ISO 27001 und ISO 27090 kombiniert umsetzen — KI-Sicherheit in einem ISMS

ISO/IEC 27001 ist eine Anforderungsnorm: Sie legt fest, was ein Informationssicherheits-Managementsystem leisten muss, und ist deshalb zertifizierbar. ISO/IEC 27090 ist ein Leitfaden: Sie beschreibt, welche Bedrohungen KI-Systeme spezifisch treffen, woran man sie erkennt und wie man sie abwehrt. Ein eigenes Managementsystem verlangt sie nicht, sondern setzt auf die etablierte Praxis von ISO/IEC 27001 und 27002 auf — zwei verbindlich formulierte Sätze in ihrem Grundsatzabschnitt verlangen, Informationssicherheits-Controls risikobasiert umzusetzen und KI-spezifische Kompromittierungen über den gesamten Lebenszyklus zu berücksichtigen.

Zwei Andockpunkte tragen das ganze Modell

Erstens die Risikobeurteilung: Die neun Kompromittierungstypen werden für jedes KI-System im Geltungsbereich bewertet — im selben Register und mit derselben Methodik wie alle anderen Informationssicherheitsrisiken. Zweitens die Erklärung zur Anwendbarkeit: ISO/IEC 27001 lässt Maßnahmen aus beliebigen Quellen zu und verlangt den Abgleich gegen Anhang A. Die Abwehrhinweise der ISO/IEC 27090 werden so zu Controls des ISMS, die umgesetzt, überwacht, auditiert und im Zertifizierungsaudit mitgeprüft werden.

• Kein zweites Managementsystem, keine zweite Risikomethodik, keine zweite Dokumentenlenkung
• Jede Maßnahme genau einmal, mehrfach gemappt — auf Anhang A, ISO/IEC 27090 und bei Bedarf ISO/IEC 42001 oder die KI-Verordnung
• Internes Audit, Management Review und Zertifizierungsaudit prüfen die KI-Maßnahmen mit
• Wer noch kein ISMS hat, baut ISMS und KI-Profil in einem Projekt auf

Getrennte Analysen erzeugen doppelte Interviews und widersprüchliche Ergebnisse. Wir prüfen deshalb jede Anforderung der Kapitel 4 bis 10 und jedes relevante Control aus Anhang A einmal — und bewerten dabei, ob die KI-Ausprägung mit abgedeckt ist. Hinzu kommt der Blick auf die KI-spezifischen Inhalte der ISO/IEC 27090, die in ISO/IEC 27001 keine direkte Entsprechung haben: die neun Kompromittierungstypen, Zero Trust für Modelle und Agenten, Red Teaming, Wechselwirkungen von Maßnahmen und das Nachlassen ihrer Wirksamkeit über die Zeit.

1. 1
   Scoping und Kontext

   Kick-off mit Leitung und ISMS-Team: Ziele der Initiative wie Zertifikat, Kundenanforderungen oder KI-Verordnung, vorläufiger Geltungsbereich, interessierte Parteien mit KI-Anforderungen.

2. 2
   KI-Inventur

   Alle KI-Systeme erfassen — selbst entwickelt, im eigenen Tenant betrieben, als API oder SaaS genutzt oder in Standardsoftware eingebettet; der Abgleich mit Beschaffung, Lizenzbestand, Code-Repositories und Netzwerkdaten deckt Schatten-KI auf.

3. 3
   Dokumentensichtung

   Politik, Risikomethodik, Risikoregister, Erklärung zur Anwendbarkeit, Prozessbeschreibungen, Lieferantenbewertungen und vorhandene KI-Richtlinien.

4. 4
   Interviews und Stichproben

   CISO und ISMS-Team, IT-Betrieb, ML-Engineering und Data Science, Softwareentwicklung, Einkauf, Datenschutz und Fachbereiche; technische Stichproben zu Zugriffsrechten auf Modelle und Daten, zur Protokollierung und zu Ein- und Ausgabefiltern.

5. 5
   Bewertung in Reifegraden

   Jede Anforderung in vier Stufen von „nicht vorhanden“ bis „wirksam und geprüft“ — doppelt bewertet für die ISMS-Anforderung und ihre KI-Ausprägung.

6. 6
   Gap-Register und Management-Summary

   Lücken mit Risiko, Aufwand, Verantwortlichen und Priorität; Heatmap je Normkapitel und je KI-System; die zehn wichtigsten Lücken für die Leitung.

