In this article
- Was decken ISO 27001 und ISO 42001 jeweils ab?
- ISO/IEC 27001:2022 behandelt die Informationssicherheit
- ISO/IEC 42001:2023 behandelt das Management von KI
- Keiner der beiden Standards ist ein Gesetz
- Warum lassen sich ISO 27001 und ISO 42001 integrieren?
- Eine gemeinsame Struktur
- Was Sie gemeinsam nutzen können und was Sie ergänzen müssen
- Kontrollen sind ähnlich, aber nicht identisch
- Wie integrieren Sie ISO 27001 und ISO 42001 Schritt für Schritt?
- 1. Beginnen Sie mit einem gemeinsamen Inventar
- 2. Erweitern Sie den Geltungsbereich des ISMS um den KI-Bereich
- 3. Erweitern Sie die Risikomanagementmethodik
- 4. Nutzen Sie gemeinsame Governance-Prozesse
- 5. Ordnen Sie Kontrollen anhand ihrer Ziele zu
- 6. Führen Sie eine gemeinsame Nachweisbibliothek
- Mit welchem Standard sollten Sie beginnen?
- Welche zusätzlichen Anforderungen stellt der EU AI Act neben ISO 27001 und ISO 42001?
- Keiner der beiden Standards begründet eine Konformitätsvermutung
- ISO 42001 bietet jedoch eine hilfreiche Grundlage
- ISO 27001 ersetzt Artikel 15 nicht
- Welche Funktion hat welches Instrument?
- Welche Rolle spielt KI-Compliance-Software?
- Welche Fehler machen Teams bei der Integration von ISO 27001 und ISO 42001?
- Die ISO-42001-Zertifizierung mit der Einhaltung des EU AI Act gleichsetzen
- Zwei Risikoregister führen
- Nur das Modell berücksichtigen
- Für jedes Audit einen separaten Nachweisordner anlegen
- Weiterführende Lektüre
- Möchten Sie ISO 27001 und ISO 42001 in einem gemeinsamen Workflow koordinieren?
- Autor: Nitin Grover
ISO 27001 und ISO 42001 lassen sich in ein gemeinsames Managementsystem integrieren, da beide Standards dieselbe harmonisierte Struktur für die Kapitel 4 bis 10 verwenden. Unternehmen können gemeinsame Prozesse wie die Dokumentenlenkung, interne Audits, Managementbewertungen und Korrekturmaßnahmen koordinieren. Die Standards verfolgen jedoch unterschiedliche Ziele und stellen unterschiedliche Anforderungen: ISO 27001 konzentriert sich auf das Management der Informationssicherheit, während ISO 42001 auf den Umgang mit KI-bezogenen Risiken und Chancen innerhalb der Organisation ausgerichtet ist.
ISO bietet beide Standards auch gemeinsam als Paket für das Management von KI und Informationssicherheit an. Die Integration allein begründet jedoch weder die Konformität mit dem EU AI Act noch die Einhaltung anderer geltender europäischer und deutscher Rechtsvorschriften. Dieser Leitfaden erläutert, wie sich beide Managementsysteme koordinieren lassen und welche regulatorischen Verpflichtungen gesondert bewertet werden müssen. Einen rechtlichen Vergleich finden Sie in unserem Leitfaden zu ISO 42001 und dem EU AI Act.
Dieser Leitfaden erklärt Schritt für Schritt, wie Sie ISO 27001 und ISO 42001 integrieren. Vertiefende Informationen zu einzelnen Themen finden Sie hier:
- ISO 27001 vs. ISO 42001: Was sind die Unterschiede?
- Von ISO 27001 zu ISO 42001: Checkliste zur Gap-Analyse
- Implementierung von ISO 42001 für Unternehmen mit ISO 27001
- ISO 42001 vs. EU AI Act: Was eine Zertifizierung abdeckt und was nicht
- Eine gemeinsame Nachweisbibliothek für Audits nach ISO 27001 und ISO 42001
Verwalten Sie beide Standards noch in getrennten Tabellen?
