Die technische Grundlage für Ihre Compliance-Dokumentation.
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50 EU AI Act. Compliance-Teams müssen dokumentieren, was davon im eigenen Haus umgesetzt ist. CERTavia liefert den Teil, der sich von außen prüfen lässt: einen signierten, datierten Befund zu Infrastruktur und KI-Governance-Deklarationen der Domain.
Art. 50 braucht einen technischen Nachweis
Art. 50 Regulation (EU) 2024/1689 – Official Journal der Europäischen Union definiert vier Transparenzpflichten gegenüber Personen: Chatbot-Hinweis (Abs. 1) und maschinenlesbare Kennzeichnung synthetischer Inhalte (Abs. 2) für Anbieter, Information bei Emotionserkennung und biometrischer Kategorisierung (Abs. 3) sowie Offenlegung von Deepfakes und KI-Text zu Themen öffentlichen Interesses (Abs. 4) für Betreiber. Die kanonische Zuordnung steht im Glossar. Davon ist nur ein Teil von außen sichtbar: KI-Deklarationen, AI Policy, robots-Direktiven für KI-Crawler, Deepfake-Disclaimer und KI-Kontaktstelle (Cluster F). Art. 50 Abs. 3 ist nicht Gegenstand des Scans. Die Qualität von Trainingsdaten regelt Art. 50 nicht; dafür hat das BSI mit QUAIDAL einen eigenen Kriterienkatalog veröffentlicht.
CERTavia prüft 80+ Parameter nach festen Prüfregeln in 6 Clustern und erzeugt einen PDF Audit Report mit cluster-basierter Bewertung. Das Ergebnis ist binär: SOVP-CERTIFIED oder SOVP-FAILED.
Wo Unternehmen dabei stehen: Cluster F (AI Governance) liegt in allen zehn Branchenlisten im Median bei 0; zwischen 52 % (ECOM100-DE) und 90 % (BaFin50) der Domains zeigen kein einziges AI-Governance-Signal. Weil CERTIFIED Cluster F ≥ 40 voraussetzt, scheitern diese Domains unabhängig von ihrer Infrastruktur. In den vom Juni-Messfehler bei Cluster A nicht betroffenen Listen liegt der Median-CES bei 32,0 (BaFin50) und 30,9 (AUTOMOTIVE50) (Korrekturhinweis).
Strukturierte Dokumentation für jeden Audit-Schritt
PDF Audit Report
Der Report enthält eine cluster-basierte Infrastruktur-Bewertung mit Bezug auf infrastrukturrelevante Aspekte von Art. 50 EU AI Act. Strukturiert in vier strategische Bewertungsbereiche mit Verdict-Labels und konkreten Handlungsfeldern. Bereit für die interne Weitergabe an Vorstand, Rechtsabteilung und externe Auditoren.
Kryptografische Signatur mit Zeitstempel
Jeder Report trägt eine kryptografische Signatur, die Prüfzeitpunkt und Ergebnis manipulationssicher dokumentiert. Revisionen und Re-Scans erzeugen jeweils ein eigenständiges, signiertes Dokument. Die Signaturkette ist lückenlos nachvollziehbar.
Sovereign Vault Link
Der Befund liegt im Sovereign Vault als jederzeit abrufbarer Nachweis. Externe Prüfer und Behörden können ihn über den Link ohne Systemzugang einsehen. Im Pro-Paket ist der Vault-Eintrag ohne automatisches Ablaufdatum gespeichert.
Maschinenlesbare Verifikations-URL
Im Pro-Paket liefert CERTavia einen maschinenlesbaren Endpunkt. Externe Prüfsysteme und Auditoren können den Compliance-Status automatisiert abfragen. Der Endpunkt ist als technischer Baustein für das Conformity Assessment Dossier geeignet.
Quartalsweise Re-Scans
Im Annual-Subscription-Paket führt CERTavia automatisch quartalsweise Re-Scans durch und benachrichtigt bei Infrastruktur-Änderungen. Die Compliance-Dokumentation wird mit jedem Re-Scan um einen neuen verifizierten Zeitpunkt erweitert.
EU AI Act, NIS2 und DORA in einem Verfahren
Compliance-Teams in regulierten Branchen arbeiten häufig mit mehreren überschneidenden Anforderungsrahmen. CERTavia adressiert die technische Infrastruktur-Ebene, die für alle drei Rahmenwerke relevant ist.
EU AI Act Art. 50
Transparenzpflichten gegenüber Personen, seit 2. August 2026 anwendbar; Hochrisiko-Pflichten nach Annex III ab 2. Dezember 2027. CERTavia liefert einen technischen Beleg zu den öffentlich sichtbaren Deklarationen, keine Bewertung der Pflichterfüllung.
NIS2
Sicherheitsanforderungen an kritische Infrastruktur und digitale Dienste. CERTavia prüft die Infrastruktur-Parameter, die mit den NIS2-Anforderungen an Systemintegrität und Resilienz überschneiden.
