version: "1.0"
description: >
  30 Core/Universal Control Patterns — domain-uebergreifende Sicherheits- und
  Compliance-Massnahmen, die fuer nahezu jede Organisation relevant sind.

patterns:

  # =========================================================================
  # AUTH Domain — Identity & Access Management (4 Patterns)
  # =========================================================================

  - id: CP-AUTH-001
    name: password_policy
    name_de: Passwortrichtlinie
    domain: AUTH
    category: authentication
    description: >
      Mindestanforderungen an Passwort-Komplexitaet, -Rotation und -Speicherung
      zur Reduktion von Credential-basierten Angriffen.
    objective_template: >
      Sicherstellen, dass Passwortrichtlinien ein angemessenes Sicherheitsniveau
      gewaehrleisten und Brute-Force-Angriffe erschweren.
    rationale_template: >
      Schwache Passwoerter sind der haeufigste Angriffsvektor. Eine verbindliche
      Passwortrichtlinie reduziert das Risiko kompromittierter Zugaenge erheblich.
    requirements_template:
      - "Mindestlaenge von {min_length:12} Zeichen fuer alle Benutzerkonten"
      - "Komplexitaetsanforderungen: Gross-/Kleinbuchstaben, Ziffern, Sonderzeichen"
      - "Ausschluss gaengiger Passwoerter gegen Wortlisten (z.B. HIBP)"
      - "Passwort-Hashing mit {algorithm:bcrypt/argon2} und Salt"
      - "Keine periodische Zwangsrotation ohne Anlass (NIST-konform)"
    test_procedure_template:
      - "Pruefung der Passwort-Policy-Konfiguration im Identity-Provider"
      - "Testregistrierung mit zu schwachem Passwort (muss abgelehnt werden)"
      - "Verifikation des Hashing-Algorithmus in der Datenbank"
    evidence_template:
      - "Passwortrichtlinie (Dokument)"
      - "Screenshots: Policy-Konfiguration im IdP"
      - "Penetrationstest-Bericht (Credential-Bereich)"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-63B", ref: "Section 5.1.1" }
      - { framework: "OWASP ASVS", ref: "V2.1" }
    obligation_match_keywords:
      - passwort
      - authentifizierung
      - zugang
      - credential
      - password
      - kennwort
      - anmeldedaten
    tags: [authentication, password, credential]
    composable_with: [CP-AUTH-002, CP-AUTH-003]

  - id: CP-AUTH-002
    name: multi_factor_authentication
    name_de: Multi-Faktor-Authentifizierung
    domain: AUTH
    category: authentication
    description: >
      Absicherung von Benutzerkonten durch mindestens zwei unabhaengige
      Authentifizierungsfaktoren aus unterschiedlichen Kategorien.
    objective_template: >
      Privilegierte und risikobehaftete Zugaenge durch mindestens zwei
      unabhaengige Authentisierungsfaktoren schuetzen.
    rationale_template: >
      Einzelfaktor-Authentisierung bietet ungenuegenden Schutz gegen Phishing,
      Credential Stuffing und Session Hijacking. MFA reduziert das Risiko
      kompromittierter Konten um ueber 99%.
    requirements_template:
      - "Mindestens zwei Faktoren aus unterschiedlichen Kategorien (Wissen, Besitz, Biometrie)"
      - "TOTP oder FIDO2/WebAuthn als zweiter Faktor unterstuetzt"
      - "Recovery Codes sicher generiert und verschluesselt gespeichert"
      - "MFA-Bypass nur mit dokumentierter Ausnahme und zeitlicher Begrenzung"
      - "MFA-Enrollment bei Erstanmeldung erzwungen"
    test_procedure_template:
      - "Admin-Login ohne zweiten Faktor muss abgelehnt werden"
      - "TOTP-Codes mit falschem Shared Secret muessen abgelehnt werden"
      - "Recovery Codes nach einmaliger Nutzung invalidiert"
    evidence_template:
      - "MFA-Policy (Dokument)"
      - "IdP-Konfiguration (Screenshots)"
      - "MFA-Abdeckungsbericht (% der Nutzer mit aktivem MFA)"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "OWASP ASVS", ref: "V2.8" }
      - { framework: "NIST SP 800-63B", ref: "Section 4" }
    obligation_match_keywords:
      - multi-faktor
      - zwei-faktor
      - mfa
      - 2fa
      - authentifizierung
      - two-factor
      - authentication
    tags: [authentication, mfa, identity]
    composable_with: [CP-AUTH-001, CP-AUTH-003]

  - id: CP-AUTH-003
    name: session_management
    name_de: Sitzungsverwaltung
    domain: AUTH
    category: authentication
    description: >
      Sichere Verwaltung von Benutzersitzungen inkl. Token-Erzeugung,
      Timeout-Konfiguration und Invalidierung bei Logout oder Inaktivitaet.
    objective_template: >
      Sitzungstoken sicher erzeugen, uebertragen und nach Inaktivitaet oder
      Logout zuverlaessig invalidieren.
    rationale_template: >
      Unsichere Sitzungsverwaltung ermoeglicht Session Hijacking, Replay-Angriffe
      und unbefugten Zugriff auf authentifizierte Bereiche.
    requirements_template:
      - "Sitzungstoken mit kryptographisch sicherem Zufallsgenerator erzeugt (min. 128 Bit Entropie)"
      - "Session-Timeout nach {idle_timeout:30} Minuten Inaktivitaet"
      - "Absolute Session-Lifetime von maximal {max_lifetime:8} Stunden"
      - "Token-Invalidierung bei Logout serverseitig durchgesetzt"
      - "Secure-, HttpOnly- und SameSite-Flags auf Session-Cookies gesetzt"
    test_procedure_template:
      - "Pruefung der Token-Entropie (min. 128 Bit)"
      - "Verifizierung des Inaktivitaets-Timeouts"
      - "Test: Nach Logout kein Zugriff mit altem Token moeglich"
    evidence_template:
      - "Session-Management-Konfiguration"
      - "Penetrationstest-Bericht (Session-Bereich)"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "OWASP ASVS", ref: "V3.1" }
      - { framework: "NIST SP 800-63B", ref: "Section 7" }
    obligation_match_keywords:
      - sitzung
      - session
      - token
      - timeout
      - anmeldung
      - abmeldung
      - logout
    tags: [authentication, session, token]
    composable_with: [CP-AUTH-001, CP-AUTH-002]

