AnnexOps Compliance
ISO/IEC-42001-Nachweise automatisieren: einmal erfassen, doppelt nutzen
AnnexOps bildet ISO/IEC 42001 als 65 Anforderungen ab: die Abschnitte 4 bis 10 und die 38 Controls aus Anhang A. Die Abdeckung ergibt sich aus KI-Inventar, Model Cards, Aufsichtskonzepten und Nachweisen zur KI-Kompetenz, die Sie für den EU AI Act ohnehin führen. Versionierte Folgenabschätzungen. Nachweise, die Ihre Zertifizierungsstelle prüfen kann.
Alle 38 Anhang-A-Controls · Versionierte KI-Folgenabschätzungen · Nutzt Nachweise aus dem EU AI Act
So funktioniert die ISO-42001-Automatisierung
Aus Fakten abgeleitet, von Menschen abgezeichnet
Regeln als Daten
Jede Anforderung der ISO/IEC 42001, von 4.1 bis 10.2 und von A.2.2 bis A.10.4, ist eine versionierte Regel mit Verweis auf ihre Abschnittsnummer. Ein zweiter Auditor, der eine Prüfung wiederholt, erhält dasselbe Ergebnis. Kein LLM fällt ein Urteil.
Ableitung statt Ermessen
Die Plattform leitet ab, welche Anforderungen jeder erfasste Fakt belegt: ein KI-System im Inventar, eine Model Card, ein Aufsichtskonzept. Die Anwendbarkeit in der Erklärung zur Anwendbarkeit (SoA) und das Ergebnis einer Folgenabschätzung bleiben Ihre Entscheidung.
Agenten entwerfen, Sie zeichnen ab
Agenten entwerfen Vorschläge, ändern aber nie selbst einen Datensatz. Vorschläge landen unter Freigaben, wo eine namentlich benannte Person sie annimmt oder ablehnt. Jede Entscheidung wird zum Audit-Ereignis, sodass Ihre Managementbewertung (Abschnitt 9.3) eine belastbare Spur hat.
Überprüfbare Nachweise
Konnektoren lesen ausschließlich Konfigurationsmetadaten. Nachweise werden nur lesend erhoben, unveränderbar (append-only) gespeichert und per Hash-Kette verknüpft, sodass Manipulationen erkennbar sind. Stichtagsbezogene Nachweispakete kann Ihre Zertifizierungsstelle bei den jährlichen Überwachungsaudits und erneut bei der Rezertifizierung im dritten Jahr nachprüfen.
Kernfunktionen
Für ein KI-Managementsystem gebaut, nicht ans ISMS angeflanscht
Alle 65 Anforderungen, inklusive Anhang A
Die Abschnitte 4 bis 10 und die 38 Anhang-A-Controls (A.2 bis A.10) werden als 65 Anforderungen nachverfolgt und mit der gemeinsamen Control-Bibliothek verknüpft (50 von 211 Controls). Der offizielle Normtext wird nur über die Abschnittsnummer referenziert, da die Norm lizenzpflichtig ist. Die Anwendbarkeit jedes Anhang-A-Controls wird in der Erklärung zur Anwendbarkeit (SoA) festgehalten.
Einmal erfassen, doppelt nutzen
KI-Inventar, Model Cards nach Art. 13, Aufsichtskonzepte nach Art. 14 und Nachweise zur KI-Kompetenz, die Sie für den EU AI Act führen, belegen bereits Anhang-A-Controls. Dieselben Datensätze zählen für Ressourcen, Lebenszyklus, Informationen für interessierte Parteien und Nutzung. Nachweise hängen am Control, nicht am Regelwerk: 211 gemeinsame Controls, davon 50 mit ISO 42001 verknüpft.
Nachweise nur lesend erhoben, laufend geprüft
Continuum-Konnektoren für GitHub, AWS und Microsoft Entra ID erheben ausschließlich Konfigurationsmetadaten, append-only und je Verbindung per Hash-Kette gesichert. Die 743 automatisierten Prüfungen werden für jedes Ihrer Regelwerke bewertet. Hat ein verknüpftes Control eine automatisierte Prüfung, zeigt die zugehörige Anforderung den Live-Status statt eines Screenshots. Andere Controls stützen sich auf erfasste Nachweise.
Audit Room für Ihre Zertifizierungsstelle
Laden Sie die Zertifizierungsstelle in einen schreibgeschützten Audit Room ein, der ausschließlich auf ISO 42001 beschränkt ist und zu einem von Ihnen festgelegten Datum endet. Die Stelle sieht Ihre ISO-42001-Unterlagen für das Stufe-1- und Stufe-2-Audit sowie die folgenden Überwachungsaudits – und nichts aus anderen Regelwerken.
