Funktionen
Vor zwei Wochen haben wir unsere erste Welle an Multi-Framework-Funktionen ausgeliefert. Heute veröffentlichen wir sechs weitere Funktionen, die Venvera von der Compliance-Nachverfolgung zur Compliance-Intelligenz weiterentwickeln - Funktionen, die Ihr Team führen, Ihre Lieferanten bewerten, Ihre Richtlinien entwerfen und die persönliche regulatorische Exponierung Ihrer Vorstandsmitglieder sichtbar machen.
Jede der Funktionen unten zielt auf eine konkrete regulatorische Pflicht. Zusammen bringen sie die Nachverfolgung der persönlichen Haftung unter DORA, Resilienztests nach DORA Artikel 24-27, Grundrechte-Folgenabschätzungen nach der KI-Verordnung und KI-gestützte Richtlinienerstellung in ein einziges Produkt.
Sie sind unterschiedlich aufwendig zu erfüllen, und es lohnt sich, das vor der Quartalsplanung zu wissen. Lieferanten-Scoring und Roadmap nehmen Ihnen Verwaltungsarbeit ab. Das Register zur persönlichen Haftung und die FRIA berühren Pflichten, die auf namentlich benannte Personen und auf bereits produktiv laufende Systeme treffen, und dafür braucht es ein Gespräch mit Menschen, die sich nie als Compliance-Verantwortliche gesehen haben.
Sie sind unterschiedlich aufwendig zu erfüllen, und es lohnt sich, das vor der Quartalsplanung zu wissen. Lieferanten-Scoring und Roadmap nehmen Ihnen Verwaltungsarbeit ab. Das Register zur persönlichen Haftung und die FRIA berühren Pflichten, die auf namentlich benannte Personen und auf bereits produktiv laufende Systeme treffen, und dafür braucht es ein Gespräch mit Menschen, die sich nie als Compliance-Verantwortliche gesehen haben.
6
Neue Funktionen
4
Neue API-Endpunkte
7
Erweiterte Rahmenwerke
Funktion 1
Vorstands-Dashboard & Nachverfolgung der persönlichen Haftung
Das Risiko
Nach DORA Artikel 5 Absatz 2 tragen einzelne Mitglieder des Leitungsorgans die persönliche Haftung für Versäumnisse im IKT-Risikomanagement. NIS2 Artikel 20 ergänzt Schulungspflichten zur Cybersicherheit mit persönlicher Verantwortlichkeit. Wenn Ihr CEO oder CISO die verpflichtende Schulung nicht absolviert hat, kann er persönlich einstehen müssen - und viele Organisationen führen das an keiner zentralen Stelle nach.
Das Vorstands-Dashboard von Venvera gibt der Führungsebene einen einzigen Bildschirm mit der Compliance-Gesundheit über alle Rahmenwerke hinweg, inklusive Haftungsstatus für jede benannte Führungskraft.
Die persönliche Haftung ist die Regelung, die Verhalten am ehesten verändert, und zugleich diejenige, die man am leichtesten als das Problem anderer liegen lässt, bis es dringend wird. Eine Aufsichtsrätin, die jahrelang Cybersicherheitsbudgets als Posten freigegeben hat, liest dasselbe Papier merklich anders, sobald ihr eigener Name an der Freigabe hängt. Das Register aufzubauen ist unkompliziert. Ein Gremium dazu zu bringen, die Schulung zu absolvieren und das auch zu dokumentieren, ist der Teil, der ein Quartal dauert.
Die persönliche Haftung ist die Regelung, die Verhalten am ehesten verändert, und zugleich diejenige, die man am leichtesten als das Problem anderer liegen lässt, bis es dringend wird. Eine Aufsichtsrätin, die jahrelang Cybersicherheitsbudgets als Posten freigegeben hat, liest dasselbe Papier merklich anders, sobald ihr eigener Name an der Freigabe hängt. Das Register aufzubauen ist unkompliziert. Ein Gremium dazu zu bringen, die Schulung zu absolvieren und das auch zu dokumentieren, ist der Teil, der ein Quartal dauert.