  - id: CP-ACC-001
    name: access_control
    name_de: Zugriffskontrolle
    domain: ACC
    category: authorization
    description: >
      Rollenbasierte Zugriffskontrolle (RBAC) mit dem Prinzip der
      geringsten Berechtigung fuer alle Systeme und Daten.
    objective_template: >
      Zugriff auf Systeme und Daten nach dem Need-to-Know-Prinzip beschraenken
      und durch rollenbasierte Berechtigungen durchsetzen.
    rationale_template: >
      Unkontrollierter Zugriff erhoehrt das Risiko von Datenlecks, unautorisierten
      Aenderungen und Compliance-Verstoessen. RBAC reduziert die Angriffsflaeche
      und vereinfacht die Berechtigungsverwaltung.
    requirements_template:
      - "Rollenbasiertes Zugriffsmodell (RBAC) fuer alle Systeme implementiert"
      - "Least-Privilege-Prinzip: Nur die fuer die Aufgabe notwendigen Rechte"
      - "Regelmaessige Berechtigungsrezertifizierung (min. {review_interval:halbjaehrlich})"
      - "Entzug von Berechtigungen bei Rollenwechsel oder Austritt innerhalb von {revoke_hours:24} Stunden"
      - "Administratorrechte nur fuer explizit benannte Personen"
    test_procedure_template:
      - "Pruefung des Rollenmodells auf Least-Privilege-Konformitaet"
      - "Stichprobe: Berechtigungen eines Nutzers nach Abteilungswechsel"
      - "Audit-Log der letzten Berechtigungsaenderungen pruefen"
    evidence_template:
      - "Berechtigungskonzept (Dokument)"
      - "Rezertifizierungsprotokoll"
      - "Rollenzuordnungs-Matrix"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-53", ref: "AC-2, AC-3, AC-6" }
      - { framework: "OWASP ASVS", ref: "V4.1" }
    obligation_match_keywords:
      - zugriff
      - berechtigung
      - autorisierung
      - rolle
      - access
      - permission
      - authorization
      - rbac
    tags: [access_control, authorization, rbac]
    composable_with: [CP-AUTH-001, CP-AUTH-002]

  # =========================================================================
  # CRYP Domain — Cryptographic Operations (3 Patterns)
  # =========================================================================

  - id: CP-CRYP-001
    name: encryption_at_rest
    name_de: Verschluesselung ruhender Daten
    domain: CRYP
    category: encryption
    description: >
      Verschluesselung gespeicherter Daten (Datenbanken, Dateisysteme, Backups)
      zum Schutz vor unberechtigtem physischem Zugriff.
    objective_template: >
      Alle personenbezogenen und vertraulichen Daten im Ruhezustand durch
      angemessene Verschluesselung schuetzen.
    rationale_template: >
      Unverschluesselte Speichermedien sind bei Diebstahl, unsachgemaesser
      Entsorgung oder Cloud-Fehlkonfiguration unmittelbar kompromittiert.
    requirements_template:
      - "AES-256 oder vergleichbar fuer alle personenbezogenen Daten"
      - "Datenbank-Level Encryption (TDE) oder Filesystem-Verschluesselung"
      - "Backup-Medien verschluesselt gespeichert"
      - "Schluesselmanagement gemaess CP-CRYP-003"
    test_procedure_template:
      - "Pruefung der Verschluesselungskonfiguration in Datenbank und Storage"
      - "Versuch, auf rohe Datenbankdateien ohne Key zuzugreifen"
      - "Verifizierung der Backup-Verschluesselung"
    evidence_template:
      - "Verschluesselungsrichtlinie"
      - "Konfigurationsnachweise (DB, Storage)"
      - "Schluesselmanagement-Dokumentation"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-111", ref: "Section 4" }
      - { framework: "OWASP ASVS", ref: "V6.2" }
    obligation_match_keywords:
      - verschluesselung
      - encryption
      - ruhende daten
      - at rest
      - speicherung
      - kryptographisch
      - chiffrierung
    tags: [encryption, data_protection, storage]
    composable_with: [CP-CRYP-002, CP-CRYP-003]

  - id: CP-CRYP-002
    name: encryption_in_transit
    name_de: Transportverschluesselung
    domain: CRYP
    category: encryption
    description: >
      Verschluesselung aller Daten waehrend der Uebertragung durch TLS 1.2+
      oder vergleichbare Protokolle.
    objective_template: >
      Alle Daten waehrend der Uebertragung durch aktuelle Transportverschluesselung
      gegen Abhoeren und Manipulation schuetzen.
    rationale_template: >
      Unverschluesselte Kommunikation ermoeglicht Man-in-the-Middle-Angriffe,
      Abhoeren sensibler Daten und Manipulation von Nachrichten.
    requirements_template:
      - "TLS 1.2 oder hoeher fuer alle externen Verbindungen"
      - "TLS 1.3 bevorzugt wo technisch moeglich"
      - "Deaktivierung veralteter Protokolle (SSLv3, TLS 1.0/1.1)"
      - "HSTS-Header mit min. {hsts_max_age:31536000} Sekunden"
      - "Certificate Pinning fuer kritische API-Verbindungen evaluiert"
    test_procedure_template:
      - "TLS-Scan aller oeffentlichen Endpunkte (z.B. testssl.sh)"
      - "Pruefung auf deaktivierte Legacy-Protokolle"
      - "Verifizierung der HSTS-Header"
    evidence_template:
      - "TLS-Scan-Ergebnis"
      - "Webserver-/Load-Balancer-Konfiguration"
      - "HSTS-Konfigurationsnachweis"
    severity_default: high
    implementation_effort_default: s
    open_anchor_refs:
      - { framework: "NIST SP 800-52", ref: "Rev. 2" }
      - { framework: "OWASP ASVS", ref: "V9.1" }
    obligation_match_keywords:
      - transport
      - uebertragung
      - tls
      - ssl
      - verschluesselung
      - kommunikation
      - transit
      - verbindung
    tags: [encryption, transport, tls]
    composable_with: [CP-CRYP-001, CP-CRYP-003]

  - id: CP-CRYP-003
    name: key_management
    name_de: Schluesselmanagement
    domain: CRYP
    category: encryption
    description: >
      Sichere Erzeugung, Speicherung, Rotation und Vernichtung kryptographischer
      Schluessel ueber den gesamten Lebenszyklus.
    objective_template: >
      Kryptographische Schluessel sicher erzeugen, speichern, regelmaessig
      rotieren und bei Bedarf sicher vernichten.
    rationale_template: >
      Selbst starke Verschluesselung ist wertlos, wenn Schluessel unsicher
      gespeichert, nie rotiert oder nicht ordnungsgemaess vernichtet werden.
    requirements_template:
      - "Schluessel in Hardware Security Module (HSM) oder Vault gespeichert"
      - "Automatische Rotation alle {rotation_days:365} Tage"
      - "Schluessel-Backup verschluesselt und getrennt gelagert"
      - "Sichere Vernichtung: Cryptographic Erasure bei Ausserbetriebnahme"
      - "Zugriff auf Schluessel nur fuer explizit autorisierte Dienste"
    test_procedure_template:
      - "Pruefung der Schluessel-Speicherorte (kein Klartext in Code/Config)"
      - "Verifizierung der Rotationszyklen"
      - "Nachweis der Schluessel-Zugriffskontrolle"
    evidence_template:
      - "Schluesselmanagement-Policy"
      - "HSM/Vault-Konfiguration"
      - "Rotationsprotokoll"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST SP 800-57", ref: "Part 1, Rev. 5" }
      - { framework: "OWASP ASVS", ref: "V6.4" }
    obligation_match_keywords:
      - schluessel
      - key management
      - rotation
      - kryptographisch
      - hsm
      - vault
      - zertifikat
    tags: [encryption, key_management, cryptography]
    composable_with: [CP-CRYP-001, CP-CRYP-002]

  # =========================================================================
  # DATA Domain — Data Governance (5 Patterns)
  # =========================================================================