Versionierte KI-Folgenabschätzungen
Abschnitt 6.1.4 verlangt einen Prozess zur Abschätzung der Auswirkungen von KI-Systemen auf Einzelpersonen, Gruppen und die Gesellschaft; Abschnitt 8.4 verlangt deren Durchführung und Dokumentation. AnnexOps führt je KI-System eine versionierte Abschätzung: Eine Änderung erzeugt eine neue Version statt eines überschriebenen Formulars.
Ein eigener AIMS-Zyklus
ISO 42001 ist ein eigenes Managementsystem, kein Anhang zum ISMS. AnnexOps führt für das AIMS einen separaten Anwendungsbereich (4.3), KI-Ziele (6.2), ein internes Auditprogramm (9.2) und eine Managementbewertung (9.3). Die darunterliegenden Controls werden mit ISO 27001, SOC 2, NIS2 und DORA geteilt.
Integrationen
Passt zu Ihrem bestehenden Tech-Stack
- GitHub
- Amazon Web Services
- Microsoft Entra ID
- Jira (Ticketing)
- SharePoint (Dokumentlinks)
- GitLab (demnächst)
- Microsoft Azure (demnächst)
- Google Cloud (demnächst)
- Okta (demnächst)
- Workday (demnächst)
- OpenAI (demnächst)
- Anthropic (demnächst)
FAQ
Häufig gestellte Fragen und Antworten
Wer stellt das ISO/IEC-42001-Zertifikat aus – AnnexOps oder eine Zertifizierungsstelle?
Eine Zertifizierungsstelle. AnnexOps ist keine Zertifizierungsstelle und zertifiziert niemanden. Stellen, die KI-Managementsysteme zertifizieren, arbeiten nach ISO/IEC 42006:2025 und ISO/IEC 17021-1: zweistufiges Erstaudit, Überwachungsaudits mindestens einmal jährlich und Rezertifizierung im dritten Jahr. Prüfen Sie, ob die Stelle akkreditiert ist. AnnexOps bereitet Ihre Nachweise zu allen 65 Anforderungen auf, ordnet sie und gibt der Stelle einen schreibgeschützten Audit Room, beschränkt auf ISO 42001.
Erfüllen wir mit einer ISO/IEC-42001-Zertifizierung den EU AI Act?
Nein. ISO/IEC 42001 ist eine freiwillige Managementsystemnorm, keine harmonisierte Norm im Sinne der Verordnung (EU) 2024/1689. Laut den Normungs-FAQ der Kommission sind ihre Ziele und Definitionen nicht auf das Qualitätsmanagementsystem abgestimmt, das der AI Act verlangt (Art. 17). Dafür wurde die EN 18286:2026 geschrieben; sie begründet eine Konformitätsvermutung erst, wenn ihre Fundstelle im Amtsblatt veröffentlicht ist. AnnexOps führt beides auf einem gemeinsamen Nachweisbestand, sodass das AIMS Ihre Pflichten aus dem AI Act unterstützt, aber nicht ersetzt.
Wie viel unseres ISO/IEC-27001-ISMS zählt bereits für ISO/IEC 42001?
Das Gerüst der Abschnitte 4 bis 10 ist gemeinsam, da beide Normen der Harmonisierten Struktur der ISO folgen. Die 38 Anhang-A-Controls sind KI-spezifisch und unterscheiden sich von den 93 der ISO 27001:2022; zudem braucht ISO 42001 einen eigenen Anwendungsbereich, eigene Ziele, interne Audits und Managementbewertungen. In AnnexOps sind 50 der 211 gemeinsamen Controls mit Anforderungen der ISO 42001 verknüpft. Eine gesperrte Regelwerkskarte zeigt, welchen Anteil Ihre vorhandenen Nachweise bereits abdecken – berechnet für Ihre Organisation. Er kann niedrig sein.
Wurden die ISO/IEC-42001-Inhalte in AnnexOps fachlich geprüft?
Die Inhalte wurden von AnnexOps erstellt, die Prüfung durch Fachexperten läuft; das Produkt weist dies auf dem Bildschirm aus. Inhalte zum EU AI Act und zur DSGVO sind bereits anwaltlich geprüft. Der offizielle Normtext wird nur über die Abschnittsnummer referenziert, da die ISO die Norm lizenziert. Der Status stammt aus versionierten Regeln, nicht aus einem Sprachmodell, und der angezeigte Prozentsatz ist die bewertete Anforderungsabdeckung – bewusst ein Richtwert. Er ist weder ein Maß für Compliance noch Rechtsberatung oder eine Prognose der Zertifizierungsentscheidung.
