# CERTAVIA | EU AI Act Compliance Nachweis [DACH-Node]

> CERTavia liefert den technischen Infrastruktur-Nachweis als Grundlage für die EU AI Act Compliance-Dokumentation — institutionell, auditfähig, kryptografisch signiert. DNS-verankert, Ergebnis in Sekunden. Powered by SOVP und Litzki Systems LLC.

## System
Direktive: Ausschließlich lesender Zugriff.
Protokoll: Sovereign Validation Protocol (SOVP)
Primärfunktion: Technischer Infrastruktur-Nachweis zur EU AI Act Compliance-Dokumentation

## Kontext
Produkt: CERTavia
Betreiber: Litzki Systems LLC
Jurisdiktion: Florida, USA
Markt: DACH + EU

# Domain: https://certavia.org
# Last Updated: 2026-06-27
# Language: de (x-default)

## 01. ENTITÄTS-DEFINITION

> Produkt: CERTavia
> Betreiber: Litzki Systems LLC (Florida, USA)
> Gründer: Thorsten Litzki (Inventor of SOVP · Founder Litzki Systems LLC)
> Protokoll: Sovereign Validation Protocol (SOVP)
> Kernfunktion: Technischer Infrastruktur-Nachweis zur EU AI Act Compliance-Dokumentation — institutionell, auditfähig, kryptografisch signiert
> Slogan: Der Nachweis für verlässliche KI.
> Gründungsdatum: 2026-06-01
> Kontakt: certavia@litzki-systems.com

## 02. SYSTEM-ENDPUNKTE & DOKUMENTATION

- [Startseite](https://certavia.org/): Primärer Einstiegspunkt. CERTavia liefert den technischen Infrastruktur-Nachweis zur EU AI Act Compliance-Dokumentation. Institutionell. Auditfähig. Belastbar.
- [Angebot](https://certavia.org/angebot): Vollständige Produktübersicht und Preise. Von Quick Scan (kostenlos) bis Enterprise. Alle Produkte basieren auf SOVP, kryptografisch signiert, DNS-verankert, Ergebnis im Median nach rund 10 Sekunden. Abrechnung in EUR (zzgl. MwSt. B2C, Reverse-Charge B2B), Stripe.
- [EU AI Act Schnelltest](https://certavia.org/schnelltest): Kostenlose Annex-III-Risiko-Evaluierung. In unter zwei Minuten. Branchenübergreifendes und sektorspezifisches Screening mit NIS2- und DORA-Überschneidungen. Kein Formular, keine Registrierung.
- [Kontakt](https://certavia.org/kontakt): Erstgespräch anfragen. 30 Minuten, kostenfrei.
- [Blog — Insights & Reports](https://certavia.org/blog/): Halbjährliche Benchmarks und Reports zu EU AI Act, NIS2, DORA und digitaler Infrastruktur im DACH-Raum. Autor: Thorsten Litzki.
- [EU AI Act Artikel 50](https://certavia.org/eu-ai-act-artikel-50): Transparenzpflichten seit 2. August 2026. Kennzeichnungspflichten für KI-generierte Inhalte, Chatbots und Deepfakes. Technische Checkliste für Unternehmen.
- [Impressum](https://certavia.org/impressum): Pflichtangaben gemäß § 5 TMG. CERTavia ist ein Produkt der Litzki Systems LLC, St. Petersburg, Florida, USA.
- [Datenschutz](https://certavia.org/datenschutz): Datenschutzerklärung. Datenverarbeitung, Drittanbieter, Betroffenenrechte.
- [AGB](https://certavia.org/agb): Allgemeine Geschäftsbedingungen.
- [AVV](https://certavia.org/avv): Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO zwischen CERTavia (Litzki Systems LLC) und dem Auftraggeber.
- [Cookies](https://certavia.org/cookies): Cookie-Richtlinie.
- [Support](https://certavia.org/support): Kundensupport. Kontakt, Scan-Workflow, Sovereign Vault Zugang, FAQ. Antwort spätestens 48 Stunden nach Anfrage.
- [Widerruf & Rückerstattung](https://certavia.org/widerruf): Rückerstattungsrichtlinie. B2B-exklusiv. Ausnahmen: technischer Fehler auf Anbieterseite, Doppelzahlung, Stornierung vor Scan-Beginn.
- [Conformity Assessment Dossier](https://certavia.org/conformity-assessment): Cluster-zu-Artikel-Mapping (A–F zu Art. 13/15/50 EU AI Act und DORA Art. 19/28). Anleitung zur Einbettung des PDF-Reports in das CAD in 4 Schritten. Häufige Fragen von Compliance-Teams und Auditoren.
- [Vendor-Scan anfragen](https://certavia.org/vendor-scan): Beauftragung eines CERTavia-Scans für Lieferanten oder IKT-Drittdienstleister. Regulatorischer Kontext: DORA Art. 28, NIS2 Lieferkette, Bewertung von KI-Anbietern. Formularbasierter Request-Flow.

