AUTHORITY
Die Maschine erzeugt keine Autorität.
Institutionelle Autorität bleibt extern. Die Architektur bindet an ihren Zustand und macht diese Grenze explizit.
REGULATOREN · AUFSICHT · AUDIT
Prüfen Sie nicht nur den Bericht. Prüfen Sie die Architektur, die Ausführung überhaupt erst möglich machte.
Traditionelle Aufsicht ist häufig retrospektiv: Output prüfen, Log analysieren, Entscheidung rekonstruieren. Machine Law stellt eine frühere Frage: Unter welcher externen Autorität, welchem Regelzustand, welcher Jurisdiktion, welchem Zeitpunkt und welchen Abhängigkeiten konnte für die konkrete Handlung überhaupt ein Ausführungsrecht bestehen?
ALTES MODELL
Kontrolle nach der Wirkung
Output beobachten und bewerten
Logs nach dem Ereignis auswerten
PASS als implizite Freigabe behandeln
MACHINE LAW
Prüfbare Ausführungsgrenzen
Externe Autorität bleibt explizit
Determination und Autorisierung bleiben getrennt
Capability entsteht nur nach gültiger Closure
DETERMINATION
Ein Gate Judgment ist keine Erlaubnis.
Domain Determination und Execution Authorization bleiben getrennt. Ein PASS allein kann kein Execution Right erzeugen.
OVERRIDE
Menschlicher Eingriff bleibt sichtbar.
Ein autorisierter Override ist ein separates Evidenzereignis und überschreibt den vorherigen Zustand nicht unsichtbar.
EVIDENCE
Integrität ist nicht materielle Rechtswahrheit.
Evidenz bleibt Claim-bounded. Verifikation kann unterstützte Integritäts- und Bindungseigenschaften prüfen, ohne ein souveränes Rechtsurteil zu behaupten.
AUTHORITATIVE SOURCE → RULE STATE → JURISDICTION → TIME → DEPENDENCIES → DETERMINATION → EXECUTION-RIGHTS CLOSURE → CAPABILITY → EVIDENCE
Von der Attestation zur unabhängigen Re-Verifikation.
Der regulatorische Wert liegt nicht darin, Aufsicht durch Software zu ersetzen. Er liegt darin, genügend Autoritätsgrenzen, Autorisierungslogik, Claim Limits und Evidenz offenzulegen, damit unabhängige Prüfung möglich wird. Die Maschine kann einen Zustand sichtbar machen. Die zuständige menschliche oder institutionelle Autorität behält die souveräne Entscheidung.
COORDINATED VULNERABILITY DISCLOSURE · GOVERNED EVIDENCE
Eine Schwachstelle ist erst dann beherrscht, wenn ihr Umgang beweisbar governed ist.
CVD darf nicht bei einer E-Mail-Adresse enden. immo.quick trennt Angriff, kooperative Schwachstellenmeldung und offiziellen Reporting-Kanal technisch und semantisch. Eingang, Triage, Autorisierung, Remediation, Fix-Verifikation und koordinierte Offenlegung werden als getrennte Zustände und Beweisereignisse behandelt.
ADMISSION
Meldung ≠ Angriff
Sicherheitsforschung erhält einen eigenen kontrollierten Eingang. Angriffsforensik bleibt ein getrenntes Ereignismodell.
TRANSITION AUTHORITY
Status ≠ Wahrheit
Ein stärkerer CVD-Zustand entsteht nur über zulässige, autorisierte Transitionen; direkte Statussprünge sind keine legitime Governance.
PROOF
Behandlung wird nachprüfbar
Receipts und immutable Governance Events binden Inhalt, Zeitpunkt, Autorität, Begründung und Zustandsfolge.
Claim-Grenze: an den BSI-CVD-Grundsätzen ausgerichtet; keine BSI-Prüfung, Zertifizierung, Anerkennung oder Konformitätsbescheinigung. BSI-Koordination wird nur bei tatsächlicher Beteiligung behauptet.
GLOBALE AUSFÜHRUNGSANFORDERUNGEN
Die Regulierung bewegt sich zur Ausführung.
FINMA, BaFin, NIST, NSA, EU und US-Regierungsstrategien konvergieren auf kontinuierliche Autorisierung, Zero Trust, Resilienz, Evidenz und durchsetzbare Grenzen. Sehen Sie, wie immo.quick diese Kontrolleigenschaften bereits auf der Execution-Rights-Ebene operationalisiert.