Von der Richtlinie zum Code: Wie azuma nori zwischen Regulatorik und Entwicklung übersetzt
Zwischen einer regulatorischen Anforderung und der Zeile Code, die sie erfüllt, liegt eine Übersetzungslücke. Auf der einen Seite steht ein Regulatory- oder Compliance-Verantwortlicher, der die BSI TR-03161 oder den EU Cyber Resilience Act kennt. Auf der anderen Seite ein Entwicklungsteam, das liefern will, aber selten Zeit hat, sich durch mehrere hundert Seiten Technische Richtlinie zu arbeiten. Die Übersetzung zwischen beiden Welten kostet Zeit, Geld und Nerven – und ist die eigentliche Reibung im Compliance-Prozess.
Dieser Artikel beschreibt, wo diese Lücke entsteht, was sie kostet und wie azuma nori sie schließt, indem es regulatorische Anforderungen direkt in konkrete, überprüfbare Aussagen über die Codebasis übersetzt.
Die Übersetzungslücke zwischen Regulatorik und Entwicklung
Regulatorische Dokumente sind für ihren Zweck geschrieben – nicht für Entwickler. Die BSI TR-03161 etwa formuliert Anforderungen an sichere Digital-Health-Anwendungen abstrakt und normativ. Ein Satz wie „sensible Daten sind nach dem Stand der Technik zu verschlüsseln" ist regulatorisch eindeutig, aber für die konkrete Implementierung interpretationsbedürftig: Welcher Algorithmus? Welche Schlüssellänge? An welcher Stelle im Code? Mit welchem Nachweis?
Diese Interpretation leistet heute meist ein Mensch – ein interner Compliance-Verantwortlicher, ein Regulatory-Experte oder ein externer Berater. Er liest die Anforderung, übersetzt sie in eine technische Vorgabe, gibt sie ans Entwicklungsteam weiter, prüft später manuell die Umsetzung und dokumentiert das Ergebnis. Jeder dieser Schritte ist langsam, teuer und fehleranfällig, weil er auf punktuellem Expertenwissen beruht.
Das Ergebnis kennt jedes Digital-Health-Team: Compliance wird zum Flaschenhals. Anforderungen kommen spät, oft erst kurz vor einem Audit oder einer Zertifizierung. Entwickler müssen Dinge nachbauen, die sich früher leicht hätten berücksichtigen lassen. Und die knappste Ressource – die Zeit der wenigen Menschen, die Regulatorik und Technik verstehen – wird für mechanische Übersetzungsarbeit aufgebraucht statt für die wirklich schwierigen Entscheidungen.
Was azuma nori anders macht
azuma nori ist eine agentische Compliance-Analyse für die eigene Codebasis. Statt eine Anforderung in einem Dokument zu belassen und auf die menschliche Übersetzung zu warten, prüft nori den tatsächlichen Code gegen die konkreten Anforderungen einer Richtlinie – und macht damit die Übersetzung selbst.
Der Kern ist ein Perspektivwechsel: nicht „lies die Richtlinie und setze sie irgendwie um", sondern „hier ist dein Code, hier ist die Anforderung, und das ist der konkrete Abgleich zwischen beiden". Aus einer abstrakten normativen Vorgabe wird eine überprüfbare Aussage über den Ist-Zustand des Produkts.
Für die beteiligten Rollen verschiebt das den Aufwand grundlegend:
- Regulatory- und Compliance-Verantwortliche müssen nicht mehr jede Anforderung einzeln für die Entwicklung übersetzen und die Umsetzung manuell nachhalten. Sie arbeiten mit einem strukturierten Ergebnis statt mit Bauchgefühl und Stichproben.
- Entwicklungsteams bekommen konkrete, code-nahe Hinweise statt normativer Prosa – dort, wo sie ohnehin arbeiten.
