Compliance ist in vielen Digital-Health-Teams ein Ereignis, kein Prozess: Einmal im Jahr, kurz vor Audit oder Zertifizierung, wird geprüft, wo man steht. Alles, was zwischen zwei solchen Stichtagen an Code entsteht, bleibt bis zum nächsten Stichtag unbewertet – und die dabei entdeckten Lücken sind dann teuer nachzubessern.

azuma nori unterstützt beide Betriebsarten: die klassische GAP-Analyse als Momentaufnahme und den headless Betrieb, mit dem sich die Prüfung in der CI/CD-Pipeline automatisieren lässt. Dieser Artikel zeigt, wie sich damit von punktueller zu kontinuierlicher Compliance wechseln lässt.

Zwischen einer regulatorischen Anforderung und der Zeile Code, die sie erfüllt, liegt eine Übersetzungslücke. Auf der einen Seite steht ein Regulatory- oder Compliance-Verantwortlicher, der die BSI TR-03161 oder den EU Cyber Resilience Act kennt. Auf der anderen Seite ein Entwicklungsteam, das liefern will, aber selten Zeit hat, sich durch mehrere hundert Seiten Technische Richtlinie zu arbeiten. Die Übersetzung zwischen beiden Welten kostet Zeit, Geld und Nerven – und ist die eigentliche Reibung im Compliance-Prozess.

Dieser Artikel beschreibt, wo diese Lücke entsteht, was sie kostet und wie azuma nori sie schließt, indem es regulatorische Anforderungen direkt in konkrete, überprüfbare Aussagen über die Codebasis übersetzt.

Der Quellcode ist bei den meisten Digital-Health-Unternehmen das wertvollste Asset – und zugleich das sensibelste. Genau deshalb ist es ein Problem, dass viele Compliance- und Code-Analyse-Werkzeuge verlangen, den Code in eine fremde Cloud hochzuladen, um ihn dort zu analysieren. Man tauscht Compliance gegen Kontrollverlust über die eigene IP.

azuma nori geht den umgekehrten Weg: Die Analyse läuft lokal auf der Maschine der Entwickler, der Quellcode verlässt das Gerät nicht. Dieser Artikel erklärt, warum das architektonisch und rechtlich einen echten Unterschied macht.