  - id: CP-DATA-001
    name: data_classification
    name_de: Datenklassifizierung
    domain: DATA
    category: data_protection
    description: >
      Systematische Einstufung aller Datenbestaende nach Schutzbedarf
      und Sensitivitaet als Grundlage fuer angemessene Schutzmassnahmen.
    objective_template: >
      Alle Datenbestaende nach einem einheitlichen Schema klassifizieren
      und den Schutzbedarf dokumentieren.
    rationale_template: >
      Ohne Klassifizierung werden entweder alle Daten gleich behandelt
      (uebermaessiger Aufwand) oder sensible Daten unzureichend geschuetzt.
    requirements_template:
      - "Klassifizierungsschema mit mindestens 4 Stufen (oeffentlich, intern, vertraulich, streng vertraulich)"
      - "Alle Datenbestaende klassifiziert und im Dateninventar dokumentiert"
      - "Automatische Klassifizierung fuer strukturierte Daten wo moeglich"
      - "Regelmaessige Ueberpruefung der Klassifizierung (min. jaehrlich)"
    test_procedure_template:
      - "Stichprobe: 10 Datenbestaende auf korrekte Klassifizierung pruefen"
      - "Pruefung ob neue Projekte ein Klassifizierungsverfahren durchlaufen"
    evidence_template:
      - "Datenklassifizierungsrichtlinie"
      - "Dateninventar mit Schutzbedarfseinstufung"
      - "Klassifizierungsprotokoll"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-60", ref: "Vol. 1, Rev. 1" }
    obligation_match_keywords:
      - klassifizierung
      - schutzbedarf
      - datenkategorie
      - classification
      - datenarten
      - sensibilitaet
      - vertraulich
    tags: [data_protection, classification, governance]
    composable_with: [CP-DATA-002, CP-DATA-003]

  - id: CP-DATA-002
    name: data_minimization
    name_de: Datenminimierung
    domain: DATA
    category: data_protection
    description: >
      Beschraenkung der Datenerhebung und -verarbeitung auf das fuer den
      jeweiligen Zweck erforderliche Mass (Art. 5 Abs. 1 lit. c DSGVO).
    objective_template: >
      Sicherstellen, dass nur die fuer den definierten Zweck notwendigen
      personenbezogenen Daten erhoben und verarbeitet werden.
    rationale_template: >
      Uebermaessige Datenerhebung erhoehrt die Angriffsflaeche, das
      Schadenspotential bei Datenpannen und das Risiko von DSGVO-Bussgeldern.
    requirements_template:
      - "Fuer jede Datenerhebung ist der Zweck dokumentiert"
      - "Erhobene Datenfelder sind auf das Notwendige reduziert"
      - "Optionale Felder sind klar als solche gekennzeichnet"
      - "Regelmaessige Ueberpruefung bestehender Datenbestaende auf Notwendigkeit"
    test_procedure_template:
      - "Review aller Formulare und Eingabemasken auf ueberfluessige Felder"
      - "Pruefung des VVT auf Zweckbindung jeder Verarbeitung"
    evidence_template:
      - "Verarbeitungsverzeichnis (VVT) mit Zweckangaben"
      - "Review-Protokoll Datenminimierung"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "ENISA Guidelines", ref: "Data Protection by Design" }
    obligation_match_keywords:
      - datenminimierung
      - datensparsamkeit
      - zweckbindung
      - erforderlich
      - minimization
      - purpose limitation
      - notwendig
    tags: [data_protection, minimization, gdpr]
    composable_with: [CP-DATA-001, CP-DATA-003]

  - id: CP-DATA-003
    name: retention_policy
    name_de: Aufbewahrungsfristen und Loeschkonzept
    domain: DATA
    category: data_protection
    description: >
      Definition und Durchsetzung von Aufbewahrungsfristen fuer alle
      Datenkategorien mit automatisierter Loeschung nach Fristablauf.
    objective_template: >
      Aufbewahrungsfristen fuer alle Datenkategorien definieren und die
      fristgerechte Loeschung technisch und organisatorisch sicherstellen.
    rationale_template: >
      Ohne definierte Loeschfristen wachsen Datenbestaende unbegrenzt, erhoehen
      das Risiko bei Datenpannen und verstoessen gegen Art. 5 Abs. 1 lit. e DSGVO.
    requirements_template:
      - "Loeschkonzept fuer alle Datenkategorien dokumentiert"
      - "Aufbewahrungsfristen je Kategorie definiert und begruendet"
      - "Automatisierte Loeschprozesse implementiert wo technisch moeglich"
      - "Protokollierung aller Loeschvorgaenge"
      - "Regelmaessige Pruefung auf abgelaufene Aufbewahrungsfristen"
    test_procedure_template:
      - "Stichprobe: 5 Datenkategorien auf korrekte Loeschfristen pruefen"
      - "Nachweis automatisierter Loeschlaeufe (Logs)"
      - "Pruefung ob geloeschte Daten tatsaechlich nicht wiederherstellbar sind"
    evidence_template:
      - "Loeschkonzept"
      - "Loeschprotokolle"
      - "Konfiguration automatisierter Loeschprozesse"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "ENISA Guidelines", ref: "Data Retention" }
    obligation_match_keywords:
      - loeschung
      - aufbewahrung
      - retention
      - speicherbegrenzung
      - loeschfrist
      - deletion
      - speicherdauer
    tags: [data_protection, retention, deletion]
    composable_with: [CP-DATA-001, CP-DATA-002]

  - id: CP-DATA-004
    name: consent_management
    name_de: Einwilligungsmanagement
    domain: DATA
    category: data_protection
    description: >
      Systematische Einholung, Dokumentation und Verwaltung von Einwilligungen
      fuer die Verarbeitung personenbezogener Daten.
    objective_template: >
      Einwilligungen rechtskonform einholen, dokumentieren und jederzeit
      den Nachweis einer gueltigen Einwilligung fuehren koennen.
    rationale_template: >
      Ohne nachweisbare Einwilligung fehlt die Rechtsgrundlage fuer
      einwilligungsbasierte Verarbeitungen, was zu Bussgeldern fuehrt.
    requirements_template:
      - "Granulare Einwilligungsoption fuer jeden Verarbeitungszweck"
      - "Einwilligung muss freiwillig, informiert, spezifisch und eindeutig sein"
      - "Widerruf jederzeit moeglich und ebenso einfach wie Erteilung"
      - "Versionierte Speicherung aller Einwilligungen mit Zeitstempel"
      - "Nachweis der Einwilligung exportierbar fuer Aufsichtsbehoerden"
    test_procedure_template:
      - "Pruefung des Consent-Dialogs auf Granularitaet und Freiwilligkeit"
      - "Test: Widerruf einer Einwilligung und Verifizierung der Umsetzung"
      - "Export der Consent-Historie eines Testnutzers"
    evidence_template:
      - "Einwilligungsmanagement-Dokumentation"
      - "Consent-Logs mit Zeitstempel"
      - "Screenshots: Consent-Dialog"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "ENISA Guidelines", ref: "Consent Management" }
    obligation_match_keywords:
      - einwilligung
      - consent
      - zustimmung
      - widerruf
      - opt-in
      - opt-out
      - freiwillig
    tags: [data_protection, consent, gdpr]
    composable_with: [CP-DATA-002, CP-COMP-003]

