DevGovOps
JFrog erweitert DevGovOps um automatisierte DORA-Compliance und KI-basierte Release-Prüfungen
KI entwickelt schneller, als Compliance kontrollieren kann
KI-Agenten beschleunigen die Softwareentwicklung, doch regulatorische Kontrollen können mit diesem Tempo häufig nicht Schritt halten. Gleichzeitig erhöhen DORA , der Cyber Resilience Act und der EU AI Act den Druck auf Unternehmen, Sicherheit und Compliance für ihre Software kontinuierlich nachzuweisen. JFrog erweitert deshalb seine DevGovOps-Plattform um automatisierte Compliance-Prüfungen, KI-gestützte Richtlinien und signierte Nachweise für jedes Software-Release.
Mit neuen Funktionen für JFrog AppTrust will der Spezialist für Software-Supply-Chain-Sicherheit die bislang häufig getrennten Prozesse von Softwareentwicklung, Security und Compliance enger miteinander verzahnen. Im Mittelpunkt steht ein Ansatz, bei dem regulatorische Anforderungen nicht erst im Rahmen eines Audits überprüft werden, sondern bereits während der Entwicklung und Bereitstellung von Software.
Die auf der swampUP Europe 2026 in Barcelona vorgestellten Erweiterungen umfassen ein vorkonfiguriertes DORA-Compliance-Framework, Richtlinien auf Repository-Ebene sowie KI-gestützte Prüfmechanismen, sogenannte AI Verification Policies. Damit sollen CISOs und Entwicklungsverantwortliche eine gemeinsame Grundlage erhalten, um regulatorische Anforderungen umzusetzen und deren Einhaltung nachvollziehbar zu dokumentieren.
Regulierung trifft auf immer schnellere Entwicklungszyklen
Die Anforderungen an die Software-Compliance in Europa nehmen zu. Mit dem Digital Operational Resilience Act (DORA), dem Cyber Resilience Act (CRA) und dem EU AI Act entstehen beziehungsweise gelten bereits Regelwerke, die Unternehmen zu umfassenderen Sicherheitskontrollen, Risikobewertungen und Nachweispflichten verpflichten.
Besonders der CRA verdeutlicht, wie stark regulatorische Vorgaben künftig in operative Prozesse eingreifen. Hersteller von Produkten mit digitalen Elementen müssen unter anderem aktiv ausgenutzte Schwachstellen innerhalb festgelegter Fristen melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden und eine weiterführende Meldung innerhalb von 72 Stunden. Bei bestimmten schwerwiegenden Verstößen können Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes verhängt werden.
Während die regulatorischen Anforderungen steigen, verändert künstliche Intelligenz die Softwareentwicklung grundlegend. KI-gestützte Entwicklungstools und autonome Agenten können Code innerhalb kürzester Zeit erstellen, testen und für die Bereitstellung vorbereiten. Klassische Governance-Prozesse mit manuellen Freigaben und nachgelagerten Prüfungen entwickeln sich dadurch zunehmend zum Engpass.
Die Herausforderung besteht darin, Geschwindigkeit und Kontrolle miteinander zu verbinden, ohne zusätzliche Sicherheitsrisiken zu schaffen
Dass dieses Spannungsfeld bereits Auswirkungen auf die Compliance hat, verdeutlichen Umfrageergebnisse: Demnach machen 59 Prozent der befragten Unternehmen unter wirtschaftlichem Druck regelmäßig Abstriche bei der Einhaltung von Vorgaben. Gleichzeitig ordnen 43 Prozent ihren Compliance-Reifegrad auf der niedrigsten Stufe ein.
DevGovOps: Compliance wird Bestandteil der Software-Pipeline
JFrog setzt mit seinem DevGovOps-Ansatz auf eine kontinuierliche Integration von Governance und Compliance in den gesamten Software-Lebenszyklus.
