Was ist der Unterschied zwischen Compliance-Nachweisen und einer Compliance-Zertifizierung?

Eine Zertifizierung oder Bescheinigung wird von einer Partei ausgestellt, die von der Organisation unabhängig und zu deren Bewertung qualifiziert ist. Der Prüfer legt einen Umfang fest, testet Kontrollen über einen Zeitraum gegen einen Standard und stellt einen Bericht oder ein Zertifikat aus. Nur dieser Prüfer kann sagen, dass die Organisation den Standard erfüllt, und nur für diesen Umfang und Zeitraum.

Ein Werkzeuganbieter befindet sich nicht in dieser Position. Ein Überwachungsprodukt kann exzellente Aufzeichnungen erzeugen, aber es kann seine Kunden nicht zertifizieren, und ein Anbieter, der behauptet, Kunden konform zu machen, übertreibt, was er verkauft.

Nachweise sind für einen Prüfer nützlich, wenn sie vollständig, datiert, zuordenbar und manipulationssicher sind. Vollständig bedeutet, dass Fehlschläge ebenso klar erfasst werden wie Erfolge. Datiert bedeutet, dass jede Aufzeichnung einen vertrauenswürdigen Zeitstempel trägt. Zuordenbar bedeutet, dass klar ist, welches System sie erzeugt hat. Manipulationssicher bedeutet, dass jede spätere Änderung erkannt werden kann.

Eine digitale Signatur über eine kanonische Form jeder Aufzeichnung ist eine praktische Möglichkeit, die letzte Anforderung zu erfüllen. Jeder, der den öffentlichen Schlüssel besitzt, kann prüfen, dass die Aufzeichnung genau dem entspricht, was das System signiert hat, ohne dem Dashboard des Anbieters vertrauen zu müssen.

Nachweise müssen außerdem vorhanden sein, wenn sie gebraucht werden. Ein Prüfer betrachtet in der Regel einen Zeitraum und nicht nur einen einzelnen Tag, daher müssen Aufzeichnungen mindestens für diesen Zeitraum aufbewahrt und lückenlos abrufbar sein. Bei Compliance Evidence Pro wird die Aufbewahrungsdauer des Nachweispakets vertraglich festgelegt und nicht durch einen festen Standardwert.

Eine KI-gestützte Zusammenfassung kann Prüfern Zeit sparen, indem sie Vorfälle gruppiert, Trends beschreibt und Folgemaßnahmen vorschlägt. Sie wird zu einem Risiko, wenn sie Zahlen erzeugt oder Schlussfolgerungen als Fakten darstellt. Die sichere Regel lautet, dass jede Zahl aus deterministischen Daten stammt und jede Aussage als Fakt oder als Schlussfolgerung gekennzeichnet ist.

Compliance Evidence Pro ist eine Erweiterung von Monitor OTP/SMS und kann nicht eigenständig genutzt werden. Es verpackt die Durchläufe des Basisprodukts in ein signiertes Nachweismanifest (Ed25519 über kanonisches JSON, mit einer Schlüssel-ID), überprüfbare Hashes, einen monatlichen Bericht, eine Vorfallzusammenfassung, Trends und Ausnahmen. Der Bericht trägt seine Signatur und Schlüssel-ID und kann mit dem öffentlichen Prüfwerkzeug kontrolliert werden.

Eine KI-gestützte Management-Zusammenfassung klassifiziert Vorfälle und schlägt Empfehlungen vor, wobei jede Aussage als FAKT oder SCHLUSSFOLGERUNG gekennzeichnet wird. Die KI erfindet niemals Kennzahlen: Jede Zahl stammt aus den deterministischen Daten des Basisprodukts, und eine Zusammenfassung ohne diese Unterscheidung wird nicht veröffentlicht.

Compliance Evidence Pro ersetzt weder Rechtsberatung noch eine unabhängige Bewertung, und Witnio behauptet nicht, einen Kunden mit irgendeinem Rahmenwerk konform zu machen. Es erzeugt Nachweise, die die eigenen Kontrollen und die Arbeit des Prüfers unterstützen können.