Die AnnexOps AI Governance Platform unterstützt Teams dabei, KI-Inventare, Governance-Aktivitäten und zugehörige Nachweise zentral zu organisieren. Prüfen Sie den Umfang der verfügbaren Funktionen anhand Ihrer aktuellen Produktkonfiguration.
Was decken ISO 27001 und ISO 42001 jeweils ab?
Einen direkten Vergleich der beiden Standards finden Sie in unserem Artikel „ISO 27001 vs. ISO 42001: Was sind die Unterschiede?“.
ISO/IEC 27001:2022 behandelt die Informationssicherheit
ISO/IEC 27001:2022 legt die Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) fest. Der Standard bietet einen systematischen Ansatz für das Management von Informationssicherheitsrisiken und den Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Organisationen legen den Geltungsbereich ihres ISMS fest und wählen auf Grundlage ihrer Risiken und der geltenden Anforderungen geeignete Kontrollen aus.
ISO/IEC 42001:2023 behandelt das Management von KI
ISO/IEC 42001:2023 legt die Anforderungen an die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines KI-Managementsystems (AIMS) fest. Der im Dezember 2023 veröffentlichte Standard ist die erste internationale Managementsystemnorm, die speziell dem Thema KI gewidmet ist. Er bietet einen organisatorischen Rahmen für den Umgang mit KI-bezogenen Risiken und Chancen. Welche Prozesse und Kontrollen eine Organisation konkret benötigt, hängt von ihrem Kontext und den Anforderungen des Standards ab. Die Zusammenfassung von KPMG behandelt unter anderem Risikomanagement, Folgenabschätzung, Lebenszyklusmanagement und die Überwachung von Lieferanten.
Keiner der beiden Standards ist ein Gesetz
ISO 27001 und ISO 42001 sind freiwillige Standards, sofern ihre Anwendung nicht durch einen separaten Vertrag, eine Beschaffungsbedingung oder eine gesetzliche Anforderung für eine bestimmte Organisation relevant wird. ISO/IEC 42001 ist eine freiwillige Norm und keine EU-Verordnung. Eine Zertifizierung bestätigt, dass ein Managementsystem innerhalb des festgelegten Zertifizierungsumfangs anhand des jeweiligen Standards bewertet wurde. Sie weist für sich genommen nicht die Einhaltung sämtlicher geltender Gesetze und Vorschriften nach.
Warum lassen sich ISO 27001 und ISO 42001 integrieren?
Eine gemeinsame Struktur
Managementsystemnormen der ISO verwenden eine gemeinsame harmonisierte Struktur, die in den ISO/IEC-Direktiven festgelegt ist. Diese Struktur stimmt die Hauptkapitel zu Organisationskontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung aufeinander ab. ISO/IEC 27001:2022 gehörte zu den ersten Standards, die an diese Struktur angepasst wurden. ISO/IEC 42001:2023 verwendet dieselbe grundlegende Kapitelstruktur.
Diese gemeinsame Struktur ermöglicht es, Prozesse wie Dokumentenlenkung, interne Audits, Managementbewertungen und Korrekturmaßnahmen zu koordinieren. Sie bedeutet jedoch nicht, dass die einzelnen Anforderungen oder Nachweispflichten der beiden Standards austauschbar sind.
Was Sie gemeinsam nutzen können und was Sie ergänzen müssen
Die Tabelle fasst Prozesse zusammen, die über beide Standards hinweg koordiniert werden können, sowie KI-spezifische Themen, die eine Organisation im Rahmen ihres AIMS berücksichtigen sollte. Sie dient als Hilfsmittel für die Integration und ersetzt nicht die Prüfung der vollständigen Anforderungen der beiden Standards.
