GRC-Arbeit von deinem Agenten delegieren

Ihr Coding-Agent ist der Orchestrator: Er verwaltet Ihr Repository, Ihre Shell und Ihre Dateien. ISMS Copilot ist der GRC-Spezialist, an den er Compliance-Aufgaben über den Account MCP delegieren kann. Die beiden arbeiten zusammen. Diese Seite behandelt, wann delegiert werden sollte, wie Sie Ihren Agenten dazu anweisen und wie Sie jeden delegierten Schritt klein halten.

Wenn Ihr Agent eine Verbindung herstellt, sendet der Server bereits eine kurze Routing-Notiz (das MCP-instructions-Feld), die angibt, was delegiert und was lokal behalten werden soll. Agenten folgen dieser Notiz nicht immer, daher macht eine Routing-Regel in Ihrem Projekt oder in den Benutzeranweisungen das Verhalten zuverlässig.

Was delegiert werden soll, was lokal bleibt

Ein nützlicher Test: Wenn die Antwort genau davon abhängt, was ein Standard oder eine Verordnung besagt, oder vom Kontext Ihres Arbeitsbereichs, delegieren Sie. Wenn sie davon abhängt, was Ihr Repository enthält, behalten Sie es lokal und senden Sie ISMS Copilot eine kurze Zusammenfassung der relevanten Fakten, anstatt die Dateien selbst. Wenn Ihr Modell die Antwort bereits kennt, keine Nachschlage benötigt und sie direkt in eine Datei schreibt, behalten Sie es ebenfalls lokal: Delegieren fügt Schritte hinzu und verursacht höhere Claude-Nutzungskosten bei kleinen Aufgaben wie dieser. Siehe wo Delegation nicht hilft.

Routing-Regeln, pro Orchestrator

Jede der folgenden Regeln hat denselben Inhalt; nur die Datei unterscheidet sich. Fügen Sie sie in die Datei ein, die Ihr Orchestrator liest. Die Regeln gehen davon aus, dass der Server unter dem Namen ismscopilot registriert ist, wie in den Setup-Anleitungen beschrieben.

Claude Code

Fügen Sie dies zu CLAUDE.md im Projektstamm oder zu ~/.claude/CLAUDE.md für jedes Projekt hinzu:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Setup: ISMS Copilot mit Claude Code verbinden.

Codex, OpenCode und Grok

Diese Orchestratoren lesen AGENTS.md. Fügen Sie dieselbe Regel in AGENTS.md im Projektstamm oder in der globalen Anweisungsdatei des Orchestrators ein (z. B. ~/.codex/AGENTS.md für Codex). Überprüfen Sie die Dokumentation Ihrer Orchestrator-Version auf den genauen globalen Pfad.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Setup: Cursor und Codex verbinden oder Jeden MCP-Client verbinden für OpenCode und Grok.

Cursor

Erstellen Sie eine Projektregel unter .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Setup: Cursor und Codex verbinden.

claude.ai, Claude Desktop und ChatGPT

Fügen Sie ISMS Copilot als benutzerdefinierten Connector (in ChatGPT eine benutzerdefinierte MCP-App mit OAuth und Standardeinstellungen) mit der Endpunkt-URL hinzu, melden Sie sich an und klicken Sie auf Genehmigen. Diese Apps haben keine Anweisungsdatei für die oben genannte Routing-Regel; fügen Sie sie in die Projekt- oder benutzerdefinierten Anweisungen ein, falls die App diese unterstützt. Setup: Jeden MCP-Client verbinden.

Erfolgreiche Muster

Eine Unterhaltung pro Ergebnis

Beginnen Sie jedes Ergebnis (eine Zugriffskontrollrichtlinie, eine Gap-Analyse, eine Reihe von SoA-Begründungen) mit create_conversation, und verfeinern Sie es anschließend mit send_message unter derselben conversation_id. Der Spezialist behält den Verlauf des Threads auf seiner Seite, sodass Ihr Agent frühere Schritte nicht erneut senden muss. Beginnen Sie eine neue Unterhaltung für ein nicht verwandtes Ergebnis: Lange Threads verbrauchen mehr von Ihrem Nutzungsfenster pro Nachricht.

