GRC 9.0: Warum die letzte Generation Embedded GRC heißt – eine Prognose

Wo Rasmussens Modell endet

Michael Rasmussen beschreibt den GRC-Markt in Generationen. GRC 7.0, „GRC Orchestrate“, ist für ihn die Gegenwart bis etwa 2030: ein Zusammenspiel aus Entscheidungskontext (Intelligence), Agenten mit klar geregelten Befugnissen (Action) und Fähigkeiten, die Fachbereiche selbst aufbauen (Configuration). Für die Zeit ab etwa 2030 skizziert er GRC 8.0, „Quantum GRC“: digitale Zwillinge des Unternehmens, mit denen Organisationen mögliche Zukünfte durchspielen, bevor sie entscheiden – er nennt es ein „Risk Holodeck“. GRC 20/20 Das Modell im Detail haben wir in GRC 7.0: Was Michael Rasmussens GRC Orchestrate für Unternehmen bedeutet eingeordnet.

Danach endet das Modell. Eine Generation 9.0 beschreibt Rasmussen nicht, und auch sonst hat sie unseres Wissens niemand definiert.

Dieser Beitrag füllt die Lücke mit einer eigenen Einschätzung. Das ist wichtig vorwegzuschicken: Was folgt, ist kein Analystenmodell und keine Zusammenfassung fremder Forschung, sondern unsere begründete Prognose – abgeleitet aus Entwicklungen, die heute schon belegbar sind. Am Ende nennen wir die Einwände, die dagegen sprechen.

Eine Frage ordnet alle Generationen

Liest man die Generationen 1.0 bis 8.0 hintereinander, beantworten sie im Kern dieselbe Frage: Wo findet Governance statt?

Folgt man dieser Linie, gibt es genau einen Ort, der noch fehlt: das System selbst. Nicht ein GRC-Werkzeug neben dem Geschäft, sondern Governance als Eigenschaft der Systeme, die das Geschäft betreiben.

Unsere These: GRC 9.0 ist Embedded GRC

Wir erwarten, dass die nächste Generation ab etwa 2035 beginnt und drei Merkmale hat.

Compliance wird eine Eigenschaft von Systemen

Heute belegen Teams nachträglich, dass Systeme Anforderungen erfüllen: Sie sammeln Screenshots, exportieren Berichte, füllen Prüfungsvorlagen. In der nächsten Generation kommen Anwendungen mit maschinenlesbaren Kontrollzusagen auf die Welt, und der Nachweis entsteht im Betrieb als Nebenprodukt. Die Bausteine dafür existieren: OSCAL beschreibt Anforderungen, Kontrollen und Bewertungen maschinenlesbar (siehe Was ist OSCAL?), FedRAMP nimmt Pakete in diesem Format bereits an (siehe FedRAMP und maschinenlesbare Pakete), SBOMs und CBOMs beschreiben Software- und Krypto-Bestandteile. Ein Audit prüft dann das erzeugende System und seine Konfiguration – nicht mehr tausend einzelne Belege.

Vertrauen wird zwischen Organisationen maschinell ausgetauscht

Lieferantenbewertung heißt heute: Fragebögen verschicken, Antworten abheften, jährlich wiederholen. NIS2 und DORA nehmen Lieferketten bereits in die Pflicht, mit Risikomanagement und vertraglichen Zusagen, und der Cyber Resilience Act bringt ab Ende 2027 maschinenlesbare SBOMs als Herstellerdokumentation. Der nächste Schritt ist absehbar: Ein Lieferant belegt eine Kontrolle einmal, kryptografisch signiert, und alle Abnehmer übernehmen den Beleg maschinell. Der Fragebogen stirbt nicht an einem Verbot, sondern an seiner Überflüssigkeit.

Die knappe Ressource ist Verantwortung

Rasmussens eigene Kernthese zu GRC 7.0 lautet: KI macht Software-Funktionen billig; wertvoll werden verlässliche Informationen, Kontext und Verantwortung. Zu Ende gedacht heißt das: Wenn Agenten bewerten, simulieren und ausführen, bleibt als menschlicher Kern genau eine Aufgabe – zu entscheiden, wer wofür haftet und welches Risiko eine Organisation bewusst trägt. Das System of Record der nächsten Generation ist deshalb kein Dokumentenarchiv mehr, sondern ein Register von Entscheidungen und Befugnissen.

Warum ab 2035

Eine Jahreszahl in einer Prognose ist angreifbar, deshalb begründen wir sie doppelt.