  - id: CP-DATA-005
    name: privacy_impact_assessment
    name_de: Datenschutz-Folgenabschaetzung
    domain: DATA
    category: data_protection
    description: >
      Durchfuehrung einer Datenschutz-Folgenabschaetzung (DSFA) bei
      Verarbeitungen mit hohem Risiko fuer die Rechte betroffener Personen.
    objective_template: >
      Risiken fuer die Rechte und Freiheiten betroffener Personen systematisch
      bewerten und durch angemessene Massnahmen minimieren.
    rationale_template: >
      Art. 35 DSGVO verpflichtet zur DSFA bei Verarbeitungen mit voraussichtlich
      hohem Risiko. Ohne DSFA drohen Bussgelder und unerkannte Datenschutzrisiken.
    requirements_template:
      - "DSFA-Pflicht fuer alle Verarbeitungen mit hohem Risiko (Art. 35 DSGVO)"
      - "Systematische Risikobewertung mit dokumentierter Methodik"
      - "Einbeziehung des Datenschutzbeauftragten"
      - "Dokumentation der Abhilfemassnahmen und Restrisiken"
      - "Konsultation der Aufsichtsbehoerde bei hohem Restrisiko (Art. 36 DSGVO)"
    test_procedure_template:
      - "Pruefung ob fuer alle Hochrisiko-Verarbeitungen eine DSFA vorliegt"
      - "Review einer DSFA auf Vollstaendigkeit und Nachvollziehbarkeit"
    evidence_template:
      - "DSFA-Dokumentation"
      - "Risikobewertungsmatrix"
      - "Massnahmenplan"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "ENISA Guidelines", ref: "DPIA Framework" }
    obligation_match_keywords:
      - folgenabschaetzung
      - dsfa
      - dpia
      - risikobewertung
      - hohes risiko
      - impact assessment
      - datenschutzrisiko
    tags: [data_protection, dpia, risk_assessment]
    composable_with: [CP-COMP-001, CP-COMP-004]

  # =========================================================================
  # LOG Domain — Logging & Monitoring (2 Patterns)
  # =========================================================================

  - id: CP-LOG-001
    name: audit_logging
    name_de: Audit-Protokollierung
    domain: LOG
    category: logging
    description: >
      Lueckenlose Protokollierung sicherheitsrelevanter Ereignisse fuer
      forensische Analyse, Compliance-Nachweis und Anomalie-Erkennung.
    objective_template: >
      Sicherheitsrelevante Ereignisse vollstaendig und manipulationssicher
      protokollieren, um Vorfaelle nachvollziehen und nachweisen zu koennen.
    rationale_template: >
      Ohne Audit-Logs koennen Sicherheitsvorfaelle nicht erkannt, analysiert
      oder nachgewiesen werden. Aufsichtsbehoerden verlangen nachvollziehbare
      Protokolle fuer Compliance-Pruefungen.
    requirements_template:
      - "Protokollierung aller Anmelde-/Abmeldevorgaenge"
      - "Protokollierung aller Berechtigungsaenderungen"
      - "Protokollierung aller Zugriffe auf personenbezogene Daten"
      - "Log-Integritaet durch Tamper-Detection (z.B. Signierung oder WORM-Speicher)"
      - "Aufbewahrung fuer mindestens {retention_months:12} Monate"
      - "Keine personenbezogenen Daten in Log-Nachrichten (Pseudonymisierung)"
    test_procedure_template:
      - "Stichprobe: 5 sicherheitsrelevante Aktionen im Audit-Log verifizieren"
      - "Pruefung der Log-Integritaet (Manipulationsversuch)"
      - "Verifizierung der Log-Aufbewahrungsdauer"
    evidence_template:
      - "Audit-Logging-Policy"
      - "Log-Beispiele (anonymisiert)"
      - "SIEM-Konfiguration"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-92", ref: "Section 4" }
      - { framework: "OWASP ASVS", ref: "V7.1" }
    obligation_match_keywords:
      - protokollierung
      - logging
      - audit
      - nachvollziehbarkeit
      - ueberwachung
      - audit trail
      - aufzeichnung
    tags: [logging, audit, monitoring]
    composable_with: [CP-LOG-002]

  - id: CP-LOG-002
    name: monitoring_alerting
    name_de: Monitoring und Alarmierung
    domain: LOG
    category: logging
    description: >
      Kontinuierliche Ueberwachung von Systemen und Netzwerken mit
      automatischer Alarmierung bei Anomalien und Sicherheitsvorfaellen.
    objective_template: >
      Sicherheitsrelevante Anomalien in Echtzeit erkennen und autorisiertes
      Personal automatisch alarmieren.
    rationale_template: >
      Ohne proaktives Monitoring werden Sicherheitsvorfaelle erst nach
      erheblichem Schaden erkannt. Fruehe Erkennung reduziert den Schaden
      und die Reaktionszeit signifikant.
    requirements_template:
      - "SIEM oder vergleichbares Monitoring-System im Einsatz"
      - "Alarmierung bei fehlgeschlagenen Login-Versuchen (Schwelle: {failed_login_threshold:5} in {time_window:5} Minuten)"
      - "Alarmierung bei ungewoehnlichen Datenzugriffen"
      - "Eskalationsprozess mit definierten Reaktionszeiten"
      - "Regelmaessige Ueberpruefung und Anpassung der Alarmregeln"
    test_procedure_template:
      - "Simulation eines Brute-Force-Angriffs — Alarmierung pruefen"
      - "Pruefung der Eskalationskette und Reaktionszeiten"
      - "Review der letzten 10 Alarme auf korrekte Behandlung"
    evidence_template:
      - "Monitoring-Konzept"
      - "SIEM-Dashboards (Screenshots)"
      - "Alarm-Statistik der letzten 3 Monate"
    severity_default: medium
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST SP 800-137", ref: "ISCM Framework" }
    obligation_match_keywords:
      - monitoring
      - ueberwachung
      - alarmierung
      - erkennung
      - anomalie
      - detection
      - alerting
    tags: [monitoring, alerting, siem]
    composable_with: [CP-LOG-001, CP-INC-001]

  # =========================================================================
  # INC Domain — Incident Response (2 Patterns)
  # =========================================================================

  - id: CP-INC-001
    name: incident_response
    name_de: Vorfallreaktion
    domain: INC
    category: incident
    description: >
      Strukturierter Prozess fuer die Erkennung, Eindaemmung, Beseitigung
      und Nachbereitung von Sicherheitsvorfaellen.
    objective_template: >
      Sicherheitsvorfaelle schnell erkennen, eindaemmen und strukturiert
      beheben, um Schaden zu minimieren und Meldepflichten einzuhalten.
    rationale_template: >
      Ohne definierten Incident-Response-Prozess verzoegern sich Reaktionen,
      Meldepflichten (72h DSGVO, 24h NIS2) werden verpasst und der Schaden
      vergroessert sich.
    requirements_template:
      - "Incident-Response-Plan dokumentiert und allen Beteiligten bekannt"
      - "Klare Rollen und Verantwortlichkeiten im Incident-Team"
      - "Eskalationsstufen mit definierten Zeitfenstern"
      - "Meldepflicht-Checkliste (72h DSGVO, 24h NIS2)"
      - "Post-Incident-Review (Lessons Learned) nach jedem Vorfall"
      - "Regelmaessige Uebungen (min. {exercise_interval:jaehrlich})"
    test_procedure_template:
      - "Tabletop-Uebung: Simulierter Datenschutzvorfall durchspielen"
      - "Pruefung der Meldekette und Reaktionszeiten"
      - "Review der letzten Post-Incident-Berichte"
    evidence_template:
      - "Incident-Response-Plan"
      - "Uebungsprotokolle"
      - "Post-Incident-Berichte"
    severity_default: critical
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-61", ref: "Rev. 2" }
    obligation_match_keywords:
      - vorfall
      - incident
      - sicherheitsvorfall
      - datenpanne
      - breach
      - meldepflicht
      - reaktion
      - response
    tags: [incident, response, breach]
    composable_with: [CP-INC-002, CP-LOG-002]

