ISO/IEC 42001: von der Liste zum Zertifikat
Die Struktur kennst du aus ISO/IEC 27001. Neu ist der Blick nach außen, denn die Norm fragt, was der Einsatz für Menschen bedeutet, die nie mit deinem Haus zu tun hatten.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ohne Verzeichnis lässt sich kein Geltungsbereich festlegen
Der Anlass für ISO/IEC 42001 kommt fast nie aus dem eigenen Haus. Ein Großkunde fragt im Lieferantenfragebogen danach, eine Ausschreibung verlangt es, oder die Konzernmutter setzt es als Ziel. Dann bleiben wenige Monate, und der erste Termin mit der Zertifizierungsstelle scheitert an einer Frage, die harmlos klingt: Welche KI-Systeme gehören eigentlich zum Geltungsbereich.
Die Antwort fehlt, weil KI selten über ein Projekt eingeführt wurde. Sie kam über Abonnements einzelner Abteilungen, über Funktionen in bestehender Software und über Dienstleister, die ihrerseits KI einsetzen. Wer das nachträglich zusammenträgt, verbringt Wochen mit Interviews statt mit dem Aufbau des Systems.
Der teure Fehler ist ein zweites, paralleles Managementsystem neben dem vorhandenen. Es verdoppelt Audits, Bewertungen und Dokumentenlenkung und lebt genau so lange, bis niemand mehr Zeit dafür hat.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Geltungsbereich und Verzeichnis | Die oberste Leitung, weil der Bereich den Aufwand für Jahre festlegt | Die Rolle, die das Managementsystem führt, mit Zuarbeit aller Bereiche | Ein Geltungsbereich über das ganze Haus klingt souverän und zwingt dich, jedes Werkzeug jeder Abteilung zu betrachten. |
| Rolle als Anbieter oder Betreiber | Die Fachbereichsleitung zusammen mit der IT | Das Team, das das System betreibt, mit Eintrag im Verzeichnis | Sobald eigene Daten oder vorgeschaltete Regeln dazukommen, verschiebt sich Verantwortung vom Anbieter zu dir, ohne dass ein Vertrag das erwähnt. |
| Folgenbetrachtung für Betroffene | Die Leitung auf Grundlage der fachlichen Bewertung | Leute aus der Fachdomäne gemeinsam mit der Rolle für das Managementsystem | Wird die Betrachtung an die IT gegeben, entsteht eine Sicherheitsbewertung, und die Frage nach Benachteiligung stellt niemand. |
| Erklärung zur Anwendbarkeit | Die Leitung des Managementsystems, freigegeben von der obersten Leitung | Die Fachbereiche, die die jeweilige Maßnahme tatsächlich anwenden | Maßnahmen werden mit dem Aufwand begründet ausgeschlossen. Tragfähig ist nur ein Ausschluss, der aus der Analyse folgt. |
| Auswahl der Zertifizierungsstelle | Die Geschäftsführung, meist gemeinsam mit dem Einkauf | Die Rolle für das Managementsystem, die den Auditplan abstimmt | Der Akkreditierungsumfang deckt diese Norm nicht ab. Das fällt erst auf, wenn ein Kunde das Zertifikat genauer prüft. |
Geltungsbereich und Verzeichnis
- Wer entscheidet
- Die oberste Leitung, weil der Bereich den Aufwand für Jahre festlegt
- Wer setzt um
- Die Rolle, die das Managementsystem führt, mit Zuarbeit aller Bereiche
- Stolperfalle
- Ein Geltungsbereich über das ganze Haus klingt souverän und zwingt dich, jedes Werkzeug jeder Abteilung zu betrachten.
Rolle als Anbieter oder Betreiber
- Wer entscheidet
- Die Fachbereichsleitung zusammen mit der IT
- Wer setzt um
- Das Team, das das System betreibt, mit Eintrag im Verzeichnis
- Stolperfalle
- Sobald eigene Daten oder vorgeschaltete Regeln dazukommen, verschiebt sich Verantwortung vom Anbieter zu dir, ohne dass ein Vertrag das erwähnt.
Folgenbetrachtung für Betroffene
- Wer entscheidet
- Die Leitung auf Grundlage der fachlichen Bewertung
- Wer setzt um
- Leute aus der Fachdomäne gemeinsam mit der Rolle für das Managementsystem
- Stolperfalle
- Wird die Betrachtung an die IT gegeben, entsteht eine Sicherheitsbewertung, und die Frage nach Benachteiligung stellt niemand.
