EU AI Act Readiness, NIS2 und ISO 42001 in einem Governance-System.
Vorgehen ansehenGovernance-Layer für den DACH-Mittelstand
Compliance Hub verbindet KI-Register, Controls, Evidenzen und Board-Reporting in einer mandantenfähigen Plattform für Industrie, Mittelstand und Beratungen im DACH-Raum.
Map once, comply many: ein Control, mehrere Nachweise — über EU AI Act, ISO 42001, ISO 27001/27701, NIS2 und DSGVO.
Board Readiness
Readiness
82%
+6 ggü. Q2
KI-Systeme
27
4 Hochrisiko
Kritisch offen
3
Owner belegt
Evidence
91%
gültiger Nachweis
NIS2 High+
5
Art. 21 Register
Kontrollstatus
142 aktive Controls
EU AI Act: Review in 14 Tagen
Review Risikoklassifizierung AI-014, AI-021
Offene Maßnahmen
7 fällig bis 30.09.
Technische Dokumentation Bewerber-Vorauswahl vervollständigen
30.09.2026
M-118 · R. Keller · AI Owner
EU AI ActVerfahren zur menschlichen Aufsicht Linie 3 freigeben
15.09.2026
M-121 · T. Weiß · Process Owner
EU AI ActMFA für OT-Fernwartung ausrollen
30.09.2026
M-097 · M. Brandt · CISO
NIS2DSFA Bonitätsprüfung aktualisieren
12.09.2026
M-103 · S. Hoffmann · Datenschutzbeauftragte
DSGVOAnwendbar ab
08/2026
Die Pflichten für Hochrisiko-KI-Systeme nach EU AI Act greifen gestaffelt; der breite Anwendungszeitpunkt liegt im August 2026.
Verordnung (EU) 2024/1689, Art. 113
Regelwerke im Zugriff
5
EU AI Act, ISO/IEC 42001, ISO/IEC 27001, NIS2 und DSGVO greifen auf dieselben Controls und Nachweise zu.
Abgedeckte Regelwerke im Kontrollmodell der Plattform
Leitungspflicht
persönlich
NIS2 nimmt Leitungsorgane in die Billigungs- und Überwachungspflicht für Risikomanagementmaßnahmen.
Richtlinie (EU) 2022/2555, Art. 20
Ein Kontrollmodell für mehrere Normen
Controls, Verantwortlichkeiten und Nachweise werden einmal gepflegt und über EU AI Act, ISO 42001, ISO 27001, NIS2 und DSGVO wiederverwendet.
Auditfähige Evidenz statt Dokumentensuche
Jeder Nachweis trägt Herkunft, Version, Owner und Review-Zyklus. Der Prüfpfad entsteht im laufenden Betrieb, nicht kurz vor dem Termin.
Board-Status in Minuten statt Projekt-Status-Meetings
Readiness, kritische Findings, Fristen und Entscheidungsbedarf liegen jederzeit in board-tauglicher Sprache vor.
Ausgangslage
Die Pflichten sind bekannt. Was fehlt, ist der durchgehende Weg von der Erhebung über den Nachweis bis zur Entscheidung — und der Beleg, dass er eingehalten wurde.
Vorher
Fünf Werkzeuge, vier Übergaben — und kein gemeinsamer Stand, auf den sich die Geschäftsleitung berufen kann.
01
Excel-Listen
Systeme, Risiken und Controls in getrennten Dateien
02
E-Mail-Abstimmung
Zuständigkeit und Freigabe im Postfach
03
Berater-Workstreams
Je Regelwerk ein eigenes Projekt und Format
04
SharePoint-Ordner
Nachweise ohne Versions- und Review-Bezug
05
Board-Präsentation
Manuell zusammengestellt, Stand vom Vortag
Nachher
Ein durchgehender Ablauf: Was einmal erfasst ist, trägt Mapping, Nachweis, Maßnahme und Bericht.
01
Inventar
KI-Systeme, Assets, Anbieter und Prozesse mit Owner
02
Control Mapping
Ein Control, mehrere Regelwerke — versioniert
03
Evidence
Nachweis mit Herkunft, Version und Review-Zyklus
04
Risiko & Maßnahmen
Bewertet, priorisiert, mit Frist und Verantwortung
05
Board Report
Lage, Entscheidungsbedarf und Fristen auf Abruf
Produktablauf
Vier Schritte, die aufeinander aufbauen. Jeder Schritt erzeugt Daten, die der nächste weiterverwendet — statt sie neu zu erheben.
Der Geltungsbereich steht fest — inklusive der Regelwerke, die wirklich greifen.
Geltungsbereich festlegen
Musterindustrie GmbH
Anwendbare Regelwerke
Alle KI-Systeme, Assets, Anbieter und Prozesse liegen mit Owner an einer Stelle.
