mjEdit

Zielgruppen und Anwendungsfälle

Wer profitiert von mjEdit – und wie sieht der typische Workflow aus.

mjEdit is not a tool for a single role, but a common OSCAL work environment for all people who work with compliance content - from strategic control to technical implementation. On this page we show per role: typical daily tasks, the concrete pain without mjEdit, the answer from mjEdit and a practical example.

Three AI pillars used consistently:

  • 🧠 AI Agent (Claude Desktop, Cursor, VS Code Copilot or AnythingLLM) as a voice front end - the person dictates, the AI acts.
  • 🔌 MCP protocol (154 tools, 22 resources, 15 prompts): the bridge with which the AI ​​serves mjEdit - create files, change JSON, validate, control GUI.
  • 📚 AnythingLLM-RAG: local knowledge base for ISMS documents, BSI compendium, operating manuals - the AI ​​answers from your documents instead of half-knowledge.

For each role, which of these three columns provides the greatest leverage is marked below.

1. Information Security Officer (ISB / CISO)

Daily work: Maintain ISMS documentation, implement controls, prepare audits, report to management, assess risks.

Pain without mjEdit

  • ISMS documentation distributed in Word/Excel – every change must be made in 5 places.
  • With a new system (e.g. cloud migration) the SSP is completely rewritten.
  • Before each audit, search for three days to see which controls are up-to-date and which are not.
  • BSI-Grundschutz Compendium as an 800-page PDF; Mapping your own measures happens in your head.

How mjEdit helps

  • Pre-installed catalogs: BSI IT-Grundschutz++ (2,128 controls), NIST SP 800-53 (468 controls), C5, BSI 200-x Compendium 2023 as a starting point - no typing.
  • Profile tailoring with include-controls, add/alter modifications and Resolved Profile export - the scope selection is OSCAL standard and not an Excel column.
  • SSP generation directly from the resolved profile (oscal_generate_tailored_chain for 1 system, oscal_generate_batch_tailored_chain for n systems).
  • Assessment planning with EXAMINE/INTERVIEW/TEST methods per control.
  • POA&M tracking with deadlines, responsible persons, status and risk assessment.
  • Mapping tab between two frameworks (e.g. C5 ↔ ISO 27001) – Auto-suggest with local AI.
  • Markdown export for management; Cross-reference report for audits.

🧠 With AI + MCP + AnythingLLM

  • AI agent (e.g. Claude Desktop): “Create an SSP for our new cloud project based on BSI Grundschutz++ and C5.” - the AI calls oscal_generate_tailored_chain, the Resolved Profile, the SSP and the AP via MCP.
  • AnythingLLM-RAG: The descriptions of the implemented-requirement entries are filled with quotes from your ISMS corpus (security guidelines, operations manual, risk analysis) - each statement has a evidence-source property.
  • MCP prompts like oscal_compliance_check_prompt guide you through a compliance check in a structured manner - without having to remember tool names.

Example: “We are migrating to the hybrid cloud”

They say about the AI in Claude Desktop: “Clone our existing SSP according to ssp-cloud.json, add the components ‘Azure App Service’ and ‘Azure SQL’, tailor the profile to include C5 controls and create a mapping collection BSI ↔ C5 including gap analysis.” The AI calls via MCP file_copy, oscal_add_component (2×), oscal_profile_tailoring, oscal_create_mapping, oscal_mapping_auto_suggest and oscal_export_gap_report. Effort: one morning instead of two weeks.

2. Compliance auditors and reviewers

Daily work: Check controls, collect evidence, document findings, create reports, conduct follow-up discussions.

Pain without mjEdit

  • Findings in an Excel table, evidence in a SharePoint, action plan in Word - nothing is connected.
  • At the next re-certification, the old database will no longer be traceable.
  • Schema conformity (OSCAL, ISO, BSI) can only be checked by manual review.

How mjEdit helps

  • Assessment Results directly in the editor with Findings, Observations and Risks - all as a linked OSCAL object.
  • Findings link: Each finding knows its associated control, severity and evidence artifact.
  • Schema validation at three levels: JSON schema, OSCAL Pydantic model, semantic cross-refs (UUIDs).
  • Markdown export with embedded statements for auditable reports.
  • Reverse lookup: Navigate from a component to all associated controls and inventory items.- Diff-Funktion zwischen zwei AR-Versionen für die Re-Zertifizierung.
  • Evidence-Source-Properties belegen jede Aussage mit Dokumenten-Referenz.