Erklärung zur Anwendbarkeit
- Wer entscheidet
- Die Leitung des Managementsystems, freigegeben von der obersten Leitung
- Wer setzt um
- Die Fachbereiche, die die jeweilige Maßnahme tatsächlich anwenden
- Stolperfalle
- Maßnahmen werden mit dem Aufwand begründet ausgeschlossen. Tragfähig ist nur ein Ausschluss, der aus der Analyse folgt.
Auswahl der Zertifizierungsstelle
- Wer entscheidet
- Die Geschäftsführung, meist gemeinsam mit dem Einkauf
- Wer setzt um
- Die Rolle für das Managementsystem, die den Auditplan abstimmt
- Stolperfalle
- Der Akkreditierungsumfang deckt diese Norm nicht ab. Das fällt erst auf, wenn ein Kunde das Zertifikat genauer prüft.
Sechs Stationen bis zum Audit
- 01 Das Verzeichnis sammelt alle KI-Systeme, die im Haus wirklich laufen.
- 02 Der Geltungsbereich benennt, welche davon zum System gehören.
- 03 Je System wird die Rolle als Anbieter oder Betreiber festgelegt.
- 04 Risiken und Folgen für Betroffene werden getrennt bewertet.
- 05 Die Erklärung zur Anwendbarkeit begründet jede Maßnahme des Anhangs.
- 06 Erst prüft die Zertifizierungsstelle die Unterlagen, dann den Betrieb.
Was du nach dieser Seite einordnen kannst
Die Norm ist weniger sperrig, als ihr Text vermuten lässt. Dahinter stehen wenige Entscheidungen, die ein Haus mit KI-Einsatz ohnehin treffen muss.
Geltungsbereich schneiden
Du entscheidest anhand des Verzeichnisses, welche Systeme dazugehören, statt den Bereich unscharf über das ganze Haus zu legen.
Rolle je System klären
Du bestimmst, ob dein Haus entwickelt, bereitstellt oder nur nutzt. Davon hängt ab, welche Anforderungen wirklich greifen.
An das Bestehende andocken
Du übernimmst Dokumentenlenkung, Auditprogramm und Managementbewertung aus dem vorhandenen System und ergänzt nur den fachlichen Kern.
Folgen getrennt bewerten
Du legst eigene Kriterien für die Wirkung auf betroffene Personen fest, weil die Sicherheitsbetrachtung diese Fragen gar nicht stellt.
Nachweise verzahnen
Du sorgst dafür, dass Verzeichnis, Risikobeurteilung und Erklärung zur Anwendbarkeit dieselben Systeme meinen.
Anbieter vertraglich binden
Du lässt dir zusichern, dass du über Modell- und Versionswechsel informiert wirst, bevor sie deine Ergebnisse verändern.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wie sich die Norm zu ISO/IEC 27001 verhält
Beide folgen der harmonisierten Struktur, deshalb lassen sich Geltungsbereich, Dokumentenlenkung, Kompetenznachweise, internes Audit, Managementbewertung und Korrekturmaßnahmen gemeinsam führen. Wer bereits ein Sicherheitsmanagementsystem betreibt, baut kein zweites System, sondern erweitert das vorhandene um einen zweiten Gegenstand. Wie in ISO/IEC 27001 gehört auch hier eine Erklärung zur Anwendbarkeit dazu, in der jede Maßnahme des Anhangs mit Entscheidung und Begründung steht.
Getrennt bleibt der fachliche Kern. In der Informationssicherheit geht es um Risiken für die Organisation. Hier kommt die Frage hinzu, was der Einsatz für Personen und Gruppen außerhalb des Hauses bedeutet. Ein Modell, das eine bestimmte Gruppe systematisch schlechter behandelt, verletzt keine Vertraulichkeit und läuft technisch störungsfrei. In einer reinen Sicherheitsbetrachtung fällt es deshalb nicht auf.
Ergänzend gibt es Leitfäden ohne Zertifizierbarkeit. ISO/IEC 23894 beschreibt die Risikosteuerung im Zusammenhang mit KI, ISO/IEC 22989 klärt Begriffe und Konzepte. Beide helfen vor allem dabei, die eigene Methode gegenüber einem Auditor zu begründen.
Was die Norm zur KI-Verordnung beiträgt und was nicht
Ein Zertifikat nach ISO/IEC 42001 ist keine Konformitätserklärung nach der KI-Verordnung. Die Norm ersetzt weder die Einstufung eines Systems noch eine Konformitätsbewertung, und ein Auditor prüft nicht gegen Gesetzestext, sondern gegen die Norm.
