Durchgängige Absicherung und lückenlose Traceability für Cybersecurity, Functional Safety und den Cyber Resilience Act
Zur Übersichtsseite
Methodische Exzellenz und maßgeschneiderte Werkzeuge für die modellbasierte System- und Softwareentwicklung.
Zur Übersichtsseite
Enterprise-Software aus einer Hand: AI-Integration, Legacy-Migration und Full-Stack-Entwicklung — kosteneffizient und souverän gehostet.
Zur Übersichtsseite
Softwaredefinierte Produkte entstehen unter massivem regulatorischem und technischem Druck, mit Safety, Security und Systems Engineering in getrennten Tool- und Prozesswelten. itemis ANALYZE schafft durchgängige, auditierbare Traceability über bestehende Engineering-Landschaften hinweg: von Anforderungen über Architektur und Implementierung bis zu Tests, Validierung, Releases und Updates.
Requirements Traceability beschreibt die lückenlose Verkettung von Anforderungen, Architektur, Systemdesign, Software, Hardware, Tests, Validierung, Security Controls, Releases und Updates. Sie bildet die digitale Nachweisstruktur moderner Entwicklung.
Normen wie ISO 26262, IEC 61508, ISO/SAE 21434, IEC 62443 und der Cyber Resilience Act fordern nachvollziehbare Beziehungen zwischen Anforderungen, Implementierung, Tests und Validierung.
In der Praxis scheitert Traceability häufig an fragmentierten Tool-Landschaften: Anforderungen liegen in DOORS oder Polarion, Architekturmodelle entstehen in MBSE-Werkzeugen, Entwicklung läuft in GitLab, Tests werden separat verwaltet. Zwischen diesen Systemen entstehen Lücken, in denen Nachvollziehbarkeit verloren geht.
Ein Traceability Information Model (TIM) definiert, welche Artefakte miteinander verbunden sein müssen und wie sich Änderungen entlang des gesamten Entwicklungsprozesses nachvollziehen lassen. TIMs sind versioniert: Assertions im Traceability-Graph tragen Provenienz zur TIM-Version, gegen die sie validiert wurden. Diese Struktur macht Traceability nicht nur auditierbar, sondern reason-ready für KI-gestützte Analysen.
Unternehmen führen Requirements Traceability meist aus zwei Motiven ein:
Unsere Erfahrung aus der Praxis: Ein rein compliance-getriebenes Traceability-Projekt rechnet sich selten. Erst der wertgetriebene Einstieg holt die echte Rendite, und erfüllt die Compliance ganz automatisch nebenbei.
Dabei gilt ein Grundprinzip: KI beschleunigt Analysen, nicht Entscheidungen. Deterministische Traceability bildet die belastbare Grundlage für KI-gestützte semantische Analyse und Explainability. Freigabe, Governance und Verantwortlichkeit verbleiben beim Menschen, nicht in autonomer Automatisierung.
Anforderungen in DOORS, Architektur in MBSE-Werkzeugen, Entwicklung in GitLab, Tests separat. Zwischen diesen Systemen entstehen Lücken, in denen Nachvollziehbarkeit verloren geht.
Functional Safety, Cyber Security und Systems Engineering laufen in getrennten Tool-, Prozess- und Organisationswelten, mit inkonsistenten Anforderungen und redundantem Audit-Aufwand.
Assessment-Vorbereitungen binden wertvolle Engineering-Zeit über Wochen, während fehlende Transparenz über Änderungsauswirkungen Risiken im Verborgenen lässt.
Assessment-Vorbereitungen, die bisher mehrere Wochen in Anspruch nehmen, können mit durchgängiger Traceability und KI-gestützter Analyse auf wenige Stunden reduziert werden.
Bei einer Anforderungsänderung zeigt eine durchgängige Impact-Analyse auf Knopfdruck, welche Software-Komponenten, Testfälle, Safety-Nachweise und Security Controls betroffen sind.
Neue Schwachstellen, geänderte Komponenten und aktualisierte Security Controls werden unmittelbar in bestehende System-, Risiko- und Verifikationszusammenhänge eingeordnet.
Für einen führenden Automobilzulieferer musste die Brücke zwischen Systemarchitektur, Functional Safety und ASPICE-Compliance geschlagen werden, konsistent, auditierbar und über heterogene Tool-Landschaften hinweg.
HARA- und TARA-Ergebnisse wurden direkt mit Architektur-, Software- und Testartefakten verbunden. Die System-FMEA wurde automatisiert aus der Systemarchitektur abgeleitet. Das Ergebnis: Die ASPICE-Assessment-Vorbereitung wurde von mehreren Wochen auf wenige Stunden reduziert, live demonstriert im Webinar „ASPICE in 5 Hours instead of 5 Weeks". → Functional Safety: ISO 26262 & IEC 61508
Defence-Projekte kombinieren höchste Anforderungen an Nachvollziehbarkeit, Datensouveränität und auditierbare Entwicklungsprozesse.