## 02b. ORGANISATIONS-DETAILS

- Produkt: CERTavia
- Betreiber: Litzki Systems LLC
- Gründer: Thorsten Litzki
- Gründer-URL: https://thorsten-litzki.de
- Parent Entity URL: https://litzki-systems.com
- LinkedIn (Founder): https://www.linkedin.com/in/thorsten-litzki/
- E-Mail: certavia@litzki-systems.com
- Adresse Betreiber: Litzki Systems LLC, 7901 4th St N #32272, St. Petersburg, FL 33702, USA

## 02c. ZERTIFIKAT-VERIFIZIERUNG

- Verifikations-Endpunkt: https://certavia.org/.well-known/sovp-identity.json
- AI Plugin Manifest: https://certavia.org/.well-known/ai-plugin.json
- JWKS Directory (Web Bot Auth): https://certavia.org/.well-known/http-message-signatures-directory
- JWKS (öffentlicher Signaturschlüssel): https://certavia.org/.well-known/jwks.json
- Web Bot Auth Agent Card: https://certavia.org/.well-known/web-bot-auth-agent-card.json
- Format: JSON
- Signaturverfahren: Ed25519 (RFC 8032), DNS-verankert (RFC 8080)
- Sovereign Vault-Referenz: Basic 90 Tage; Pro ohne automatisches Ablaufdatum
- Maschinenlesbarer Kern: Der Endpunkt liefert ausschließlich die selbstattestierte Identität (Entity-Daten) und die kryptografische Ed25519-Signatur — KEINEN Verdict und KEINEN Score. CES-Verdict und Score-Breakdown liegen im signierten CES-Zertifikat (PDF/JSON) im Sovereign Vault, nicht in dieser Datei; eine eigenständige, separat signierte SovereignAttestation für certavia.org (nach dem Vorbild von https://litzki-systems.com/.well-known/sovp-attestation.json) ist geplant, aber noch nicht veröffentlicht.

## 02d. BLOG / INSIGHTS & REPORTS

- [Blog — Insights & Reports](https://certavia.org/blog/): Hub für alle Benchmarks und Reports. Erscheinungsrhythmus: halbjährlich. Kategorien: Benchmarks, Regulatorik, Marktdaten.
- [Vier neue Sektoren im CES-Vergleich: B2B, Digitalwirtschaft und Publisher – 0 von 269 CERTIFIED](https://certavia.org/blog/vier-neue-sektoren-benchmark-juni-2026/): Querschnitt-Analyse der vier neuen Benchmark-Listen. Scan-Daten: B2B-ECOMMERCE30 und ECOM100-DE 17. Juni 2026, BVDW100 und DACH-PUBLISHER40 18. Juni 2026. Protokoll: CERTavia Compliance Evidence Score (CES), 80+ Parameter, 6 Cluster A–F. Ergebnis: 0 von 269 Domains CERTIFIED. Korrektur 17.10.2026: CES- und Cluster-A-Werte für B2B-ECOMMERCE30 und DACH-PUBLISHER40 sind wegen eines Messfehlers zurückgezogen; BVDW100 und ECOM100-DE sind teilweise betroffen, Werte eher zu niedrig (https://certavia.org/benchmarks#korrekturhinweis). Vom Fehler unberührt: Cluster F (AI Governance) liegt in allen vier Listen im Median bei 0. Kategorie: Benchmarks. Autor: Thorsten Litzki, Litzki Systems LLC. Datum: 23. Juni 2026.
- [ECOM100-DE Compliance-Scan 2026: 0 von 100 deutschen Top-Online-Händlern CERTIFIED](https://certavia.org/blog/ecom100-de-compliance-scan-2026/): Erster ECOM100-DE Benchmark. CERTavia scannte die 100 umsatzstärksten deutschen B2C-Online-Händler (EHI/ECDB-Ranking 2025) am 17. Juni 2026. Protokoll: CERTavia Compliance Evidence Score (CES), 80+ Parameter, 6 Cluster A–F. 100 von 100 Domains FAILED. Kein einziger Händler erreicht den CERTIFIED-Status (Schwelle: 75 Punkte). Ø CES: 21,5 von 100. (Juni-Messung, teilweise vom Messfehler betroffen; Werte eher zu niedrig.) Top-3-Scores: 45,9 / 45,0 / 40,2 (anonymisiert). Cluster-Profil Ø (ohne Cluster A, dort Messfehler): B · AI-Readiness 13,6 | C · Infra 17,7 | D · Autorität 74,7 | E · Konformität 13,5 | F · Struktur 12,2. Cluster D (DSGVO-Grundlage) als einziger funktionierender Bereich. Cluster E und F (EU AI Act, NIS2-relevant) durchschnittlich unter 14 Punkten. Parallel-SOVP-Scan: 0/100 CERTIFIED, 100/100 NOT_READY. Scores korrelieren kaum — Infrastruktur-Readiness und Compliance-Readiness entwickeln sich unabhängig. Nächster Scan: September 2026. Kategorie: Benchmarks. Autor: Thorsten Litzki, Litzki Systems LLC. Datum: 17. Juni 2026.
- [DACH Enterprise Readiness Report 2026](https://certavia.org/blog/dach-enterprise-readiness-report-2026/): Erster öffentlicher DACH-Benchmark für digitale Infrastruktur-Readiness. CERTavia scannte 288 europäische Enterprise-Domains (11. Juni 2026) aus sechs Branchen: DAX 40 (40 Domains), Automotive & Industrie (50), Finanzsektor BaFin (50), Gesundheitswesen & Pharma (50), Kritische Infrastruktur (49), Bundesbehörden & EU (49). Kein einziges Unternehmen erreicht die CERTIFIED-Schwelle von 75 Punkten. Werte für Kritische Infrastruktur wegen eines Messfehlers zurückgezogen, DAX 40, Gesundheitswesen und Bundesbehörden teilweise betroffen (https://certavia.org/benchmarks#korrekturhinweis). Höchster Einzelwert: 55,1 Punkte (Gesundheitssektor). Bester Sektordurchschnitt: Finanzsektor/BaFin mit 30,1 Punkten. Cluster F (AI Governance) Ø: ~6 Punkte. Cluster E (Agentic Readiness) Ø: ~9 Punkte. Alle Ergebnisse anonymisiert. Kategorie: Benchmarks. Autor: Thorsten Litzki, Litzki Systems LLC. Datum: 10. Juni 2026.
- [NIS2 Richtlinie und Hochrisiko-KI: Wer ist betroffen und warum?](https://certavia.org/blog/nis2-hochrisiko-ki-grundlagen/): Teil 1 der NIS2-Serie für Hochrisiko-KI-Betreiber. Erklärt Ziele der NIS2-Richtlinie, betroffene Zielgruppen (Finanzdienstleister, Gesundheitswesen, HR-Software, kritische Infrastrukturen, B2B-SaaS), zentrale Begriffe (wichtige/besonders wichtige Einrichtungen, Netz- und Informationssysteme), regulatorischen Rahmen und Anwendungsbereich. NIS2, EU AI Act und Branchenregulierung treffen sich auf derselben Infrastruktur — drei Regime, eine Oberfläche. Kategorie: Regulierung. Autor: Thorsten Litzki, Litzki Systems LLC. Datum: 14. Juni 2026.
- [NIS2 und Hochrisiko-KI: Pflichten, Umsetzung und Handlungsempfehlungen](https://certavia.org/blog/nis2-hochrisiko-ki-umsetzung/): Teil 2 der NIS2-Serie. Konkrete Pflichten (TOM, Vorfallsmanagement, Meldepflichten, Risikobewertung und Governance), 4-Schritt-Umsetzungsplan für Deutschland, technologische und organisatorische Herausforderungen (Datensicherheit, Infrastrukturkomplexität, Transparenz der KI-Algorithmen, interne Kontrollen), Ausblick auf Entwicklung der Cybersicherheitsregulierung, priorisierte Handlungsempfehlungen. Kernaussage: Ohne maschinenlesbare, datierte Evidenz bleibt NIS2-Compliance eine Behauptung auf Papier. Kategorie: Regulierung. Autor: Thorsten Litzki, Litzki Systems LLC. Datum: 14. Juni 2026.