| Kapitel | Gemeinsame Nutzung für ISO 27001 und ISO 42001 | KI-spezifische Ergänzungen |
|---|---|---|
| 4 Kontext | Interessierte Parteien, rechtliche und kundenseitige Anforderungen | KI-spezifischer Anwendungsbereich und Kontext |
| 5 Führung | Richtlinienstruktur, Rollen, Berichterstattung an die oberste Leitung | KI-Richtlinie und Verantwortlichkeit für KI |
| 6 Planung | Risikomanagementmethodik, Verfahren zur Festlegung von Zielen | KI-Risiko- und Folgenabschätzung |
| 7 Unterstützung | Kompetenz, Bewusstsein, Dokumentenlenkung | KI-Kompetenzen und KI-Dokumentation |
| 8 Betrieb | Änderungs- und Lieferantenprozesse | KI-Lebenszyklus und Kontrollen für KI von Drittanbietern |
| 9 Leistungsbewertung | Internes Audit, Managementbewertung | KI-Leistungsbewertung und Auditkriterien |
| 10 Verbesserung | Verfahren für Korrekturmaßnahmen | Umgang mit KI-Vorfällen und Nichtkonformitäten |
Kontrollen sind ähnlich, aber nicht identisch
ISO 27001 und ISO 42001 verfügen über eigene Anforderungen und Kontrollrahmen in Anhang A. Einige Kontrollen können mehr als ein Ziel unterstützen. Sie sollten jedoch nicht allein deshalb als gleichwertig behandelt werden, weil ihre Bezeichnungen ähnlich sind. Ordnen Sie Kontrollen anhand ihrer Ziele und nicht anhand ihrer Kontrollnummern zu. Überprüfen Sie jede Zuordnung anhand der jeweils geltenden Ausgaben beider Standards und des Geltungsbereichs Ihrer Organisation. Vermeiden Sie allgemeine Angaben zu prozentualen Überschneidungen, sofern Methodik und Quelle nicht eindeutig nachvollziehbar sind.
Wie integrieren Sie ISO 27001 und ISO 42001 Schritt für Schritt?
Die nachfolgende Reihenfolge ist unsere Empfehlung und keine verbindliche Anforderung eines der beiden Standards.
1. Beginnen Sie mit einem gemeinsamen Inventar
Erstellen Sie ein Inventar Ihrer KI-Systeme, relevanten Modelle, Datenflüsse, Lieferanten und unterstützenden Informationswerte. Dieses Inventar kann als gemeinsame Grundlage für die Festlegung des ISMS- und AIMS-Geltungsbereichs sowie für die Bewertung potenziell anwendbarer Verpflichtungen aus dem EU AI Act dienen. Ein Inventar allein bestimmt nicht die rechtliche Klassifizierung eines KI-Systems.
2. Erweitern Sie den Geltungsbereich des ISMS um den KI-Bereich
Legen Sie fest, welche organisatorischen Tätigkeiten, KI-Systeme und relevanten externen Anbieter in den Geltungsbereich des AIMS fallen. Die Geltungsbereiche von AIMS und ISMS können sich überschneiden, müssen jedoch nicht identisch sein. Dokumentieren Sie für beide Systeme die jeweilige Begründung, die Schnittstellen und die ausgeschlossenen Bereiche.
3. Erweitern Sie die Risikomanagementmethodik
Koordinieren Sie die Methoden zur Risikobewertung, soweit dies praktikabel ist, und berücksichtigen Sie gleichzeitig die unterschiedlichen Kriterien, die jeder Standard verlangt. Kapitel 6.1.3 der ISO/IEC 27001:2022 umfasst die Auswahl von Optionen zur Behandlung von Informationssicherheitsrisiken, die Bestimmung erforderlicher Kontrollen, den Abgleich mit Anhang A und die Erstellung einer Erklärung zur Anwendbarkeit (Statement of Applicability). Ergänzen Sie über den AIMS-Prozess KI-spezifische Risiken und mögliche Auswirkungen auf Einzelpersonen, Gruppen oder die Gesellschaft, anstatt davon auszugehen, dass die ISMS-Risikobewertung diese automatisch abdeckt.
4. Nutzen Sie gemeinsame Governance-Prozesse
Verwenden Sie, wo sinnvoll, koordinierte Richtlinien, klar zugewiesene Verantwortlichkeiten, ein integriertes internes Auditprogramm und eine gemeinsame Managementbewertung. Stellen Sie sicher, dass alle erforderlichen Eingaben, Kriterien, Entscheidungen und Aufzeichnungen beider Standards berücksichtigt werden. Eine gemeinsame Besprechung oder ein gemeinsames Dokument darf keine standardspezifischen Anforderungen auslassen.