KI-System- und Use-Case-Register
Musterindustrie GmbH
| ID | System | Risikoklasse | Owner |
|---|---|---|---|
| AI-014 | Bewerber-VorauswahlPersonal | Hochrisiko | R. Keller |
| AI-021 | Bildprüfung Sicherheitsbauteil Linie 3Fertigung | Hochrisiko | T. Weiß |
| AI-009 | Predictive Maintenance PresswerkInstandhaltung | Minimal | T. Weiß |
| AI-027 | Serviceassistent KundenportalVertrieb | Begrenzt | A. Lindner |
27 erfasste Systeme · Import aus CSV, API oder bestehender Systemliste
Aus Anforderungen werden bewertete Lücken mit Priorität und Verantwortung.
Klassifizierung und Gap-Analyse
Musterindustrie GmbH
Nachweise, Prüfpfad und Bericht sind auf Abruf verfügbar statt kurz vor dem Termin.
Evidenz und Board-Output
Musterindustrie GmbH
Audit Trail · Hash 8f3c…a10 · 02.09.2026 14:12 · A. Lindner
Module
Jedes Modul arbeitet auf demselben Inventar und derselben Control-Bibliothek. Was Sie an einer Stelle pflegen, wirkt an allen anderen.
Alle KI-Systeme, Use Cases, Anbieter und Owner an einer Stelle.
Import aus Listen, API oder bestehender Systemdokumentation.
Klassifizierung, Anforderungen, Maßnahmen und Technical-File-Readiness.
Jede Einstufung bleibt mit Begründung und Prüfpfad hinterlegt.
Controls einmal pflegen und über EU AI Act, ISO 42001, ISO 27001, DSGVO und NIS2 wiederverwenden.
Änderungen wirken auf alle verbundenen Regelwerke.
Nachweis in 5 Regelwerken
Nachweise, Review-Zyklen und Audit Trail nachvollziehbar verwalten.
Fällige Reviews werden sichtbar, bevor die Prüfung sie findet.
Risiken, Fortschritt und offene Entscheidungen in board-tauglicher Sprache.
Aus dem laufenden Stand erzeugt, nicht aus einer Sonderauswertung.
3 Entscheidungen erforderlich
Mehrere Mandanten, Rollen, Templates und Reports in einer Plattform steuern.
Getrennte Datenräume mit gemeinsamer Methodik.
Control Mapping
Die Risikobeurteilung ist nicht sechs Mal zu führen, sondern einmal — und in sechs Regelwerken referenzierbar. Owner, Evidenz und Review-Zyklus bleiben dabei an einer Stelle.
Control-Bibliothek · Musterindustrie GmbH
6 Zuordnungen aktiv
Control: KI-Risikobeurteilung
Einmal gepflegt. Änderungen an Owner, Nachweis oder Review-Zyklus wirken auf alle verbundenen Regelwerke.
Zuordnungen sind fachliche Arbeitshilfen und ersetzen keine Prüfung im Einzelfall. Illustrative Darstellung mit Beispieldaten.
Lösungen
Ob eigenes Governance-Team im Industriebetrieb oder Mandantenbetreuung in der Kanzlei — das Kontrollmodell bleibt gleich, der Zuschnitt unterscheidet sich.
Für Industrie & Mittelstand
Fertigung, IT und Verwaltung nutzen KI und stehen zugleich unter NIS2- und ISO-Druck. Compliance Hub bringt beides in ein Modell.
NIS2-Risikoregister · Art. 21
7 bewertete Risiken
| Auswirkung | sehr selten | selten | möglich | wahrscheinlich | häufig |
|---|---|---|---|---|---|
| existenzkritisch | – | – | 1 | 1 | – |
| schwerwiegend | – | – | – | 3 | – |
| spürbar | – | 1 | 1 | – | – |
| gering | – | – | – | – | – |
| unwesentlich | – | – | – | – | – |
Höchstbewertete Risiken
Für Kanzleien & Beratungen
Standardisierte Assessments, getrennte Datenräume und Reports, die Ihren Namen tragen — statt jedes Mandat neu aufzusetzen.
Audit Trail · Evidence Engine
append-only
41 Nachweise · Prüfpfad signiert · Hash 8f3c…a10
A. Lindner · Compliance Officer · Export
Control AI-RA-01 · nächster Review 30.11.2026
J. Petrova · AI Risk Officer · Freigabe
Control HO-03 · Review durch Compliance offen
T. Weiß · Process Owner · Review
Wiederverwendung in 4 weiteren Regimen
M. Brandt · CISO · Mapping
Ersetzt v2.0 · Vorversion bleibt referenzierbar
M. Brandt · CISO · Upload
Einträge werden ergänzt, nicht überschrieben. Vorversionen bleiben referenzierbar.
