CERTavia im AI Act Audit-Dossier
Der CERTavia PDF-Report liefert technische Infrastruktur-Evidenz für den Technische-Dokumentation-Abschnitt des Conformity Assessment Dossier nach EU AI Act. Diese Seite zeigt, welcher Scan-Cluster welchen Artikel thematisch abdeckt und wie das Dokument korrekt eingebettet wird.
Zielgruppe: Compliance-Teams, Rechtsabteilungen, Wirtschaftsprüfer, Notified Bodies und interne Auditoren.
Was ist das Conformity Assessment Dossier?
„Conformity Assessment Dossier“ (CAD) ist kein Begriff aus dem Verordnungstext, sondern eine Sammelbezeichnung für die Unterlagen, mit denen Anbieter von Hochrisiko-KI-Systemen ihre Konformität belegen: technische Dokumentation (Art. 11, Anhang IV), Unterlagen der Konformitätsbewertung (Art. 43) und EU-Konformitätserklärung (Art. 47). Die Hochrisiko-Pflichten für Annex III gelten ab dem 2. Dezember 2027.
Technische Dokumentation
Beschreibung des Systems, der Architektur, der Datenquellen, der Testmethoden und der Risikobewertung (Anhang IV). Ein CERTavia-Report kann hier die öffentlich erreichbare Web-Infrastruktur dokumentieren, nicht das KI-System selbst.
Konformitätserklärung
Formelle Erklärung des Anbieters, dass das System alle anwendbaren Anforderungen des EU AI Act erfüllt. Muss von der technischen Dokumentation gestützt sein.
Laufende Überwachung
Post-Market-Monitoring nach Art. 72 betrifft die Leistung des KI-Systems im Betrieb. Re-Scans dokumentieren ergänzend, wie sich die Web-Infrastruktur verändert; Konformität des Systems belegen sie nicht.
Welcher Cluster deckt welchen Artikel?
CERTavia prüft 80+ Parameter in 6 Clustern. Jeder Cluster liefert technische Evidenz-Signale mit thematischem Bezug zu ausgewählten regulatorischen Anforderungen — keine abschließende Rechtsprüfung.
| Cluster | Was wird geprüft | EU AI Act | DORA / NIS2 |
|---|---|---|---|
| A Digitale Infrastruktur | DNSSEC, TLS 1.3, SPF, DKIM, DMARC, HTTP-Sicherheitsheader, HSTS | — | DORA Art. 9: IKT-Sicherheit. NIS2 Art. 21: Sicherheitsmaßnahmen für wesentliche Einrichtungen. |
| B Maschinenlesbarkeit | llms.txt / llms-full.txt, JSON-LD SoftwareApplication, API-Catalog (Link-Header), sitemap.xml-Konsistenz, agents.md | Art. 13 (thematischer Bezug): Maschinenlesbarkeits- und Auffindbarkeitssignale, kein direkter Erfüllungsnachweis — Art. 13 ist ein vertragliches Dokument zwischen Anbieter und Betreiber, kein von außen scanbares Signal. | — |
| C Rechtliche Compliance | Schema.org Organization-/Person-/FAQPage-Markup, Canonical-Konsistenz, Meta-Robots & Sprachauszeichnung, interne Link-Integrität | Art. 13 (thematischer Bezug): Identitäts- und Auffindbarkeitssignale, kein direkter Erfüllungsnachweis. | — |
| D Transparenz & Consent | Consent-Granularität, -Konsistenz und -Coverage (Cookie-Consent-Management, DSGVO) | — | — |
| E Agentic Readiness | MCP-Endpunkt-Erreichbarkeit, API-Catalog-Signal, agents.md-Vorhandensein, llms.txt-Basissignal für Agentenzugriff, robots.txt-Zugriffssteuerung für KI-Crawler (GPTBot, ClaudeBot, PerplexityBot, Google-Extended, CCBot) | Art. 13 (thematischer Bezug): Strukturierte, maschinenlesbare Endpunkte für nachgelagerte KI-Agenten, kein direkter Erfüllungsnachweis. Art. 53 (thematischer Bezug): Art. 53 verpflichtet Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, nicht die gescannte Website — robots.txt-Zugriffssteuerung für KI-Crawler ist kein Erfüllungsnachweis für Art. 53, sondern allenfalls für den TDM-Opt-out nach Art. 4 Abs. 3 DSM-Richtlinie relevant. | — |
| F AI Governance Hard Gate | AI-Policy-URL/Systemoffenlegung, Human-Oversight-Nachweis, Annex-III-Use-Case-Kategorisierung, Daten-Governance-Dokumentation, technische Dokumentation, Incident-Reporting-Mechanismus | Art. 50 (thematischer Bezug): öffentliche Deklaration des KI-Einsatzes und Deepfake-Disclaimer; die Kennzeichnung einzelner Ausgaben (Abs. 2), den Chatbot-Hinweis (Abs. 1) und Abs. 3 prüft der Scan nicht. Art. 14 (thematischer Bezug): öffentlich deklarierte Aufsichtsmechanismen, kein Nachweis ihrer Wirksamkeit. | Art. 73 EU AI Act / Art. 19 DORA (thematischer Bezug): öffentlich deklarierter Incident-Reporting-Mechanismus, kein Nachweis des Meldeprozesses. |
Den CERTavia PDF-Report korrekt einbetten
Der PDF Audit Report ist ein technischer Nachweis mit kryptografischer Signatur und maschinenlesbarer Verifikations-URL, kein Marketingdokument.
