Files

T

Benjamin Admin 3ba90f49cf feat: Smart Onboarding Advisor — make the knowledge usable in onboarding (ADR-012)

The user-named "right next runtime step": stop building knowledge, start using it automatically in
onboarding — no sales training, no regulation picking. compliance/onboarding/ is an ORCHESTRATOR (not
a new engine) wiring Company 2A -> RS-005 -> optimization -> completeness:

  advisor_start(input, cert_hypotheses, target_requirements, ...) -> AdvisorResult

From (company + products + certifications + target) it returns inferred_assumptions, rejected_
assumptions, next_best_questions (<=5, ranked by information_gain + leverage + unknown_high_risk +
evidence_missing, each self-explaining), capability_delta, top_measures, evidence_requests,
unsupported_domains, completeness_summary. apply_answer() updates the profile (delta shrinks).

Welt-1 throughout: certificates REDUCE questions but satisfy nothing automatically (verification_
required); relevance(evidence,target) keeps ISO 14001 out of the CRA result. Certificate->capability
hypotheses + target requirements are INJECTED (curated knowledge, outsourced; not in code).

All 7 acceptance criteria pass; mypy --strict clean. First app-caller wiring the engines into a
product flow — still no endpoint/persistence, so 0 runtime effect -> no deploy yet (deploys when
POST /onboarding/advisor-start + frontend are wired). check-loc 0.

2026-06-28 12:45:49 +02:00

2.7 KiB

Raw Blame History

Smart Onboarding Advisor — was der Nutzer sieht (automatisch, ohne Vertrieb)

Eingabe: Unternehmen + Produkte + Zertifizierungen + Ziel. Den Rest macht die Orchestrierung über die bestehenden Engines (Company 2A · RS-005 · Optimization · Completeness). Synthetisch, keine echten Namen.

Eingabe

Zertifizierungen: ISO9001, ISO27001, ISO14001, TISAX · Produkt: Parkschein-/Schrankensystem · Ziel: CRA

Was wir erkannt haben

17 Anforderungen erkannt · 6 wahrscheinlich abgedeckt · 5 zu klären

Aus Ihren Zertifizierungen abgeleitet (zu bestätigen, nicht automatisch erfüllt):

ISO9001 legt 1 relevante Fähigkeit(en) nahe — Verifikation erforderlich, nicht automatisch erfüllt
ISO27001 legt 5 relevante Fähigkeit(en) nahe — Verifikation erforderlich, nicht automatisch erfüllt
TISAX legt 5 relevante Fähigkeit(en) nahe — Verifikation erforderlich, nicht automatisch erfüllt
ISO14001 ist für dieses Ziel nicht relevant — relevance(evidence, target) = 0 — keine geforderte Fähigkeit abgedeckt

Die wenigen offenen Punkte — nur die nächsten besten Fragen

Frage 1 von 5 (Informationswert 8)

product cyber risk assessment? — Warum fragen wir das: Keine Anhaltspunkte im Unternehmensprofil — klären.

Frage 2 von 5 (Informationswert 8)

protection against corruption of safety functions? — Warum fragen wir das: Keine Anhaltspunkte im Unternehmensprofil — klären.

Frage 3 von 5 (Informationswert 8)

secure signed update distribution? — Warum fragen wir das: Keine Anhaltspunkte im Unternehmensprofil — klären.

Frage 4 von 5 (Informationswert 7)

coordinated vulnerability disclosure? — Warum fragen wir das: Keine Anhaltspunkte im Unternehmensprofil — klären.

Frage 5 von 5 (Informationswert 7)

exploited vuln and incident reporting? — Warum fragen wir das: Keine Anhaltspunkte im Unternehmensprofil — klären.

Womit zuerst anfangen (größter Hebel)

product_cyber_risk_assessment — schließt 2 Anforderung(en): CRA, MaschinenVO
protection_against_corruption_of_safety_functions — schließt 2 Anforderung(en): CRA, MaschinenVO
secure_signed_update_distribution — schließt 2 Anforderung(en): CRA, MaschinenVO
coordinated_vulnerability_disclosure — schließt 1 Anforderung(en): CRA
exploited_vuln_and_incident_reporting — schließt 1 Anforderung(en): CRA

Vollständigkeit (ehrlich)

Identifiziert 1 · bewertet 1 · offen 0 · Unsicherheiten 0 · Begründung ja

Der Vertrieb wählt KEIN Regelwerk und interpretiert nichts — er sieht nur dieses Ergebnis. Jede beantwortete Frage aktualisiert das Capability Profile und verkleinert das Delta.

2.7 KiB Raw Blame History