Anstatt Sicherheits- und Compliance-Prüfungen erst vor der Produktivsetzung durchzuführen, sollen entsprechende Kontrollen direkt in Entwicklungsprozessen, Repositories und Release-Pipelines greifen. Die erforderlichen Nachweise werden automatisch erzeugt und den jeweiligen Software-Artefakten zugeordnet.
Damit verändert sich auch die Rolle der Compliance: Sie wird von einer überwiegend nachgelagerten Kontrollinstanz zu einem integrierten Bestandteil der Softwarebereitstellung.
„Regulierungen verlangen heute mehr Kontrollen und Transparenz, belegt durch Nachweise für jedes Release, und KI erhöht Tempo und Anzahl der Releases dramatisch“, erklärt Yoav Landman, Mitgründer und CTO von JFrog .
Entscheidend sei, kontinuierlich nachweisen zu können, dass ausgelieferte Software vertrauenswürdig ist – und zwar in dem Tempo, das KI-gestützte Entwicklungsprozesse inzwischen ermöglichen.
Eine zentrale Neuerung ist das vorkonfigurierte DORA-Compliance-Framework innerhalb von JFrog AppTrust.
Es basiert auf dem Prinzip Policy as Code (PaC). Regulatorische und organisatorische Anforderungen werden dabei in maschinenlesbare Regeln übersetzt, die sich automatisiert überprüfen und durchsetzen lassen.
JFrog stellt hierfür bereits vorbereitete Richtlinien bereit, die fünf wesentliche Bereiche der Softwarebereitstellung abdecken:
- IKT-Änderungsmanagement
- Integrität von Quellcode und Softwarekomponenten
- Schwachstellen- und Patch-Management
- Resilienztests
- Incident Management
Unternehmen können die für ihre Umgebung relevanten Kontrollen aktivieren, ohne sämtliche Richtlinien selbst entwickeln zu müssen. Jede Kontrolle ist bestimmten DORA-Anforderungen zugeordnet. Ein Scoring-System zeigt, welcher Anteil des jeweiligen Frameworks aktiviert wurde.
Für regulierte Organisationen bietet dieser Ansatz insbesondere die Möglichkeit, technische Sicherheitsmaßnahmen und regulatorische Anforderungen systematisch miteinander zu verknüpfen. Allerdings ersetzt eine solche technische Zuordnung weder die vollständige regulatorische Bewertung noch die Prüfung der tatsächlichen Wirksamkeit organisatorischer Maßnahmen.
Repository-Richtlinien verhindern unkontrollierte Softwarekomponenten
Mit den neuen Repo-Level Policies erweitert JFrog die Governance auf einzelne Software-Repositories. Unternehmen können damit unterschiedliche Sicherheits- und Compliance-Anforderungen abhängig vom jeweiligen Repository festlegen. Berücksichtigt werden beispielsweise die Sensibilität gespeicherter Komponenten, deren Verwendungszweck oder die aktuelle Phase im Software-Lebenszyklus.
So lassen sich strengere Regeln für produktive Anwendungen und geschäftskritische Komponenten definieren als für experimentelle Entwicklungsumgebungen. Automatisierte Freigabekontrollen sollen verhindern, dass nicht autorisierte oder nicht konforme Softwarekomponenten in nachgelagerte Entwicklungs- und Bereitstellungsprozesse gelangen. Gleichzeitig entstehen nachvollziehbare Audit-Trails, die dokumentieren, welche Richtlinien angewendet und welche Entscheidungen getroffen wurden.
KI prüft, ob Software tatsächlich den Vorgaben entspricht
Besonders interessant sind die neuen AI Verification Policies. Sie adressieren ein Risiko, das durch den zunehmenden Einsatz autonomer KI-Agenten in der Softwareentwicklung an Bedeutung gewinnt: die Abweichung zwischen ursprünglich definierten Anforderungen und tatsächlich implementiertem Code.