5. Ordnen Sie Kontrollen anhand ihrer Ziele zu
Erstellen Sie eine Kontrollzuordnung mit drei Spalten: dem Ziel der ISO 27001, dem Ziel der ISO 42001 und den Nachweisen, die beide Ziele unterstützen.
6. Führen Sie eine gemeinsame Nachweisbibliothek
Bei beiden Audits können Nachweise wie Freigaben, Überprüfungen, Protokolle und Aufzeichnungen herangezogen werden. Welche Nachweise erforderlich sind, hängt jedoch von der jeweiligen Klausel, Kontrolle und dem Auditumfang ab. Speichern Sie jeden Nachweis, wo sinnvoll, nur einmal, halten Sie Verantwortlichkeiten und Versionshistorie nachvollziehbar fest und ordnen Sie ihn allen Anforderungen zu, die er tatsächlich unterstützt.
Mit welchem Standard sollten Sie beginnen?
Der geeignete Ausgangspunkt hängt von Ihren bestehenden Managementsystemen, den Erwartungen Ihrer Kunden, Ihrem Risikoprofil und Ihren verfügbaren Ressourcen ab. Wenn Sie bereits nach ISO 27001 zertifiziert sind, sollten Sie die zusätzlichen Anforderungen des AIMS und die KI-spezifischen Risiken bewerten. Ein bestehendes ISMS kann nützliche Governance-Prozesse bereitstellen, erfüllt jedoch nicht automatisch die Anforderungen der ISO 42001. Wenn Sie noch keinen der beiden Standards eingeführt haben, sollten Sie die Prioritäten anhand Ihrer geschäftlichen Anforderungen und der zu bewältigenden Risiken festlegen. Eine ISO-27001-Zertifizierung ist keine ausdrücklich festgelegte Voraussetzung für die Implementierung von ISO 42001. Klären Sie die Zertifizierungsmodalitäten mit Ihrer ausgewählten Zertifizierungsstelle.
Welche zusätzlichen Anforderungen stellt der EU AI Act neben ISO 27001 und ISO 42001?
Keiner der beiden Standards begründet eine Konformitätsvermutung
Artikel 40 des EU AI Act sieht eine Konformitätsvermutung für Anforderungen vor, die von einer harmonisierten Norm abgedeckt werden, deren Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde. Dies gilt vorbehaltlich der Bedingungen und des Anwendungsbereichs der Verordnung. CEN-CENELEC JTC 21 berichtet, dass der Durchführungsbeschluss (EU) 2026/2274 der Kommission EN 18286:2026 am 14. Oktober 2026 zitierte. Prüfen Sie die veröffentlichte Fundstelle und den Beschluss, bevor Sie sich auf diese Konformitätsvermutung berufen.
EN 18286:2026 behandelt die Anforderungen an das Qualitätsmanagementsystem nach Artikel 17 für Anbieter von Hochrisiko-KI-Systemen. Die Anwendung einer harmonisierten Norm ist grundsätzlich freiwillig. Sie kann jedoch eine Konformitätsvermutung für die konkret abgedeckten Anforderungen begründen, sofern die gesetzlichen Voraussetzungen erfüllt sind. ISO/IEC 42001:2023 ist für sich genommen keine nach Artikel 40 zitierte harmonisierte Norm. Eine Zertifizierung nach ISO 42001 begründet daher allein keine entsprechende Konformitätsvermutung. Weitere Informationen finden Sie in unserem Leitfaden dazu, was eine ISO-42001-Zertifizierung abdeckt und was nicht.
ISO 42001 bietet jedoch eine hilfreiche Grundlage
Die informativen Anhänge von EN 18286 enthalten Zuordnungen zu verwandten Managementsystemnormen, darunter EN ISO 9001 und EN ISO/IEC 42001. Organisationen mit bereits zertifizierten Managementsystemen können möglicherweise relevante Prozesse und Nachweise wiederverwenden. Dennoch sollten sie eine Gap-Analyse auf Klausel- und Anforderungsebene durchführen. Prüfen Sie Anhang ZA und den Durchführungsbeschluss, um den genauen Geltungsbereich einer möglichen Konformitätsvermutung festzustellen.
