msolarczek/certvia
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
e3ea5828fe834044a84b779400ceb04a52f31d3a
certvia/docs/HANDOVER-PM.md
T
msolarczekandClaude Opus 4.8 081c00043a Übergabe-Dokumente: PM-Statusbericht + Entwickler-Onboarding 
- docs/HANDOVER-PM.md: umgesetzte Module + offene Themen nach Priorität (Hoch/
  Mittel/Niedrig) mit grobem Aufwand (S/M/L) für die Weiterplanung.
- docs/HANDOVER-DEV.md: Repo/Zugriff (Gitea HTTP, Token im Schlüsselbund),
  Tech-Stack + Versionen, vollständige Setup-Anleitung (Compose/Prisma/Seed/Dev),
  Architektur & Konventionen (Tenant-Guard, RLS, RBAC, Modul-Gating, Prisma-7-
  Migrationsflow), Verzeichnisstruktur, Fallstricke, Einstiegspunkte.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-07-20 10:46:24 +02:00

8.3 KiB
Raw Blame History

Projektübergabe — ISMS-Tool (Stand für Projektmanagement)

Stand: 2026-07-20 · Branch main · letzter Commit 6ddeedf (Serverseitige Modul-Durchsetzung) Zweck: Statusüberblick für die Weiterplanung — was ist umgesetzt, was ist offen (mit Priorität & grobem Aufwand).

Was ist das Produkt

Multi-Tenant-SaaS für Informationssicherheits-Management (ISMS), ausgerichtet auf ISO/IEC 27001:2022 und TISAX / VDA-ISA 2027. Web-App (Deutsch, EN vorbereitet), Dark-Theme, mandantenfähig (mehrere Kunden, Nutzer, Rollen). Mehrere fachliche Module + Plattform-/Kundenverwaltung.

Aufwands-Legende: S = klein (≤ 1 Tag) · M = mittel (2–4 Tage) · L = groß (> 1 Woche).

✅ Umgesetzt (produktiv nutzbar)

# Modul Umfang (Kurz)
1 Fundament Login/Auth (lokale Accounts, NextAuth v5, JWT), RBAC (granulare Rechte, Rollen je Mandant), Mandanten-Isolation (tenant_id + Postgres-RLS + zentraler App-Guard), i18n (de/en), Dark-Theme (zentrale Tokens), Audit-Log.
2 Assets & BIA Asset-Inventar + Geschäftsprozesse/BIA als ein Modul; C/I/A-Schutzbedarf, Vererbung, Abhängigkeiten; Detail/Bearbeiten/Anlegen als Popups; zugeordnete Risiken.
3 Risikoanalyse 5×5-Heatmap, Risikoregister, Risiko-Detail mit Maßnahmen (dezimale Minderung, Brutto→Rest visualisiert), Bedrohungs-/Schwachstellen-Kataloge, Control-Verknüpfung.
4 Maßnahmen Kanban-Board (Drag & Drop), berechnetes Restrisiko aus Maßnahmen.
5 Abhängigkeiten & kritische Pfade Interaktiver Graph (React Flow + dagre), Single Points of Failure, kritische Pfade.
6 Lieferanten- & IT-Service-Management Asset-basiert (Lieferant/IT-Service sind Assets); Anforderungs-Engine (Schutzbedarf→Stufen), Gate-Logik (erzeugt echte Risiken), ISB-Reifegrad-Freigabe; RACI-Matrix über ISA-Controls (VDA-ISA 6.1.3); Cockpit direkt aus dem Asset-Inventar öffenbar.
7 Richtlinien & Verfahren (VDA-ISA 2027) Siehe Detailblock unten — größtes Modul.
8 Admin-Konsole & Mandantenverwaltung (Phase 1) Plattform-Admin (/admin): Kunden anlegen + automatisch provisionieren, Module-Toggles, Lebenszyklus (aktiv/gesperrt/archiviert). Kunden-Einstellungen (/settings): Stammdaten → speisen ISMS-Variablen, Branding, TISAX-Level. Serverseitige Modul-Durchsetzung (deaktivierte Module gesperrt, nicht nur ausgeblendet).

Modul 7 „Richtlinien & Verfahren" im Detail (umgesetzt)

  • Import des VDA-ISA-2027-Vorlagenpakets: 28 Dokumente (Leitlinie L00, R01–R14, VA-01–VA-13), 316 Anforderungen (122 MUSS · 132 SOLL · 43 HOHER · 19 SEHR HOHER Schutzbedarf) über 45 Controls; Baseline-Parameter, Variablen, Nachweisregister.
  • Rendering-Engine: Handlebars (verschachtelte {{#if}}-Flags), Variablen aus einer Pflegestelle, Deep-Links, BL-Referenzen im Lesemodus entfernt; rückstandsfrei über alle Flag-Kombinationen.
  • Bibliothek + Referenz-/Coverage-Matrix (zwei Richtungen: nach Control / nach Dokument).
  • Lesemodus als eigene Seite (kein Popup); Bearbeitungsmodus variablenbasiert + Vier-Augen-Freigabe (Entwurf → In Freigabe → Freigegeben); Experten-Modus (Rohtext-Editor + Formatier-/Einfügehilfen + Auto-Anlage neuer Variablen).
  • Verwaltete Register (editierbar): Verschlüsselungsregister (mit Ablaufüberwachung), Risiko-Bewertungsmatrix (FB-80-04-Defaults), Klassifizierungs-Handhabungsmatrix (AA-80-20). Anwender-Handbuch (kuratiert, Baseline-synchron, Deep-Links).
  • Schutzbedarf-/TISAX-Level-Schalter (AL2/AL3) global + Override je Richtlinie.

