Norminator kann jetzt Code-Reviews — gegen ISO 27001, ISO 42001 und DSGVO
Ihr Repository gegen die Norm — belegt, nicht geraten.
Norminator führt jetzt komplette Code-Reviews gegen Git-Repositories durch — geprüft gegen ISO/IEC 27001, ISO/IEC 42001, die DSGVO und weitere Regelwerke.
Bisher hat Norminator Managementdokumente erzeugt. Jetzt geht er einen Schritt weiter: Er liest Ihren Code — und prüft das Repository gegen die Regelwerke, die für Sie zählen. Nicht als oberflächlicher Linter, sondern als strukturierte Prüfung: je Anforderung der Befund, die Fundstelle im Code, die Bewertung. Und wir sagen Ihnen ehrlich, wo die Grenze liegt.
Was Norminator sieht — und was nicht
Die wichtigste Antwort gleich zu Beginn: Norminator sieht Code und Konfiguration. Er sieht nicht den Server, nicht die Organisation, nicht die gelebte Praxis. Das ist keine Einschränkung, die wir verschweigen — es ist die ehrliche Grundlage dafür, was das Review leisten kann.
Das sieht er
- Secrets und Zugangsdaten im Code
- Zugriffslogik und Berechtigungen
- Logging — und was darin landet
- Kryptografie und deren Umsetzung
- Abhängigkeiten und deren Herkunft
- Datenflüsse personenbezogener Daten
- KI-Kennzeichnung und KI-Protokollierung
Das sieht er nicht
- Den Server und seine Härtung
- Die Organisation und ihre Prozesse
- Richtlinien, die nur auf Papier existieren
- Personal und Schulungsstände
- Physische Sicherheit
- Die Wirksamkeit von Maßnahmen im Betrieb
Kurz: Alles, was im Repository Spuren hinterlässt, prüft er gründlich. Alles darüber hinaus bleibt Aufgabe eines Audits — und genau das sagen wir Ihnen im Ergebnis auch.
ISO/IEC 27001 — die technischen Controls trifft er gut
Für die ISO/IEC 27001 heißt die Unterscheidung oben konkret: Die technischen Controls aus Anhang A.8 — sichere Entwicklung, Umgang mit Geheimnissen, Zugriff im Code, Logging, Kryptografie, Abhängigkeiten — trifft Norminator gut, weil sie sich im Code zeigen.
Die organisatorischen Controls (A.5–A.7) — Richtlinien, Personal, Physisches — erfasst er nur, soweit sie im Repository Spuren haben. Eine Richtlinie als Markdown im Repo? Sieht er. Ob sie gelebt wird? Sieht er nicht. Genau diese Trennung macht das Ergebnis belastbar.
DSGVO — das Repository ist überraschend ergiebig
Bei der DSGVO ist das Repository sogar ein ergiebiger Prüfgegenstand. Norminator zeigt, welche personenbezogenen Daten wohin fließen — und deckt genau die Stellen auf, die in der Praxis teuer werden:
- Die Anbieterkette — inklusive US-Provider. Welche Dienste eingebunden sind und wohin Daten damit gehen.
- Uploads und Chatverläufe. Wo Nutzerdaten entstehen und wie sie verarbeitet werden.
- Das Löschkonzept. Ob und wie Daten tatsächlich gelöscht werden — oder ob sie einfach liegen bleiben.
- Logs mit Kundendaten. Ob personenbezogene Daten in Logdateien landen — und ob es dafür einen Schutz gibt.
- Grundlage fürs Verarbeitungsverzeichnis. Was sich aus dem Code direkt für die Dokumentation ableiten lässt.
Gerade die Datenflüsse sind im Code oft klarer dokumentiert als in jeder Richtlinie — man muss nur hinschauen. Norminator tut genau das.
