Die zweite Hälfte der Compliance: Warum eure Technische Dokumentation euren Code nicht kennt
Die Technische Dokumentation ist vollständig. Die SOPs sind freigegeben, das Risikomanagement dokumentiert, die Nachweise sortiert. Dann kommt im Review die Rückfrage: Wie genau ist diese Sicherheitsanforderung eigentlich implementiert?
Und im Raum wird es still. Nicht weil niemand die Antwort kennt – sondern weil niemand sie in vertretbarer Zeit belegen kann. Der QM-Beauftragte hat das Kapitel geschrieben, aber keinen Zugriff auf das Repository. Die Entwicklerin kennt die Implementierung, hat das Dokument aber nie gelesen. Zwischen beiden liegt eine Übersetzungslücke, und im Audit steht genau diese Lücke zur Debatte.
Compliance wird dokumentarisch organisiert – aber sie ist nicht nur dokumentarisch
Regulatorik im Medizinproduktebereich hat sich über Jahrzehnte um ein Zentrum herum entwickelt: das Dokument. ISO 13485, MDR, IVDR, ISO 14971 – sie alle fragen nach nachvollziehbaren Prozessen, definierten Verantwortlichkeiten und lückenloser Nachweisführung. Das ist richtig so, und es ist die Disziplin, in der etablierte Compliance-Expertise zu Hause ist.
Nur beschreibt das Dokument ein Produkt, das es selbst nicht prüfen kann. Es hält fest, dass Authentifizierung stattfindet, dass Daten verschlüsselt übertragen werden, dass Sessions terminieren. Ob die Implementierung das einlöst, steht nicht im Dokument – es steht im Code.
Solange Regulatorik überwiegend organisatorisch argumentierte, war das verkraftbar. Das ändert sich gerade.
Die neue Regulatorik fragt nach dem Produkt
Der EU Cyber Resilience Act stellt Anforderungen an Produkte, nicht an Prozesse. Die BSI TR-03161 beschreibt für digitale Gesundheitsanwendungen sehr konkret, wie Authentifizierung, Session-Handling und Kryptografie auszusehen haben. Die BSI TR-02102 wird auf der Ebene einzelner Verfahren und Schlüssellängen konkret. Der EU AI Act verlangt technische Nachweise über Systeme, die viele Hersteller heute noch gar nicht vollständig inventarisiert haben.
Diese Anforderungen kann man nicht rein dokumentarisch bedienen. Man kann sie beschreiben – aber der Nachweis liegt in der Implementierung. Damit wird die Code-Basis zu einem regulatorischen Artefakt, und die meisten Hersteller haben dafür keinen etablierten Prozess.
Zwei Basen, zwei Spezialisierungen
Deshalb arbeiten wir mit CertHub zusammen.
CertHub deckt die Dokumenten- und Organisationsseite ab: eQMS nach ISO 13485, elektronische Technische Dokumentation, Design Control, Gap- und Konformitätsanalysen, UDI und EUDAMED. Das ist gelebte Org Compliance, und es ist eine eigene Profession.
Wir bei azuma decken die Code-Seite ab – und zwar auf zwei Wegen, die sich in der Praxis ergänzen.
Der erste Weg: nachweisen, was gebaut wurde
azuma nori analysiert die bestehende Code-Basis gegen BSI TR-03161, BSI TR-02102 und den Cyber Resilience Act. Die Analyse läuft lokal auf der Entwicklungsmaschine – der Quellcode verlässt das Unternehmen nicht. Heraus kommt keine Liste roter Ampeln, sondern belegte Evidenz auf Zeilenebene, in Formaten, die sich direkt in die Nachweisführung einfügen: Executive Briefing, Auditor Deep-Dive, Compliance-Dossier.