Erstens der Takt des Modells selbst: GRC 7.0 läuft nach Rasmussen von 2025 bis 2030, GRC 8.0 beginnt um 2030. Die jüngeren Generationen dauern etwa fünf Jahre, die nächste begänne also um 2035.

Zweitens zeigt die Regulierung unabhängig davon auf dasselbe Jahr. Bis 2035 soll die EU-weite Umstellung auf Post-Quanten-Kryptografie weitgehend abgeschlossen sein, und der NIST-Entwurf IR 8547 lässt RSA und ECC nach 2035 auslaufen (die Fristen im Detail: Post-Quanten-Kryptografie: Die Fristen 2026, 2030 und 2035). Auf dem Weg dorthin entstehen flächendeckend Krypto-Inventare, CBOMs und maschinenlesbare Nachweise – als dringende Empfehlung der EU-Roadmap und der deutschen Leitlinie, für NIS2-Einrichtungen über den Stand der Technik auch rechtlich unterlegt. Genau die Infrastruktur, die Embedded GRC voraussetzt, entsteht also gerade – nicht aus Vision, sondern von Regulierung getrieben.

Genauer als „ab etwa 2035“ wollen wir nicht werden. Eine Prognose über acht Jahre mit einer Jahreszahl auf die Stelle genau zu versehen, wäre Scheingenauigkeit.

Zwei Einwände, die wir ernst nehmen

Der Holodeck-Einwand. GRC 8.0 setzt eine Datenqualität voraus, die viele Organisationen heute nicht einmal für ihr Krypto-Inventar erreichen – das die EU-Roadmap bis Ende 2026 vorsieht und das vielerorts gerade erst entsteht. Wir erwarten deshalb, dass Simulation zuerst in engen, gut modellierbaren Ausschnitten trägt, etwa Lieferketten- oder Ausfallszenarien, und nicht als Zwilling des Gesamtunternehmens. Wer heute Budget verteilt, sollte es eher in Datenqualität als in Simulationswerkzeuge stecken.

Die Gegenthese: Zersplitterung statt Verschmelzung. Es kann auch anders kommen. Die Regulierung wächst derzeit schneller als ihre Harmonisierung: KI-Verordnung, DORA, NIS2, Cyber Resilience Act und nationale Sonderwege stellen je eigene Anforderungen mit eigenen Meldewegen. Statt einer konvergenten Disziplin könnten wieder Silos pro Rechtsgebiet entstehen – diesmal mit je eigenen Agenten. Das wäre GRC 1.0 auf höherem Niveau. Welche der beiden Richtungen gewinnt, entscheidet sich daran, ob die maschinenlesbaren Formate rechtsgebietsübergreifend werden oder je Regulierung eigene.

Was heute schon trägt

Das Praktische an dieser Prognose: Die Vorbereitung ist dieselbe, egal ob sie eintrifft. Wer Anforderungen, Maßnahmen und Nachweise heute strukturiert und maschinenlesbar pflegt, ist für jede der beiden Richtungen richtig aufgestellt – für Embedded GRC ohnehin, und in einer zersplitterten Welt ist ein strukturierter Bestand die einzige realistische Chance, mehrere Rechtsgebiete ohne Mehrfacharbeit zu bedienen. Dasselbe gilt für die Abgrenzung von Befugnissen: Wer heute festhält, was ein Agent vorschlagen darf und was eine Person entscheiden muss, baut das Entscheidungsregister, das später den Kern bildet.

Deshalb verschwindet mit der Kategorie GRC nicht die Arbeit. Es verschiebt sich, was Menschen tun: weniger Belege zusammentragen, mehr Entscheidungen treffen und verantworten.

Fazit

Unsere Prognose in einem Satz: GRC 9.0 beginnt um 2035, heißt der Sache nach Embedded GRC – Governance als Eigenschaft der Systeme, föderiertes Vertrauen zwischen Organisationen, Verantwortung als letzte menschliche Instanz – und ist die letzte Generation, weil Governance danach keine eigene Kategorie mehr ist. Sicher ist daran nichts außer der Richtung der Infrastruktur: Maschinenlesbare Anforderungen, Inventare und Nachweise setzen sich durch, von Regulierung getrieben. Ob daraus Verschmelzung oder Zersplitterung wird, ist offen. Die Vorbereitung ist in beiden Fällen dieselbe.

Quellen

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, Oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14.10.2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream der NIS Cooperation Group, Juni 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12.11.2024)