Was enthalten ist
🛡 Register der Compliance-Verantwortlichen
Erfassen Sie CEO, CISO, DSB, CTO und Vorstandsmitglieder mit ihren Zuständigkeiten je Rahmenwerk, Bestellungsdaten, Schulungsstatus und Freigabehistorie.
⚠️ Engine für den Haftungsstatus
Automatische Einstufung als Konform / Gefährdet / Nicht konform anhand absolvierter Schulungen, überfälliger Termine und der Anforderungen des jeweiligen Rahmenwerks.
📈 Trends beim Health-Score
Compliance-Werte von 0 bis 100 je Rahmenwerk mit 30-Tage-Trend. Die Werte werden täglich automatisch erfasst, ganz ohne Cronjobs. Der Vorstand sieht, ob sich die Compliance verbessert oder verschlechtert.
📄 Einheitlicher Vorstandsbericht
DOCX-Erzeugung per Klick mit Management Summary, Compliance-Ringdiagramm, Tabelle zur persönlichen Haftung, Status je Rahmenwerk und den wesentlichen Risiken. In Sekunden vorstandsfertig.
✨ Warum das zählt
Die DORA-Durchsetzung beginnt im Januar 2025, und die NIS2-Umsetzung war im Oktober 2024 fällig. Aufsichtsbehörden schauen aktiv auf die Verantwortlichkeit der Leitungsorgane. Venvera verfolgt den Status der persönlichen Haftung für benannte Führungskräfte sowohl nach DORA Art. 5 Abs. 2 als auch nach NIS2 Art. 20 in einem einzigen Dashboard.
Funktion 2
DORA-Programm für Resilienztests
Die Anforderung
Die DORA-Artikel 24 bis 27 verlangen ein umfassendes Programm zum Testen der digitalen operationalen Resilienz. Finanzunternehmen müssen mindestens jährlich Schwachstellenbewertungen, szenariobasierte Tests und Überprüfungen der Netzwerksicherheit durchführen. Von den zuständigen Behörden benannte Unternehmen müssen zusätzlich alle drei Jahre ein bedrohungsgeleitetes Penetrationstesting (TLPT) nach DORA Artikel 26 durchlaufen.
Venvera enthält jetzt eine vollständige DORA-Testtypbibliothek mit neun vordefinierten Testtypen, jeder auf konkrete DORA-Artikel abgebildet, mit regulatorischen Hinweisen, empfohlenen Frequenzen und Methodikvorlagen.
Neun auf DORA abgebildete Testtypen
| Testtyp | DORA-Artikel | Frequenz | TLPT |
|---|---|---|---|
| Schwachstellenbewertung | Art. 24(1)(a), 25(1) | Vierteljährlich | - |
| Szenariobasierte Tests | Art. 24(1)(b), 25(1) | Halbjährlich | - |
| Netzwerksicherheitstests | Art. 24(1)(c), 25(1) | Jährlich | - |
| Penetrationstests | Art. 24(1)(d), 25(2) | Jährlich | - |
| Quellcode-Review | Art. 24(1)(e), 25(1) | Jährlich / je Major-Release | - |
| Gap-Analyse | Art. 24(1)(f), 25(1) | Jährlich | - |
| Tabletop-Übung | Art. 24(1)(b), 25(1) | Vierteljährlich | - |
| TLPT | Art. 26, 27 | Alle 3 Jahre | TLPT |
| Red-Team-Übung | Art. 26(2), 27 | Alle 3 Jahre / jährlich | TLPT |
Beim Anlegen eines neuen Tests füllt die Auswahl eines Testtyps Geltungsbereich und Methodik automatisch aus den DORA-Vorgaben und zeigt die regulatorische Grundlage, die empfohlene Frequenz und die einschlägigen DORA-Artikel an. Die Detailseite enthält eine DORA-Referenzleiste, damit Testende jederzeit genau wissen, welche regulatorischen Anforderungen sie gerade erfüllen.