  - id: CP-INC-002
    name: backup_recovery
    name_de: Datensicherung und Wiederherstellung
    domain: INC
    category: continuity
    description: >
      Regelmaessige Datensicherung mit gepruefter Wiederherstellungsfaehigkeit
      zur Sicherstellung der Verfuegbarkeit und Integritaet.
    objective_template: >
      Kritische Daten regelmaessig sichern und die Wiederherstellung
      innerhalb definierter Zeitfenster (RTO/RPO) gewaehrleisten.
    rationale_template: >
      Datenverlust durch Ransomware, Hardwaredefekte oder menschliche Fehler
      kann ohne funktionierende Backups existenzbedrohend sein.
    requirements_template:
      - "Automatisierte Backups fuer alle kritischen Systeme"
      - "Recovery Point Objective (RPO): max. {rpo:24} Stunden"
      - "Recovery Time Objective (RTO): max. {rto:4} Stunden fuer kritische Systeme"
      - "3-2-1-Regel: 3 Kopien, 2 Medien, 1 Off-Site"
      - "Verschluesselung aller Backup-Medien"
      - "Regelmaessige Restore-Tests (min. {restore_test_interval:quartalsweise})"
    test_procedure_template:
      - "Restore-Test: Vollstaendige Wiederherstellung eines kritischen Systems"
      - "Pruefung der Backup-Verschluesselung"
      - "Verifizierung der RPO/RTO-Einhaltung"
    evidence_template:
      - "Backup-Konzept"
      - "Restore-Test-Protokolle"
      - "Backup-Job-Logs"
    severity_default: critical
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-34", ref: "Rev. 1" }
    obligation_match_keywords:
      - backup
      - sicherung
      - wiederherstellung
      - recovery
      - verfuegbarkeit
      - restore
      - datenverlust
    tags: [backup, recovery, continuity]
    composable_with: [CP-INC-001, CP-CRYP-001]

  # =========================================================================
  # SEC Domain — System Security (4 Patterns)
  # =========================================================================

  - id: CP-SEC-001
    name: patch_management
    name_de: Patch-Management
    domain: SEC
    category: system
    description: >
      Systematischer Prozess zur zeitnahen Identifikation, Bewertung und
      Installation von Sicherheitsupdates auf allen Systemen.
    objective_template: >
      Sicherheitsupdates zeitnah identifizieren, bewerten und auf allen
      Systemen installieren, um bekannte Schwachstellen zu schliessen.
    rationale_template: >
      Ungepatchte Systeme sind der zweithaeufigste Angriffsvektor nach
      schwachen Passwoertern. Viele erfolgreiche Angriffe nutzen
      Schwachstellen, fuer die bereits Patches verfuegbar sind.
    requirements_template:
      - "Kritische Patches innerhalb von {critical_sla:72} Stunden nach Veroeffentlichung"
      - "Hohe Patches innerhalb von {high_sla:7} Tagen"
      - "Automatisierter Patch-Scan (min. taeglich)"
      - "Patch-Dokumentation mit Risikobewertung"
      - "Rollback-Verfahren fuer fehlgeschlagene Patches"
    test_procedure_template:
      - "Patch-Compliance-Scan aller Systeme"
      - "Pruefung der Patch-SLAs anhand der letzten 10 kritischen Patches"
    evidence_template:
      - "Patch-Management-Richtlinie"
      - "Patch-Compliance-Bericht"
      - "Patch-Installationsprotokoll"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-40", ref: "Rev. 4" }
    obligation_match_keywords:
      - patch
      - update
      - schwachstelle
      - aktualisierung
      - sicherheitsupdate
      - vulnerability
      - software update
    tags: [patching, vulnerability, system]
    composable_with: [CP-SEC-002, CP-SEC-003]

  - id: CP-SEC-002
    name: vulnerability_scanning
    name_de: Schwachstellenanalyse
    domain: SEC
    category: system
    description: >
      Regelmaessige automatisierte Schwachstellenscans aller Systeme
      und Anwendungen mit strukturiertem Behebungsprozess.
    objective_template: >
      Schwachstellen in Systemen und Anwendungen fruehzeitig erkennen
      und nach Risikobewertung priorisiert beheben.
    rationale_template: >
      Ohne regelmaessige Scans bleiben Schwachstellen unentdeckt und
      erhoehen das Angriffsrisiko. Automatisierte Scans decken bekannte
      CVEs zuverlaessig auf.
    requirements_template:
      - "Automatisierter Schwachstellenscan (min. {scan_interval:woechentlich})"
      - "Priorisierung nach CVSS-Score und Geschaeftsrelevanz"
      - "Kritische Schwachstellen (CVSS >= 9.0) innerhalb von {critical_fix:48} Stunden behoben"
      - "Tracking aller offenen Schwachstellen im Ticketsystem"
      - "Regelmaessige manuelle Penetrationstests (min. jaehrlich)"
    test_procedure_template:
      - "Review des letzten Schwachstellenberichts"
      - "Pruefung der Behebungsquote und -geschwindigkeit"
      - "Stichprobe: 3 kritische Schwachstellen auf korrekte Behebung pruefen"
    evidence_template:
      - "Schwachstellenscan-Bericht"
      - "Penetrationstest-Bericht"
      - "Schwachstellen-Tracking (Ticketsystem)"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-115", ref: "Technical Guide" }
      - { framework: "OWASP ASVS", ref: "V14.2" }
    obligation_match_keywords:
      - schwachstelle
      - scan
      - vulnerability
      - penetrationstest
      - sicherheitspruefung
      - cve
      - security assessment
    tags: [vulnerability, scanning, security]
    composable_with: [CP-SEC-001, CP-SEC-003]

  - id: CP-SEC-003
    name: secure_configuration
    name_de: Sichere Konfiguration
    domain: SEC
    category: system
    description: >
      Haertung aller Systeme durch Entfernung unnoetige Dienste, Aenderung
      von Default-Credentials und Anwendung von Sicherheitsbaselines.
    objective_template: >
      Alle Systeme gemaess anerkannter Sicherheitsbaselines haerten und
      unsichere Standardkonfigurationen eliminieren.
    rationale_template: >
      Standardkonfigurationen enthalten oft unsichere Defaults, aktivierte
      Debug-Dienste und bekannte Standardpasswoerter, die trivial ausnutzbar sind.
    requirements_template:
      - "Sicherheitsbaseline fuer jedes Betriebssystem und jede Middleware definiert"
      - "Default-Credentials bei Inbetriebnahme geaendert"
      - "Nicht benoetigte Dienste und Ports deaktiviert"
      - "Konfigurationsdrift-Erkennung implementiert"
      - "Infrastructure-as-Code mit versionierten Konfigurationen"
    test_procedure_template:
      - "Baseline-Compliance-Scan (z.B. CIS Benchmark)"
      - "Pruefung auf aktive Default-Credentials"
      - "Port-Scan auf unerwartete offene Dienste"
    evidence_template:
      - "Haertungsrichtlinie"
      - "CIS-Benchmark-Scan-Ergebnis"
      - "Konfigurationsmanagement-Dokumentation"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-123", ref: "Server Security Guide" }
    obligation_match_keywords:
      - konfiguration
      - haertung
      - hardening
      - baseline
      - default
      - sicherheitskonfiguration
      - configuration
    tags: [configuration, hardening, system]
    composable_with: [CP-SEC-001, CP-SEC-002]

