Von der GAP-Analyse zu Continuous Compliance: azuma nori in der CI/CD-Pipeline
Compliance ist in vielen Digital-Health-Teams ein Ereignis, kein Prozess: Einmal im Jahr, kurz vor Audit oder Zertifizierung, wird geprüft, wo man steht. Alles, was zwischen zwei solchen Stichtagen an Code entsteht, bleibt bis zum nächsten Stichtag unbewertet – und die dabei entdeckten Lücken sind dann teuer nachzubessern.
azuma nori unterstützt beide Betriebsarten: die klassische GAP-Analyse als Momentaufnahme und den headless Betrieb, mit dem sich die Prüfung in der CI/CD-Pipeline automatisieren lässt. Dieser Artikel zeigt, wie sich damit von punktueller zu kontinuierlicher Compliance wechseln lässt.
Die GAP-Analyse: Compliance als Momentaufnahme
Der naheliegende Einstieg ist die GAP-Analyse: eine Bestandsaufnahme, die zeigt, wo die Codebasis gegenüber einer Richtlinie steht und wo Lücken bestehen. Das ist wertvoll für klar umrissene Anlässe:
- vor einer Zertifizierung oder einem Audit, um den Ist-Zustand zu kennen;
- bei der Übernahme oder Due Diligence einer fremden Codebasis;
- als periodischer Gesundheitscheck, etwa quartalsweise.
Die GAP-Analyse beantwortet die Frage „Wo stehen wir gerade?" – zuverlässig, wiederholbar und ohne dass jemand die Richtlinie manuell gegen den Code halten muss. Für viele Teams ist das bereits ein großer Fortschritt gegenüber dem Status quo aus Tabellen und Bauchgefühl.
Ihr Nachteil ist der gleiche wie bei jeder Momentaufnahme: Sie altert. Zwischen zwei Analysen kann sich die Codebasis erheblich verändern, und neue Lücken bleiben unentdeckt, bis der nächste Prüftermin kommt.
Continuous Compliance: Prüfung in der Pipeline
Der zweite Modus schließt genau diese Lücke. Die Execution Engine von nori ist als vollständig headless, automatisierungsfähiger Prozess gebaut – sie kann also unbeaufsichtigt in einer CI/CD-Pipeline laufen, neben Tests, Build und Deployment. Heute wird nori primär über den Standalone Client ausgeliefert; dedizierte, offizielle Pipeline-Integrationen für GitHub Actions, GitLab CI und Azure DevOps sind angekündigt und Teil der Roadmap. Die dafür nötigen Bausteine für den unbeaufsichtigten Betrieb sind bereits vorhanden.
Das ist die Übertragung eines bewährten Prinzips aus der Security auf die Regulatorik: Shift-Left. Statt Probleme spät und teuer am Ende zu finden, werden sie früh sichtbar – dort, wo sie am billigsten zu beheben sind, nämlich direkt bei der Entstehung im Entwicklungsprozess.
Wo die Prüfung im automatisierten Ablauf mitläuft, wird aus Compliance als jährlichem Ereignis ein kontinuierlicher Zustand:
- Jede Änderung wird bewertet, nicht nur der Stand zum Audit-Termin.
- Regressionen fallen sofort auf, statt Monate unbemerkt zu bleiben.
- Der Audit-Aufwand sinkt, weil der Nachweis nicht am Stichtag rekonstruiert, sondern laufend miterzeugt wird.
- Entwickler bekommen Feedback im gewohnten Werkzeug – in der Pipeline, nicht in einem separaten Compliance-Prozess.
Technisch funktioniert das über die Mechanik, die CI/CD-Systeme ohnehin verstehen: Der Lauf gibt strukturierte Logs (JSON) aus und signalisiert sein Ergebnis über Standard-Exit-Codes – 0 bei erfolgreichem Durchlauf, ein Wert ungleich null bei Konfigurations- oder Laufzeitfehlern bzw. einem fehlgeschlagenen Schritt. Der Build-Server nutzt diesen Exit-Code, um die Pipeline-Stufe bestehen oder fehlschlagen zu lassen – der Compliance-Check wird so vom reinen Report zum echten Gate. Secrets wie der API-Key werden über Umgebungsvariablen injiziert und nicht im Repository hinterlegt.
Ein Werkzeug, zwei Geschwindigkeiten
Der praktische Wert liegt darin, dass beide Modi dasselbe Werkzeug nutzen. Teams müssen sich nicht zwischen „gründlicher Einmal-Analyse" und „automatisierter Dauerprüfung" entscheiden, sondern können mit dem einen beginnen und zum anderen wachsen:
- Einstieg per GAP-Analyse – den Ist-Zustand verstehen, ohne die Pipeline anzufassen.
- Periodische Wiederholung – die Analyse in einem festen Rhythmus fahren.
- Integration in CI/CD – die Prüfung headless über Exit-Codes automatisieren, sobald das Team so weit ist.
So lässt sich Continuous Compliance schrittweise einführen, statt sie als großes Umbauprojekt aufzusetzen. Das senkt die Einstiegshürde – gerade für kleinere Digital-Health-Teams, die nicht sofort ihre gesamte Pipeline umstellen können oder wollen.
Warum das für regulierte Codebasen zählt
Regularien wie die BSI TR-03161, der EU Cyber Resilience Act oder der EU AI Act verlangen nicht nur einmalige Konformität, sondern Sicherheit über den gesamten Produktlebenszyklus – inklusive laufendem Schwachstellen-Management und dokumentierten Prozessen. Eine kontinuierliche, automatisierte Prüfung passt strukturell besser zu dieser Erwartung als eine jährliche Momentaufnahme. Wer Compliance in die Pipeline zieht, erfüllt den „über den Lebenszyklus"-Gedanken solcher Vorgaben eher beiläufig als in einem gesonderten Kraftakt.
Häufige Fragen
Kann ich nori nur für eine einmalige Analyse nutzen?
Ja. Die GAP-Analyse funktioniert als eigenständige Momentaufnahme – ohne dass ihr etwas an eurer Pipeline ändern müsst.
Wie wird nori in die CI/CD-Pipeline eingebunden?
Über den headless Betrieb der Execution Engine: Sie läuft unbeaufsichtigt, gibt JSON-Logs aus und signalisiert ihr Ergebnis über Standard-Exit-Codes, die der Build-Server als Gate auswertet. Heute ist der Standalone Client der Hauptweg; dedizierte Integrationen für GitHub Actions, GitLab CI und Azure DevOps sind auf der Roadmap. Den aktuellen Stand findet ihr in der technischen Dokumentation zu azuma nori.
Verlässt mein Code dabei das Unternehmen?
Nein. nori läuft lokal; der Quellcode verlässt das Gerät nicht. Details dazu im Artikel „Compliance-Analyse ohne Code-Upload".
Für welche Richtlinien funktioniert die Prüfung?
nori deckt mehrere Regularien ab – u.a. BSI TR-03161 (Teil 1–3) und BSI TR-02102 (Teil 1–2) regulär, den EU CRA in Beta sowie BSI TR-03107 und den EU AI Act in Entwicklung. Der aktuelle Stand ist auf der Produktseite einsehbar.
Wollt ihr Compliance von einem jährlichen Ereignis zu einem kontinuierlichen Zustand machen? Registriert euch für die kostenlose Testversion (drei ausgewählte Controls inklusive) oder nehmt Kontakt auf.
Stand: August 2026. Funktionsumfang, Integrationswege und abgedeckte Regularien von azuma nori bitte vor der Umsetzung auf der Produktseite prüfen.