Board Level
Die Geschäftsführung braucht keine Control-Liste, sondern die Antwort auf drei Fragen: Wo stehen wir, was ist kritisch, was muss entschieden werden.
Board Report · Q3 2026
Musterindustrie GmbH
Readiness
82%
High-Risk
4
Evidence
91%
NIS2 High+
5
Framework Coverage
Nächste Review-Termine
Entscheidungen des Gremiums
Kritische offene Maßnahmen
7 bis 30.09. fälligTechnische Dokumentation Bewerber-Vorauswahl vervollständigen
30.09.2026
EU AI Act Art. 11 · R. Keller · AI Owner
Verfahren zur menschlichen Aufsicht Linie 3 freigeben
15.09.2026
EU AI Act Art. 14 · T. Weiß · Process Owner
MFA für OT-Fernwartung ausrollen
30.09.2026
NIS2 Art. 21 Abs. 2 j · M. Brandt · CISO
Der Bericht bereitet den Stand für die Entscheidung auf. Die Bewertung und Freigabe bleibt bei den verantwortlichen Personen.
Board Readiness
Q3 2026
Musterindustrie GmbH
Serienfertigung · 180 Mitarbeitende · 3 Standorte
Abdeckung je Regelwerk
41 Controls · 9 offen
38 Controls · 11 offen
93 Controls · 11 offen
31 Controls · 8 offen
34 Controls · 12 offen
46 Controls · 4 offen
Der Readiness-Score beschreibt den Bearbeitungsstand im System. Er ist kein Prüfergebnis und keine Konformitätsaussage.
Integrationen
Compliance Hub ersetzt kein ERP und kein Ticketsystem. Es verbindet, was dort entsteht, mit den Nachweisen, die verlangt werden.
Integrationsarchitektur
lesend, schreibend oder ereignisgesteuert
Systeme, in denen die Informationen bereits entstehen.
Der gemeinsame Stand, auf den sich alle Regelwerke beziehen.
Was Prüfung, Mandant und Geschäftsleitung tatsächlich brauchen.
Umfang und Richtung jeder Anbindung werden je Installation festgelegt und dokumentiert. Ohne Standardkonnektor bleiben API, Webhook und strukturierter Import der Weg.
Sicherheit & Architektur
Eine Plattform, die Nachweise führt, muss selbst nachweisbar sein. Deshalb sind die Kontrollen benannt und nicht als Versprechen formuliert.
Systemarchitektur
Hosting in der EU · Deutschland-OptionAuslieferung an den Browser mit restriktiven Sicherheitsvorgaben.
Server-gerenderte Ansichten, nonce-basierte Content Security Policy
Anmeldung und Rollen kommen aus dem Verzeichnis des Kunden.
SSO, Gruppen-Mapping, rollenbasierte Zugriffe je Mandant
Fachlogik, Autorisierung und Protokollierung an einer Stelle.
Autorisierung je Anfrage, Mandantenkontext, Eingabevalidierung
Automatisierte Routineschritte ohne Datenabfluss zu Dritten
Trennung der Mandanten wird auf Datenbankebene erzwungen.
Verschlüsselung in Transit und at Rest, gesicherte Backups
Mandantenisolation als Datenbankregel, nicht als Anwendungslogik
Recherche auf freigegebenen Inhalten des jeweiligen Mandanten
Verkettete Prüfsummen über Änderungen und Freigaben
Getrennte Umgebungen
Compliance Briefing
Leitfäden, Mappings und Vorlagen aus der Praxis von Industrie, Kanzleien und Beratungen im DACH-Raum.
Von der Systemerhebung über die Risikoklassifizierung bis zur Technical-File-Struktur: ein Arbeitsweg für Organisationen ohne eigenes AI-Governance-Team.
Für: Compliance, AI Owner, Geschäftsführung
Gegenüberstellung der AIMS-Anforderungen mit den Pflichten der KI-Verordnung, inklusive Hinweisen auf gemeinsam nutzbare Nachweise.
Für: ISMS- und AIMS-Verantwortliche
Die zehn Risikomanagementmaßnahmen nach Art. 21 als prüfbare Fragen für Leitungsorgane, mit Zuständigkeit und typischen Nachweisen.
Für: Geschäftsführung, CISO
Sehen Sie in einer persönlichen Produkt-Tour, wie Sie KI-Governance, NIS2, ISO und Evidenzen in einem mandantenfähigen System zusammenführen.
Kein Verkaufsgespräch ohne Substanz: Wir arbeiten an Ihrem Geltungsbereich und Ihren Systemen. Keine Rechtsberatung.