ISO/IEC 42001 — KI-Controls stehen im Code
Für das KI-Managementsystem nach ISO/IEC 42001 gilt dasselbe Prinzip: Die zentralen Anforderungen hinterlassen im Repository deutliche Spuren. Norminator prüft unter anderem:
- KI-Kennzeichnung gegenüber Nutzern — wird offengelegt, dass hier KI antwortet?
- Human-in-the-loop — ist die menschliche Kontrolle technisch verankert?
- Protokollierung von KI-Entscheidungen — ist nachvollziehbar, was das Modell wann entschieden hat?
- Modell-Wechsel-Management — ist festgelegt und dokumentiert, wie Modellwechsel gehandhabt werden?
Das steht alles im Code — und genau deshalb lässt es sich dort auch prüfen.
Eine fundierte Prüfliste mit Belegen — kein Audit
Was Norminator liefert, ist eine strukturierte Prüfliste: je Anforderung der Befund, die konkrete Fundstelle im Repository und eine Bewertung. Keine generischen Hinweise, sondern belegte Aussagen über Ihren Code.
Es ist kein Audit — und wir nennen es bewusst nicht so. Es ist die fundierte technische Grundlage, die Auditvorbereitung und Umsetzung um Wochen beschleunigt. Die fachliche Einordnung bleibt beim Menschen (Human-in-the-Loop).
Was steckt in Ihrem Repository?
Lassen Sie Norminator auf Ihr Git-Repository los — gegen ISO 27001, ISO 42001, DSGVO oder ein anderes Regelwerk. Sie bekommen eine Prüfliste mit Belegen, keine Vermutungen.
Häufige Fragen
Ersetzt das Code-Review ein Audit nach ISO 27001 oder ISO 42001?
Nein. Ein Audit prüft die Organisation: Richtlinien, Prozesse, Verantwortlichkeiten, Wirksamkeit von Maßnahmen. Norminator prüft das Repository — Code und Konfiguration. Das Ergebnis ist eine fundierte Prüfliste mit Belegen, die Auditvorbereitung und technische Umsetzung beschleunigt. Die fachliche Bewertung bleibt beim Menschen.
Gegen welche Regelwerke kann Norminator ein Repository prüfen?
Gegen ISO/IEC 27001 (insbesondere die technischen Controls aus Anhang A.8), gegen die DSGVO (Datenflüsse, Anbieterkette, Löschkonzept, Protokollierung) und gegen ISO/IEC 42001 (KI-Kennzeichnung, Human-in-the-loop, Protokollierung von KI-Entscheidungen, Modell-Wechsel-Management). Weitere Regelwerke sind möglich — sprechen Sie uns an.
Was genau liefert das Code-Review als Ergebnis?
Eine strukturierte Prüfliste: je Control bzw. Anforderung der Befund, die konkrete Fundstelle im Repository (Datei und Stelle) und eine Bewertung. Keine generischen Hinweise, sondern belegte Aussagen über Ihren Code — etwa: 'Secret im Klartext in config.yaml, Zeile 42' oder 'Kein Löschkonzept für Uploads erkennbar'.
Sieht Norminator auch, ob unsere Organisation konform ist?
Nein — und das ist bewusst so. Norminator sieht Code und Konfiguration, nicht den Server, nicht die Organisation, nicht die gelebte Praxis. Organisatorische Controls (Richtlinien, Personal, Physische Sicherheit) erfasst er nur, soweit sie im Repository Spuren hinterlassen haben. Für das volle Bild braucht es weiterhin ein Audit.
Wie hilft das Review bei der DSGVO konkret?
Das Repository ist für die DSGVO überraschend ergiebig: Norminator zeigt, welche personenbezogenen Daten wohin fließen — etwa an US-Provider in der Anbieterkette, in Uploads, Chatverläufen oder Logs. Er prüft, ob ein Löschkonzept erkennbar ist, ob Kundendaten in Logs landen und ob die Grundlage für ein Verarbeitungsverzeichnis aus dem Code ableitbar ist.