GRC 9.0: zakaj se zadnja generacija imenuje Embedded GRC – napoved

Kjer se Rasmussenov model konča

Michael Rasmussen trg GRC opisuje v generacijah. GRC 7.0, „GRC Orchestrate“, je zanj sedanjost do približno leta 2030: součinkovanje konteksta za odločanje (Intelligence), agentov z jasno urejenimi pooblastili (Action) in zmogljivosti, ki jih strokovna področja gradijo sama (Configuration). Za obdobje od približno leta 2030 skicira GRC 8.0, „Quantum GRC“: digitalne dvojčke podjetja, s katerimi organizacije preigrajo možne prihodnosti, preden se odločijo – imenuje ga „Risk Holodeck“. GRC 20/20 Model smo podrobno umestili v prispevku GRC 7.0: kaj GRC Orchestrate Michaela Rasmussena pomeni za podjetja.

Nato se model konča. Generacije 9.0 Rasmussen ne opisuje in po našem vedenju je tudi nihče drug ni opredelil.

Ta prispevek vrzel zapolnjuje z lastno oceno. To je pomembno povedati vnaprej: kar sledi, ni analitski model in ne povzetek tujih raziskav, temveč naša utemeljena napoved – izpeljana iz razvoja, ki ga je mogoče dokazati že danes. Na koncu navedemo ugovore, ki govorijo proti njej.

Eno vprašanje ureja vse generacije

Če generacije od 1.0 do 8.0 beremo zaporedoma, v jedru odgovarjajo na isto vprašanje: Kje poteka upravljanje?

Če tej liniji sledimo naprej, manjka natanko en kraj: sam sistem. Ne orodje GRC ob poslovanju, temveč upravljanje kot lastnost sistemov, ki poslovanje poganjajo.

Naša teza: GRC 9.0 je Embedded GRC

Pričakujemo, da se bo naslednja generacija začela približno leta 2035 in bo imela tri značilnosti.

Skladnost postane lastnost sistemov

Danes ekipe naknadno dokazujejo, da sistemi izpolnjujejo zahteve: zbirajo posnetke zaslona, izvažajo poročila, izpolnjujejo revizijske predloge. V naslednji generaciji pridejo aplikacije na svet s strojno berljivimi zavezami o kontrolah, dokazilo pa nastane med delovanjem kot stranski proizvod. Gradniki za to obstajajo: OSCAL zahteve, kontrole in ocene opisuje strojno berljivo (glej Kaj je OSCAL?), FedRAMP pakete v tem formatu že sprejema (glej FedRAMP prehaja na strojno berljive formate), SBOM in CBOM opisujeta programske in kriptografske sestavne dele. Presoja nato preveri sistem, ki dokazila ustvarja, in njegovo konfiguracijo – ne več tisoč posameznih dokazil.

Zaupanje se med organizacijami izmenjuje strojno

Ocenjevanje dobaviteljev danes pomeni: razposlati vprašalnike, arhivirati odgovore, vsako leto ponoviti. NIS2 in DORA dobavnim verigam že nalagata obveznosti – obvladovanje tveganj in pogodbene zaveze – Cyber Resilience Act pa od konca leta 2027 prinaša strojno berljive SBOM-e kot dokumentacijo proizvajalca. Naslednji korak je predvidljiv: dobavitelj kontrolo dokaže enkrat, kriptografsko podpisano, vsi odjemalci pa dokazilo prevzamejo strojno. Vprašalnik ne umre zaradi prepovedi, temveč zaradi svoje odvečnosti.

Redek vir je odgovornost

Rasmussenova lastna osrednja teza o GRC 7.0 se glasi: umetna inteligenca naredi funkcije programske opreme poceni; dragoceni postanejo zanesljive informacije, kontekst in odgovornost. Domišljeno do konca to pomeni: ko agenti ocenjujejo, simulirajo in izvajajo, ostane kot človeško jedro natanko ena naloga – odločiti, kdo za kaj jamči in katero tveganje organizacija zavestno nosi. System of Record naslednje generacije zato ni več arhiv dokumentov, temveč register odločitev in pooblastil.

Zakaj od leta 2035

Letnica v napovedi je ranljiva, zato jo utemeljujemo dvojno.