  - id: CP-NET-001
    name: network_segmentation
    name_de: Netzwerksegmentierung
    domain: NET
    category: network
    description: >
      Aufteilung des Netzwerks in sicherheitstechnisch getrennte Zonen
      zur Eindaemmung von Lateral Movement bei Sicherheitsvorfaellen.
    objective_template: >
      Netzwerk in sicherheitstechnisch getrennte Zonen aufteilen, um die
      Ausbreitung von Angriffen zu begrenzen und sensible Systeme zu isolieren.
    rationale_template: >
      Flache Netzwerke ermoeglichen es Angreifern, sich nach initialem
      Zugriff lateral durch das gesamte Netzwerk zu bewegen.
    requirements_template:
      - "Trennung in mindestens 3 Zonen: DMZ, intern, Management"
      - "Firewall-Regeln zwischen allen Zonen definiert und dokumentiert"
      - "Datenbankserver nicht direkt aus dem Internet erreichbar"
      - "Micro-Segmentierung fuer kritische Anwendungen evaluiert"
      - "Regelmaessige Ueberpruefung der Firewall-Regeln (min. {review_interval:halbjaehrlich})"
    test_procedure_template:
      - "Netzwerk-Topologie-Review auf korrekte Segmentierung"
      - "Port-Scan zwischen Zonen auf unerlaubte Verbindungen"
      - "Pruefung der Firewall-Regel-Dokumentation"
    evidence_template:
      - "Netzwerksegmentierungsplan"
      - "Firewall-Regelwerk"
      - "Netzwerk-Scan-Ergebnisse"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST SP 800-41", ref: "Rev. 1" }
    obligation_match_keywords:
      - netzwerk
      - segmentierung
      - firewall
      - zone
      - network
      - segmentation
      - isolation
    tags: [network, segmentation, firewall]
    composable_with: [CP-CRYP-002]

  # =========================================================================
  # COMP Domain — Compliance & Governance (5 Patterns)
  # =========================================================================

  - id: CP-COMP-001
    name: risk_assessment
    name_de: Risikobewertung
    domain: COMP
    category: risk
    description: >
      Systematische Identifikation, Bewertung und Behandlung von
      Informationssicherheits- und Datenschutzrisiken.
    objective_template: >
      Risiken fuer die Informationssicherheit und den Datenschutz
      systematisch identifizieren, bewerten und angemessen behandeln.
    rationale_template: >
      Ohne systematische Risikobewertung werden Ressourcen nicht
      risikobasiert eingesetzt und kritische Risiken bleiben unerkannt.
    requirements_template:
      - "Risikobewertungsmethodik definiert und dokumentiert"
      - "Alle wesentlichen Assets und Verarbeitungen in der Risikobewertung erfasst"
      - "Risikobewertung nach Eintrittswahrscheinlichkeit und Schadenshoehe"
      - "Risikomatrix mit definierten Akzeptanzschwellen"
      - "Risikobehandlungsplan fuer alle nicht-akzeptierten Risiken"
      - "Regelmaessige Aktualisierung (min. {review_interval:jaehrlich})"
    test_procedure_template:
      - "Review der Risikobewertungsmethodik auf Vollstaendigkeit"
      - "Stichprobe: 5 Risiken auf angemessene Bewertung und Behandlung pruefen"
      - "Pruefung der Aktualitaet (letztes Review-Datum)"
    evidence_template:
      - "Risikobewertungsmethodik"
      - "Risikoregister"
      - "Risikobehandlungsplan"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST SP 800-30", ref: "Rev. 1" }
    obligation_match_keywords:
      - risiko
      - bewertung
      - risk
      - assessment
      - risikoanalyse
      - bedrohung
      - gefaehrdung
    tags: [risk, assessment, governance]
    composable_with: [CP-DATA-005, CP-COMP-004]

  - id: CP-COMP-002
    name: change_management
    name_de: Aenderungsmanagement
    domain: COMP
    category: governance
    description: >
      Kontrollierter Prozess fuer alle Aenderungen an IT-Systemen,
      Konfigurationen und sicherheitsrelevanten Prozessen.
    objective_template: >
      Alle Aenderungen an IT-Systemen und Prozessen kontrolliert
      durchfuehren, um ungeplante Auswirkungen zu vermeiden.
    rationale_template: >
      Unkontrollierte Aenderungen sind eine der haeufigsten Ursachen fuer
      Ausfaelle und Sicherheitsvorfaelle. Ein strukturierter Prozess
      reduziert dieses Risiko erheblich.
    requirements_template:
      - "Change-Request-Verfahren fuer alle Aenderungen an Produktivsystemen"
      - "Risikobewertung und Genehmigung vor Umsetzung"
      - "Rollback-Plan fuer jede Aenderung dokumentiert"
      - "Vier-Augen-Prinzip fuer kritische Aenderungen"
      - "Dokumentation aller Aenderungen (wer, was, wann, warum)"
    test_procedure_template:
      - "Stichprobe: 5 Aenderungen auf Einhaltung des Verfahrens pruefen"
      - "Pruefung ob Emergency Changes nachtraeglich genehmigt wurden"
    evidence_template:
      - "Change-Management-Richtlinie"
      - "Change-Log / Ticketsystem"
      - "Genehmigungsprotokolle"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-128", ref: "Configuration Management" }
    obligation_match_keywords:
      - aenderung
      - change
      - konfiguration
      - release
      - deployment
      - freigabe
      - genehmigung
    tags: [change_management, governance, process]
    composable_with: [CP-SEC-003]

  - id: CP-COMP-003
    name: awareness_training
    name_de: Sensibilisierung und Schulung
    domain: COMP
    category: personnel
    description: >
      Regelmaessige Schulungen und Sensibilisierungsmassnahmen fuer alle
      Mitarbeiter zu Informationssicherheit und Datenschutz.
    objective_template: >
      Alle Mitarbeiter fuer Informationssicherheits- und Datenschutzrisiken
      sensibilisieren und handlungsfaehig machen.
    rationale_template: >
      Der Mensch ist das schwaechtste Glied in der Sicherheitskette.
      Regelmaessige Schulungen reduzieren Phishing-Erfolgsraten und
      unbeabsichtigte Datenschutzverletzungen nachweislich.
    requirements_template:
      - "Pflicht-Schulung fuer alle neuen Mitarbeiter vor Systemzugriff"
      - "Jaehrliche Auffrischungsschulung fuer alle Mitarbeiter"
      - "Phishing-Simulationen (min. {phishing_sim_interval:quartalsweise})"
      - "Spezialschulungen fuer IT-Personal und Fuehrungskraefte"
      - "Nachweis-System fuer absolvierte Schulungen"
    test_procedure_template:
      - "Schulungsquote pruefen (Ziel: >= {target_rate:95}%)"
      - "Ergebnisse der letzten Phishing-Simulation auswerten"
      - "Stichprobe: 5 Mitarbeiter auf aktuelle Schulungsnachweise pruefen"
    evidence_template:
      - "Schulungskonzept"
      - "Schulungsnachweise / Teilnehmerlisten"
      - "Phishing-Simulationsergebnisse"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-50", ref: "Security Awareness Training" }
    obligation_match_keywords:
      - schulung
      - sensibilisierung
      - awareness
      - training
      - mitarbeiter
      - fortbildung
      - unterweisung
    tags: [training, awareness, personnel]
    composable_with: [CP-INC-001]