Deterministische Traceability verbindet System-, Software- und Verifikationsartefakte vollständig innerhalb der souveränen On-Premises-Infrastruktur. Das Ergebnis: Nachvollziehbare Entscheidungswege, konsistente Governance und revisionssichere Nachweisketten ohne Kompromisse bei Datensouveränität. Requirements Traceability als operatives Engineering-Werkzeug, nicht als Compliance-Pflicht.
Requirements Traceability ist kein Allheilmittel. Es bringt keinen Nutzen bei:
Passt Requirements Traceability zu Ihrer aktuellen Situation?
Mit dem Cyber Resilience Act (CRA) werden kontinuierliche Cybersecurity-Nachweispflichten erstmals relevant für nahezu alle vernetzten Produkte, weit über die klassischen Safety-Branchen hinaus. Gleichzeitig erhöhen ASPICE 4.0 und ISO 21434 die formalen Anforderungen an Traceability in der Automotive-Softwareentwicklung, UN R155/R156 verankern kontinuierliche Security-Prozesse als regulatorische Normalität.
Requirements Traceability ist dabei nicht optional: Sie ist die operative Grundlage, um Compliance-Nachweise überhaupt erst rechtssicher und auditierbar erbringen zu können.
Moderne Produkte kombinieren Embedded Software, Elektronik, Mechanik, Cloud-Dienste und OTA-Ökosysteme. Mit wachsender Anzahl beteiligter Disziplinen und Toolchains steigt der operative Aufwand für Synchronisation, Änderungsmanagement und Audit-Nachweise überproportional.
Requirements Traceability macht genau diese verdeckten Zusammenhänge sichtbar und schafft die Transparenz, die für kontrollierbare Produktentwicklung notwendig ist.
Bisher war der Aufbau durchgängiger Traceability durch manuelle Pflege, Tool-Migrationen und fehlende Integration stark erschwert. Moderne Technologien lösen diese Barrieren auf:
Connector Agents verbinden Engineering-Daten aus Polarion, DOORS, Jama, Jira, GitLab und MBSE-Werkzeugen zu durchgängigen Nachweisketten, ohne Migration. LLMs erhalten über MCP-Server Zugriff auf Traceability-Daten und ermöglichen konversationelle Compliance-Analysen.
Bidirektionale Traceability beantwortet die Frage: Existiert ein Link? Anforderungskonsistenz beantwortet eine grundlegend andere Frage: Macht dieser Link tatsächlich Sinn?
Eine Anforderung kann formal mit einem Testfall, einem Architektur-Element oder einer Safety-Maßnahme verknüpft sein — und der Link ist dennoch semantisch falsch, veraltet oder schlicht unzutreffend. Standard-Traceability-Werkzeuge erkennen das nicht: Sie erfassen nur, ob eine Verbindung besteht, nicht ob sie inhaltlich korrekt ist.
Die semantische Korrektheit von Traceability-Links zu prüfen gehört zu den aufwändigsten Review-Aktivitäten in der regulierten Entwicklung. Reviews werden typischerweise nach dem Vier-Augen-Prinzip durchgeführt — Link für Link: Verifiziert dieser Testfall wirklich, was die Anforderung fordert? Implementiert dieses Architektur-Element die übergeordnete Systemanforderung? Adressiert diese Safety-Maßnahme die verknüpfte Gefährdung?
In mittelgroßen Projekten kann das mehrere Tage oder Wochen erfahrener Engineering-Zeit binden — und muss bei jeder wesentlichen Änderung oder Assessment-Vorbereitung wiederholt werden.
Die Kombination aus itemis ANALYZE und KI-Skills verändert das grundlegend. itemis ANALYZE stellt den vollständigen Traceability-Graphen über einen MCP-Server bereit und gibt KI-Modellen strukturierten Zugriff auf die Beziehungen zwischen Anforderungen, Architektur, Tests und Safety-Nachweisen. KI-Skills wie der ASPICE Agent wenden eine Kombination aus LLM-Reasoning und deterministischen Regelprüfungen an, um zu prüfen, ob jeder Link semantisch konsistent ist.
Das ersetzt kein menschliches Urteilsvermögen — Freigabe, Governance und Verantwortlichkeit verbleiben bei Ihren Engineers. Aber es verschiebt den Aufwand erheblich: Statt Hunderte von Links manuell zu prüfen, konzentrieren sich Engineers auf die Fälle, bei denen die Analyse eine potenzielle Inkonsistenz meldet.