Entwicklungsteams können Richtlinien in natürlicher Sprache formulieren. Large Language Models überprüfen anschließend Software-Releases anhand dieser Vorgaben. JFrog nutzt hierfür eine sogenannte Prompt to Release Traceability. Damit lässt sich beispielsweise nachvollziehen, ob ein Pull Request tatsächlich den Anforderungen eines ursprünglichen Jira-Tickets entspricht.
Die Prüfungen sollen unter anderem Hinweise auf nicht autorisierte Architekturänderungen, Änderungen außerhalb des vorgesehenen Entwicklungsumfangs oder potenziell unerwünschte Codefunktionen liefern. Für jede Prüfung erstellt das System einen kryptografisch signierten Nachweis, der dem jeweiligen Release zugeordnet wird.
Der Ansatz verbindet damit klassische technische Sicherheitskontrollen mit einer zusätzlichen Bewertung der ursprünglichen Entwicklungsabsicht.
Allerdings gilt auch hier: KI-basierte Prüfungen können die Qualität und Nachvollziehbarkeit von Governance-Prozessen verbessern, bieten aber keine absolute Garantie dafür, dass sämtliche Manipulationen, Backdoors oder unerwünschten Änderungen erkannt werden.
Cyber Resilience Act: Nachweise müssen jederzeit verfügbar sein
Ein weiterer Schwerpunkt liegt auf der Vorbereitung auf den Cyber Resilience Act.
JFrog AppTrust soll ausgelieferte Softwarekomponenten kontinuierlich auf bekannte Schwachstellen überwachen und für jedes Release eine standardbasierte Software Bill of Materials (SBOM) bereitstellen. Zusätzlich werden Informationen über durchgeführte Sicherheitsscans und dokumentierte Behebungsmaßnahmen mit den jeweiligen Releases verknüpft. Dadurch sollen Unternehmen bei meldepflichtigen Sicherheitsvorfällen schneller auf die erforderlichen Informationen zugreifen können. Gerade angesichts der im CRA vorgesehenen Meldefristen wird die Verfügbarkeit belastbarer technischer Nachweise zu einem wichtigen Faktor für die operative Handlungsfähigkeit.
Die Plattform ist sowohl als Software-as-a-Service bei großen Cloud-Anbietern als auch für den selbst gehosteten Betrieb verfügbar. JFrog Artifactory fungiert dabei als zentrale Datenbasis für Software-Artefakte und zugehörige Nachweise.
Vom Audit-Termin zur kontinuierlichen Compliance
Die Erweiterungen von JFrog verdeutlichen einen grundlegenden Wandel in der Governance moderner Software-Lieferketten.
Je stärker KI-Agenten Entwicklungsaufgaben übernehmen und je kürzer Release-Zyklen werden, desto schwieriger lassen sich Sicherheits- und Compliance-Anforderungen mit punktuellen Kontrollen erfüllen.
Unternehmen benötigen deshalb Mechanismen, die regulatorische Vorgaben kontinuierlich in technische Entscheidungen übersetzen, deren Durchsetzung dokumentieren und Veränderungen über den gesamten Software-Lebenszyklus nachvollziehbar machen. Die Automatisierung dieser Prozesse kann den Aufwand für Audit-Vorbereitungen reduzieren und gleichzeitig die Transparenz über Softwarekomponenten, Änderungen und Sicherheitsrisiken verbessern.
Die entscheidende Entwicklung liegt jedoch nicht allein in der Automatisierung von Compliance-Prüfungen. Vielmehr entsteht mit DevGovOps ein Governance-Modell, bei dem Software-Sicherheit, regulatorische Anforderungen und KI-gestützte Entwicklung zunehmend als zusammenhängender Prozess betrachtet werden.
Für CISOs und Entwicklungsverantwortliche wird damit künftig weniger die Frage entscheidend sein, ob ihre Software bei einem Audit die notwendigen Nachweise liefert. Wichtiger wird, ob sich die Vertrauenswürdigkeit jedes einzelnen Releases bereits während seiner Entstehung nachvollziehbar überprüfen lässt.