Was die Gap-Analyse liefert

• Erstfassung des KI-Inventars mit Eigentümern und Kritikalität
• Gap-Register ISO/IEC 27001 × ISO/IEC 27090 mit Reifegraden
• Relevanzbewertung der neun Kompromittierungstypen je KI-System
• Heatmap und Management-Summary mit Prioritäten und grober Aufwandsschätzung
• Empfehlung zu Geltungsbereich und Zertifizierungspfad

Grundlage ist die Risikobeurteilung: Für jedes KI-System im Geltungsbereich werden die relevanten Kompromittierungstypen nach Eintrittswahrscheinlichkeit und Folgen bewertet. Die Risikobehandlung wählt dann Maßnahmen — aus Anhang A, aus ISO/IEC 27090 oder aus eigener Ableitung — und gleicht sie gegen Anhang A ab, damit kein notwendiges Control fehlt. So entsteht eine erweiterte Erklärung zur Anwendbarkeit, die für jede Maßnahme Quelle, Begründung und Umsetzungsstatus nennt.

Zwei Wege in die Erklärung zur Anwendbarkeit

Priorisieren statt alles gleichzeitig

• No-Regret-Maßnahmen zuerst: KI-Inventar, Eigentümer, Zugriffsschutz, Protokollierung, Nutzungsregeln für generative KI
• Dann nach Risiko: die kritischsten KI-Systeme und die hoch bewerteten Kompromittierungstypen
• Fristen berücksichtigen: Kundenaudits, nächstes Überwachungsaudit, Hochrisiko-Pflichten der KI-Verordnung ab Dezember 2027
• Restrisiken durch die Risikoeigentümer formal akzeptieren lassen — nicht durch das Projektteam

ISO/IEC 27001 verlangt, Änderungen am ISMS geplant durchzuführen — die KI-Erweiterung ist eine solche Änderung; bewährt ist, Zweck, mögliche Folgen, Ressourcen und Zuständigkeiten vorab festzulegen. Das schützt ein bestehendes Zertifikat, weil das ISMS während des Umbaus funktionsfähig bleibt, und gibt einem Neuaufbau eine klare Struktur. Das Konzept umfasst Projektorganisation, Arbeitspakete, Abhängigkeiten, Budget, Kommunikation und Kennzahlen.

Roadmap in Wellen

1. 1
   Welle 0 · Wochen 1–4Mandat und Sofortmaßnahmen

   Geltungsbereich bestätigen, KI-Inventar vervollständigen, Eigentümer benennen, Nutzungsregeln für generative KI veröffentlichen, Zugriffe auf Modelle und Daten bereinigen, Protokollierung für die kritischsten Systeme einschalten.

2. 2
   Welle 1 · Monate 2–4Governance und Methodik

   Politik und KI-Sicherheitsrichtlinie verabschieden, den Risikobehandlungsplan aus Phase 2 starten, Lieferantenanforderungen festlegen.

3. 3
   Welle 2 · Monate 3–8Technische Maßnahmen

   Zero Trust für Daten, Modelle und Agenten, Ein- und Ausgabekontrollen, Schutz der Entwicklungsumgebung, Überwachung und Drosselung, Red Teaming der kritischsten Systeme.

4. 4
   Welle 3 · Monate 6–10Migration und Schulung

   Prozesse und Daten migrieren, zielgruppenspezifische Schulungen, Kennzahlen messen, Nachweise sammeln.

5. 5
   Welle 4 · Monate 9–12Prüfen und entscheiden

   Internes Audit, Korrekturmaßnahmen, Management Review und die Entscheidung über das Zertifizierungsaudit.

Die Zeitangaben sind Orientierungswerte aus Projekten für einen gemeinsamen Neuaufbau mit einer überschaubaren Zahl von KI-Systemen. Bei einem bestehenden, zertifizierten ISMS entfallen große Teile der Wellen 1 und 4 — die KI-Erweiterung lässt sich dann häufig bis zum nächsten Überwachungsaudit einbringen.

Kennzahlen für die Steuerung

• Anteil der KI-Systeme mit Eigentümer, Risikobeurteilung und Eintrag in der Erklärung zur Anwendbarkeit
• Anteil der kritischen KI-Systeme mit Inferenz-Protokollierung und Überwachung
• Offene Befunde aus Red Teaming und Audit nach Alter und Schwere
• Schulungsquote je Zielgruppe
• Termintreue der Arbeitspakete gegenüber der Roadmap

Organisatorisch beginnt die Umsetzung mit Regeln, die alle betreffen: der um KI ergänzten Politik, Nutzungsregeln für generative KI, der Klassifizierung von Trainings-, Prompt- und Ausgabedaten und einem Änderungsverfahren, das Modellwechsel, Retraining und Änderungen an System-Prompts oder Retrieval-Quellen wie Software-Änderungen behandelt. Technisch folgt die Umsetzung den Kompromittierungstypen, die in der Risikobeurteilung hoch bewertet wurden.

