Die Achsen haben keine eigene Bedeutung. Entfernungen auf der Karte sind eine grobe Orientierung, verbindlich ist der Ähnlichkeitswert in der Liste.
48 Anforderungen aus ISO 27001, ISO 9001, NIS-2 und DSGVO, nach Bedeutung angeordnet. Anforderungen mit ähnlichem Inhalt liegen nah beieinander, auch wenn die Normen sie unterschiedlich formulieren. Wähle einen Punkt, um die ähnlichsten Anforderungen der anderen Normen zu sehen. Zu jedem ähnlichen Paar zeigt die Karte außerdem, ob die Erfüllung der einen Anforderung die andere abdeckt.
Die Achsen haben keine eigene Bedeutung. Entfernungen auf der Karte sind eine grobe Orientierung, verbindlich ist der Ähnlichkeitswert in der Liste.
Jede Anforderung wurde mit einem frei verfügbaren, mehrsprachigen Embedding-Modell (paraphrase-multilingual-mpnet-base-v2) in einen Vektor mit 768 Zahlen umgerechnet. Der Ähnlichkeitswert ist die Cosine-Similarity zweier Vektoren. Für die Karte wurden die 768 Dimensionen mit t-SNE auf zwei reduziert.
Die Texte sind sinngemäße Kurzfassungen und nicht der Originalwortlaut der Normen. Für ein belastbares Mapping müssen die Originaltexte der lizenzierten Normen verwendet werden.
Zwei kleinere Modelle schnitten schlechter ab: MiniLM 35 von 48, multilingual-e5-base 38 von 48. Die Themen habe ich selbst vergeben. Das ist ein grober Plausibilitätstest und kein Referenz-Mapping.
Zu jedem Paar mit einer Ähnlichkeit ab 0,65 steht, ob die Erfüllung der einen Anforderung die andere abdeckt, getrennt für beide Richtungen: vollständig, teilweise oder nicht.
Diese Einstufungen habe ich für den Prototyp als Beispiel selbst vorgenommen. Sie sind nicht fachlich geprüft. In riqo würde ein LLM-Aufruf pro Paar die Einstufung vorschlagen und ein Fachverantwortlicher sie freigeben. Die Bewertung bezieht sich auf die Anforderungstexte, nicht auf konkrete Maßnahmen.
Einige Abweichungen sind fachlich vertretbar. Genau dafür ist im Ablauf die Prüfung durch einen Menschen vorgesehen.