ISO 27001 ersetzt Artikel 15 nicht
Artikel 15 legt Anforderungen an Hochrisiko-KI-Systeme hinsichtlich angemessener Genauigkeit, Robustheit und Cybersicherheit fest. Dazu gehört auch die Widerstandsfähigkeit gegenüber Versuchen unbefugter Dritter, die Nutzung oder Leistung eines Systems durch Ausnutzung seiner Schwachstellen zu verändern. ISO/IEC 27001 bewertet ein Informationssicherheitsmanagementsystem. Eine Zertifizierung allein weist nicht nach, dass ein bestimmtes KI-System sämtliche Anforderungen des Artikels 15 erfüllt. Organisationen sollten die für ihre Rolle und ihr System geltenden technischen und organisatorischen Maßnahmen auf Systemebene bewerten.
Die Normungsarbeiten in Bereichen wie Cybersicherheit werden fortgesetzt. Organisationen sollten deshalb aktuelle Entwicklungen überprüfen, statt davon auszugehen, dass der bestehende Normensatz bereits vollständig ist. Nach dem geänderten Zeitplan für die Anwendung gelten die einschlägigen Anforderungen an Hochrisiko-KI-Systeme aus Kapitel III, Abschnitte 1 bis 3, ab dem 2. Dezember 2027 für Systeme, die gemäß Artikel 6 Absatz 2 und Anhang III als Hochrisiko-KI-Systeme eingestuft werden, sowie ab dem 2. August 2028 für Systeme, die gemäß Artikel 6 Absatz 1 und Anhang I als Hochrisiko-KI-Systeme eingestuft werden. Für andere Verpflichtungen aus dem EU AI Act gelten abweichende Anwendungszeitpunkte. Weitere Informationen finden Sie in unserem Leitfaden zur Frist für Anhang III.
Welche Funktion hat welches Instrument?
| Instrument | Typ | Rechtswirkung nach dem AI Act | Was es unterstützt |
|---|---|---|---|
| ISO/IEC 27001:2022 | Freiwilliger Standard | Keine Konformitätsvermutung | Management der Informationssicherheit |
| ISO/IEC 42001:2023 | Freiwilliger Standard | Keine Konformitätsvermutung | Management der KI-Governance |
| EN 18286:2026 | Harmonisierte Norm, Fundstelle veröffentlicht am 14. Oktober 2026 | Mögliche Konformitätsvermutung für abgedeckte Anforderungen an Qualitätsmanagementsysteme nach Artikel 17, vorbehaltlich der gesetzlichen Voraussetzungen | Qualitätsmanagementsystem für Anbieter von Hochrisiko-KI-Systemen |
| Artikel 15 | Verbindliches Recht | Gilt für Anbieter von Hochrisiko-KI-Systemen | Genauigkeit, Robustheit, Cybersicherheit |
Welche Rolle spielt KI-Compliance-Software?
Ein Managementsystem stellt Governance-Prozesse bereit, bestimmt jedoch nicht automatisch die rechtliche Klassifizierung jedes KI-Systems. Organisationen sollten den vorgesehenen Verwendungszweck, den jeweiligen Kontext und die einschlägigen Bestimmungen des EU AI Act bewerten, um festzustellen, welche Vorschriften anwendbar sein könnten. Ein EU-AI-Act-Compliance-Checker oder ein KI-Risikoklassifizierungstool kann eine erste Einschätzung unterstützen. Die Ergebnisse sollten jedoch anhand der Rechtsvorschriften und einschlägigen Leitlinien überprüft werden, insbesondere wenn sich ein System oder sein Verwendungszweck ändert.