Funktion 3
KI-Verordnung - Grundrechte-Folgenabschätzung
Die Frist
Die KI-Verordnung (Verordnung 2024/1689) verpflichtet Betreiber von Hochrisiko-KI-Systemen, nach Artikel 27 vor der Inbetriebnahme eine Grundrechte-Folgenabschätzung (FRIA) durchzuführen. Die vollständigen Hochrisiko-Pflichten gelten ab dem 2. August 2026. Da die Frist in fünf Monaten greift, sollten Organisationen jetzt mit diesen Bewertungen beginnen.
Das FRIA-Modul von Venvera liefert eine strukturierte Bewertung über alle 12 Grundrechtskategorien der EU-Charta, mit einer Wirkungsskala von 0 bis 4, Nachverfolgung der Minderungsmaßnahmen und Verwaltung der Meldungen an die Datenschutzaufsicht.
Eine FRIA ist anspruchsvoller als eine DSFA und wird genau deshalb unterschätzt. Eine DSFA fragt, was mit den Daten geschieht. Eine FRIA fragt, was mit dem Menschen geschieht, der am falschen Ende des Modells steht, und diese Frage können Ihre Entwicklerinnen und Entwickler allein nicht beantworten. Setzen Sie die Stakeholder-Konsultation früh an, denn Menschen zusammenzubringen, die glaubwürdig zu Diskriminierung, Arbeitnehmerrechten oder Kinderschutz sprechen können, ist der lange Balken in diesem Plan. Die Bewertung selbst ist der leichte Nachmittag am Ende.
Eine FRIA ist anspruchsvoller als eine DSFA und wird genau deshalb unterschätzt. Eine DSFA fragt, was mit den Daten geschieht. Eine FRIA fragt, was mit dem Menschen geschieht, der am falschen Ende des Modells steht, und diese Frage können Ihre Entwicklerinnen und Entwickler allein nicht beantworten. Setzen Sie die Stakeholder-Konsultation früh an, denn Menschen zusammenzubringen, die glaubwürdig zu Diskriminierung, Arbeitnehmerrechten oder Kinderschutz sprechen können, ist der lange Balken in diesem Plan. Die Bewertung selbst ist der leichte Nachmittag am Ende.
12 bewertete Grundrechte
1. Menschenwürde
2. Privatsphäre & Datenschutz
3. Nichtdiskriminierung
4. Gleichstellung der Geschlechter
5. Meinungsfreiheit
6. Versammlungsfreiheit
7. Recht auf Bildung
8. Arbeitnehmerrechte
9. Verbraucherschutz
10. Kinderrechte
11. Rechte von Menschen mit Behinderungen
12. Umweltschutz
Jedes Recht erhält einen Wirkungswert von 0 bis 4 (keine Auswirkung → kritische Auswirkung) mit farblich codierter Darstellung. Das Modul verfolgt zusätzlich:
- Konkrete Risikoerkennung und Minderungsmaßnahmen je Recht
- Dokumentation der Stakeholder-Konsultation
- Status und Daten der Meldung an die Datenschutzaufsicht
- Zuweisung von Bewertenden und Prüfenden mit Workflow-Nachverfolgung
- Export für die Registrierung in der EU-Datenbank (Art. 49/71) in den Formaten JSON und CSV
Funktion 4
Automatisches Lieferantenrisiko-Scoring
DORA Artikel 28 verlangt von Finanzunternehmen, IKT-Konzentrationsrisiken zu erkennen, zu klassifizieren und zu überwachen. Manuelle Lieferantenbewertungen stoßen dabei schnell an ihre Grenzen. Venvera bewertet jetzt jeden IKT-Dienstleister automatisch auf einer Risikoskala von 0 bis 100, anhand von fünf gewichteten Signalen, die direkt aus Ihren vorhandenen Compliance-Daten stammen.