Der zweite Weg: gar nicht erst selbst bauen
Für die regulatorisch heikelsten Teile eines Digital-Health-Produkts – Identität, Authentifizierung, Zugriff – gibt es fertige Bausteine, die die Anforderungen bereits mitbringen. doa liefert IAM, Multi-Faktor, Passwordless und HSM-Integration als SaaS, ausgelegt auf BSI-Konformität und gematik-Fähigkeit. mimoto stellt die GesundheitsID as a Service bereit, ohne dass Hersteller eigene Identitätsinfrastruktur betreiben müssen.
Das ist die pragmatischste Form von Compliance: Was man nicht selbst baut, muss man auch nicht selbst nachweisen. Der Identity-Stack ist dafür der offensichtlichste Kandidat – kaum ein Bereich bindet so viel regulatorischen Aufwand bei so wenig Produktdifferenzierung.
Was sich dadurch ändert
Für Hersteller entsteht ein durchgehender Weg statt zweier getrennter Baustellen. CertHub strukturiert, was dokumentiert werden muss. azuma liefert, was technisch belegt oder eingekauft werden kann. Beide Seiten sprechen dieselbe Regulatorik – nur von unterschiedlichen Enden her.
Es geht dabei nicht um ein Full-Service-Versprechen. Es geht darum, dass Kunden die Übersetzung zwischen Dokument und Implementierung nicht mehr allein leisten müssen.
Drei Fragen zum Selbstcheck
Wenn ihr prüfen wollt, ob ihr die Lücke habt:
- Könnt ihr zu drei beliebigen Sicherheitsanforderungen aus eurer Technischen Dokumentation die zugehörige Stelle im Code benennen?
- Wer aktualisiert eure Dokumentation, wenn sich die Implementierung ändert – und woher erfährt diese Person davon?
- Wie lange bräuchtet ihr heute für einen belastbaren Nachweis zum Cyber Resilience Act?
Wenn eine dieser Fragen unangenehm ist, lohnt sich ein Gespräch. Bei uns für die Code-Seite, bei CertHub für die Dokumentenseite – oder direkt mit beiden.
Häufige Fragen
Ersetzt azuma damit die Arbeit an der Technischen Dokumentation?
Nein. Die beiden Seiten sind komplementär, nicht austauschbar. CertHub strukturiert eQMS, Technische Dokumentation und Konformitätsbewertung; wir liefern den technischen Nachweis zu dem, was in diesen Dokumenten behauptet wird. Ohne die Dokumentenseite gibt es keine Zulassung – ohne die Code-Seite keinen Beleg.
Welche Regularien deckt die Code-Analyse ab?
nori prüft BSI TR-03161 (Teil 1–3) und BSI TR-02102 (Teil 1–2) regulär, den EU Cyber Resilience Act in Beta sowie BSI TR-03107 und den EU AI Act in Entwicklung. Der jeweils aktuelle Stand steht auf der Produktseite.
Verlässt unser Quellcode dabei das Unternehmen?
Nein. nori läuft lokal auf der Entwicklungsmaschine; der Quellcode verlässt das Gerät nicht. Die Hintergründe dazu stehen im Artikel „Compliance-Analyse ohne Code-Upload".
Müssen wir beide Seiten gemeinsam einkaufen?
Nein. Beide Seiten sind einzeln ansprechbar. Die Kooperation heißt nicht, dass ihr ein Paket bucht – sondern dass ihr an beiden Enden Ansprechpartner habt, die dieselbe Regulatorik sprechen. Die Übersetzung zwischen Dokument und Implementierung verschwindet dadurch nicht, aber ihr müsst sie nicht mehr allein leisten.
Wollt ihr wissen, wie belastbar eure Nachweise auf der Code-Seite wirklich sind? Registriert euch für die kostenlose Testversion (drei ausgewählte Controls inklusive) oder nehmt Kontakt auf. Für die Dokumenten- und QMS-Seite erreicht ihr CertHub direkt.
Stand: September 2026. Funktionsumfang und abgedeckte Regularien von azuma nori bitte vor der Umsetzung auf der Produktseite prüfen.