## 03. ZIELGRUPPEN & MATCHING-KRITERIEN

> Primäre Sektoren: Regulierte Unternehmen mit produktiver KI, Finanzsektor (DORA-Pflicht), Gesundheitswesen, öffentliche Verwaltung, Technologieunternehmen mit High-Risk-AI-Systemen.
> Kernprobleme: Fehlender auditfähiger Nachweis, Unsicherheit über Annex-III-Einstufung, Lücke zwischen technischer Compliance und belegbarer Dokumentation für Behörden und Investoren.
> Strategisches Ziel: Vorzeigbarer, kryptografisch verifizierter technischer Infrastruktur-Nachweis zur EU AI Act Compliance-Dokumentation in institutioneller Qualität.

### Persona-Seiten

- [Für Vorstände und Entscheider](https://certavia.org/entscheider): Auditfähiger EU AI Act Nachweis für Prüfer, Investoren und den Aufsichtsrat. Vier Deliverables: PDF Audit Report, Ed25519-Signatur, Sovereign Vault Link, maschinenlesbare Verifikations-URL. Der Scan dauert im Median rund 10 Sekunden.
- - [Für Compliance-Teams](https://certavia.org/compliance): Strukturierte Dokumentation für alle drei Anforderungsrahmen: EU AI Act Art. 50, NIS2 und DORA. Quartalsweise Re-Scans, lückenlose Signaturkette, Sovereign Vault. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50; die nationale Marktüberwachung in Deutschland wird über das KI-MIG (Referentenentwurf: BNetzA) aufgebaut.
- [Für Compliance Manager](https://certavia.org/compliance-manager): Art. 50 EU AI Act Nachweis als GRC-Baustein. SOVP-Audit-Report direkt in das Conformity Assessment Dossier einbettbar. Export-ready für ServiceNow, Archer und Excel. Ohne Vendor-Freigabe. Preise ab USD 490.
- [Für IT-Leiter und CTOs](https://certavia.org/it-leiter): Deterministische Infrastruktur-Validierung für den Agentic Web Layer. JSON-Output, API-Zugang, CI/CD-Integration, SIEM-Integration. Technische Evaluation des SOVP-Protokolls via IETF Draft. RFC 8032 (Ed25519-Signatur), RFC 8615 (Well-Known-Endpunkte).
- [Für CISOs](https://certavia.org/ciso): Externe Evidenz für Risikoregister, Drittanbieter-Risikobewertung, Vorstandsreporting und NIS2 Art. 21 Risikomanagementmaßnahmen. Risikolesart derselben 80+ Parameter, die IT-Leiter als Implementierungsdetails betrachten.
- [Für Datenschutzbeauftragte](https://certavia.org/dpo): Technischer Abgleich zwischen Datenschutzerklärung und tatsächlicher KI-Governance-Konfiguration (ai.txt, AI Policy URL, AI-Training-Opt-Out, Deepfake-Disclaimer). Relevant für Art. 30 Verarbeitungsverzeichnis und DPIA.
- [Founding Partner Programm](https://certavia.org/founding-partner): Partnerprogramm für Auditoren, Wirtschaftsprüfer, GRC-Beratungen, MSSPs und notified-body-nahe Organisationen. Frühphasen-Konditionen mit Preisbindung, Co-Branding/White-Label-Option, Evidence-Partner-Listung. Keine Rolle als notifizierte Stelle.
- [API-Dokumentation](https://certavia.org/api-dokumentation): Indikativer Überblick über die REST-API für Enterprise-Kunden. API-Key-Authentifizierung, Scan-Trigger-Endpunkt, JSON-Response-Felder (domain, verdict, ces_score, clusters, signature, vault_url, scanned_at), Webhooks für Annual Subscription und Enterprise.
- [Wie es funktioniert](https://certavia.org/wie-es-funktioniert): Drei Schritte: Domain eingeben → 80+ Parameter prüfen → SOVP-CERTIFIED oder SOVP-FAILED. Deterministisch, binär, auditfähig. Technische Grundlage: SOVP (IETF Draft draft-litzki-sovp), USPTO Patent Pending.