🧠 Mit KI + MCP + AnythingLLM

  • KI-Agent: „Finde alle offenen Findings aus dem letzten Audit und priorisiere sie nach Severity.“ – die KI ruft über MCP oscal_query und oscal_search, formatiert das Ergebnis als Tabelle.
  • AnythingLLM-RAG: Die KI vergleicht aktuelle Befunde mit historischen Audit-Berichten in der Wissensbasis und markiert wiederkehrende Schwachstellen.
  • MCP-Tool validate_oscal_document plus validate_oscal_references prüfen Schema und UUID-Konsistenz – die KI repariert Brüche selbstständig auf Nachfrage.

Beispiel: „Re-Audit nach 12 Monaten“

Sie sagen zur KI in Cursor: „Klone den ar-2025.json nach ar-2026.json, finde alle Findings mit Status ‚open’, suche in unserer Wissensbasis nach den aktuellen Maßnahmenständen und aktualisiere Status + Evidence.“ Die KI ruft über MCP file_copy, oscal_query, befragt AnythingLLM zu jedem Finding und schreibt mit oscal_update_implementation_status und oscal_add_property (evidence-source) zurück. Früher: drei Stunden Volltext-Suche.

3. IT-Architekten und Systemadministratoren

Tägliche Arbeit: Systeme dokumentieren, Netzwerk-Topologien pflegen, Inventare aktuell halten, Patch-Management, Härtungen.

Schmerzen ohne mjEdit

  • IP-Listen in Excel, Hostnames im DNS, MAC-Adressen im DHCP – nichts korreliert mit der Compliance-Doku.
  • Bei jedem neuen Server: 5 Excel-Sheets aktualisieren und auf Konsistenz prüfen.
  • Netzwerkpläne als Visio-Datei, der niemand mehr traut.

Wie mjEdit hilft

  • Inventory-Items im SSP mit hostname, fqdn, ipv4/ipv6, mac-address als OSCAL-konforme Properties.
  • Komponenten-Bibliothek: Software, Hardware, Services als wiederverwendbare Bausteine (component-definition).
  • CSV-Import/Export für Anbindung an Asset-Management-Systeme (CMDB, Active Directory, Cloud-APIs).
  • NWDiag-Generierung automatisch aus Inventar-Daten – das Diagramm ist die Doku, nicht ein Bild daneben.
  • Reverse-Lookup: Welche Controls greifen auf diese Komponente? Welche Maßnahmen sind betroffen, wenn ich diesen Server abschalte?
  • Batch-Updates über editor_replace und oscal_update_metadata für Patch-Stände.

🧠 Mit KI + MCP + AnythingLLM

  • KI-Agent: „Hier ist eine CSV mit 8 neuen Webservern – erzeuge die komplette OSCAL-Dokumentkette pro Server.“
  • MCP-Tool oscal_generate_batch_tailored_chain macht aus einem Satz 48 schema-validierte Dokumente.
  • AnythingLLM-RAG: Härtungsleitlinien, Patch-Management-Richtlinien und Netzwerk-Segmentierungs-Konzepte aus der Wissensbasis fließen in die description-Felder pro Komponente ein – mit Quellenangabe.
  • MCP-GUI-Tools wie gui_show_tab zeigen das fertige NWDiag sofort im SSP-Tab.

Beispiel: „Server-Roll-out für 8 neue Webserver“

Sie diktieren der KI: „Hier die CSV mit system_id, hostname, IP, OS. Erzeuge die Dokumentkette pro Server, beziehe die Härtungsmaßnahmen aus unserer Wissensbasis ,Linux-Härtung 2025’.“ Die KI ruft über MCP oscal_generate_batch_tailored_chain, holt sich pro Control die Begründungen aus AnythingLLM und legt 48 validierte OSCAL-Dokumente an (8 Server × 6 Dokumente: Profil → Component-Definition → SSP → AP → AR → POA&M).

4. DevSecOps-Teams und KI-Entwickler

Tägliche Arbeit: Security-as-Code, automatisierte Compliance-Pipelines, KI-Workflows mit Claude/Cursor/Copilot, RAG-Integrationen.

Schmerzen ohne mjEdit

  • Compliance-Dokumente sind kein Code – sie können nicht im CI/CD validiert werden.
  • KI-Assistenten dürfen kein Editor-Werkzeug benutzen, sondern nur Texte vorschlagen.
  • ISMS-Wissen liegt verteilt in Dokumenten, ohne KI-zugängliche Schnittstelle.