  - id: CP-COMP-004
    name: compliance_governance
    name_de: Compliance-Governance
    domain: COMP
    category: governance
    description: >
      Uebergreifendes Governance-Framework fuer die Steuerung und
      Ueberwachung aller Compliance-Anforderungen der Organisation.
    objective_template: >
      Ein uebergreifendes Governance-Framework etablieren, das die
      Einhaltung aller relevanten Compliance-Anforderungen steuert
      und ueberwacht.
    rationale_template: >
      Ohne zentrales Compliance-Governance fehlt der Ueberblick ueber
      regulatorische Anforderungen, Verantwortlichkeiten und den
      Umsetzungsstand.
    requirements_template:
      - "Compliance-Organisation mit klaren Rollen und Verantwortlichkeiten"
      - "Regulatorisches Register: Alle anwendbaren Vorschriften erfasst"
      - "Regelmaessige Compliance-Bewertung (min. {review_interval:halbjaehrlich})"
      - "Eskalationsprozess fuer Compliance-Verstoesse"
      - "Berichtswesen an die Geschaeftsfuehrung"
    test_procedure_template:
      - "Pruefung des regulatorischen Registers auf Vollstaendigkeit"
      - "Review der letzten Compliance-Bewertung"
      - "Pruefung des Eskalationsprozesses"
    evidence_template:
      - "Compliance-Organisation (Organigramm)"
      - "Regulatorisches Register"
      - "Compliance-Berichte an die Geschaeftsfuehrung"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST Cybersecurity Framework", ref: "GV.OC" }
    obligation_match_keywords:
      - compliance
      - governance
      - konformitaet
      - aufsicht
      - vorschrift
      - regulierung
      - ueberwachung
    tags: [compliance, governance, organization]
    composable_with: [CP-COMP-001, CP-COMP-005]

  - id: CP-COMP-005
    name: supplier_assessment
    name_de: Lieferanten- und Auftragnehmer-Bewertung
    domain: COMP
    category: supply_chain
    description: >
      Bewertung und Ueberwachung von Lieferanten und Auftragsverarbeitern
      hinsichtlich Informationssicherheit und Datenschutz.
    objective_template: >
      Lieferanten und Auftragsverarbeiter vor Beauftragung und regelmaessig
      danach auf Informationssicherheit und Datenschutz pruefen.
    rationale_template: >
      Auftragsverarbeiter-Haftung (Art. 28 DSGVO) erfordert nachweisbare
      Pruefung. Supply-Chain-Angriffe nutzen schwache Glieder in der
      Lieferkette aus.
    requirements_template:
      - "Sicherheitsbewertung vor Beauftragung (Due Diligence)"
      - "Auftragsverarbeitungsvertrag (AVV) gemaess Art. 28 DSGVO"
      - "Regelmaessige Ueberpruefung der Lieferanten (min. {review_interval:jaehrlich})"
      - "Subunternehmer-Klausel mit Vorab-Genehmigungspflicht"
      - "Exit-Strategie und Datenrueckgabe bei Vertragsende"
    test_procedure_template:
      - "Stichprobe: 5 Lieferanten auf vorhandenen AVV pruefen"
      - "Pruefung der letzten Lieferanten-Bewertung"
      - "Nachweis der Exit-Strategie fuer kritische Lieferanten"
    evidence_template:
      - "Lieferanten-Bewertungsbogen"
      - "Auftragsverarbeitungsvertraege (AVVs)"
      - "Lieferanten-Audit-Berichte"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST SP 800-161", ref: "Rev. 1" }
      - { framework: "ENISA Guidelines", ref: "Supply Chain Security" }
    obligation_match_keywords:
      - lieferant
      - auftragnehmer
      - auftragsverarbeiter
      - supplier
      - vendor
      - avv
      - unterauftrag
      - supply chain
    tags: [supply_chain, vendor, assessment]
    composable_with: [CP-COMP-004]

  # =========================================================================
  # GOV Domain — Public Sector & Regulatory (1 Pattern)
  # =========================================================================

  - id: CP-GOV-001
    name: regulatory_reporting
    name_de: Regulatorische Berichtspflichten
    domain: GOV
    category: compliance
    description: >
      Einhaltung gesetzlicher Berichts- und Meldepflichten gegenueber
      Aufsichtsbehoerden, einschliesslich Fristen und Formanforderungen.
    objective_template: >
      Alle regulatorischen Berichts- und Meldepflichten identifizieren,
      terminieren und fristgerecht erfuellen.
    rationale_template: >
      Versaeumte Meldepflichten koennen zu empfindlichen Bussgeldern
      fuehren (z.B. Art. 83 DSGVO, NIS2-Meldepflichten).
    requirements_template:
      - "Register aller Meldepflichten mit Fristen und Ansprechpartnern"
      - "Automatische Fristenueberwachung und Erinnerungen"
      - "Meldewege zu allen relevanten Aufsichtsbehoerden dokumentiert"
      - "Melde-Templates fuer die haeufigsten Vorfallarten vorbereitet"
      - "Schulung der meldeverantwortlichen Personen"
    test_procedure_template:
      - "Pruefung des Meldepflichten-Registers auf Vollstaendigkeit"
      - "Simulation: Datenschutzvorfall — Meldekette bis Behoerde pruefen"
    evidence_template:
      - "Meldepflichten-Register"
      - "Melde-Templates"
      - "Fristen-Monitoring-Konfiguration"
    severity_default: high
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "ENISA Guidelines", ref: "Incident Reporting" }
    obligation_match_keywords:
      - meldepflicht
      - berichtspflicht
      - aufsichtsbehoerde
      - reporting
      - notification
      - frist
      - behoerde
    tags: [regulatory, reporting, notification]
    composable_with: [CP-INC-001]

  # =========================================================================
  # AI Domain — AI Governance (2 Patterns)
  # =========================================================================