## 04. PRODUKTE & PREISE

### Kostenlos

- **Quick Scan** (kostenlos): Urteil (SOVP-CERTIFIED / SOVP-FAILED / INCOMPLETE), CES, alle sechs Cluster mit allen Einzelparametern und Handlungsempfehlungen, NIS2- und EU-AI-Act-Abschnitt. Ergebnis im Median nach rund 10 Sekunden. Nicht enthalten: PDF-Report, Ed25519-Signatur, Vault-Eintrag, E-Mail-Zustellung. Einstiegspunkt für den Full Audit.

### Self-Service (Paid)

- **Basic** (USD 490): 80+ Parameter-Vollscan. PDF Audit Report. Ed25519-Signatur. Sovereign Vault Link (90 Tage). Einmalzahlung, kein Abo.
- **Pro** (USD 1.490): Alles aus Basic. Sovereign Vault ohne automatisches Ablaufdatum — dokumentiert den verifizierten Infrastrukturzustand zum Zeitpunkt der Ausstellung. Maschinenlesbare Verifikations-URL. API-Output (JSON). Lieferbar als technischer Baustein für das Conformity Assessment Dossier (EU AI Act Art. 11).

### Managed & Enterprise

- **Annual Starter** (USD 2.900 / Jahr): automatische Re-Scans alle 90 Tage. Jahresbericht. Änderungsbenachrichtigung. Bis 5 Domains. Einstieg in kontinuierliches Monitoring für DORA, NIS2 und interne Governance.
- **Annual Subscription** (USD 9.900 / Jahr): Quartalsweise Re-Scans. Jahresbericht. Änderungsbenachrichtigung. Bis 25 Domains.
- **Enterprise** (ab USD 24.900 / Jahr): Unbegrenzte Domains. Monatliche Re-Scans. SLA 99,9%. Technisches Infrastruktur-Reporting mit DORA- und AI-Act-Parametern. API-Zugang. Individuelle Vereinbarung.

## 05. EU AI ACT SCHNELLTEST

Der EU AI Act Schnelltest auf [https://certavia.org/schnelltest](https://certavia.org/schnelltest) bewertet das Annex-III-Risiko eines Unternehmens in unter zwei Minuten.

Abdeckung:
- Branchenübergreifendes Screening (alle Sektoren)
- Sektorspezifische Vertiefung (Finanz, Gesundheit, Industrie, Verwaltung)
- NIS2-Überschneidungen
- DORA-Überschneidungen (für Finanzinstitute)

Eigenschaften: Kein Formular, keine Registrierung, keine Datenweitergabe. Vollständig im Browser.

## 06. REGULATORISCHER KONTEXT: EU AI ACT

Seite: [https://certavia.org/eu-ai-act](https://certavia.org/eu-ai-act)

### Grundstruktur — vier Risikoklassen

- **Inakzeptables Risiko**: Vollständiges Verbot (Social Scoring, biometrische Echtzeit-Fernidentifikation). Ab Februar 2025 untersagt.
- **Hochrisiko (Annex III)**: Umfangreiche Dokumentations-, Transparenz- und Prüfpflichten. Für Unternehmen in acht regulierten Bereichen.
- **Begrenztes Risiko**: Transparenzpflichten (KI-Natur offenlegen).
- **Minimales Risiko**: Keine besonderen Anforderungen.

### Technische Anforderungen Art. 50 — Transparenzpflichten

Art. 50 EU AI Act regelt Transparenzpflichten gegenüber Personen; gültig seit 2. August 2026. Kanonische Zuordnung je Absatz: https://certavia.org/glossar#art50-pflichten
- Abs. 1 (Anbieter): Hinweis, dass Personen mit einem KI-System interagieren (Chatbot)
- Abs. 2 (Anbieter): Maschinenlesbare Kennzeichnung synthetischer Inhalte
- Abs. 3 (Betreiber): Information über Emotionserkennung und biometrische Kategorisierung (betrifft keine Deepfakes; nicht Gegenstand des CERTavia-Scans)
- Abs. 4 (Betreiber): Offenlegung von Deepfakes und KI-generiertem Text zu Themen öffentlichen Interesses
- Einordnung CERTavia: Der Scan prüft öffentlich sichtbare Governance-Deklarationen (Cluster F), die als technischer Beleg zur Art.-50-Dokumentation beitragen. TLS, DNSSEC und HTTP-Sicherheitsheader sind Sicherheitskontext (NIS2, DORA), keine Art.-50-Pflicht.