Wie mjEdit hilft

  • 154 MCP-Tools für programmatische OSCAL-Steuerung – Datei-, JSON-, OSCAL-, qFORM-, Markdown-, Editor- und GUI-Operationen.
  • execute_steps: bis zu 20 Tool-Aufrufe in einem einzigen Request, inkl. transaktionaler Rollback-Möglichkeit.
  • 22 MCP-Ressourcen und 15 MCP-Prompts für geführte Workflows.
  • Direkte Integration in Claude Desktop (STDIO), Cursor, VS Code Copilot, AnythingLLM (SSE/HTTP).
  • AnythingLLM-RAG: lokale Wissensbasis für ISMS-Dokumente; KI ruft mjEdit-Tools auf Basis dieser Dokumente auf.
  • Pydantic-Validierung für OSCAL-Modelle in CI/CD-Pipelines (pytest-fähig).
  • JSON-Schema-Export für eigene Validierungswerkzeuge.

🧠 Mit KI + MCP + AnythingLLM

Für DevSecOps ist mjEdit die KI-Schaltzentrale schlechthin:

  • MCP is the programmatic interface - each AI agent (Claude, Cursor, Copilot, AnythingLLM) becomes a full-fledged co-editor for OSCAL.
  • execute_steps bundles up to 20 tool calls transactionally in one request.
  • AnythingLLM delivers compliance knowledge from your own repositories over SSE/HTTP - ideal for non-desktop CI/CD servers.
  • MCP testing tools can be integrated headless into pipelines (validate_oscal_document, validate_oscal_references).

Example: “GitLab pipeline with OSCAL validation + AI review”

A pipeline step starts mjEdit headless as a MCP server, a second job stage connects to an AI agent (e.g. AnythingLLM SSE), the AI calls via MCP validate_oscal_document over all *.json and oscal_diff between feature branch and main. If you find schema breaks, post them as a pull request comment with specific suggestions for correction - evidenced from the AnythingLLM knowledge base.

5. Data protection officers (DPOs) and data protection coordinators

Daily work: Maintain processing directory, document TOMs, carry out DPIAs, process requests for information.

Pain without mjEdit

  • Processing directory in Excel, TOMs in Word, DPIAs as PDF – no machine-readable connection.
  • Cloud services in the USA: List and evaluate data flows manually.
  • Audit of the supervisory authority: days of preparation.

How mjEdit helps

  • Data sovereignty by design: mjEdit + AnythingLLM run locally/on-premise - no data leakage to cloud AIs.
  • No API key, no token leaves the computer - the AI ​​embedding model runs locally.
  • OSCAL component definitions for processors with proof of implementation.
  • Mapping between GDPR requirements and technical-organizational measures (TOMs).
  • Markdown export for the regulator with sources.

🧠 With AI + MCP + AnythingLLM – data protection friendly

  • AnythingLLM runs on-premise - your AVV contracts, DPIAs and TOM documents remain in-house.
  • Embedding model (paraphrase-multilingual-MiniLM-L12-v2) runs locally - no token leaves the computer, no API key for third parties.
  • AI agent + MCP: “Extract the TOMs according to GDPR Art. 32 from the AVV with provider X and map them to BSI-Grundschutz measures.”

Example: “DPIA for a new HR system”

You dictate to the AI: “Create a component definition stub for our new HR tool, extract the TOMs from the AVV document in our knowledge base and map them to BSI-Grundschutz Art. 32 relevant practices.” The AI uses AnythingLLM to extract the contractual clauses and calls oscal_create_component_definition, oscal_add_property via MCP (evidence-source) and oscal_create_mapping. Result: an audit-proof processing SSP with source information for each statement – ​​created entirely on-premise.

6. Contractor for BSI/KRITIS authorities

Daily work: Proof of compliance for German authorities, BSI IT-Grundschutz certification, KRITIS checks, on-premise requirements.

Pain without mjEdit

  • US cloud tools cannot be used for legal reasons.
  • BSI compendium only as PDF; Machine processing built manually.
  • Multilingual audits (DE/EN) require double maintenance.

How mjEdit helps

  • 100% On-Premise: Editor + AI model + RAG without cloud connection – BSI minimum standard compatible.
  • AGPL-3.0: Open source and auditable.
  • Multilingual embedding model (DE/EN/FR/IT) for cross-language mapping between BSI (DE) and ISO 27001 (EN).
  • BSI-IT-Grundschutz++ catalog preinstalled (2,128 controls).
  • Markdown/PDF export with German-language templates.

