Harvey erhält die FedRAMP-Zertifizierung der Klasse D für juristische Arbeit im öffentlichen Sektor

Harvey gab am 28. Oktober 2026 bekannt, dass seine KI-Plattform für den Rechtsbereich jetzt nach FedRAMP Class D zertifiziert ist. Nach Angaben des Unternehmens ermöglicht die Zertifizierung US-Bundesbehörden, Bundesauftragnehmern und ihren Partnern, Regierungen anderer Länder sowie kommerziellen Organisationen, die höchste Sicherheitsstandards erfüllen müssen, Harvey für ihre juristische Arbeit zu nutzen. Harvey arbeitet in der nach FedRAMP Class D zertifizierten Cloud-Umgebung von Knox Systems.

Juristische Teams auf Bundesebene bearbeiten Beratungs-, Prozess- und Durchsetzungsangelegenheiten, bei denen es häufig um sensible Informationen geht. Harvey zufolge können diese Behörden und die mit ihnen zusammenarbeitenden Unternehmen die Plattform nun für Beschaffung und Vertragsgestaltung, erste Dokumentenprüfungen und die behördenübergreifende Zusammenarbeit nutzen. Das Unternehmen erklärte, die Änderung solle dazu beitragen, dass Anwälte weniger Zeit für Routineaufgaben aufwenden und sich stärker auf Rechtsanalysen und Beratung konzentrieren können.

„Juristische Teams auf Bundesebene tragen dazu bei, wichtige Leistungen zu erbringen, von denen wir alle profitieren“, sagte Harvey-CEO Winston Weinberg in der Ankündigung. „Sie können nun auf dieselbe KI für den Rechtsbereich zugreifen, die von 80 % der Am Law 100 und fünf der Fortune 10 genutzt wird. Wir sind stolz darauf, unsere Technologie noch mehr Anwälten im öffentlichen Dienst zugänglich zu machen.“

Pat Manion, Harveys Leiter des Geschäftsbereichs Öffentlicher Sektor, sagte, dass Behördenanwälte in der zertifizierten Umgebung komplexe Fallakten bearbeiten, Prozessargumente entwickeln, Vorschriften auslegen sowie Verträge und Beschaffungsunterlagen prüfen können. Er fügte hinzu, dass das Unternehmen juristische Teams der Bundesverwaltung und ihre Partner über die FedRAMP-zertifizierte Plattform unterstützt.

Eintrag im FedRAMP Marketplace

Der Eintrag im FedRAMP Marketplace für die FedRAMP-High-Managed-Plattform von Knox Systems führt Harvey AI im Abschnitt zu den zertifizierten Diensten auf. Die Plattform von Knox wird dort seit dem 30. März 2026 als FedRAMP-zertifiziert geführt und der Phase „Ongoing Certification“ zugeordnet, die der Marketplace als kontinuierliche Überwachung und Berichterstattung im Regelbetrieb definiert. Der Eintrag weist zwei Autorisierungen aus. Laut Definition des Marketplace umfasst diese Zahl sowohl Schreiben zur Betriebsfreigabe (Authority to Operate) als auch Schreiben zur Nutzungsfreigabe (Authority to Use), einschließlich Erst- und Wiederverwendungsautorisierungen. Das Zertifizierungsprofil der Plattform ist mit Typ Rev5, Pfad Agency und Klasse D (High) angegeben. Die Klassen A bis D spiegeln die Dokumentations- und laufenden Berichtspflichten eines Angebots wider.

Die Dienstbeschreibung im Eintrag wurde vom Anbieter eingereicht; der Marketplace weist darauf hin, dass FedRAMP solche Inhalte weder prüft noch befürwortet. Laut dieser Beschreibung werden die Anwendungen der Anbieter innerhalb der autorisierten FedRAMP-High-Umgebung von Knox bereitgestellt. Dadurch übernehmen sie einen wesentlichen Teil der vorgeschriebenen Sicherheitskontrollen, anstatt eine eigenständige FedRAMP-Autorisierung anzustreben. Das Compliance-Team von Knox und die Plattform KnoxAI begleiten jeden Anbieter durch die Phasen der Bereitschaft, Bewertung und Inbetriebnahme. KnoxAI bewertet die Sicherheitslage und die Umsetzung der Kontrollen eines Anbieters anhand des NIST-800-53-Rahmenwerks sowie weiterer Rahmenwerke und erstellt anschließend die von FedRAMP vorgeschriebenen Unterlagen.