Prvič, ritem samega modela: GRC 7.0 po Rasmussenu teče od leta 2025 do 2030, GRC 8.0 se začne okoli leta 2030. Mlajše generacije trajajo približno pet let, naslednja bi se torej začela okoli leta 2035.

Drugič, regulativa neodvisno od tega kaže na isto leto. Do leta 2035 naj bi bil prehod na postkvantno kriptografijo po vsej EU večinoma končan, osnutek NIST IR 8547 pa RSA in ECC po letu 2035 opušča (roki podrobno: Postkvantna kriptografija: roki 2026, 2030 in 2035 ter kaj od tega je zavezujoče). Na poti do tja povsod nastajajo kriptografski inventarji, CBOM-i in strojno berljiva dokazila – kot nujno priporočilo časovnega načrta EU in nemške smernice, za subjekte po NIS2 prek stanja tehnike tudi pravno podprto. Prav infrastruktura, ki jo Embedded GRC predpostavlja, torej ravno nastaja – ne iz vizije, temveč gnana z regulativo.

Natančnejši od „od približno leta 2035“ nočemo biti. Napoved za osem let vnaprej opremiti z letnico, natančno na mesto, bi bila navidezna natančnost.

Dva ugovora, ki ju jemljemo resno

Ugovor holodeka. GRC 8.0 predpostavlja kakovost podatkov, ki je mnoge organizacije danes ne dosegajo niti za svoj kriptografski inventar – ki ga časovni načrt EU predvideva do konca leta 2026 in ki marsikje šele nastaja. Zato pričakujemo, da se bo simulacija najprej obnesla v ozkih, dobro modelirljivih izsekih, na primer pri scenarijih dobavnih verig ali izpadov, in ne kot dvojček celotnega podjetja. Kdor danes razporeja proračun, naj ga raje vloži v kakovost podatkov kot v simulacijska orodja.

Protiteza: razdrobljenost namesto zlitja. Lahko se zgodi tudi drugače. Regulativa trenutno raste hitreje kot njena harmonizacija: akt o umetni inteligenci, DORA, NIS2, Cyber Resilience Act in nacionalne posebne poti postavljajo vsak svoje zahteve z lastnimi potmi poročanja. Namesto konvergentne discipline bi lahko znova nastali silosi po posameznih pravnih področjih – tokrat vsak s svojimi agenti. To bi bil GRC 1.0 na višji ravni. Katera od obeh smeri bo zmagala, se bo odločilo ob tem, ali bodo strojno berljivi formati veljali čez več pravnih področij ali bo imela vsaka regulativa svoje.

Kaj se obnese že danes

Praktično pri tej napovedi je: priprava je enaka, ne glede na to, ali se uresniči. Kdor zahteve, ukrepe in dokazila že danes vodi strukturirano in strojno berljivo, je pravilno pripravljen na obe smeri – na Embedded GRC tako ali tako, v razdrobljenem svetu pa je strukturiran fond edina realistična možnost, da se več pravnih področij pokrije brez podvojenega dela. Isto velja za razmejitev pooblastil: kdor danes zapiše, kaj sme agent predlagati in o čem mora odločiti človek, gradi register odločitev, ki bo pozneje tvoril jedro.

Zato s kategorijo GRC ne izgine delo. Premakne se, kaj ljudje počnejo: manj zbiranja dokazil, več sprejemanja odločitev in odgovornosti zanje.

Sklep

Naša napoved v enem stavku: GRC 9.0 se začne okoli leta 2035, po vsebini se imenuje Embedded GRC – upravljanje kot lastnost sistemov, federirano zaupanje med organizacijami, odgovornost kot zadnja človeška instanca – in je zadnja generacija, ker upravljanje po njej ni več samostojna kategorija. Gotovega pri tem ni nič razen smeri infrastrukture: strojno berljive zahteve, inventarji in dokazila se uveljavljajo, gnani z regulativo. Ali bo iz tega nastalo zlitje ali razdrobljenost, ostaja odprto. Priprava je v obeh primerih enaka.

Viri

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14. oktober 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream skupine NIS Cooperation Group, junij 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12. november 2024)