- Externe Berater werden für die Aufgaben eingesetzt, die menschliches Urteil wirklich erfordern (Grenzfälle, Auslegung, Strategie), statt für die mechanische Durcharbeitung von Checklisten.
Nach unserem Kenntnisstand ist genau diese direkte Übersetzung von Richtlinie zu Codebasis das, was nori von generischen Compliance-Checklisten oder reinen Dokumentenmanagement-Tools unterscheidet: Sie arbeiten mit Formularen und Selbstauskünften, nori mit dem Code selbst.
Welche Regularien nori abdeckt
nori ist nicht auf eine einzelne Richtlinie beschränkt, sondern deckt mehrere für Digital Health relevante Regelwerke ab – teils vollständig verfügbar, teils in Beta oder Entwicklung:
- BSI TR-03161 (Teil 1–3) – die zentrale Sicherheitsrichtlinie für DiGAs und Health-Anwendungen.
- BSI TR-02102 (Teil 1–2) – kryptografische Vorgaben und Schlüsselmanagement.
- EU Cyber Resilience Act (Beta) – die horizontale EU-Produktcybersicherheit (siehe unser CRA-Artikel).
- BSI TR-03107 (in Entwicklung) – elektronische Identitäten und Vertrauensniveaus.
- EU AI Act (in Entwicklung) – Anforderungen an KI-Systeme.
Den jeweils aktuellen Verfügbarkeitsstatus der einzelnen Regularien findet ihr auf der Produktseite von azuma nori.
Was das konkret spart
Der Nutzen ist am ehesten in eingesparter Zeit der teuersten Ressourcen messbar. Wenn die Übersetzung von der Anforderung zum Code nicht mehr manuell erfolgen muss, verschiebt sich der Aufwand von wiederkehrender Fleißarbeit hin zu gezielter Facharbeit. Compliance-Zyklen, die vorher Wochen dauerten und externe Beratung banden, werden kürzer und wiederholbar.
Für DiGA-Hersteller, die parallel unter Zeit- und Kostendruck ihr Produkt bauen und mehrere Regularien gleichzeitig bedienen müssen, ist das ein direkter Hebel: weniger Blockierung der Entwicklung, planbarere Audit-Vorbereitung, weniger teure Berater-Stunden für Aufgaben, die sich automatisieren lassen.
Häufige Fragen
Ersetzt azuma nori meine Compliance-Verantwortlichen oder Berater?
Nein. nori übernimmt die mechanische Übersetzungs- und Prüfarbeit zwischen Richtlinie und Code. Auslegung von Grenzfällen, strategische Entscheidungen und die finale Verantwortung bleiben bei den Fachleuten – die dadurch aber Zeit für genau diese anspruchsvollen Aufgaben gewinnen.
Für welche Richtlinien funktioniert das?
Aktuell u.a. BSI TR-03161 (Teil 1–3) und BSI TR-02102-1/-2 regulär, der EU CRA in Beta sowie BSI TR-03107 und der EU AI Act in Entwicklung. Der aktuelle Stand ist auf der Produktseite einsehbar.
Muss ich meinen Code an azuma übergeben?
Nein. nori läuft lokal auf der Entwickler-Maschine, der Quellcode verlässt das Gerät nicht. Warum das für IP- und Datenschutz wichtig ist, erklären wir im Artikel nori überträgt keinen Code an azuma.
Wie fange ich an?
Ihr könnt euch für eine kostenlose Testversion registrieren (drei ausgewählte Controls inklusive) oder Kontakt aufnehmen, um euren konkreten Anwendungsfall zu besprechen.
Wollt ihr sehen, wie nori eure Richtlinien in konkrete Prüfungen übersetzt? Registriert euch für die kostenlose Testversion (drei ausgewählte Controls inklusive) oder nehmt Kontakt auf.
Stand: Juli 2026. Der Funktionsumfang und die abgedeckten Regularien von azuma nori werden laufend erweitert – den aktuellen Stand bitte auf der Produktseite prüfen.