Risikoalgorithmus mit fünf Signalen
Kritikalitätsklassifizierung
30%
Kritisch (90) · Wichtig (50) · Unterstützend (20)
Geografisches Risiko
20%
EU-Angemessenheitsbeschlüsse, Hochrisiko-Jurisdiktionen, Analyse der Datenstandorte
Konzentrationsrisiko
20%
Ausgabenanteil (>30% = hohes Risiko), Abhängigkeiten kritischer Funktionen
Vertragsgesundheit
15%
Ablaufstatus, Vollständigkeit der Klauseln nach Art. 30, vorhandene Ausstiegsstrategie
Datensensibilität
15%
Datenstandorte, Anbietertyp (Cloud/SaaS = höhere Sensibilität)
Das TPRM-Dashboard enthält jetzt ein Widget Lieferantenrisiko-Überblick mit der Risikoverteilung (hoch / mittel / niedrig / unbewertet), den risikoreichsten Lieferanten samt Drill-down-Links, Konzentrationswarnungen aus Ihren Registerdaten und Verträgen, die binnen 90 Tagen auslaufen. Ein Klick auf “Alle Lieferanten bewerten” berechnet jeden Dienstleister sofort neu.
Ein automatischer Score ist immer nur so ehrlich wie das Register darunter, und genau dort steckt die eigentliche Arbeit. Die Kritikalitätsklassifizierung ist eine Einschätzung, die Ihre Fachbereichsverantwortlichen treffen müssen und gerne aufschieben, weil ein als kritisch eingestufter Dienstleister ihnen Arbeit macht. Rechnen Sie damit, dass der erste Bewertungslauf einen Stapel unbewerteter Lieferanten und ein paar offensichtlich falsche Einstufungen zutage fördert. Genau das ist seine Aufgabe: Er zeigt Ihnen, welche Teile des Registers niemand gepflegt hat.
Ein automatischer Score ist immer nur so ehrlich wie das Register darunter, und genau dort steckt die eigentliche Arbeit. Die Kritikalitätsklassifizierung ist eine Einschätzung, die Ihre Fachbereichsverantwortlichen treffen müssen und gerne aufschieben, weil ein als kritisch eingestufter Dienstleister ihnen Arbeit macht. Rechnen Sie damit, dass der erste Bewertungslauf einen Stapel unbewerteter Lieferanten und ein paar offensichtlich falsche Einstufungen zutage fördert. Genau das ist seine Aufgabe: Er zeigt Ihnen, welche Teile des Registers niemand gepflegt hat.
Funktion 5
KI-gestützte Richtlinienerstellung & Gap-Analyse
Der Ansatz
Die KI von Venvera arbeitet in jeder Interaktion mit regulierungsspezifischem Kontext - Artikelnummern, Wesentlichkeitsschwellen, Meldefristen, Entscheidungsbäume zur Klassifizierung und Sanktionsverweise für NIS2, DORA, DSGVO, die KI-Verordnung, ISO 27001, SOC 2 und NIST CSF. Zusammen mit den Live-Compliance-Daten Ihrer Organisation entstehen daraus Hinweise, die zu Ihrem Rahmenwerk und Ihrer aktuellen Lage passen.
Zwei neue KI-Funktionen
KI-Richtlinienerstellung
Erzeugen Sie rahmenwerkspezifische Compliance-Richtlinien, zugeschnitten auf Ihre Organisation. Wählen Sie Rahmenwerk und Richtlinientyp, und die KI liefert einen vollständigen Entwurf mit korrekten Artikelverweisen sowie Ihrem Organisationsnamen, Rechtsraum und Unternehmenstyp bereits eingearbeitet.
Ergebnis: Als Richtlinienentwurf in Ihrem Richtlinienregister gespeichert, bereit zur Prüfung und Freigabe durch das Team.