Client- und Unternehmensarbeit auf einen Arbeitsbereich beschränken

Übergeben Sie workspace_id (von list_workspaces), wenn die Arbeit einem bestimmten Kunden oder Unternehmen gehört. Bei einem arbeitsbereichsbezogenen Schritt liest ISMS Copilot die Erinnerungen und Dateien dieses Arbeitsbereichs, sodass Ihr Agent diese nicht erneut angeben muss. Ohne workspace_id läuft der Schritt nur mit Ihren persönlichen Erinnerungen.

Erinnerungen für dauerhafte Fakten

Fakten, die für jeden zukünftigen Schritt gelten sollen (der Zertifizierungsumfang, die gewählte Risikomethodik, das Prüfungsdatum), gehören in eine Erinnerung: create_memory, mit workspace_id für eine Arbeitsbereichserinnerung oder ohne für eine persönliche. Erinnerungen sind auf 500 Zeichen begrenzt. Verwenden Sie list_memories, um zu prüfen, was bereits vorhanden ist, bevor Sie eine Duplizierung hinzufügen.

Unternehmenskontext

set_company_context ersetzt das Unternehmensprofil des Accounts (Name, Branche, Größe, Land, Datenschutzrolle, Datentypen, Hosting-Region, Tech-Stack, Notizen), und get_company_context liest es aus. Die Chat-App nutzt dieses Profil als Hintergrundinformation, und Gespräche, die Ihr Agent über MCP oder die Account-API führt, erhalten es nun ebenfalls – unter denselben Bedingungen wie im Web-Chat: In einem Gespräch, das Ihr eigener Account gestartet hat, wird das Profil jedem Durchgang als Hintergrundinformation hinzugefügt, und Antworten können Fakten daraus verwenden. Es wird nur das Profil Ihres eigenen Accounts genutzt, und es wird niemals mit einem anderen Account geteilt. Es wird nicht in teamweit geteilten Arbeitsbereichen oder temporären Chats hinzugefügt oder wenn es nicht gelesen werden kann (der Durchgang läuft dann ohne es ab). Fakten, die nur für eine einzelne Frage relevant sind, können weiterhin in der Nachricht selbst oder in einem Arbeitsbereichsspeicher abgelegt werden.

Fast, Think oder Beyond

Eine beyond-Anfrage, die nicht ausgeführt werden kann, wird über den normalen Ablauf beantwortet, und das Ergebnis gibt in beyond_denied_reason an, warum: plan, adp, disabled, trivial, cap oder cap_anthropic. Ein Durchgang, der auf dem Überlaufpfad läuft, wird ebenfalls über den normalen Ablauf beantwortet, anstatt Beyond zu nutzen. Siehe Beyond-Modus verwenden.

Fordern Sie eine Antwort an, die für einen Agenten strukturiert ist

create_conversation und send_message akzeptieren ein optionales answer_format:

Ein explizit angefordertes vollständiges Dokument wird niemals gekürzt. Beyond-Durchläufe ignorieren answer_format und weisen darauf hin mit answer_format_applied: false.

Abfrageintervall

Wenn ein Aufruf status: "generating" zurückgibt, rufen Sie get_reply mit der conversation_id und message_id auf, bis complete zurückgegeben wird:

• Fast- und Think-Durchgänge: alle 2–5 Sekunden.
• Beyond-Durchläufe: alle 10–20 Sekunden. Sie können auch die beyond_run_id übergeben, die das Ticket zurückgegeben hat.

Warten Sie auf eine Antwort, bevor Sie die nächste Nachricht in derselben Konversation senden: Ein Senden, während der vorherige Durchgang noch generiert wird, wird abgelehnt.

Lange Arbeitsergebnisse in Dateien schreiben

Wenn der Spezialist eine Richtlinie oder eine vollständige SoA zurückgibt, lassen Sie Ihren Orchestrator diese direkt in eine Datei schreiben und melden Sie den Pfad. Die Wiederholung eines langen Dokuments im Chat führt dazu, dass es doppelt im Kontext Ihres Orchestrators erscheint. Siehe Was Delegation spart.

MCP oder die Model API?

ISMS Copilot bietet zwei Möglichkeiten für den Einstieg aus einem Coding-Agenten. Sie eignen sich für unterschiedliche Aufgaben.

Für das Model-API-Muster siehe API in Coding-Agents verwenden.