ISO/IEC 27001 und ISO/IEC 42001: Die neue Vertrauensarchitektur für KI

Während klassische Informationssicherheits-Managementsystem-Audits Risikobewertungen, Incident-Management oder Lieferantenkontrollen untersuchen, kommen im KI-Umfeld weitere Fragestellungen, etwa zu Trainingsdaten, Risikobewertung, Modelländerungen, Transparenz und dem Umgang mit Fehlentscheidungen, hinzu.

Um diesen Themen zu begegnen, gewinnt die Kombination aus ISO/IEC 27001 und ISO/IEC 42001 an Bedeutung. Während ISO 27001 Informationssicherheit adressiert, unterstützt ISO 42001 den verantwortungsvollen Einsatz von KI. Gemeinsam schaffen sie eine belastbare Grundlage für Vertrauen in digitale Geschäftsmodelle.

Viele Anforderungen der KI-Governance bauen auf etablierten Prinzipien des Informationssicherheitsmanagements auf, etwa Risikomanagement, Lieferantenbewertung und Incident Management. Hinzu kommen jedoch neue Prüffelder wie Daten-Governance, Modellrisiken und Transparenz.

Ein Überblick über gängige Standards für IT, OT und KI:

• ISO/IEC 27001 gilt weltweit als führender Standard für Informationssicherheitsmanagement. Die Norm unterstützt Unternehmen dabei, Risiken systematisch zu bewerten, Sicherheitsmaßnahmen umzusetzen und Informationswerte zu schützen. Gleichzeitig fördert sie Prozesse wie Incident Management, Lieferantenmanagement und Business Continuity.
• ISO/IEC 42001 ergänzt diesen Ansatz um die Perspektive der KI-Governance. Die Norm definiert Anforderungen an den verantwortungsvollen Einsatz von KI, an Risikomanagement, Transparenz und die kontinuierliche Verbesserung von KI-Managementsystemen.
• IEC 62443 ist eine Normreihe, die Sicherheitsanforderungen für industrielle Automatisierungs- und Steuerungssysteme (IACS) definiert. Sie umfasst Maßnahmen zur Cybersicherheit, um die Verfügbarkeit, Integrität und Vertraulichkeit von Systemen und Daten in Industrieanlagen zu gewährleisten.
• SOC wurde vom American Institute of Certified Public Accountants entwickelt. Der freiwillige Standard richtet sich vor allem an Unternehmen, die Kundendaten verarbeiten und gegenüber Auftraggebern Transparenz über ihre Sicherheitsmaßnahmen schaffen müssen. Das freiwillige Assessment ist eine wichtige Grundlage für den Marktzugang in den USA.
• TISAX, kurz für Trusted Information Security Assessment Exchange, wurde speziell für die Automobilindustrie entwickelt. TISAX hat einen klaren Fokus auf die Lieferkette in der Automobilindustrie und insbesondere den Schutz der Kundendaten der Unternehmen.

Darüber hinaus gibt es weitere branchenspezifische Standards, insbesondere im Bereich der kritischen Infrastrukturen. Die Wahl des Zertifizierschemas hängt davon ab, in welchem Markt und in welcher Branche ein Unternehmen tätig ist. Auch die gesetzlichen Vorgaben, die zu erfüllen sind, sollten im Auswahlprozess berücksichtigt werden.

Vertrauen braucht Nachweise

Der Wert eines Zertifikats, sei es als Nachweis des eigenen Risikomanagements oder des Risikomanagements eines Lieferanten, liegt nicht im Dokument selbst, sondern in der unabhängigen Prüfung dahinter. Sie bestätigt die Wirksamkeit von Prozessen und Kontrollen. In einer zunehmend KI-geprägten Wirtschaft werden Audits und Zertifizierungen damit zum entscheidenden Vertrauensbeweis für Sicherheit, Verlässlichkeit und Verantwortungsbewusstsein. Gesetzliche Bestimmungen in der EU oder der Marktdruck in den USA, der einen Nachweis nach SOC quasi zur Bedingung für eine Geschäftstätigkeit dort macht, zeigen, dass Zertifizierungen heute ein wichtiger Faktor für die Haftungssicherheit und globale Marktfähigkeit von Unternehmen sind.