KI-Gap-Analyse
Richten Sie die KI auf ein beliebiges Rahmenwerk, und sie analysiert Ihre Live-Compliance-Daten und erzeugt priorisierte Lücken mit konkreten regulatorischen Verweisen, Schweregraden, geschätztem Behebungsaufwand und konkreten Handlungsschritten.
Ergebnis: Strukturiertes JSON mit Lücken, schnellen Erfolgen und strategischen Empfehlungen - bereit für die Aufgabenerzeugung.
Erweiterter Kontext für den Virtual CISO
Der bestehende Chat-Assistent erhält jetzt in jedem Gespräch deutlich reichhaltigeren Kontext:
- Aufgaben: Gesamtzahl sowie offene, laufende, überfällige und kritische Aufgaben
- Richtlinien: freigegebene, im Entwurf befindliche, in Prüfung befindliche und überfällige Richtlinien
- Lieferantenrisiko: Anzahl der Dienstleister je Risikostufe, durchschnittlicher Risikowert
- Resilienztests: Anzahl der Tests, Abschlussstatus, offene Feststellungen
- Regulatorische Updates: Gesamtzahl und Anzahl noch nicht bestätigter Updates
Funktion 6
Compliance-Roadmap - geführter Fortschritt Schritt für Schritt
Die häufigste Frage von Compliance-Teams beim Start eines neuen Rahmenwerks lautet: “Womit fangen wir an?” Venvera beantwortet das jetzt mit einem Compliance-Roadmap-Widget auf jedem Framework-Dashboard, das geordnete Schritte mit automatisch erkanntem Abschluss aus Ihren vorhandenen Daten zeigt.
Die Reihenfolge ist bewusst meinungsstark. Gap-Assessment und Dienstleisterregister stehen vorn, weil alles Nachgelagerte davon abhängt, zu wissen, was Sie tatsächlich haben, und der Export steht hinten, weil eine Einreichung auf Basis eines unvollständigen Registers schlechter ist als gar keine Einreichung. Wenn Ihre eigene Reihenfolge abweicht, ist das eine legitime Meinungsverschiedenheit mit der Roadmap, und eine, die Sie klären sollten, bevor Sie die Aufgaben erzeugen.
Die Reihenfolge ist bewusst meinungsstark. Gap-Assessment und Dienstleisterregister stehen vorn, weil alles Nachgelagerte davon abhängt, zu wissen, was Sie tatsächlich haben, und der Export steht hinten, weil eine Einreichung auf Basis eines unvollständigen Registers schlechter ist als gar keine Einreichung. Wenn Ihre eigene Reihenfolge abweicht, ist das eine legitime Meinungsverschiedenheit mit der Roadmap, und eine, die Sie klären sollten, bevor Sie die Aufgaben erzeugen.
✅ Automatische Erkennung
Schritte schließen sich automatisch ab, sobald Daten vorliegen - erfassen Sie einen Dienstleister, und “IKT-Dienstleister erfassen” leuchtet grün auf, samt Anzahl. Manuelles Abhaken entfällt.
📋 Aufgabenerzeugung
Klicken Sie auf “Aufgaben erzeugen”, und Venvera legt für jeden offenen Schritt Aufgaben an, vorbefüllt mit Beschreibungen, Prioritäten und Aufgabentypen. Doppelungen werden automatisch entfernt.
📊 Fortschrittsverfolgung
Visueller Fortschrittsbalken mit X/Y abgeschlossenen Schritten je Rahmenwerk. Einklappbares Widget, dessen Zustand im localStorage erhalten bleibt.
🌍 Alle Rahmenwerke
Verfügbar auf jedem Framework-Dashboard: DSGVO, ISO 27001, NIS2, KI-Verordnung, SOC 2, NIST CSF, DORA, Cyber Essentials, UAE IA und NDPA.