Jede Anwendung wird in einem eigenen, dedizierten Einzelmandantenkonto innerhalb der Knox-Umgebung betrieben. Zwischen Kunden werden weder Rechenressourcen noch Datenebene oder Speicher gemeinsam genutzt. Jede Anwendung wird einzeln bewertet, im Marketplace aufgeführt und vom ersten Tag an kontinuierlich überwacht. Der Beschreibung zufolge laufen sämtliche Workloads ausschließlich in US-Regionen von AWS, Azure oder Google Cloud Platform. Zum Einsatz kommen dabei FIPS-validierte Verschlüsselung bei der Übertragung und im Ruhezustand, Zero-Trust-Zugriff mit vollständiger Audit-Protokollierung sowie ein rund um die Uhr besetztes Security Operations Center und Network Operations Center.

Laut Beschreibung übernimmt Knox die kontinuierliche Überwachung mit monatlicher Berichterstattung an die autorisierenden Behörden, die Nachverfolgung von Maßnahmenplänen und Meilensteinen, jährliche unabhängige Bewertungen durch Dritte und Penetrationstests sowie Übungen zur Notfall- und Reaktion auf Sicherheitsvorfälle mit jedem Kunden. Eine Matrix der gemeinsamen Verantwortlichkeiten dokumentiert, welche Aufgaben Knox, der Anwendungsanbieter und die Behörde jeweils übernehmen.

Der Marketplace beschreibt Harvey for Government als einen Dienst, mit dem Anwälte und andere Fachkräfte im Rechtsbereich von Bundesbehörden Rechtsfragen bearbeiten, Behördendokumente prüfen, Memos, Schriftsätze und Korrespondenz entwerfen und überarbeiten, mehrstufige juristische Abläufe durchführen und in gemeinsamen Arbeitsbereichen zusammenarbeiten können. Die Antworten enthalten Quellenangaben. Der Eintrag weist das Servicemodell der Plattform als SaaS und das Bereitstellungsmodell als Government Community Cloud aus.

Bestehende Sicherheits- und Compliance-Standards

Harvey zufolge baut die FedRAMP-Class-D-Zertifizierung auf bestehenden Sicherheits- und Compliance-Standards auf, zu denen SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, DSGVO und CCPA gehören. Kunden können die Zertifizierungen des Unternehmens im Trust Center einsehen.

Auf seiner Sicherheitsseite erklärt Harvey, dass das Unternehmen vertraglich über seine Plattformvereinbarung zusichert, dass Kundeneingaben, -ausgaben und hochgeladene Dokumente nicht zum Trainieren zugrunde liegender Modelle verwendet werden und dass es von Modellanbietern eine Null-Datenspeicherung verlangt. Das Unternehmen teilte mit, dass es alle Daten im Ruhezustand und während der Übertragung verschlüsselt, die Daten jedes Kunden logisch getrennt hält, um eine Vermischung zu verhindern, Zugriffskontrollen nach dem Prinzip der geringsten Rechte anwendet und seine vertraglichen Sicherheitsverpflichtungen an Unterauftragsverarbeiter und externe Modellanbieter weitergibt. Harvey hostet seine Cloud-Umgebung auf Microsoft Azure und bietet Kunden mit Anforderungen an die Datenlokalisierung eine Datenverarbeitung in der EU und der Schweiz oder in Australien an.

Auf der Sicherheitsseite heißt es außerdem, dass Harveys internes Sicherheitsteam die Bereiche Infrastruktur, Produkt und Betrieb abdeckt und rund um die Uhr überwacht. Zu den Sicherheitskontrollen gehören SAML-basiertes Single Sign-on, Audit-Protokolle, IP-Zulassungslisten und die Verwaltung des Datenlebenszyklus. Harvey teilte mit, dass sich das Unternehmen jährlich SOC-2-Type-II- und ISO-27001-Audits sowie jährlichen Penetrationstests durch Dritte, automatisierten Schwachstellenscans und einer kontinuierlichen Sicherheitsüberwachung unterzieht und für eingehende Audits mit Schellman, NCC Group und Bishop Fox zusammenarbeitet.