Zero Trust als roter Faden

ISO/IEC 27090 überträgt die Zero-Trust-Prinzipien, die ISO/IEC 27002 für sichere Systemarchitekturen beschreibt, auf KI: Zugriffe auf Trainingsdaten, Modelle und Retrieval-Quellen werden einzeln authentisiert und autorisiert, KI-Anwendungen erhalten klare Grenzen, Aktionen von KI-Agenten werden einzeln geprüft, Rechte nur für die Aufgabe und befristet vergeben, und das Verhalten der Systeme wird kontinuierlich überwacht. Diese Prinzipien ziehen sich durch alle Abwehrhinweise der Norm.

Nachweise, die Sie jetzt sammeln

• Freigegebene Richtlinien und Nutzungsregeln mit Versionsstand
• Konfigurationen und Rechtekonzepte für Modelle, Daten und Agenten
• Protokollierungs- und Überwachungsnachweise mit Beispielauswertungen
• Testberichte aus Red Teaming und Abnahmetests mit Befundbehandlung
• Änderungstickets für Modellwechsel und Retraining mit Revalidierung

Migration hat zwei Ebenen. Auf der Prozessebene übernehmen die vorhandenen ISMS-Prozesse die KI-Fälle, statt dass neben dem ISMS ein eigener KI-Prozesskosmos entsteht. Auf der Datenebene werden Register, Maßnahmen und Nachweise aus Tabellen, Wikis und Alt-Werkzeugen in ein konsolidiertes Datenmodell überführt, in dem jede Maßnahme genau einmal existiert und auf mehrere Rahmenwerke zeigt.

Datenmigration in fünf Schritten

1. 1
   Bestandsaufnahme

   Welche Register, Maßnahmenlisten, Nachweise und Auditfeststellungen existieren wo — und in welcher Qualität?

2. 2
   Zieldatenmodell

   Ein Modell für Werte, Risiken, Controls, Nachweise und Lieferanten mit Mehrfach-Mapping auf ISO/IEC 27001, ISO/IEC 27090 und bei Bedarf ISO/IEC 42001, KI-Verordnung, NIS2 oder DORA.

3. 3
   Bereinigung

   Dubletten zusammenführen, Eigentümer und Gültigkeiten ergänzen, verwaiste Maßnahmen klären — nicht jede Altlast verdient die Migration.

4. 4
   Probelauf und Abnahme

   Testmigration mit Stichproben, Abnahme durch die Fachverantwortlichen, Abgleich der Zählstände.

5. 5
   Umstellung und Archiv

   Stichtag, kurzer Parallelbetrieb, Archivierung der Altdaten unter Wahrung der Aufbewahrungspflichten — die Nachweishistorie muss für das nächste Audit erhalten bleiben.

Die Inhalte leiten sich aus den Kompromittierungstypen und den Maßnahmen ab, die in Phase 2 festgelegt wurden — deshalb unterscheiden sie sich je Rolle deutlich. Eine Einheitsschulung für alle verfehlt sowohl die Geschäftsleitung, die Risiken bewerten und Ressourcen freigeben muss, als auch das ML-Engineering, das konkrete Angriffe auf Daten und Modelle verhindern soll.

Wirksamkeit belegen

• Kompetenzprofil je Rolle mit Soll und Ist
• Teilnahmenachweise und kurze Wissenstests
• Praxisnachweise wie bestandene Übungsszenarien
• Kennzahlen im Management Review: Schulungsquote je Zielgruppe, Meldungen von Auffälligkeiten

ISO/IEC 27001 verlangt interne Audits in geplanten Abständen, ein Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichtswegen sowie objektive und unparteiische Auditoren. Leitfäden dafür sind ISO 19011 für Audits von Managementsystemen und ISO/IEC 27007 für ISMS-Audits. Prüfmaßstab sind ISO/IEC 27001 und die eigenen Vorgaben — für die KI-Maßnahmen also die Erklärung zur Anwendbarkeit. ISO/IEC 27090 ist kein Auditmaßstab; sie wirkt über die Maßnahmen, die Sie aus ihr übernommen haben.