DORA
Anforderungen an die digitale operationale Resilienz von Finanzunternehmen. Im Enterprise-Paket bündelt CERTavia die Layer-0-Evidenz als konsolidierte Infrastruktur-Evidenz mit Art.-50-Bezug und Zuordnung zu NIS2- und DORA-relevanten Signalen — kein DORA-Reporting im Sinne von Incident Reports oder Register of Information.
Von der ersten Prüfung zur laufenden Dokumentation
Erster Scan
Ein Scan dauert im Median rund 10 Sekunden. Das Ergebnis erscheint als SOVP-CERTIFIED oder SOVP-FAILED mit vollständigem PDF Audit Report, kryptografischer Signatur und Sovereign Vault Link.
Dokumentation für das Dossier
Der PDF Report geht in die Compliance-Dokumentation und, bei Hochrisiko-Systemen, als Anlage in das Conformity Assessment Dossier. Compliance-Teams erhalten ein Dokument, das die technische Infrastruktur-Prüfung als eigenständigen, nachvollziehbaren Verfahrensschritt dokumentiert.
Laufende Überwachung
Infrastruktur verändert sich. Deployments, DNS-Änderungen und neue KI-Governance-Anforderungen beeinflussen den Compliance-Status. Die Annual Subscription sichert die kontinuierliche Dokumentation mit quartalsweisen Re-Scans und Änderungsbenachrichtigungen für bis zu 25 Domains.
Portfolio-Überblick
Für Compliance-Teams mit mehreren Domains steht auf Anfrage ein konsolidierter Portfolio-Report mit Überblick über alle geprüften Domains zur Verfügung.
Vorbereitet für externe Prüfprozesse
CERTavia ist als technischer Baustein für Prüfprozesse durch externe Auditoren und Notified Bodies konzipiert. Für Prüforganisationen wie TÜV, DEKRA und Wirtschaftsprüfungsgesellschaften steht ein API-Zugang für Massenvalidierung auf Anfrage zur Verfügung.
Compliance-Teams, die mit einem externen Auditor zusammenarbeiten, stellen diesem den Sovereign Vault Link zur Verfügung. Der Auditor ruft den verifizierbaren Nachweis direkt ab. Die Infrastruktur-Dokumentation ist damit aus dem internen Compliance-Prozess heraus direkt in den externen Prüfprozess überführbar.
Preise für Compliance-Teams
Vollständiger PDF Audit Report, Sovereign Vault ohne automatisches Ablaufdatum, maschinenlesbare Verifikations-URL, API-Output. Geeignet als technischer Baustein für das Conformity Assessment Dossier.
Quartalsweise Re-Scans, Jahresbericht, Änderungsbenachrichtigung, bis 25 Domains. Geeignet für laufende Compliance-Dokumentation über den gesamten Audit-Zyklus.
Unbegrenzte Domains, monatliche Re-Scans, SLA 99,9 %, Konsolidierte Infrastruktur-Evidenz mit Art.-50-Bezug und NIS2-/DORA-Zuordnung, API-Zugang. Geeignet für Compliance-Abteilungen mit portfolioweitem Prüfbedarf.
Art. 50 immer im Blick
Das Compliance-Barometer liefert alle zwei Wochen aktuelle Auslegungen zu Art. 50, Notified Body Updates und praxisrelevante Dossier-Tipps — direkt für Compliance-Teams.
Weiterführende Seiten
Risikoklassen, Enforcement-Phasen und technische Infrastruktur-Implikationen im Überblick.
Annex III — Hochrisiko-KI im Detail →Hochrisiko-Klassifikation und technische Nachweisanforderungen ausführlich erklärt.
Wie CERTavia funktioniert →Der deterministische Prüfprozess und das Validierungsverfahren erklärt.
Angebote und Preise →Alle Pakete im Überblick, vom Pro-Report bis zur Annual Subscription.
Für Compliance Manager und GRC-Teams →Speziell für die Integration in GRC-Systeme (ServiceNow, MetricStream, Archer) und das Conformity Assessment Dossier.
Für Datenschutzbeauftragte →Welche KI-Governance-Signale der Scan einzeln prüft — als Beleg für Art.-30- und DPIA-Dokumentation.
NIS2 und Hochrisiko-KI: Wer ist betroffen? (Blog) →Zielgruppen, Anwendungsbereich und regulatorischer Rahmen der NIS2-Richtlinie für Hochrisiko-KI-Betreiber.
NIS2 Pflichten und Umsetzung (Blog) →4-Schritt-Umsetzungsplan, technische Anforderungen und priorisierte Handlungsempfehlungen für Deutschland.
Infrastruktur-Nachweis jetzt starten
Domain eingeben, nach wenigen Sekunden liegen Verdict, CES und alle sechs Cluster mit Einzelparametern vor. Kein Formular, keine Registrierung. Für Enterprise-Anfragen steht das Kontaktformular zur Verfügung.
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance-Bewertungen wenden Sie sich an eine zugelassene Konformitätsbewertungsstelle.