warum jetzt niemand am Asset-Inventar zurückbauen sollte.
Compliance Insight · DSGVO · NIS-2
Compliance Insight: Wo DSGVO und NIS-2 in der Praxis am häufigsten scheitern
Unsere Analyse aktueller Behördenberichte, wissenschaftlicher Studien und Audit-Erfahrungen zeigt fünf wiederkehrende Schwachstellen – und warum ihre Ursache fast immer in getrennten Compliance-Daten liegt.
CSA · EU-Cybersicherheit
Cyber Solidarity Act: Was kommt nach NIS-2?
CSA: Cyber-Hubs, koordinierte Vorfallreaktion und gegenseitige Unterstützung. Wer betroffen ist, wann es greift – und was BAM CSA-Objekte konkret leisten.
CISA · CISM · Karriere
CISA vs. CISM: Welche Zertifizierung passt zu welchem Karriereweg?
Direkter Vergleich: Zielgruppe, Prüfungsformat und Stellenwert der beiden ISACA-Zertifizierungen – und welcher Weg zu welcher Karriere passt.
NIS-2 · Governance
Compliance als Führungsaufgabe: Warum sich Verantwortung nicht mehr delegieren lässt
NIS-2 und der EU AI Act schaffen eine neue Kategorie nicht delegierbarer Führungsentscheidungen. Warum fragmentierte Register das eigentliche Risiko sind – und was eine Single Source of Truth konkret ändert.
Compliance-Software · Anbietervergleich
BAM vs. heyData vs. Kertos: Compliance-Software im Vergleich
Automatisierung, KI-gestützt, audit-bereit in wenigen Wochen – die Werbeversprechen ähneln sich. Der Unterschied zeigt sich erst bei Preisen, Architektur und Anbieterstabilität für NIS-2, DORA und den EU AI Act.
CRA · Hersteller
CRA: Was Hersteller vernetzter Produkte ab 2027 nachweisen müssen
Cyber Resilience Act operativ: SBOM, Schwachstellenmanagement, Meldepflichten und CE-Kennzeichnung – mit BAM CRA-Objekten für die Umsetzung.
CISA · Prüfungsvorbereitung
CISA Domäne 2: Informationssicherheits-Governance – was Prüfer wirklich fragen
Governance-Frameworks, COBIT und typische CISA-Fragen zu Domäne 2 – Vorlauf-Artikel vor dem CISA-Buch-Launch.
DORA · ICT-Risikomanagement
DORA: Was Finanzunternehmen von anderen lernen können – und was alle von DORA lernen sollten
DORA als Blaupause für sektorübergreifende Resilienz: Fünf Säulen, TLPT, Drittanbieterregister – und warum das über den Finanzsektor hinaus relevant ist.
EU AI Act · Hochrisiko-Klassifizierung
EU AI Act: Wie erkenne ich, ob mein KI-System als Hochrisiko gilt?
Anhang III als Entscheidungsbaum – mit Praxisbeispielen zu Bewerbungsscreening und Kreditscoring sowie BAM-Objekten für die dokumentierte Einstufung.
CISM · Prüfungsvorbereitung
CISM-Buch: Was die ersten Leser zurückgemeldet haben
Das erste deutschsprachige CISM-Buch – Leserfeedback nach vier Wochen, der häufigste Denkfehler bei Berufserfahrenen und Zugriff auf alle 800 Prüfungsfragen für Käufer.
NIS-2 · KMU
NIS-2 in der Praxis: Was eine IT-Abteilung mit drei Personen konkret umsetzen muss
Das NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Die zehn Art.-21-Maßnahmen priorisiert nach Aufwand und Wirkung: GAP-Check für KMU ohne dediziertes Sicherheitspersonal.
DORA · Meldepflicht
Was die 4-Stunden-Meldepflicht für IT-Teams konkret bedeutet
Vier Stunden für die Erstmeldung an die BaFin – während der Incident noch läuft. Wer meldet was an wen, welcher Kanal, welcher Inhalt: die DORA-Meldepflicht operativ erklärt.
CISM · Prüfungsvorbereitung
Warum CISM-Kandidaten an Domäne 1 scheitern: die drei häufigsten Denkfehler bei Governance-Fragen
Die meisten erfahrenen Sicherheitsmanager schneiden in Domäne 1 schlechter ab als Berufseinsteiger. Nicht weil sie weniger wissen, sondern weil sie mit dem falschen Denkmodell antworten.
Policy-as-Code · DevSecOps
Was Infrastructure-as-Code für DevOps war, wird Executable Compliance für GRC
Infrastructure-as-Code hat gezeigt, was passiert, wenn man manuell verwaltete Systeme durch versionierbare Artefakte ersetzt. Executable Compliance macht dasselbe für GRC – mit versionierbaren, testbaren und deployabaren Compliance-Artefakten.
Open Source
BAM Core ist jetzt Open Source
Das Datenmodell hinter Executable Compliance liegt offen auf GitHub – 58 Objekte fuer sechs EU-Frameworks, AGPLv3 + CC BY-SA 4.0.
Architektur
Compliance ist kein Dokumentationsproblem
Warum traditionelle Compliance-Ansätze an ihren eigenen Grundannahmen scheitern – und was der Unterschied zwischen einem Dokument und einem ausführbaren System ist.
Stille Revolutionen · Band 2
Bevor es ChatGPT gab: Die vergessene Geschichte des Transformers
2017 luden acht Forscher ein Paper hoch, dessen Name auf einem Insider-Scherz beruhte. Heute steckt es in jedem großen KI-Modell.
Stille Revolutionen · Band 8
Warum neuronale Netze 30 Jahre als Sackgasse galten
Zwei "AI Winters", ein Nobelpreis 2024 – und ein bis heute andauernder Streit darüber, wem die Geschichte gehört.
Stille Revolutionen · Band 1
Die vierte Grundkomponente
1971 sagte Leon Chua ein Bauteil voraus, das es noch nicht gab. 2008 fand HP es zufällig – beim Testen von etwas ganz anderem. Die Geschichte des Memristors.
NIS-2 · ISO 27001
Warum 70 % der NIS-2-Maßnahmen schon in ISO 27001 stecken
Acht von zehn NIS-2-Maßnahmen haben ein direktes Pendant in ISO 27001 Annex A. Die verbleibenden 30 % sind klein – aber genau dort liegt das höchste Bußgeldrisiko.
CISM · ISACA
Die vier Säulen des CISM
Governance wiegt in der Prüfung am wenigsten – und trägt trotzdem alles andere. Wie die vier CISM-Domänen zusammenhängen und warum die Reihenfolge zählt.