Compliance
Compliance als Architektur: nicht am Projektende abgehakt, sondern vom ersten Tag an entworfen, und sie scheitert am fehlenden Inventar.
Die These ist eine einzige, und ich wiederhole sie seit Jahren: Compliance ist Architektur, kein juristischer Anhang. Eine ausgenutzte Schwachstelle innerhalb von 24 Stunden melden, eine SBOM erzeugen, nachweisen, was eine Softwareversion an einem bestimmten Tag getan hat: das sind Eigenschaften, die nur existieren, wenn das System dafür gebaut wurde. Wenn eine Organisation scheitert, dann fast nie aus Mangel an Normen, sondern weil sie nicht weiß, was sie im Haus hat. Diese Essays handeln von dieser Arbeit, mit Namen, Daten und Gesetzesartikeln.