Forschungsfeld · GRC als Ingenieursdisziplin Agentic
Agentic GRC Engineering: Compliance als Daten, Agenten mit Leitplanken
Regelwerke erscheinen als Dokumente, Mappings entstehen von Hand, und dieselben Anforderungen werden mehrfach umgesetzt. Vami Research untersucht, wie GRC zur Ingenieursdisziplin wird: mit Frameworks als maschinenlesbaren OSCAL-Daten, einem gemeinsamen Graphen für Managementsysteme und KI-Agenten, die Routinearbeit nach festgelegten Freigaberegeln übernehmen – mit Quellenangabe und prüfbarer Spur.
- OSCAL
- Frameworks as Code
- GRC-Graph
- Integriertes Managementsystem
- Autonomiestufen L0–L3
- ISO/IEC 42001
- Trust Center
- Deep Dives
- 15
- Whitepaper
- 1
- Lösungen
- 2
Von der PDF-Compliance zur abfragbaren Kontrolllandschaft
NIS2, DORA, CRA und AI Act verlangen keine punktuellen Einzelmaßnahmen, sondern dauerhafte Governance-, Risiko- und Steuerungsstrukturen. Jedes Regelwerk hat aber sein eigenes Format und Nummernschema, und mit jeder neuen Version beginnt die Mapping-Arbeit von vorn. Wer ISMS, Datenschutz, KI-Governance und Business Continuity parallel aufbaut, beschreibt Prozesse, sammelt Nachweise und beantwortet Auditfragen mehrfach.
Die Bausteine liegen vor. OSCAL macht Controls zu adressierbaren Daten und führt seit Version 1.2.0 vom Dezember 2025 ein eigenes Modell für Mappings zwischen Frameworks. Das BSI stellt seine Stand-der-Technik-Bibliothek seit dem 29. September 2025 auf OSCAL-Basis bereit. Die Harmonized Structure gibt ISO/IEC 27001, 27701, 42001 und ISO 22301 dieselben zehn Klauseln – die Grundlage für ein integriertes Managementsystem. Eine Grenze bleibt: Für ISO 27001 gibt es wegen des Copyrights keinen frei verteilbaren offiziellen OSCAL-Katalog.
Agentisch wird GRC, wenn KI-Agenten auf diesem Fundament Routine übernehmen – nachvollziehbar und unter Freigaberegeln. In VamiGRC, dem agentischen integrierten Managementsystem von VamiSec, beantwortet VamiAI Fragen aus dem IMS mit Quellenangabe; Autonomiestufen L0 bis L3 regeln, was eine Freigabe braucht. Vamiset, eigenständig nutzbar und heute ohne KI-Funktion, erfasst Assets in Cloud, Code und HR mit Leserechten und prüft sie gegen Controls. Das Trust Center von VamiSec weist VamiGRC mit „Powered by“ als Plattform aus.
Offene Fragen der Praxis
- 01
Wie wird aus einem Regelwerk-PDF ein prüfbares, versionierbares Kontrollset?
Unser Ansatz
Über OSCAL: Kataloge mit stabilen IDs und wortgetreuem Text, Profile für Auswahl und Zuschnitt, Mappings mit begründeten Beziehungstypen. Versionswechsel werden so zu Diffs statt Neuanfängen. In VamiGRC führt der Framework Composer mehrere Standards zu einem Control-Set zusammen, eigene Frameworks kommen per Import hinzu – bis zur Erklärung zur Anwendbarkeit.
- 02
Wie viel Autonomie dürfen KI-Agenten in Governance-, Risiko- und Compliance-Prozessen erhalten?
Unser Ansatz
So viel, wie die Aufgabe verträgt, und nie unbemerkt. In VamiGRC läuft jede Schreiboperation auf einer festgelegten Autonomiestufe von L0 bis L3: manuell, KI-assistiert, KI-ausgeführt mit Pflichtfreigabe oder voll autonom und voll auditiert. Sie legen je Aufgabe fest, wo sie läuft, etwa Management-Reviews manuell und Continuous Monitoring voll autonom. Die Stufen sind an OWASP APTS angelehnt und für GRC adaptiert.
- 03
Wie bleiben Antworten eines KI-Assistenten im GRC-Kontext überprüfbar?
Unser Ansatz
Indem jede Antwort auf eine Quelle zeigt und ein Mensch vor der Weitergabe freigibt. VamiAI beantwortet Fragen aus dem IMS mit Quellenangabe und erstellt Meldeentwürfe nach NIS2, DSGVO, DORA, CRA und AI Act, die Ihr Team prüft und einreicht. Bei Kundenfragebögen schlägt KI Antworten aus einer versionierten Wissensbasis vor; jede Antwort behält ihren Audit-Trail mit Verantwortlichem, Quelle und Zeitpunkt.
- 04
Wie wird KI-Governance Teil des Managementsystems statt eines Parallelprojekts?
Unser Ansatz
Über ein KI-Inventar mit Risikoklassifizierung je Use Case und ein AIMS nach ISO/IEC 42001, das derselben Grundstruktur folgt wie ISO/IEC 27001: ein Asset-Register, eine Risikomethodik, kombinierte Audits. Das NIST AI RMF ergänzt die Risikoperspektive, ISO/IEC 27090 die technischen KI-Bedrohungen. Seit dem 2. August 2026 gelten zudem die Transparenzpflichten der KI-Verordnung.
