Formulieren Sie den folgenden Sachverhalt in einem Satz, ohne ihn zu umschreiben: die Anforderung, die NIS-2 Art. 21 Abs. 2 Buchst. d und DORA Art. 28 gleichzeitig abdeckt. Es geht nicht. Sie können die Fundstellen nennen, aber nicht die Sache, die beide meinen.

Genau diese Lücke schließt Compliance Trace. Für Schwachstellen gibt es CVE, für Angriffstechniken ATT&CK. Für regulatorische Anforderungen gab es bislang keinen etablierten Bezeichner, und das hat Folgen, die weit über Ästhetik hinausgehen.

Executive Summary

WasVerzeichnis stabiler, dauerhaft auflösbarer Bezeichner für regulatorische Anforderungen
Umfang59 Bezeichner über CRA, DORA, DSGVO, EU AI Act, NIS-2 und framework­übergreifende Objekte
LizenzCC BY-SA 4.0, Datenmodell offen einsehbar
Erster SchrittEine Anforderung im eigenen Bericht testweise mit ihrer BAM-ID zitieren

1. Das Problem: Jeder beschreibt dieselbe Pflicht anders

Eine Zugriffskontrolle nach dem Minimalprinzip ist eine Anforderung. Sie taucht in NIS-2 auf, in DORA, im Cyber Resilience Act und im EU AI Act. In vier Prüfberichten steht sie unter vier Bezeichnungen, in drei Ausschreibungen unter drei weiteren. Wer zwei Dokumente vergleicht, muss zuerst herausfinden, ob von derselben Sache die Rede ist.

In der Sicherheitswelt wäre das undenkbar. Niemand beschreibt eine Schwachstelle in Prosa, wenn es eine CVE-Nummer gibt. Der Bezeichner erspart die Beschreibung und macht Aussagen vergleichbar. Für Compliance-Anforderungen fehlte dieses Werkzeug schlicht.

2. Was eine BAM-ID ist

Jede Anforderung des Brain-Media Audit Model trägt eine eigene ID, die stabil bleibt, nicht wiederverwendet wird und dauerhaft unter einer festen Adresse erreichbar ist. Ein Beispiel:

Zitierweise

BAM:NIS2-023-MELDUNG@2.0
Auflösbar unter bam.brain-media.de/id/NIS2-023-MELDUNG

Regulierungskürzel, Nummer und Slug sind dabei Lesehilfen, keine Zusage. Die Zusage lautet: Wird ein Rechtsakt neu gefasst und die Fundstelle umnummeriert, bleibt die ID unverändert. Die aktuelle Fundstelle steht im Objekt. Genau das unterscheidet einen Bezeichner von einer Abkürzung.

3. Was das Verzeichnis abdeckt

Der aktuelle Stand umfasst 59 Bezeichner, verteilt auf fünf Rechtsakte und eine übergreifende Gruppe: 15 Objekte zu NIS-2, 13 zur DSGVO, 9 zu DORA, 8 zum EU AI Act, 7 zum Cyber Resilience Act und 7 CROSS-Objekte.

Die letzte Gruppe ist die interessanteste. CROSS-IAM-001 etwa steht für eine Least-Privilege-Zugriffskontrolle, die NIS-2, DORA, CRA und den EU AI Act gleichzeitig abdeckt. Das ist keine Zusammenfassung, sondern der Bezeichner für die Sache, die sich vorher nicht benennen ließ, ohne vier Fundstellen aufzuzählen.

4. Wofür sich das im Alltag nutzen lässt

  • In Prüfberichten auf eine konkrete Anforderung verweisen, statt sie zu umschreiben
  • In Ausschreibungen den Abdeckungsumfang eines Produkts eindeutig benennen
  • In Lieferantenfragebögen Antworten vergleichbar machen, weil alle auf dieselbe ID antworten
  • Interne Nachweise an einer ID aufhängen, die eine Gesetzesnovelle überlebt
  • In Werkzeugen und Skripten maschinell auf eine Anforderung referenzieren

5. Was Compliance Trace nicht ist

Es ist kein Ersatz für die Rechtsakte und keine Rechtsberatung. Eine BAM-ID benennt eine Anforderung, sie legt sie nicht verbindlich aus. Und es ist kein geschlossenes System: Das Datenmodell steht unter CC BY-SA 4.0 und ist vollständig einsehbar. Wer es nur als Sprache nutzen will, ohne irgendein Produkt einzusetzen, kann das tun. Das ist Absicht.

6. Das Zusammenspiel mit Compliance Delta

Ein stabiler Bezeichner entfaltet seinen Nutzen erst, wenn sich etwas ändert. Genau dort setzt Compliance Delta an: Der Änderungsdienst ordnet jede regulatorische Änderung den betroffenen BAM-IDs zu. In der ersten Ausgabe war das die Verschiebung der Hochrisiko-Fristen im EU AI Act, die keine einzige Anforderung inhaltlich berührt hat, wohl aber deren Termine.

Ohne Bezeichner wäre diese Aussage eine Textmeldung. Mit Bezeichner ist sie eine Zuordnung, die sich in ein eigenes System übernehmen lässt.

7. Warum das offen bleibt

Ein Bezeichnersystem, das einem einzelnen Anbieter gehört und nur in dessen Werkzeug funktioniert, ist kein Bezeichnersystem, sondern eine Produktfunktion. CVE ist nützlich, weil es alle verwenden können. Dieselbe Logik gilt hier: Die Regeln für Aufbau, Stabilität und Zitierweise liegen offen im Repository, das Datenmodell unter freier Lizenz.

8. Unsere Empfehlung

Nehmen Sie den nächsten Prüfbericht, den Sie ohnehin schreiben, und zitieren Sie eine einzige Anforderung mit ihrer BAM-ID statt mit einer Umschreibung. Der Test dauert Minuten und zeigt sofort, ob die Adressierung für Ihren Anwendungsfall trägt. Wenn eine Anforderung fehlt, die Sie brauchen: Das Modell ist offen, und Rückmeldungen dazu sind ausdrücklich erwünscht.

Häufige Fragen zu Compliance Trace

Bleibt eine BAM-ID gültig, wenn das Gesetz geändert wird?

Ja. Das ist der Kern der Zusage. Die ID bleibt stabil, die Fundstelle im Objekt wird aktualisiert. Wiederverwendet wird eine ID nicht.

Kostet die Nutzung etwas?

Nein. Das Verzeichnis ist öffentlich, das Datenmodell steht unter CC BY-SA 4.0.

Brauche ich ein Brain-Media-Produkt, um BAM-IDs zu verwenden?

Nein. Die IDs lassen sich in jedem Bericht, jeder Ausschreibung und jedem Werkzeug zitieren, unabhängig davon, womit Sie sonst arbeiten.

Quellen