KI-Compliance-Software kann Teams dabei unterstützen, ein KI-Inventar, Governance-Aufzeichnungen und zugehörige Nachweise für ISO 27001, ISO 42001 und relevante Verpflichtungen aus dem EU AI Act zu koordinieren. Die AnnexOps-KI-Compliance-Software unterstützt die Bestandsaufnahme, Risikoklassifizierung, Dokumentation und Nachweisverwaltung. Die AI Auditor Engine kann außerdem für Readiness-Prüfungen eingesetzt werden. Diese Tools unterstützen Compliance-Prozesse, ersetzen jedoch weder eine rechtliche Bewertung noch eine vorgeschriebene Konformitätsbewertung oder ein Akkreditierungsvoraussetzungen entsprechendes Zertifizierungsaudit. Die verfügbaren Produktfunktionen und der Umfang der Überwachung sollten anhand der aktuellen AnnexOps-Konfiguration überprüft werden. Erfahren Sie mehr darüber, wie AnnexOps ISO 27001 und ISO 42001 unterstützt. AnnexOps unterstützt Compliance-Prozesse, ersetzt jedoch weder Rechtsberatung noch ein Audit durch eine akkreditierte Stelle.
Welche Fehler machen Teams bei der Integration von ISO 27001 und ISO 42001?
Die ISO-42001-Zertifizierung mit der Einhaltung des EU AI Act gleichsetzen
Eine Zertifizierung nach ISO 42001 kann bestätigen, dass ein AIMS anhand dieses Standards bewertet wurde. Sie weist jedoch nicht die vollständige Einhaltung des EU AI Act nach. Die Konformitätsvermutung nach Artikel 40 gilt nur, wenn die betreffende harmonisierte Norm zitiert wurde, und beschränkt sich auf die Anforderungen innerhalb ihres anwendbaren Geltungsbereichs.
Zwei Risikoregister führen
Getrennte Risikoregister können zu doppelter Arbeit oder uneinheitlichen Zuständigkeiten führen. Verwenden Sie, wo praktikabel, ein gemeinsames Register oder miteinander verknüpfte Register mit klar definierten Kategorien, Verantwortlichen, Bewertungskriterien und einer nachvollziehbaren Zuordnung zu den Anforderungen beider Standards.
Nur das Modell berücksichtigen
KI-bezogene Risiken können nicht nur durch das Modell selbst entstehen, sondern auch durch Daten, Drittanbieterdienste, den Einsatzkontext, die menschliche Aufsicht und die Art der Nutzung eines Systems. Definieren Sie den Geltungsbereich des AIMS und die Risikobewertung so, dass sie die tatsächlichen KI-Aktivitäten Ihrer Organisation und die relevanten Phasen des Lebenszyklus berücksichtigen.
Für jedes Audit einen separaten Nachweisordner anlegen
Wenn Nachweise für jedes Audit erneut erstellt werden, kann dies zu doppelter Arbeit und uneinheitlichen Aufzeichnungen führen. Verwalten Sie Nachweise zentral und ordnen Sie sie den jeweils geltenden Anforderungen zu, die sie unterstützen. Stellen Sie gleichzeitig sicher, dass die Nachweise für die spezifischen Auditkriterien ausreichend sind.
Weiterführende Lektüre
- ISO 27001 vs. ISO 42001: Was sind die Unterschiede?
- Von ISO 27001 zu ISO 42001: Checkliste zur Gap-Analyse
- Implementierung von ISO 42001 für Unternehmen mit ISO 27001
- ISO 42001 vs. EU AI Act: Was eine Zertifizierung abdeckt und was nicht
- Eine gemeinsame Nachweisbibliothek für Audits nach ISO 27001 und ISO 42001
Möchten Sie ISO 27001 und ISO 42001 in einem gemeinsamen Workflow koordinieren?
AnnexOps unterstützt Teams dabei, KI-Governance-Aktivitäten, Risiken und Nachweise zu organisieren, um die Arbeit mit beiden Standards und den einschlägigen Verpflichtungen aus der KI-Verordnung der EU zu unterstützen.
Autor: Nitin Grover
Nitin Grover ist KI-Compliance-Stratege und Autor. Seine Schwerpunkte sind die Einhaltung der EU-KI-Verordnung, KI-Governance, die Dokumentation gemäß Anhang IV, KI-Risikomanagement und KI-Compliance-Prozesse für KI-Start-ups, SaaS-Unternehmen und KI-Teams in europäischen Unternehmen.