→ KI-Enablement: was KI-Skills in der Praxis leisten · → Model-Based Systems Engineering: strukturierte Traceability von Architektur bis Tests
Es gibt nicht den einen richtigen Traceability-Ansatz. Es gibt nur den, der zu Ihrem Vorhaben passt. Wir analysieren gemeinsam die konkreten Rahmenbedingungen anhand von vier Schlüsselfragen:
Wir unterstützen vollkommen herstellerunabhängig. Ob IBM DOORS, Siemens Polarion, PTC Codebeamer/Integrity, Jama Connect oder Git-basierte Workflows, wir begleiten methodisch und neutral. itemis arbeitet seit über 18 Jahren an Traceability-Lösungen für regulierte Industrien und ist aktives Mitglied der GfSE (Gesellschaft für Systems Engineering).
Die erfolgreiche Einführung ist kein unüberschaubares Großprojekt, sondern ein strukturierter, transparenter Prozess.
1. Traceability Maturity Assessment & Zieldefinition
Wir analysieren den aktuellen Traceability-Reifegrad, reviewen die Werkzeuglandschaft, identifizieren die größten Lücken und definieren ein gemeinsames Zielbild, untermauert mit messbaren KPIs.
2. Traceability Information Model (TIM) & Tailoring
Standards liefern regulatorische Anforderungen, aber kein passgenaues Traceability-Modell für Ihre Realität. Wir definieren gemeinsam, welche Artefakte verbunden sein müssen, welche Beziehungstypen relevant sind und wie das TIM versioniert und validiert wird.
3. Begleitung im Pilotprojekt
Wir begleiten Sie bei einem passenden Pilotprojekt direkt im Alltag, fachlich bei der Traceability-Modellierung und Impact-Analyse, technisch bei der Tool-Integration und Adapter-Konfiguration.
4. Skalierung & Roll-out
Den Roll-out der Traceability-Methodik in weitere Projekte und Abteilungen unterstützen wir flexibel durch aktive Mitarbeit in Ihrer Engineering- und Compliance-Organisation.
Parallel zu allen Schritten schulen wir die beteiligten Mitarbeiter durch gezielte Trainings in Requirements Engineering, Traceability-Best-Practices, modellbasierter Entwicklung und dem kontrollierten Einsatz von KI im Engineering-Alltag.
Erstgespräch ohne Verpflichtung: Wenn Requirements Traceability für Ihren aktuellen Reifegrad noch zu früh ist, sagen wir das auch.
Jetzt Termin mit Florian Antony, Benjamin Alders und Dr. Stephan Eberle vereinbaren.
KI kann heute TARAs, Traceability-Matrizen und Safety Cases erzeugen, die strukturell vollständig und terminologisch korrekt sind. Das wirft eine Frage auf: Was wird dabei eigentlich verifiziert? Das Problem ist nicht KI-generierte Dokumentation. Es sind Compliance-Prozesse, die auf Artefakte optimieren statt auf die Eigenschaften, die diese Artefakte abbilden sollen.
Zum Blog
Florian Antony
6 Min. Lesezeit
Modelix macht domänenspezifische Sprachen zugänglich für Nicht-Entwickler – als moderne Web-Applikation mit nahtloser Integration in bewährte Entwicklerwerkzeuge.
Zum Webinar
ISO/SAE 21434 und UN-Regulation 155 fordern Cybersecurity über den gesamten Fahrzeuglebenszyklus – von der Entwicklung bis zur Außerbetriebnahme. Erfahren Sie die wichtigsten Anforderungen und Best Practices.
Zum Webinar
Traceability ist mehr als ein Compliance-Pflichtpunkt. Was der Begriff in der Software- und Systementwicklung bedeutet, welche Erkenntnisse sie liefert und welche Herausforderungen damit verbunden sind.
Zum Blog
Florian Antony
5 Min. Lesezeit
Eine Requirements Traceability Matrix ist mehr als ein Buchführungswerkzeug. Fünf zentrale Fragen, die sie im Projektalltag beantwortet — plus eine Bonusfrage.
Zum Blog
Florian Antony
5 Min. Lesezeit
Requirements Coverage wird von Prozessstandards wie Automotive SPICE gefordert, ist aber kaum einheitlich definiert. Was der Begriff wirklich bedeutet und wie man ihn sinnvoll misst.
Zum Blog
Florian Antony
5 Min. Lesezeit
I.G.Bauerhin ersetzte aufwändige Compliance-Tabellen durch itemis ANALYZE und arbeitet seitdem 70 % effizienter.
Zum Projekt
FORVIA HELLAs EPS bestand 2023 das ISO 26262 Safety Assessment nach MBSE-Unterstützung durch itemis.
Zum Projekt