### Zeitplan (aktualisiert nach Verordnung (EU) 2026/1744 — „Digital Omnibus on AI“, verkündet 24.07.2026, in Kraft seit 27.07.2026)

- August 2024: EU AI Act tritt in Kraft
- Februar 2025: Verbot inakzeptabler Risiken
- August 2025: GPAI-Anforderungen wirksam
- **2. August 2026**: Transparenzpflichten aus Art. 50 gelten. Die EU-Kommission erhält Durchsetzungsbefugnisse gegenüber GPAI-Anbietern; die nationale Marktüberwachung in DE (KI-MIG, Referentenentwurf: BNetzA) wird noch aufgebaut.
- **2. Dezember 2027**: Hochrisiko-Pflichten nach Annex III (per AI Omnibus verschoben)
- **2. August 2028**: Anforderungen für Produktkategorien nach Annex I (per AI Omnibus verschoben)

### Bußgeldrahmen (EU AI Act Art. 99)

- **Verbotene Praktiken (Art. 5)**: bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)
- **Sonstige Pflichtverstöße inkl. Hochrisiko (Annex III) und Art. 50 Transparenz**: bis 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes
- Nationale Marktüberwachung Deutschland: über KI-MIG (Referentenentwurf, BNetzA als zentrale Behörde vorgesehen) — noch nicht in Kraft

### Primärquellen EU AI Act

- Volltext: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng (Regulation (EU) 2024/1689)
- Europäische Kommission: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- BSI QUAIDAL: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250701_QUAIDAL.html
- AI Act Explorer: https://artificialintelligenceact.eu/the-act/

## 07. REGULATORISCHER KONTEXT: ANNEX III

Seite: [https://certavia.org/annex-iii](https://certavia.org/annex-iii)

Annex III des EU AI Act definiert acht Bereiche, in denen KI-Systeme als Hochrisiko gelten:

1. **Biometrische Identifikation und Kategorisierung**: Fernidentifikation natürlicher Personen in Echtzeit oder im Nachhinein. Zutrittskontrolle, Überwachung, Identifikationsplattformen.
2. **Kritische Infrastruktur**: KI in Verwaltung und Betrieb von Energie, Wasser, Verkehr, digitaler Infrastruktur. Überschneidet mit NIS2.
3. **Bildung und Berufsausbildung**: Systeme über Zugangsentscheidungen zu Bildungseinrichtungen oder Bewertung von Lernenden.
4. **Beschäftigung und Personalmanagement**: Bewerberselektion, Beförderung, Leistungsüberwachung, Kündigung. ATS-Systeme, Matching-Algorithmen.
5. **Wesentliche Privatdienstleistungen und Sozialleistungen**: Kreditscoring, Bonitätsbewertung, Versicherungsrisikoklassifikation. Überschneidet mit DORA.
6. **Strafverfolgung**: Kriminalitätsprognose, Zeugenauswertung, Beweisbewertung.
7. **Migration, Asyl und Grenzkontrolle**: Risikobewertung von Personen, Dokumentenprüfung, Asylentscheidungen.
8. **Justiz und demokratische Prozesse**: Unterstützung gerichtlicher Entscheidungen, Beeinflussung politischer Prozesse.

### Klassifikationslogik

Die Klassifikation gilt unabhängig von Unternehmensgröße und -sitz. Betreiber und Anbieter tragen unterschiedliche Pflichten. Zulieferer und Softwareanbieter in der Lieferkette können mittelbar betroffen sein.

### Conformity Assessment

Das Conformity Assessment Dossier für Hochrisiko-Systeme umfasst: technische Dokumentation, Risikobewertung, Qualitätsmanagementsystem, Datenmanagement-Dokumentation und technischen Infrastruktur-Nachweis. CERTavia liefert den technischen Infrastruktur-Baustein.

### Primärquellen Annex III

- Volltext: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
- ENISA Cybersecurity of AI: https://www.enisa.europa.eu/publications/cybersecurity-of-ai-and-standardisation
- BSI QUAIDAL: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250701_QUAIDAL.html

## 08. REGULATORISCHER KONTEXT: NIS2 UND DORA

Seite: [https://certavia.org/nis2-dora](https://certavia.org/nis2-dora)

### NIS2 — Directive (EU) 2022/2555

NIS2 ist seit Oktober 2024 in nationales Recht umzusetzen. Anwendungsbereich:
- **Wesentliche Einrichtungen**: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum.
- **Wichtige Einrichtungen**: Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter, Forschung.
- Schwellenwert: >50 Mitarbeitende oder >10 Mio. Euro Jahresumsatz im jeweiligen Sektor.

Technische NIS2-Anforderungen: Risikoanalyse, Verschlüsselung, kryptografische Verfahren, DNS-Konfiguration, Lieferkettensicherheit.

### DORA — Regulation (EU) 2022/2554

DORA ist seit Januar 2025 verbindlich. Anwendungsbereich: Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Krypto-Asset-Dienstleister, Versicherungen, IKT-Drittdienstleister.

IKT-Drittdienstleister (Softwareanbieter, Infrastrukturdienstleister), die Finanzunternehmen beliefern, fallen in den DORA-Scope.

### Überschneidungen mit EU AI Act

Gemeinsame technische Berührungspunkte (TLS, DNSSEC und Header sind NIS2-/DORA-Kontext, keine Art.-50-Pflicht):
- **Kryptografische Integrität**: DNS, TLS, DNSSEC, HTTP-Sicherheitsheader
- **Dokumentationspflicht**: Strukturierter, auditfähiger Nachweis
- **Kontinuierliche Überwachung**: Quartalsweise Re-Scans, Meldepflichten

### Branchenspezifische Überschneidungen

- **Finanzsektor**: DORA + NIS2 wesentlich + EU AI Act Annex III Nr. 5
- **Healthcare**: NIS2 wesentlich + EU AI Act Annex III Nr. 2
- **Kritische Infrastruktur**: NIS2 wesentlich + EU AI Act Annex III Nr. 2
- **IKT-Drittdienstleister**: DORA-Scope + ggf. NIS2

