Evidenz für das Risikoregister, bevor der Vorfall eintritt.
CISOs brauchen für Risikoregister, Drittanbieter-Bewertung und Vorstandsreporting eine externe, unabhängig nachvollziehbare Evidenzlage — nicht erst nach einem Incident, sondern fortlaufend. CERTavia liefert diese Evidenz nach festen Prüfregeln, kryptografisch signiert; ein Scan dauert im Median rund 10 Sekunden.
Infrastruktur-Lücken sind Risikoregister-Einträge
Eine unvollständige DNS-Konfiguration, fehlende KI-Governance-Deklarationen oder inkonsistente Crawler-Direktiven sind keine rein technischen Fußnoten — sie sind Risikopositionen, die in Risikoregister, Drittanbieter-Bewertung und NIS2-Dokumentation gehören. CISOs benötigen eine Methode, diese Lücken systematisch, wiederholbar und ohne manuellen Auditaufwand zu erfassen.
CERTavia liefert dafür ein regelbasiertes Prüfverfahren über 80+ Parameter in 6 Clustern, mit binärem Ergebnis — SOVP-CERTIFIED oder SOVP-FAILED — und kryptografischer Signatur als Nachweisanker.
Wie groß diese Lücken im Finanzsektor sind, zeigt die Benchmark-Liste BaFin50: 50 Domains beaufsichtigter Institute, gemessen am 11.06.2026, Ø-CES 30,1, Median 32,0. Keine Domain erreicht die CERTIFIED-Schwelle von CES 75; der beste Wert (ubs.com, 47,8) liegt 27,2 Punkte darunter. Die Infrastruktur-Basis (Cluster A) liegt im Mittel bei 65,2, Cluster F (AI Governance) dagegen bei 90 % der Domains bei 0 (Benchmark-Übersicht).
Wo der Nachweis konkret eingesetzt wird
Risikoregister-Evidenz
Jeder Scan dokumentiert den Infrastrukturzustand zu einem Zeitpunkt — geeignet als objektiver, externer Beleg für Risikoregister-Einträge zu Infrastruktur- und Lieferketten-Risiken, statt auf Selbstauskunft der IT zu vertrauen.
Drittanbieter- und Vendor-Risiko
Für Vendor-Risikobewertungen lässt sich die externe Infrastruktur von Lieferanten und Dienstleistern unabhängig prüfen — ohne deren Mitwirkung, da ausschließlich öffentlich beobachtbare Parameter geprüft werden. Zum Vergleich aus dem Benchmark: In der Liste AUTOMOTIVE50 zeigen 78 % der Domains kein einziges AI-Governance-Signal.
Vorstandsreporting
Der PDF Audit Report mit Executive Summary und Cluster-Bewertung ist direkt für das Reporting an Vorstand und Aufsichtsrat verwendbar — ein belastbares Dokument statt einer internen Selbsteinschätzung.
Incident-Readiness und Beweissicherung
Re-Scans im Annual-Subscription-Zyklus erzeugen eine fortlaufende, kryptografisch signierte Nachweiskette des Infrastrukturzustands — eine Evidenzspur, die bereits vor einem Sicherheitsvorfall existiert, statt erst danach rekonstruiert zu werden.
Risikomanagementmaßnahmen technisch belegen
Art. 21 NIS2 verlangt von Betreibern wesentlicher und wichtiger Einrichtungen technische und organisatorische Risikomanagementmaßnahmen — unter anderem zu Netz- und Informationssicherheit, Lieferkettensicherheit und Krisenmanagement. CERTavia liefert den infrastrukturellen Baustein für den Nachweis dieser Maßnahmen: einen nach festen Prüfregeln erstellten, signierten Befund der technischen Infrastruktur-Integrität.
Die regulatorischen Schnittmengen zwischen NIS2, DORA und dem EU AI Act sind im Detail auf der Regulatorik-Seite beschrieben.
SOVP-Cluster → ISO 27001
Der Scan liefert externe technische Belege. Wo ein thematischer Bezug zu ISO 27001:2022 Annex A besteht, nennen wir ihn. Ein Control-Nachweis ist das nicht; die Bewertung bleibt beim ISMS-Audit.