Der Beitrag liegt in den Artefakten. Verzeichnis der Systeme, Rollenklärung, Risikobeurteilung, Folgenbetrachtung, Anbieterverträge, Kompetenznachweise und Protokolle entstehen im Managementsystem ohnehin, und genau danach wird später gefragt. Wer damit anfängt, arbeitet nicht doppelt, sondern früher.
Zeitlich ist Luft entstanden. Für Systeme, die nach Anhang III als hochriskant gelten, wurde der Geltungsbeginn der Anforderungen und Betreiberpflichten im Juli 2026 auf den 2. Dezember 2027 verschoben, für eingebettete Systeme nach Anhang I auf den 2. August 2028. Diese Zeit ist ungefähr die Dauer, die ein Managementsystem von der ersten Liste bis zum Audit braucht.
Der Weg von der Bestandsaufnahme zum Audit
Am Anfang steht kein Normtext, sondern eine Liste. Welche KI-Systeme laufen im Haus, wozu, mit welchen Daten, wer nutzt sie, wer prüft die Ausgabe. Diese Liste entscheidet über den Geltungsbereich und fördert fast immer mehr zutage als erwartet, weil KI über Abonnements, eingebaute Funktionen und Dienstleister ins Haus kommt und nicht über Projektanträge.
Danach folgt die Rollenfrage je System: entwickelt das Haus, stellt es bereit oder nutzt es nur. Davon hängt ab, welche Anforderungen Gewicht bekommen. Eindeutig ist die Antwort selten. Sobald ein zugekauftes Modell mit eigenen Daten angereichert oder mit eigenen Regeln vorgeschaltet wird, wandert Verantwortung vom Anbieter zu dir, ohne dass ein Vertrag das erwähnt.
Die Zertifizierung läuft wie bei anderen Managementsystemnormen in zwei Stufen. Zuerst prüft die Zertifizierungsstelle Unterlagen und Reife des Systems, danach die tatsächliche Umsetzung im Betrieb. Es folgen Überwachungsaudits, bevor der Zyklus mit einer Rezertifizierung von vorn beginnt. Ausgestellt wird das Zertifikat von akkreditierten Stellen, eine Selbsterklärung sieht das Verfahren nicht vor.
Welche Nachweise du führen musst
Der Sammelbegriff der Norm lautet „dokumentierte Information“. Dahinter stehen der Geltungsbereich, die Leitlinie zum Umgang mit KI und die Zuständigkeiten. Dazu kommen das Verfahren der Risikobeurteilung samt Ergebnis, die Folgenbetrachtung, die Erklärung zur Anwendbarkeit und die Ziele. Den Rest bilden Kompetenznachweise, Ergebnisse der Überwachung, das Auditprogramm samt Befunden, die Managementbewertung sowie Abweichungen und Korrekturmaßnahmen.
Der Unterschied zwischen bestanden und nicht bestanden liegt selten an einem fehlenden Dokument, sondern daran, dass die Dokumente nicht zueinander passen. Wenn im Verzeichnis vier Systeme stehen und die Risikobeurteilung zwei betrachtet, ist das Gespräch schnell zu Ende. Dasselbe gilt für eine Leitlinie, die Einsätze verbietet, die im Verzeichnis geführt werden.
Dazu passende Kurse
Kurse rund um Normen und Nachweise beim KI-Einsatz führen durch genau diese Struktur, von der Leitlinie bis zum internen Audit.
Steht bei euch zuerst die Frage an, wer im Haus überhaupt entscheidet, helfen die Programme für Verantwortliche von KI-Vorhaben weiter.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Die Inhalte wurden sehr gut vermittelt und Fragen wurden perfekt beantwortet.
Marco ist ein extrem guter Trainer, der mit seinem Fachwissen zum Thema KI sehr viel Expertise mitbringt.
Seminarleiter war sehr gut vorbereitet, Den Lehrstoff hat er ausführlich und praxisorientiert vorgetragen.
Häufige Fragen
Lohnt sich die Norm, wenn wir KI nur einkaufen?
Können wir das mit dem bestehenden Sicherheitsmanagement zusammenlegen?
Ersetzt das Zertifikat den Nachweis nach der KI-Verordnung?
Worauf achten wir bei der Auswahl der Zertifizierungsstelle?
Passt thematisch dazu
Läuft bei euch bereits ein Managementsystem, ist vor allem das Verhältnis zu ISO 27001 und ISO 9001 interessant, denn vieles davon lässt sich weiterverwenden.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem KI-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Erst der Bestand, dann die Norm
Bei cmt gehst du die Norm einmal von der Leitlinie bis zum internen Audit durch. Meist zeigt sich dabei, dass die Hälfte der verlangten Nachweise im Haus längst existiert und nur einen festen Platz braucht.