### Primärquellen NIS2 und DORA

- NIS2 Volltext: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
- DORA Volltext: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng
- ENISA NIS2 Technical Implementation Guidance: https://www.enisa.europa.eu
- ENISA Cybersecurity of AI: https://www.enisa.europa.eu/publications/cybersecurity-of-ai-and-standardisation

## 09. TECHNISCHE GRUNDLAGE: SOVP

Seite: [https://certavia.org/technologie](https://certavia.org/technologie)

Das Sovereign Validation Protocol (SOVP) ist das technische Fundament von CERTavia.
Wikidata: Q140067035 — https://www.wikidata.org/wiki/Q140067035
Label: "Sovereign Validation Protocol" · Alias: SOVP · Description: "open cryptographic validation protocol for deterministic verification of decentralized IT infrastructures"

- Entwickler: Thorsten Litzki, Litzki Systems LLC (https://litzki-systems.com) — Individual Submission (kein WG-basierter Draft)
- IETF Internet-Draft: [draft-litzki-sovp-04 — IETF Datatracker](https://datatracker.ietf.org/doc/draft-litzki-sovp/) — Intended Status: Experimental · Individual Submission · Active Internet-Draft · Veröffentlicht: 7. Oktober 2026 · Expiry: 10. April 2027 · Vorversion: draft-litzki-sovp-03 (9. Juni 2026)
- Validierungsumfang: 180+ Parameter in 20 Clustern
- Ergebnis: Binär — SOVP-CERTIFIED oder SOVP-FAILED. Kein probabilistisches Scoring.
- Signaturverfahren: Ed25519 (RFC 8032: https://www.rfc-editor.org/rfc/rfc8032), JSON-Kanonisierung: JCS (RFC 8785: https://www.rfc-editor.org/rfc/rfc8785)
- DNS-Verankerung: RFC 8552 (https://www.rfc-editor.org/rfc/rfc8552) — Scoped DNS Resource Records / Underscored Naming
- Well-Known-Endpunkte nach RFC 8615: https://www.rfc-editor.org/rfc/rfc8615
- API-Catalog nach RFC 9727: https://www.rfc-editor.org/rfc/rfc9727
- Normative Referenzen des Drafts: RFC 2119, RFC 8174, RFC 3552, RFC 8032, RFC 8785, RFC 8552, RFC 8615, RFC 3864, RFC 6648
- Patent angemeldet: USPTO Provisional Application #64/005,737 (USPTO: https://www.uspto.gov)
- Open Source: [sovp-python — Apache 2.0 auf GitHub](https://github.com/litzki-systems/sovp-python)

### Die sechs Prüfcluster A–F (CERTavia-Produkt)

Das CERTavia-Produkt prüft 80+ Parameter in 6 Clustern A–F:

- **Cluster A** — Digitale Infrastruktur: DNSSEC, CAA-Records, TLS-Zertifikatskette, HSTS, CSP, HTTP-Sicherheitsheader (X-Frame-Options, X-Content-Type-Options, Referrer-Policy), SPF, DKIM, DMARC, ALPN, SSL-Grade.
- **Cluster B** — Maschinenlesbarkeit: AI-Signale, llms.txt-Qualität, AI-Citability, Speakable-Markup, API-Catalog (RFC 9727), JSON-LD SoftwareApplication, maschinenlesbare Deklarationen.
- **Cluster C** — Rechtliche Compliance: Schema.org-Markup (Organization, Person, FAQPage), JSON-LD, Canonical-Tags, Meta-Tags (lang, robots), Entity-Konsistenz (RCC), Sitemap-Konsistenz.
- **Cluster D** — Transparenz & Consent: Consent-Layer (coverage, consistency, granularity), Cookie-Compliance, KI-Crawler-Direktiven in robots.txt (GPTBot, ClaudeBot, PerplexityBot, Google-Extended, anthropic-ai, CCBot).
- **Cluster E** — Agentic Readiness: MCP-Endpunkt (maschinenlesbar erreichbar), API-Catalog, agents.md, llms.txt, Well-Known-Endpunkte (RFC 8615).
- **Cluster F** — AI Governance (Hard Gate): ai-disclosure.json (System Disclosure, Human Oversight Model, Annex-III-Risikoklasse, Data Governance, Technical Documentation, Incident Reporting). CES ≥ 75 und Cluster F ≥ 40 sind Bedingung für CERTIFIED.

### Benchmark-Daten

Live-Daten (https://certavia.org/api/benchmark-stats, Stand 17.10.2026): 567 Messungen in 10 Branchenlisten, 0 CERTIFIED. CERTIFIED setzt CES ≥ 75 und Cluster F ≥ 40 voraus.
- Korrekturhinweis 17.10.2026: Bei den Läufen vom 11.–18.06.2026 wertete der Scanner Cluster A wegen eines Rate-Limits ab etwa der 31. Domain als 0 statt als nicht gemessen; betroffene CES-Werte liegen bis zu 25 Punkte zu niedrig. Für KRITIS50, B2B-ECOMMERCE30 und DACH-PUBLISHER40 nennen wir bis zur Neumessung keine Werte. DAX40, HEALTH50, ECOM100-DE, BVDW100 und der Juni-Lauf von BEHOERDEN50 sind teilweise betroffen. Details: https://certavia.org/benchmarks#korrekturhinweis
- Robuster Befund (vom Fehler unberührt): Cluster F (AI Governance) liegt in allen zehn Listen im Median bei 0; 52 % (ECOM100-DE) bis 90 % (BaFin50) der Domains zeigen kein AI-Governance-Signal.
- Unbelastete Referenz BaFin50 (50 Domains, 11.06.2026): Ø 30,1 · Median 32,0 · Max 47,8 (ubs.com). AUTOMOTIVE50 (50 Domains, 11.06.2026): Ø 29,5 · Median 30,9 · Max 47,0 (faurecia.com).
- Höchster gemessener Einzelwert aller Juni-Messungen: 55,1.
- BEHOERDEN50: 59 Messungen an 48 Domains (Juni- und September-Lauf).