| SOVP-Cluster | Geprüfte Parameter (Auswahl) | Thematischer Bezug ISO 27001:2022 Annex A (kein Control-Nachweis) |
|---|---|---|
| A — Digitale Infrastruktur | DNSSEC, TLS-Zertifikatskette, CAA-Record, HSTS, SPF, DKIM, DMARC | A.8.20 Netzsicherheit, A.8.24 Kryptografie, A.5.14 Informationsübertragung |
| B — Maschinenlesbarkeit | llms.txt / llms-full.txt, JSON-LD SoftwareApplication, API-Catalog (Link-Header), sitemap.xml-Konsistenz, agents.md | kein direkter Annex-A-Bezug |
| C — Rechtliche Compliance | Schema.org Organization-/Person-Markup, Canonical-Konsistenz, Meta-Robots & Sprachauszeichnung, interne Link-Integrität | kein direkter Annex-A-Bezug |
| D — Transparenz & Consent | robots.txt-Zugriffssteuerung für KI-Crawler (GPTBot, ClaudeBot, PerplexityBot, Google-Extended, CCBot), Consent-Granularität, -Konsistenz und -Coverage | A.5.34 Datenschutz und Schutz personenbezogener Daten (für die Consent-Prüfungen); die robots.txt-Steuerung hat keinen Annex-A-Bezug |
| E — Agentic Readiness | MCP-Endpunkt-Erreichbarkeit, API-Catalog-Signal, agents.md-Vorhandensein, llms.txt-Basissignal für Agentenzugriff | kein direkter Annex-A-Bezug |
| F — AI Governance Hard Gate ✓/✗ | /.well-known/ai-disclosure.json mit sechs Kernprüfungen (systemDisclosure, humanOversight, annexIII, dataGovernance, technicalDoc, incidentReporting); Bonusprüfungen: AI-Policy-Seite, KI-Abschnitt in der Datenschutzerklärung, Training-Opt-out, KI-Bot-Gruppen in robots.txt, Deepfake-Disclaimer, KI-Kontaktstelle | A.5.31 Rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen, A.5.36 Einhaltung von Richtlinien, Regeln und Normen |
Hinweis zur Einordnung: Die Tabelle nennt thematische Bezüge, keine Abdeckung von Controls. Ob ein Control wirksam umgesetzt ist, bewertet das ISMS-Audit. Das Pro-Paket enthält einen strukturierten JSON-Output, mit dem sich die Befunde in GRC-Systeme (z. B. ISMS.online, Vanta, Drata) übernehmen lassen.
80+ Parameter, gelesen als Risikolage
Dieselben deterministischen Parameter, die IT-Leiter als Implementierungsdetails betrachten, lassen sich aus CISO-Perspektive als Risikoindikatoren lesen.
DNS und kryptografische Grundintegrität
DNSSEC, CAA-Records, TLS-Zertifikatskette, HTTP-Sicherheitsheader, SPF und DKIM. Lücken hier sind klassische Angriffsflächen — Spoofing, Zertifikatsmissbrauch, fehlende Transport-Sicherheit.
Datenschutz & Consent
Fehlende oder lückenhafte Zugriffsregeln für KI-Crawler sowie fehlende Consent-Granularität sind ein Risiko für unkontrollierten Datenabfluss an KI-Systeme.
Maschinenlesbare Identität
Fehlende oder inkonsistente Authorship- und Entitätsdeklarationen erhöhen das Risiko von Identitätsverwechslung und Markenmissbrauch gegenüber automatisierten Systemen.
AI Governance Hard Gate
AI Policy URL, Deepfake-Disclaimer, AI-Training-Opt-Out-Status und Kontaktstelle für KI-Anfragen. Lücken hier sind Reputations- und Compliance-Risiken mit Bezug zur Art.-50-Dokumentation (Zuordnung je Absatz im Glossar); Art. 50 Abs. 3 prüft der Scan nicht.
Hinweis zur Parameterbasis: CERTavia unterscheidet zwischen regulatorisch verankerten Parametern (EU AI Act Art. 50, DORA, NIS2) und SOVP-Governance-Parametern. Der Report weist beide Kategorien separat aus — mit Bezug auf den jeweiligen regulatorischen Kontext.
Preise für CISOs
Vollständiger JSON- und PDF-Output, Sovereign Vault ohne automatisches Ablaufdatum, maschinenlesbare Verifikations-URL, API-Output. Geeignet als Risikoregister-Beleg und für Drittanbieter-Bewertungen.
Quartalsweise Re-Scans, Jahresbericht, Änderungsbenachrichtigung, bis 25 Domains. Geeignet für laufendes Risiko-Monitoring über das eigene Portfolio und kritische Drittanbieter.
Unbegrenzte Domains, monatliche Re-Scans, SLA 99,9 %, Konsolidierte Infrastruktur-Evidenz mit Art.-50-Bezug und NIS2-/DORA-Zuordnung, vollständiger API-Zugang. Geeignet für portfolioweites Risiko-Monitoring mit SIEM-Integration.
Bei Annual Subscription und Enterprise wird automatisch Zugang zum Kundenportal freigeschaltet (Login per E-Mail-Link, kein Konto nötig); bei Pro ist Kundenportal-Zugang auf Anfrage möglich.
Weiterführende Seiten
Prüfprozess, Validierungsverfahren und technische Deliverables erklärt.
Angebote und Preise →Pro, Annual Subscription und Enterprise im Überblick.
Referenzen →Verifizierte Scan-Ergebnisse aus der Praxis — kryptografisch signiert und über den Sovereign Vault prüfbar.
Whitepaper: Machine-Readable Compliance →Warum EU AI Act, DORA und NIS2 neue Nachweispflichten schaffen — und was maschinenlesbare, kryptografisch signierte Infrastruktur-Nachweise dafür für das ISMS bedeuten.
Whitepaper: KI-Agenten und Vertrauen →Wie autonome KI-Systeme Infrastruktur-Vertrauen maschinell prüfen — und welche Rolle deterministische Verifikation im Agentic Web spielt.
Erster Befund für das Risikoregister
Der kostenlose Scan zeigt in Sekunden Verdict, CES und alle sechs Cluster mit sämtlichen Einzelparametern und Handlungsempfehlungen. PDF-Report, Signatur und Vault-Eintrag gibt es ab dem Basic-Paket.
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.