🧠 With AI + MCP + AnythingLLM – without cloud requirements

  • Completely air-gapped: mjEdit + AnythingLLM + local LLM (e.g. Ollama, LM Studio) - not a single byte leaves the authority infrastructure.
  • MCP as an open protocol: no vendor lock-in, every AI can be exchanged.
  • AnythingLLM-RAG ​​with the BSI-Grundschutz compendium as a knowledge base: the AI ​​answers with exact quote from the official BSI material.
  • AI agent via MCP: “Question the compendium about the mandatory requirements for protection needs ‘high’ and add them to the current SSP.”

Example: “IT-Grundschutz certificate audit”Sie diktieren in einem luftspaltgeschützten Netz: „Mappe unsere Sicherheitskonzepte gegen Grundschutz++-Praktiken, erkläre jedes Mapping mit Quellen aus dem Kompendium und exportiere ein Markdown-Audit-Bundle.“ Die lokale KI nutzt über MCP den Mapping-Editor mit Auto-Suggest, AnythingLLM liefert zitatfeste BSI-Quellen, MCP markdown_export_to_pdf erstellt das Bundle. Selbst hochsensible Geheimschutzinhalte sind ohne Datenabflussrisiko bearbeitbar.

7. Ausbildende, Studierende und Forschende

Tägliche Arbeit: OSCAL als Standard kennenlernen, Lehrmaterial erstellen, Forschungsprototypen mit Compliance-Bezug bauen.

Schmerzen ohne mjEdit

  • OSCAL-Spezifikation ist abstrakt; Beispiele in der freien Wildbahn rar.
  • Studentische Arbeiten an Compliance-Themen scheitern an fehlenden Werkzeugen.

Wie mjEdit hilft

  • 8 OSCAL-Dokumenttypen in einem Werkzeug – die ganze Spezifikation greifbar.
  • Vorinstallierte Beispiel-Projekte zum Erkunden.
  • AGPL-3.0: kostenfrei nutzbar in Lehre und Forschung.
  • Pydantic-Modelle als Lerngrundlage für OSCAL-Datenmodellierung.
  • Plugin-Architektur: eigene Forschungs-Tools als mjEdit-Plugin andocken.

🧠 Mit KI + MCP + AnythingLLM – als Lehrobjekt

  • MCP-Protokoll als realer Anwendungsfall für Vorlesungen über AI-Agents und Tool-Use.
  • AnythingLLM-RAG als Beispiel für lokale Wissensbasen – ohne Cloud-Vendor.
  • 154 MCP-Tools quelloffen einsehbar – ideale Studiengrundlage für Forschungsarbeiten zu KI-gestützter Compliance.

Beispiel: „Bachelorarbeit zu OSCAL-zu-ISO-Mapping“

Eine Studierende verbindet AnythingLLM mit dem mjEdit-MCP-Server und lässt die KI über oscal_mapping_auto_suggest Vorschläge zwischen NIST SP 800-53 und ISO 27001 erzeugen. In der Auswertung vergleicht sie die drei Methoden syntactic, semantic und functional quantitativ. Datengrundlage: vorinstallierte Kataloge; Werkzeug: mjEdit + MCP + lokale KI; Auswertung: Markdown-Export → LaTeX.

Tabellenüberblick: Welche Funktionen für welche Rolle?

Funktion / Feature ISB/CISO Auditor IT-Architekt DevSecOps DSB KRITIS Lehre
Vorinstallierte Kataloge (BSI/NIST/C5) ✓ ✓ ✓ ✓ ✓
Profil-Tailoring + Resolution ✓ ✓ ✓ ✓ ✓ ✓
SSP-Generierung (Single/Batch) ✓ ✓ ✓ ✓
Assessment Plan / Results / POA&M ✓ ✓ ✓ ✓
Mapping-Tab mit lokaler KI ✓ ✓ ✓ ✓ ✓ ✓
Inventar (Hostname/IP/MAC) ✓ ✓ ✓ ✓
Component-Definition-Bibliothek ✓ ✓ ✓ ✓ ✓
154 MCP-Tools + AnythingLLM-RAG ✓ ✓ ✓ ✓ ✓
Schema-Validierung 3-stufig ✓ ✓ ✓ ✓ ✓ ✓
Markdown-/PDF-Export ✓ ✓ ✓ ✓ ✓ ✓ ✓
Pydantic-API für CI/CD ✓ ✓
100% on-premise / kein Cloud-Zwang ✓ ✓ ✓ ✓ ✓ ✓ ✓

Sie sind sich unsicher, ob mjEdit zu Ihrer Rolle passt?

Schreiben Sie uns über das Kontaktformular – wir zeigen Ihnen in einer kurzen Demo, wie mjEdit Ihren konkreten Workflow trifft.