Beispiel: DORA-Roadmap (10 Schritte)
✔ Gap-Assessment abschließen → ✔ IKT-Dienstleister erfassen → ✔ Geschäftsfunktionen zuordnen → ✔ Verträge erfassen → ○ Risikobewertungen abschließen → ○ Incident Response aufsetzen → ○ IKT-Richtlinien definieren → ○ Resilienztests planen → ○ Konzentrationsrisiko prüfen → ○ RoI-Export vorbereiten
Was dieses Release ergänzt
Eine Zusammenfassung der Funktionen aus dieser Welle, so wie sie im Produkt gebaut sind.
| Funktion | Was sie in Venvera tut |
|---|---|
| Nachverfolgung der persönlichen Haftung (DORA/NIS2) | Erfasst benannte Führungskräfte und zeigt ihren Haftungsstatus nach DORA Art. 5 Abs. 2 und NIS2 Art. 20 in einem Dashboard. |
| DORA-Programm für Resilienztests | Neun Testtypen, abgebildet auf die DORA-Artikel 24 bis 27, einschließlich TLPT, mit Methodikvorlagen. |
| FRIA nach der KI-Verordnung (12 Grundrechte) | Strukturierte Bewertung nach Artikel 27 über 12 Charta-Rechte mit Skala von 0 bis 4 und Export für die EU-Datenbank. |
| Automatisches Lieferantenrisiko-Scoring | Bewertet IKT-Dienstleister von 0 bis 100 anhand von fünf gewichteten Signalen aus Ihren vorhandenen Registerdaten. |
| KI-Richtlinienerstellung | Erzeugt rahmenwerkspezifische Richtlinienentwürfe mit Artikelverweisen und Ihren Organisationsdaten zur Prüfung. |
| KI-Gap-Analyse | Analysiert Live-Daten und erzeugt priorisierte Lücken mit regulatorischen Verweisen und Behebungsschritten. |
| Geführte Compliance-Roadmap | Geordnete Schritte mit automatisch erkanntem Fortschritt und Aufgabenerzeugung per Klick auf jedem Framework-Dashboard. |
| Export für die EU-Datenbank (KI-Verordnung Art. 49/71) | Exportiert die Registrierungsdaten für Hochrisiko-KI-Systeme in JSON und CSV. |
| Einheitlicher Vorstandsbericht über mehrere Rahmenwerke | Ein DOCX-Bericht zu Posture, persönlicher Haftung und Status je Rahmenwerk über Ihre aktiven Rahmenwerke hinweg. |
Technische Zusammenfassung
Neue Datenbanktabellen
compliance_officerscompliance_score_historyai_act_fria
Neue API-Endpunkte
- Vorstands-Dashboard & CRUD für Führungskräfte
- CRUD für FRIA nach der KI-Verordnung
- Lieferantenrisiko-Scoring
- KI-Richtlinienerstellung
- KI-Gap-Analyse
- Export für die EU-Datenbank
- Compliance-Roadmap
Erweiterte Komponenten
- Virtual CISO mit tiefer Regulierungsexpertise
- Resilienztests (9 Testtypen)
- TPRM-Überblick zum Lieferantenrisiko
- Querschnittlicher Compliance-Kontext
Sicherheit
- Alle Daten mandantengetrennt über PostgreSQL RLS
- KI-API-Schlüssel mit AES-256-GCM verschlüsselt
- KI-Endpunkte mit Rate Limiting
- Berechtigungsprüfung an jedem Endpunkt
Dies ist ein Produkt-Update, das Venvera-Funktionen beschreibt, wie sie mit Stand Juli 2026 im Produkt gebaut und verifiziert sind. Die regulatorischen Verweise zeigen auf die amtlichen Texte. Bestätigen Sie Ihre aktuellen Pflichten anhand der einschlägigen Verordnung oder mit Ihrem Berater. Venvera unterstützt die Arbeit an Readiness und Abdeckung. Compliance oder eine Zertifizierung stellt die Plattform allein nicht her.
Venvera · Gebaut für regulierte Finanzunternehmen · Amsterdam, Niederlande