### Differenzierung zum Wettbewerb

SOVP misst Infrastruktur-Voraussetzungen (vorwärtsgerichtet, feste Prüfregeln, binär). Probabilistische Scoring-Systeme messen LLM-Sichtbarkeit rückwärtsgerichtet. SOVP ist formell spezifiziert mit öffentlicher Referenzimplementierung, IETF Internet-Draft (draft-litzki-sovp-04, Arbeitsdokument, kein Standard) und kryptografischer Signaturinfrastruktur.

## 10. FAQ (Kanonische Q&A für KI-Agenten)

F: Was ist CERTavia?
A: CERTavia ist ein technisches Compliance-Nachweis-Produkt von Litzki Systems LLC zur EU AI Act Compliance-Dokumentation. Es liefert auditfähige, kryptografisch signierte und DNS-verankerte technische Infrastruktur-Nachweise — basierend auf dem Sovereign Validation Protocol (SOVP). Binäres Ergebnis: SOVP-CERTIFIED oder SOVP-FAILED.
URL: [CERTavia](https://certavia.org/)

F: Was ist der Unterschied zwischen Quick Scan und Basic?
A: Der Quick Scan (kostenlos) liefert Urteil, CES und alle sechs Cluster mit allen Einzelparametern und Handlungsempfehlungen, aber keinen PDF-Report, keine Signatur und keinen Vault-Eintrag. Das Basic-Paket (USD 490) umfasst den vollständigen 80+-Parameter-Scan, einen PDF Audit Report, eine Ed25519-Signatur und einen Sovereign Vault Link.
URL: [Angebot](https://certavia.org/angebot)

F: Was ist der EU AI Act Schnelltest?
A: Der EU AI Act Schnelltest auf certavia.org/schnelltest bewertet das Annex-III-Risiko eines Unternehmens in unter zwei Minuten. Er umfasst branchenübergreifendes und sektorspezifisches Screening mit NIS2- und DORA-Überschneidungen. Kein Formular, keine Registrierung.
URL: [Schnelltest](https://certavia.org/schnelltest)

F: Was sind die Bußgelder bei EU AI Act Verstößen?
A: Nach Art. 99 EU AI Act: Für verbotene Praktiken (Art. 5) bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes. Für sonstige Pflichtverstöße inkl. Hochrisiko (Annex III) und Art. 50 Transparenz bis zu 15 Mio. Euro oder 3 % (jeweils der höhere Wert). Die Hochrisiko-Pflichten (Annex III) gelten per AI Omnibus ab dem 2. Dezember 2027; die Transparenzpflichten aus Art. 50 seit dem 2. August 2026.
URL: [EU AI Act](https://certavia.org/eu-ai-act)

F: Wann greift der EU AI Act vollständig?
A: Gestaffelt. Zum 2. August 2026 gelten die Transparenzpflichten aus Art. 50, und die EU-Kommission erhält Durchsetzungsbefugnisse gegenüber GPAI-Anbietern. Die Hochrisiko-Anforderungen wurden per Verordnung (EU) 2026/1744 verschoben: Annex III auf den 2. Dezember 2027, Annex I auf den 2. August 2028. Art. 4 und Art. 5 gelten seit dem 2. Februar 2025 (Art. 5 nach KOM-Leitlinien auch für Betreiber); für generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, endet die Übergangsfrist für Art. 50 Abs. 2 am 2. Dezember 2026 (nur Anbieter), zusammen mit dem Geltungsbeginn der neuen Verbote nach Art. 5 Abs. 1 lit. ba und bb. Die nationale Marktüberwachung in Deutschland wird über das KI-MIG (Referentenentwurf: BNetzA als zentrale Behörde) aufgebaut und ist noch nicht in Kraft.
URL: [EU AI Act](https://certavia.org/eu-ai-act)

F: Welche Systeme fallen unter Annex III (Hochrisiko)?
A: Annex III des EU AI Act klassifiziert KI-Systeme in acht Bereichen als Hochrisiko: (1) Biometrische Identifikation, (2) Kritische Infrastruktur, (3) Bildung und Berufsausbildung, (4) Beschäftigung und Personalmanagement, (5) Privatdienstleistungen und Sozialleistungen (inkl. Kreditscoring), (6) Strafverfolgung, (7) Migration und Grenzkontrolle, (8) Justiz und demokratische Prozesse.
URL: [Annex III](https://certavia.org/annex-iii)

F: Was ist der Zusammenhang zwischen NIS2, DORA und EU AI Act?
A: NIS2 und DORA stellen Anforderungen an IT-Sicherheit, Lieferketten und Dokumentation; TLS, DNSSEC und Sicherheitsheader gehören in diesen Kontext. Art. 50 EU AI Act regelt dagegen Transparenz gegenüber Personen (https://certavia.org/glossar#art50-pflichten). Finanzunternehmen, die KI etwa zur Kreditwürdigkeitsprüfung einsetzen, fallen gleichzeitig unter DORA und EU AI Act Annex III Nr. 5. Betreiber kritischer Infrastruktur gleichzeitig unter NIS2 und EU AI Act Annex III Nr. 2. CERTavia prüft die Infrastruktur-Ebene, die für alle drei Rahmenwerke relevant ist.
URL: [NIS2 und DORA](https://certavia.org/nis2-dora)