🟥 Offen — Hohe Priorität

Thema Aufwand Anmerkung
NIS2-Modul (nie begonnen) L Framework Art. 20/21 + Control-Mapping, Einrichtungs-Einstufung + BSI-Registrierung, Incident-Reporting-Workflow mit Fristen-Timern (24 h / 72 h / 1 Monat), NIS2-Dashboard. War „Teil C" der ursprünglichen Planung.
Admin-Konsole Phase 2 — Impersonation M Zeitlich begrenzter, protokollierter Support-Zugriff in einen Mandanten; „Support-Sitzung aktiv"-Banner; automatischer Ablauf.
Admin-Konsole Phase 2 — Plan/Limits M Lizenzstufen, Limits (Nutzer/Speicher/Assets), Warnung/Sperre bei Überschreitung.
Separater Superadmin-Store + eigener Login + MFA-Pflicht M–L Aktuell ist der Superadmin ein isPlatformAdmin-Nutzer im Mandanten (Demo). Spec fordert getrennte Accounts + eigenen Login-Pfad.
Richtlinien: echte Versionierung + Diff M–L Aktuell ändert die Freigabe nur den Status (ohne Versionshistorie/Diff). Entwurf-neben-Freigegeben, block-/klauselgenauer Diff.
Richtlinien: DOCX/PDF-Export M Voll gerendert im GEFIM-Corporate-Design; Referenz-/Nachweisdoku separat.

🟧 Offen — Mittlere Priorität

Thema Aufwand Anmerkung
Richtlinien: Status „Revoked" + Auto-Version S Vom Kunden ausdrücklich für später gemerkt: Status-Auswahl inkl. Revoked (manuell), Version zählt bei jedem Speichern automatisch hoch.
Richtlinien: Word-Upload (.docx-Import) M Eigene Dokumente hochladen → Block-Modell + Original als Anhang, versioniert, im Freigabeprozess.
Richtlinien: KI-Wizard L Geführte Erstellung/Anpassung (control-getrieben, Feature-Flags/Reifegrad), KI formuliert Blocktext.
Richtlinien: KI-Formulierungshilfe im Experten-Modus M Braucht Anthropic-API-Anbindung.
Zentrale Baseline-/Variablen-Einstellseite S–M Eine Pflegestelle mit Freigabe-Durchlauf.
Admin Phase 2 — Logo-Upload / Objektspeicher je Mandant M Für UI-Kopf + Export (Branding/Whitelabel).
Admin Phase 2 — SMTP/Benachrichtigungen + Einladungs-/Aktivierungs-Flow M E-Mail-Einladung, Passwort-Setzen, Benachrichtigungsregeln (Fristen/Freigaben/Vorfälle).
Lieferanten Phase 2 M–L Fragebogen-Builder, Self-Service-Portal (externer Lieferantenzugang), Scheduler (Review-/Ablauf-Erinnerungen).
Risikomatrix zusammenführen M Bewertungsmatrix im Richtlinienmodul ist eigene 4×4-Pflegestelle (FB-80-04); Risikoanalyse nutzt 5×5. Auf eine gemeinsame, zentrale Skala vereinheitlichen.
Platzhalter-Module ausbauen je M–L Sidebar-Punkte vorhanden, aber nicht gebaut: SoA & Controls, Vorfälle, Nachweise, Management-Review, KI-Chat.

🟩 Offen — Niedrige Priorität / Technische Schulden

Thema Aufwand Anmerkung
Modul-Durchsetzung auf API-Ebene vervollständigen S Route-Zugriff (GET) ist für alle Module gesperrt; der requireModule-Guard in Server-Actions ist bisher exemplarisch nur für Richtlinien gesetzt. Einzeiler je Action-Guard nachziehen.
Richtlinien-Re-Import ist destruktiv M Re-Import löscht + legt Dokumente/Anforderungen neu an (setzt per-Dokument-Status/Override/Freigabe zurück). Spec wünscht „deaktivieren statt löschen" + Historie erhalten.
Coverage zeigt alle statt nur aktive Anforderungen S Referenzmatrix listet vollständig (gut für Audit); optional Filter „nur aktive" nach effektiven Flags.
Admin Phase 2 — Datenexport/Löschung/Retention (DSGVO) L Mandantenvollständiger Export, Löschkonzept, Aufbewahrungsfristen.
Optionale Zusatzfeatures je M SSO (OIDC/SAML), API-Keys/Webhooks, Onboarding-Wizard, E-Mail-Domain-Allowlist, Wartungs-/Status-Banner.

Hinweise für die Planung

  • Spezifikationen liegen im Repo: docs/SPEC.md (Gesamt-Spec) sowie die Übergabe-Prompts und Mockups je Modul (Richtlinien, Admin-Konsole). Neue Anforderungen kamen bisher als „Delta-Prompts" (z. B. TISAX-Level-Update).
  • Nächster logischer Block: entweder NIS2 (letztes großes Framework, hängt am Incident-/Vorfälle-Modul) oder Admin-Konsole Phase 2 (Impersonation + Plan/Limits + Superadmin-Login), je nach Vertriebs-/Compliance-Priorität.
  • Demo-Umgebung: Mandant „demo", Login admin@demo.example (ist Superadmin + Mandanten-Admin), Passwort im Seed. 4 Demo-Rollen vorhanden.
  • Qualität: Jede Iteration wurde mit tsc + lint + build und – wo möglich – Browser-Verifikation abgeschlossen; Commits sind fein granular und je Thema.
Reference in New Issue View Git Blame Copy Permalink