Schwerpunkt
Nachweisbarkeit: Was Ihr System im Ernstfall belegen kann
Prüfer, Großkunden und Aufsichtsbehörden fragen nicht, ob Sie sorgfältig arbeiten. Sie fragen nach Belegen: Wer hat wann was geändert, wie sind Mandanten getrennt, was ist rekonstruierbar.
Nachweisbarkeit ist keine Compliance-Disziplin, die man am Ende draufsetzt. Sie entsteht in der Architektur — oder sie entsteht nicht. Ein Audit-Trail, der nachträglich aus Log-Dateien zusammengesucht wird, hält der ersten kritischen Rückfrage selten stand.
Auf dieser Seite sammeln wir, was zu diesem Thema gehört: die regulatorischen Auslöser (NIS2, Cyber Resilience Act, EU AI Act), ein Selbsttest für den eigenen Stand und die Beiträge, in denen wir konkrete Muster und Praxisfälle beschreiben.
Einstiege
NIS2-konforme Software
Welche Belege im Audit tatsächlich verlangt werden — und was davon Architekturarbeit ist.
AnsehenEU AI Act
Protokoll- und Transparenzpflichten, die das System selbst erfüllen muss.
AnsehenCyber Resilience Act
Meldepflichten ab 11.9.2026 — und was das System dafür können muss.
AnsehenNachweis-Check
Zehn Fragen, in fünf Minuten beantwortet: Wo fehlen heute Belege?
AnsehenRegulierung ist kein Projekt, sondern Dauerzustand
Die Pflichten kommen gestaffelt — und sie kommen wieder. Wer Nachweisfähigkeit einmal in die Architektur baut, beantwortet jede neue Stufe mit demselben Fundament, statt pro Richtlinie neu zu reagieren.
- NIS2seit Oktober 2024Laufende Nachweis- und Meldepflichten; die Geschäftsleitung haftet persönlich für die Steuerung.
- DORAseit Jänner 2025Finanzsektor: Nachweise zu IKT-Risiko und Vorfällen. Für Softwarehäuser indirekt relevant — über Bankkunden in der Lieferkette.
- EU AI Actgestaffelt 2025–2027Protokoll- und Transparenzpflichten für Hochrisikosysteme; Aufzeichnungen über den Lebenszyklus.
- CRA: Meldepflichtenab 11. September 2026Aktiv ausgenutzte Schwachstellen und schwere Vorfälle binnen 24 bis 72 Stunden melden.
- CRA: vollständigab 11. Dezember 2027Security by Design, technische Dokumentation und Konformitätsbewertung für Produkte mit digitalen Elementen.
Der gemeinsame Nenner aller Stufen: Belege müssen aus dem System kommen — datiert, unveränderlich, ohne Entwicklerhilfe abfragbar.
Wann das relevant wird
- Ein Enterprise-Deal hängt an einem Security-Fragebogen, den Sie nicht sauber beantworten können.
- Ein Audit hat eine Feststellung zur Nachvollziehbarkeit hinterlassen — mit Frist.
- NIS2 betrifft Sie direkt oder über die Lieferkette, und die Software soll den Nachweis tragen.
- Ihr Produkt fällt unter den Cyber Resilience Act — und die Meldefristen ab September 2026 sind heute nicht abgedeckt.
- KI-Funktionen sind im Produkt, und die Protokollpflichten treffen jetzt die Architektur.
- Nach einem Vorfall konnte niemand rekonstruieren, was tatsächlich passiert ist.
Beiträge zum Thema
Muster, Entscheidungshilfen und Praxisfälle — laufend ergänzt.
Entwicklung & DeliveryAus der Praxis
Revisionssicheres Logging: Warum Datenbank-Logs im Audit nicht zählen
Fast jedes System protokolliert. Trotzdem scheitern Prüfungen an der Frage, wer wann was geändert hat. Der Unterschied zwischen Log und Nachweis — und was ihn ausmacht.
Entwicklung & DeliveryFundament
Mandantentrennung, die den Security-Fragebogen übersteht
Ein vergessener Filter ist ein meldepflichtiger Vorfall. Warum Isolation im Anwendungscode kein Nachweis ist — und welche Modelle Enterprise-Kunden akzeptieren.
Entwicklung & DeliveryAus der Praxis
Wer hat die Kreditprüfung übersprungen? Auftragsabwicklung über fünf Systeme
Eine Falschlieferung, fünf Systeme, drei Stunden Suche — und eine simple neue Freigaberegel kostet acht Wochen. Ein Praxisbeispiel aus dem B2B-Handel, wie ein Ereignisfundament Nachvollziehbarkeit und Änderbarkeit gleichzeitig löst.
Entwicklung & DeliveryAus der Praxis
Wer hat was zugesagt? Wenn niemand rekonstruieren kann, was passiert ist
Ein Kunde fragt nach einer Zusage, die vor Monaten gemacht wurde. Fünf Leute suchen zweieinhalb Stunden in sechs Werkzeugen — und das Ergebnis widerspricht sich. Ein Praxisbeispiel, wie eine einzige Quelle der Wahrheit diese Frage beantwortbar macht.
Entwicklung & DeliveryAus der Praxis
Multi-Tenancy mit Keycloak: Was im Token gehört und was nicht
Mandantenfähigkeit scheitert selten am Login, sondern am Modell dahinter. Ein praxisnaher Leitfaden zu Realms, Rollen, Token-Design und Migration bestehender Nutzer.
Entwicklung & DeliveryAus der Praxis
Production Readiness in der AI Factory: Was man prüft, wenn Agenten den Code schreiben
Requirements sind agentenlesbar, das arc42 gepflegt, die Pipeline grün. Die alte Frage „läuft es?" ist trivial geworden. Die neue lautet: Woran erkennen wir, dass eine Änderung stimmt, wenn niemand mehr jede Zeile gelesen hat?
Entwicklung & DeliveryAus der Praxis
Event Sourcing ohne Angst: wann es sich lohnt und wann nicht
Event Sourcing wird oft als Risiko wahrgenommen. In Wahrheit ist es ein Werkzeug mit einem sehr spezifischen Einsatzgebiet: dort, wo die Historie der Daten wichtiger ist als ihr aktueller Zustand.
Personal & KulturNotiz
Zwölf Rollen werden drei: was Gartners Teamzuschnitt für die Nachweisbarkeit bedeutet
Gartner erwartet kleinere Engineering-Teams. Die Rollenkarte dahinter streicht vor allem Übersetzungsrollen — und damit die Stellen, an denen Entscheidungen bisher nebenbei dokumentiert wurden.
Nicht sicher, wo Belege fehlen?
Zehn Fragen aus echten Audits und Security-Fragebögen. Ohne Anmeldung, ohne Datenspeicherung, Auswertung direkt im Browser.