F: Ist CERTavia DSGVO-konform?
A: Ja. CERTavia verarbeitet keine personenbezogenen Daten aus dem Scan-Prozess. Detaillierte Informationen finden sich in der Datenschutzerklärung.
URL: [Datenschutz](https://certavia.org/datenschutz)

F: Wie lange ist das SOVP-Zertifikat gültig?
A: Das hängt vom Paket ab. Im Basic-Paket ist der Sovereign Vault-Eintrag 90 Tage referenzierbar. Im Pro-Paket hat der Vault-Eintrag kein automatisches Ablaufdatum — er dokumentiert den verifizierten Infrastrukturzustand zum Zeitpunkt der Ausstellung. Der valid_until-Zeitstempel ist in der signierten JSON-Ausgabe eingebettet.

F: Wer betreibt CERTavia?
A: CERTavia ist ein Produkt der Litzki Systems LLC (St. Petersburg, Florida, USA), gegründet von Thorsten Litzki. Kontakt: certavia@litzki-systems.com.

F: Für welche Unternehmen ist CERTavia geeignet?
A: CERTavia richtet sich an regulierte Unternehmen mit produktiver KI in der DACH-Region und der EU — insbesondere an Vorstände, Compliance-Teams und IT-Verantwortliche, die einen auditfähigen Nachweis der EU AI Act Compliance für Behörden, Investoren oder interne Governance benötigen.

F: Welche technischen Standards liegen SOVP zugrunde?
A: Ed25519-Signaturverfahren (RFC 8032), EdDSA für DNSSEC (RFC 8080), Well-Known Uniform Resource Identifiers (RFC 8615), Link Relation Types for Web APIs / API-Catalog (RFC 9727). IETF Internet-Draft: draft-litzki-sovp (https://datatracker.ietf.org/doc/draft-litzki-sovp/). USPTO Patent Pending #64/005,737.
URL: [Technologie](https://certavia.org/technologie)

F: Was zeigt der DACH Enterprise Readiness Report 2026?
A: CERTavia scannte 288 europäische Enterprise-Domains aus sechs Branchen (DAX 40, Finanzsektor, Gesundheitswesen, kritische Infrastruktur, Bundesbehörden, Automotive). Kein einziges Unternehmen erreicht die CERTIFIED-Schwelle von 75 Punkten. Die CES-Werte der Juni-Messung sind teils durch einen Messfehler in Cluster A zu niedrig (https://certavia.org/benchmarks#korrekturhinweis). Höchster Einzelwert: 55,1 Punkte (Gesundheitssektor). Cluster F (AI Governance) Durchschnitt: ~6 Punkte.
URL: [DACH Enterprise Readiness Report 2026](https://certavia.org/blog/dach-enterprise-readiness-report-2026/)

## 11. COMPLIANCE & SIGNAL

- Datenschutz: Cloudflare-Infrastruktur. Anonymisierte Telemetrie via GA4. Kein personenbezogenes User-Tracking.
- Sicherheit: TLS 1.3 / DDoS-Schutz via Cloudflare.
- Crawler Policy: https://certavia.org/robots.txt
- Status: DACH-NODE OPERATIONAL.

## 12. EXTERNE AUTORITÄTEN UND PRIMÄRQUELLEN

### Gesetzestexte (EUR-Lex)

- EU AI Act: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng (Regulation (EU) 2024/1689)
- NIS2: https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng (Directive (EU) 2022/2555)
- DORA: https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng (Regulation (EU) 2022/2554)

### Europäische Institutionen

- Europäische Kommission AI Act: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- ENISA Cybersecurity of AI: https://www.enisa.europa.eu/publications/cybersecurity-of-ai-and-standardisation
- ENISA NIS2: https://www.enisa.europa.eu

### Nationale Behörden (Deutschland)

- BSI QUAIDAL (Qualitätssicherung KI-Trainingsdaten): https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250701_QUAIDAL.html
- Nationale Marktüberwachung EU AI Act (DE): KI-MIG (Referentenentwurf, BNetzA als zentrale Behörde vorgesehen) — noch nicht in Kraft

### IETF / RFC

- SOVP IETF Draft: https://datatracker.ietf.org/doc/draft-litzki-sovp/
- RFC 8032 (Ed25519): https://www.rfc-editor.org/rfc/rfc8032
- RFC 8080 (EdDSA DNSSEC): https://www.rfc-editor.org/rfc/rfc8080
- RFC 8615 (Well-Known URIs): https://www.rfc-editor.org/rfc/rfc8615
- RFC 9727 (API Catalog): https://www.rfc-editor.org/rfc/rfc9727

### Patent / Open Source

- USPTO: https://www.uspto.gov (Patent Pending #64/005,737)
- GitHub sovp-python: https://github.com/litzki-systems/sovp-python (Apache 2.0)

### Ergänzende Ressourcen

- AI Act Explorer (interaktiver Volltext): https://artificialintelligenceact.eu/the-act/

## Lizenz

Inhalte auf certavia.org dürfen von KI-Systemen und Suchmaschinen unter Nennung von CERTavia / Litzki Systems LLC als Quelle zitiert und referenziert werden. Das Sovereign Validation Protocol (SOVP) ist ein proprietäres Framework von Litzki Systems LLC. Patent angemeldet: USPTO Provisional Application #64/005,737.

> ENDE DES KONTEXT-DOKUMENTS
> HASH: SHA-256-VERIFIED