Schritt 1: Positionierung im Dossier
Fügen Sie den CERTavia Report als Anlage in den Abschnitt "Technische Dokumentation" Ihres CAD ein. Empfohlene Bezeichnung: "Infrastruktur-Nachweis – Ausgestellt durch CERTavia / Litzki Systems LLC, [Datum]".
Schritt 2: Signatur referenzieren
Der Report enthält eine Ed25519-Signatur (RFC 8032) und einen Sovereign Vault Link. Verweisen Sie in der technischen Dokumentation auf den Vault-Link, damit Prüfer Zeitpunkt und Inhalt unabhängig verifizieren können.
Schritt 3: Maschinenlesbare URL
Pro-Reports enthalten eine maschinenlesbare Verifikations-URL. Diese URL kann von Auditoren und automatisierten Compliance-Systemen direkt gegen den Sovereign Vault verifiziert werden.
Schritt 4: Re-Scan-Zyklus dokumentieren
Dokumentieren Sie jeden Re-Scan als eigene Anlage mit Datum. Die Reihe signierter Reports zeigt, wie sich die Infrastruktur verändert hat, etwa ob ein Befund behoben wurde.
Die relevanten Artikel im Überblick
Art. 13 EU AI Act: Transparenz
Anbieter von Hochrisiko-KI-Systemen müssen sicherstellen, dass die Systeme so transparent sind, dass Nutzer die Ausgaben angemessen interpretieren können. Das ist eine vertragliche Gebrauchsanweisung von Anbieter an Betreiber — kein von außen scanbares Signal. CERTavia-Cluster B/C prüfen thematisch verwandte Maschinenlesbarkeits- und Auffindbarkeitssignale, keinen direkten Erfüllungsnachweis.
Art. 72 EU AI Act: Post-Market-Monitoring
Anbieter müssen Leistung und Konformität ihrer KI-Systeme nach dem Inverkehrbringen fortlaufend überwachen. Re-Scans können ergänzend Infrastruktur-Veränderungen dokumentieren; die Überwachung des Systemverhaltens ersetzen sie nicht.
Art. 50 EU AI Act: Transparenzpflichten
Gilt seit dem 2. August 2026, unabhängig von Annex III: Chatbot-Hinweis und maschinenlesbare Kennzeichnung (Abs. 1–2, Anbieter), Emotionserkennung und Deepfakes (Abs. 3–4, Betreiber); Zuordnung im Glossar. Art. 50 ist nicht Teil der Konformitätsbewertung nach Art. 43. Cluster F prüft öffentlich sichtbare Belege: ai-disclosure.json, AI-Policy-Seite, Deepfake-Disclaimer.
DORA Art. 28: IKT-Drittpartei-Risiko
Finanzunternehmen müssen wesentliche IKT-Drittdienstleister kontinuierlich überwachen. CERTavia liefert den extern sichtbaren Infrastruktur-Status eines Dienstleisters als datierte Momentaufnahme; vertragliche Prüfrechte und das Informationsregister ersetzt das nicht.
Fragen von Compliance-Teams und Auditoren
Reicht der CERTavia Report alleine für das CAD?
CERTavia liefert den Infrastruktur-Layer, jedoch nicht das vollständige CAD. Das Dossier erfordert zusätzlich: Systembeschreibung, Risikoanalyse, Testprotokolle, Konformitätserklärung und ggf. Notified-Body-Prüfung. CERTavia ist darin eine verifizierbare Anlage zur Web-Infrastruktur.
Wie lange ist ein CERTavia Report für das CAD verwendbar?
Beim Pro-Report ist das Urteil 365 Tage gültig; der Vault-Eintrag bleibt dauerhaft abrufbar und dokumentiert den Infrastrukturzustand zum Ausstellungszeitpunkt. Für Post-Market-Monitoring empfehlen wir Re-Scans alle 90 Tage, insbesondere wenn sich Infrastruktur-Parameter (DNS, TLS, Endpunkte) ändern.
Welches Produkt brauche ich für das CAD?
Pro (EUR 1.490) oder höher: enthält ein 365 Tage gültiges Urteil, einen dauerhaft abrufbaren Vault-Eintrag, den DORA-Abschnitt, maschinenlesbare Verifikations-URL und API-Output. Basic (EUR 490): Urteil 90 Tage gültig, Vault-Eintrag läuft nach 90 Tagen ab; ausreichend für einmalige Momentaufnahmen. Annual-Pläne scannen automatisch alle 90 Tage, Enterprise alle 30 Tage.
Kann ein Notified Body oder Wirtschaftsprüfer den Report direkt verifizieren?
Ja. Die Verifikation erfolgt über die maschinenlesbare Verifikations-URL im Report oder direkt über den Sovereign Vault Link. Prüfer können die Ed25519-Signatur gegen den öffentlichen Schlüssel verifizieren, den Litzki Systems als DNS-TXT-Record unter _sovp.certavia.org veröffentlicht,, ohne CERTavia kontaktieren zu müssen.
Infrastruktur-Nachweis für Ihr Audit-Dossier.
Self-Service: Domain scannen, Pro-Report kaufen, in CAD einbetten. Zustellung direkt nach Abschluss des Scans.
Für Enterprise-Anfragen, Procurement und Auditor-Onboarding: Kontakt aufnehmen →