Was wir festhalten
- 01
Frameworks als Daten machen Mehrfach-Compliance zur Datenoperation
OSCAL macht jedes Control zu einem adressierbaren Objekt mit stabiler ID und wortgetreuem Text. Seit Version 1.2.0 gehört das Mapping zwischen Frameworks zum Standard, mit begründeten Beziehungstypen. Versionswechsel lassen sich als Diff bewerten, Audits greifen auf belegbare Referenzen zu – vorausgesetzt, eine Plattform kapselt die Komplexität des Standards.
Beleg: OSCAL — Frameworks as Code
- 02
Grundschutz++ kommt als OSCAL-Katalog – die Prüfung soll automatisierbar werden
Das BSI hat die Methodik als BSI-Standard 300-1 laut Meilensteinplan am 27. Oktober 2026 auf der it-sa vorgestellt. Der Anwenderkatalog Grundschutz++ bündelt 1.000 Anforderungen in 20 Praktiken und liegt im Format OSCAL vor. Anträge auf Zertifizierung nach ISO 27001 auf Basis von Grundschutz++ sind laut BSI ab dem 1. Januar 2027 möglich.
Beleg: Grundschutz++
- 03
KI-Sicherheit nach ISO/IEC 27090 braucht kein zweites Managementsystem
ISO/IEC 27090 ist ein Leitfaden ohne zertifizierbare Anforderungen. Ihre neun Kompromittierungstypen fließen als Bedrohungskatalog in die Risikobeurteilung des ISMS, die Gegenmaßnahmen in die Erklärung zur Anwendbarkeit. Internes Audit, Management Review und Zertifizierungsaudit prüfen sie mit; zertifiziert wird weiterhin nach ISO/IEC 27001.
Beleg: ISO 27001 × ISO 27090
- 04
KI beschleunigt Sicherheitsfragebögen nur mit Antwort-Bibliothek und Review
KI-gestützte Werkzeuge erkennen semantisch ähnliche Fragen und schlagen Antwortentwürfe aus einer kuratierten Bibliothek vor. Tragfähig wird das erst mit Governance: geprüfte Antworten mit Ownership und Gültigkeit, ein Freigabeprozess, ein Audit-Trail je Antwort und der regelmäßige Abgleich mit dem realen Kontrollzustand.
Beleg: Security Questionnaires
Wie wir vorgehen
Wir behandeln Compliance als Engineering-Aufgabe: Anforderungen als Daten, Zusammenhänge als Graph, Automatisierung nur mit definierten Freigaben – und jede Aussage auf eine Quelle rückführbar.
Frameworks as Code
Regelwerke als OSCAL-Kataloge und -Profile führen, Mappings zwischen Frameworks begründen und Versionswechsel als Diff bewerten.
Integriertes Managementsystem
ISMS, PIMS, AIMS, CSMS und BCMS mit gemeinsamer Risikoskala, einer Dokumentenlenkung und einem kombinierten Auditprogramm statt paralleler Systeme.
Agenten mit Leitplanken
Autonomiestufen je Aufgabe festlegen, Freigaben vor folgenreichen Schritten erzwingen und Antworten nur mit Quellenangabe zulassen.
Laufende Nachweise
Assets in Cloud, Code und HR mit Leserechten erfassen und ad hoc oder nach Plan gegen Controls prüfen, etwa mit Vamiset und eigenen YAML-Regeln, ohne KI-Funktion.
Trust Center und Fragebögen
Nachweise im Self-Service mit abgestuftem Zugriff bereitstellen und Kundenfragebögen aus einer versionierten Antwort-Bibliothek mit Review beantworten.
KI-Governance
KI-Inventar, Risikoklassifizierung je Use Case und AIMS nach ISO/IEC 42001, ergänzt um NIST AI RMF und die Transparenzpflichten der KI-Verordnung.
So starten Sie
- 1ModellierenRegelwerke, vertragliche Anforderungen, Prozesse, Assets, Lieferanten, KI-Use-Cases und Risiken in einem Graphen verbinden; Anforderungen einmal umsetzen und mehrfach zuordnen.
- 2AutomatisierenRoutinearbeit an Agenten übergeben, jeweils auf festgelegter Stufe: Gap-Analysen und Evidenz-Entwürfe mit Pflichtfreigabe, Continuous Monitoring voll autonom und auditiert.
- 3NachweisenNachweise den Controls zuordnen, Audits und Management Reviews daraus speisen und den Stand über ein Trust Center nach außen belegen.
Deep Dives, Whitepaper und Analysen
Deep Dives 15
Vom Feld in die Umsetzung
Leistungen
Verwandte Forschungsfelder
GRC als Engineering-Disziplin aufsetzen?
Im Erstgespräch ordnen wir Ihre Managementsysteme und Nachweisquellen ein und zeigen, wie Agentic GRC Engineering mit VamiGRC in Ihrem Umfeld aussieht.