  - id: CP-AI-001
    name: ai_risk_management
    name_de: KI-Risikomanagement
    domain: AI
    category: governance
    description: >
      Risikobewertung und -management fuer den Einsatz von KI-Systemen
      gemaess dem risikobasierten Ansatz des EU AI Act.
    objective_template: >
      Risiken des KI-Einsatzes systematisch bewerten, klassifizieren und
      durch angemessene Massnahmen auf ein akzeptables Niveau reduzieren.
    rationale_template: >
      Der EU AI Act fordert ein risikobasiertes Managementsystem fuer
      Hochrisiko-KI-Systeme. Ohne systematisches KI-Risikomanagement
      drohen Verbote und Bussgelder bis 35 Mio. EUR.
    requirements_template:
      - "KI-Inventar: Alle eingesetzten KI-Systeme erfasst und klassifiziert"
      - "Risikoklassifizierung nach EU AI Act (unakzeptabel, hoch, begrenzt, minimal)"
      - "Fuer Hochrisiko-KI: Konformitaetsbewertung nach Anhang VI/VII"
      - "Human-Oversight-Massnahmen fuer alle KI-gestuetzten Entscheidungen"
      - "Dokumentation der KI-Modelle und Trainingsdaten"
      - "Regelmaessige Bias- und Fairness-Audits"
    test_procedure_template:
      - "Pruefung des KI-Inventars auf Vollstaendigkeit"
      - "Review der Risikoklassifizierung eines Hochrisiko-KI-Systems"
      - "Nachweis der Human-Oversight-Implementierung"
    evidence_template:
      - "KI-Inventar"
      - "KI-Risikobewertung"
      - "Konformitaetsbewertungsbericht"
      - "Human-Oversight-Dokumentation"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST AI RMF", ref: "AI 100-1" }
    obligation_match_keywords:
      - ki
      - kuenstliche intelligenz
      - ai
      - artificial intelligence
      - algorithmus
      - machine learning
      - hochrisiko
      - ai act
    tags: [ai, risk_management, governance]
    composable_with: [CP-AI-002, CP-COMP-001]

  - id: CP-AI-002
    name: ai_transparency
    name_de: KI-Transparenz
    domain: AI
    category: governance
    description: >
      Transparenzpflichten beim Einsatz von KI-Systemen gegenueber
      Nutzern, Betroffenen und Aufsichtsbehoerden.
    objective_template: >
      Betroffene Personen ueber den Einsatz von KI-Systemen informieren
      und die Nachvollziehbarkeit von KI-Entscheidungen sicherstellen.
    rationale_template: >
      Art. 13/14 DSGVO und Art. 52 AI Act fordern Transparenz beim Einsatz
      automatisierter Entscheidungssysteme. Intransparente KI untergräbt
      Vertrauen und verletzt Betroffenenrechte.
    requirements_template:
      - "Kennzeichnung aller KI-gestuetzten Interaktionen fuer Nutzer"
      - "Erklaebarkeit: Wesentliche Entscheidungsfaktoren nachvollziehbar"
      - "Informationspflicht bei automatisierten Einzelentscheidungen (Art. 22 DSGVO)"
      - "Dokumentation der Modellarchitektur und -leistung"
      - "Recht auf Anfechtung KI-gestuetzter Entscheidungen"
    test_procedure_template:
      - "Pruefung der KI-Kennzeichnung in der Benutzeroberflaeche"
      - "Test: Erklaerung einer KI-Entscheidung anfordern"
      - "Review der KI-Dokumentation auf Vollstaendigkeit"
    evidence_template:
      - "KI-Transparenzbericht"
      - "Screenshots: KI-Kennzeichnung in der Anwendung"
      - "Modell-Dokumentation"
    severity_default: medium
    implementation_effort_default: m
    open_anchor_refs:
      - { framework: "NIST AI RMF", ref: "MAP 5" }
    obligation_match_keywords:
      - transparenz
      - erklaerbarkeit
      - nachvollziehbarkeit
      - kennzeichnung
      - transparency
      - explainability
      - automated decision
    tags: [ai, transparency, explainability]
    composable_with: [CP-AI-001, CP-DATA-004]

  # =========================================================================
  # Remaining Universal Patterns (2 Patterns)
  # =========================================================================

  - id: CP-SEC-005
    name: physical_security
    name_de: Physische Sicherheit
    domain: SEC
    category: physical
    description: >
      Schutz von Raeumlichkeiten, Hardware und Datentraegern vor
      unbefugtem physischem Zugriff, Diebstahl und Umgebungsrisiken.
    objective_template: >
      IT-Infrastruktur und Datentraeger durch angemessene physische
      Sicherheitsmassnahmen vor unbefugtem Zugriff schuetzen.
    rationale_template: >
      Physischer Zugriff auf Server, Netzwerkkomponenten oder Datentraeger
      ermoeglicht die Umgehung aller logischen Sicherheitsmassnahmen.
    requirements_template:
      - "Zutrittskontrolle fuer Serverraeume und Rechenzentren"
      - "Besucherregelung mit Begleitung in sensiblen Bereichen"
      - "Sichere Aufbewahrung und Entsorgung von Datentraegern"
      - "Umgebungsueberwachung (Temperatur, Feuchte, Wasser, Rauch)"
      - "USV und Notstromversorgung fuer kritische Systeme"
    test_procedure_template:
      - "Physischer Zugangsversuch ohne Berechtigung"
      - "Pruefung der Besucherprotokolle"
      - "Verifizierung der Umgebungsueberwachung"
    evidence_template:
      - "Zutrittskontrollkonzept"
      - "Besucherprotokolle"
      - "USV-Wartungsprotokolle"
    severity_default: medium
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST SP 800-53", ref: "PE-1 through PE-20" }
    obligation_match_keywords:
      - physisch
      - zutritt
      - physical
      - gebaeude
      - serverraum
      - rechenzentrum
      - datentraeger
    tags: [physical, access, infrastructure]
    composable_with: [CP-ACC-001]

  - id: CP-INC-003
    name: continuity_planning
    name_de: Notfallplanung und Betriebskontinuitaet
    domain: INC
    category: continuity
    description: >
      Planung und regelmaessige Uebung von Massnahmen zur Aufrechterhaltung
      oder schnellen Wiederherstellung kritischer Geschaeftsprozesse.
    objective_template: >
      Kritische Geschaeftsprozesse auch bei Stoerungen oder Katastrophen
      aufrechterhalten oder schnellstmoeglich wiederherstellen.
    rationale_template: >
      Ohne BCM-Planung fuehren ungeplante Ausfaelle zu unkoordinierten
      Reaktionen, verlaengerten Ausfallzeiten und potenziellem Datenverlust.
    requirements_template:
      - "Business-Impact-Analyse (BIA) fuer alle kritischen Prozesse"
      - "Notfallplan mit klaren Anweisungen, Kontaktdaten und Eskalation"
      - "Redundanz fuer kritische Systeme (Failover, Load Balancing)"
      - "Regelmaessige BCM-Uebungen (min. {exercise_interval:jaehrlich})"
      - "Dokumentierte Recovery-Reihenfolge nach Prioritaet"
    test_procedure_template:
      - "BCM-Uebung: Simulierter Ausfall eines kritischen Systems"
      - "Pruefung der BIA auf Aktualitaet"
      - "Verifizierung der Failover-Mechanismen"
    evidence_template:
      - "Business-Impact-Analyse"
      - "Notfallplan"
      - "BCM-Uebungsprotokolle"
    severity_default: high
    implementation_effort_default: l
    open_anchor_refs:
      - { framework: "NIST SP 800-34", ref: "Rev. 1" }
    obligation_match_keywords:
      - notfall
      - kontinuitaet
      - continuity
      - disaster
      - ausfallsicherheit
      - wiederanlauf
      - bcm
      - emergency
    tags: [continuity, disaster_recovery, planning]
    composable_with: [CP-INC-001, CP-INC-002]
