Über KI-Management (ISO/IEC 42001) wird gerade viel gesprochen. Die weniger glamouröse, aber ältere Schwester wird dabei oft übersehen: die ISO/IEC 27001, der internationale Standard für Informationssicherheit. Dabei ist sie die Basis, auf der KI überhaupt erst verantwortbar wird — denn eine KI ist nur so vertrauenswürdig wie die Daten und Systeme, auf denen sie läuft.
Was die ISO 27001 ist
Die ISO/IEC 27001 beschreibt ein Information Security Management System (ISMS) — ein Managementsystem, mit dem eine Organisation ihre Informationssicherheit systematisch steuert: Was muss geschützt werden, vor welchen Risiken, mit welchen Maßnahmen, und wer ist verantwortlich?
Wichtig ist der Ansatz: Die Norm schreibt Ihnen nicht stur einen Katalog vor. Sie verlangt einen risikobasierten Umgang — Sie ermitteln Ihre Werte und Bedrohungen und wählen die Maßnahmen, die zu Ihrem tatsächlichen Risiko passen. Sie folgt derselben Grundstruktur (Kapitel 4–10) wie ISO 9001 und ISO 42001. Wer eines dieser Managementsysteme betreibt, dockt das ISMS an bestehende Prozesse an.
Was die Fassung 2022 geändert hat
Die aktuelle Version ist die ISO/IEC 27001:2022. Die wichtigste Änderung steckt im Maßnahmenkatalog (Anhang A): Aus den früheren 114 Controls wurden 93 — zusammengefasst, entschlackt und in vier Themen neu geordnet:
- Organisatorisch (37 Controls) — Richtlinien, Rollen, Lieferantensicherheit, Umgang mit Vorfällen, Cloud-Nutzung.
- Personenbezogen (8 Controls) — Sensibilisierung, Schulung, Verantwortung der Mitarbeitenden.
- Physisch (14 Controls) — Zutritt, Geräte, Überwachung von Räumen und Technik.
- Technologisch (34 Controls) — Zugriffssteuerung, Kryptografie, Protokollierung, sichere Entwicklung.
Neu hinzugekommen sind 11 Controls, die moderne Themen abbilden — darunter Threat Intelligence, Informationssicherheit bei Cloud-Diensten, Konfigurationsmanagement, Löschung von Informationen, Data Masking, Verhinderung von Datenabfluss und sichere Programmierung. Genau die Themen, die auch beim KI-Einsatz zählen.
Auswählen und begründen: die Statement of Applicability
Kern des ISMS ist die Statement of Applicability (SoA) — die Erklärung, welche Controls für Sie gelten und warum. Nicht jede Maßnahme trifft jedes Unternehmen. Die Norm verlangt keine Vollständigkeit um jeden Preis, sondern eine nachvollziehbare Begründung: Was ist relevant, was nicht — und weshalb. Das ist der Unterschied zwischen gelebter Sicherheit und einem Aktenordner für den Auditor.
Wie die Zertifizierung abläuft
Wer das Zertifikat anstrebt, durchläuft ein Audit bei einer akkreditierten Stelle: Stufe 1 prüft die Dokumentenlage, Stufe 2 die tatsächliche Umsetzung. Das Zertifikat gilt in der Regel drei Jahre, mit jährlichen Überwachungsaudits, danach folgt die Rezertifizierung. Wie bei der ISO 42001 gilt: Ob Sie zertifizieren, entscheiden Marktanforderungen — Ausschreibungen, Großkunden, regulierte Branchen. Die Substanz lohnt sich auch ohne Zertifikat.
Warum 27001 das Fundament für KI ist
Hier schließt sich der Kreis zur künstlichen Intelligenz. Ein KI-System verarbeitet Ihre sensibelsten Daten: Konstruktionswissen, Kundendaten, Geschäftsgeheimnisse. Ohne solide Informationssicherheit wird jede KI-Einführung zum Risiko — egal wie gut das Modell ist.
Deshalb gehören für uns ISO/IEC 27001 und ISO/IEC 42001 zusammen: Die 27001 sichert die Daten und Systeme, die 42001 steuert den verantwortungsvollen KI-Einsatz darauf. Unser Grundsatz „self-hosted first” ist gelebte 27001 — Kryptografie, Zugriffssteuerung und Datensouveränität, damit sensible Daten dort bleiben, wo Sie die Kontrolle haben. Cloud dort, wo es unkritisch ist; eigene Infrastruktur, wo es darauf ankommt.
Wir arbeiten selbst nach beiden Normen und begleiten den Aufbau bei Kunden — als TÜV-Süd-zertifizierter AI Officer; die ISO/IEC-42001-Zertifizierung ist in Vorbereitung. Der erste Schritt ist immer eine ehrliche Bestandsaufnahme: wissen, wo Sie stehen.