Typische Prüffragen mit KI-Bezug

• Sind alle produktiven KI-Systeme im Inventar — und stimmt das Inventar mit Beschaffung und Netzwerkdaten überein?
• Liegt für jedes KI-System im Geltungsbereich eine aktuelle Risikobeurteilung mit den relevanten Kompromittierungstypen vor?
• Entsprechen die Zugriffsrechte auf Modelle, Trainingsdaten und Retrieval-Quellen dem Rechtekonzept? Stichprobe aus den Berechtigungen.
• Werden Ein- und Ausgaben, Modellversion und Werkzeugaufrufe protokolliert und ausgewertet? Stichprobe aus den Protokollen.
• Wurde vor dem letzten Modellwechsel getestet und revalidiert? Stichprobe aus den Änderungstickets.
• Sind Befunde aus Red Teaming behandelt und nachverfolgt?
• Sind Modellanbieter bewertet und vertraglich verpflichtet?

ISO/IEC 27001 legt fest, was die Leitung in geplanten Abständen bewerten muss: den Stand der Maßnahmen aus früheren Managementbewertungen, Veränderungen bei internen und externen Themen sowie bei den Erfordernissen interessierter Parteien, Rückmeldungen zur Informationssicherheitsleistung mit Nichtkonformitäten, Mess- und Auditergebnissen und Zielerreichung, Rückmeldungen interessierter Parteien, Ergebnisse der Risikobeurteilung und den Stand der Risikobehandlung sowie Verbesserungsmöglichkeiten. Ergebnis sind dokumentierte Entscheidungen.

Entscheidungen, die im Protokoll stehen sollten

• Risikoappetit für KI und Akzeptanz der Restrisiken für die kritischsten Systeme
• Ressourcen für die nächsten Wellen der Roadmap
• Anpassungen des Geltungsbereichs bei neuen KI-Systemen
• Go oder No-Go für das Zertifizierungsaudit
• Ziele und Kennzahlen für den nächsten Zyklus

1. 1
   Auswahl der Zertifizierungsstelle

   Eine akkreditierte Stelle wählen, in Deutschland über die DAkkS akkreditiert; Geltungsbereich, Standorte und Auditdauer abstimmen. Die Anforderungen an die Stellen regeln ISO/IEC 17021-1 und ISO/IEC 27006-1.

2. 2
   Stufe-1-Audit

   Prüfung der Dokumentation und der Zertifizierungsreife: Geltungsbereich mit KI-Systemen, Risikobeurteilung, Erklärung zur Anwendbarkeit, Planung und Durchführung von internem Audit und Management Review.

3. 3
   Stufe-2-Audit

   Prüfung der Wirksamkeit vor Ort: Interviews, Begehungen und Stichproben — bei KI-Systemen etwa Rechtekonzepte, Protokolle, Testberichte und Änderungsnachweise.

4. 4
   Korrekturmaßnahmen und Entscheidung

   Abweichungen werden innerhalb der Fristen der Zertifizierungsstelle behoben; danach entscheidet die Stelle über die Zertifizierung.

5. 5
   Zertifikat und Zyklus

   Das Zertifikat gilt drei Jahre; in den Folgejahren finden Überwachungsaudits statt, danach die Rezertifizierung. Neue KI-Systeme werden über Geltungsbereich und Erklärung zur Anwendbarkeit nachgezogen.

Was auf dem Zertifikat steht — und was nicht

Das Zertifikat bescheinigt ein ISMS nach ISO/IEC 27001 für einen beschriebenen Geltungsbereich. Schließt dieser die KI-Systeme ein, ist ihre Sicherheit Teil des zertifizierten Managementsystems. Eine Aussage „nach ISO/IEC 27090 zertifiziert“ trägt das Zertifikat nicht, und sie darf auch in der Kommunikation nicht entstehen. Sauber ist: „ISMS nach ISO/IEC 27001 zertifiziert; die Maßnahmen für unsere KI-Systeme orientieren sich an ISO/IEC 27090.“

Optional: ISO/IEC 42001 kombiniert auditieren

Wer zusätzlich das Management von KI insgesamt nachweisen will — Folgenabschätzung, Verantwortlichkeiten, Lebenszyklus, Datenqualität —, kann ein KI-Managementsystem nach ISO/IEC 42001 integrieren. Beide Normen folgen derselben Grundstruktur, kombinierte Audits sind möglich. Zu beachten: Am 22.10.2026 war in Deutschland keine DAkkS-akkreditierte Zertifizierungsstelle für ISO/IEC 42001 gelistet; Angebote mit Akkreditierung anderer Akkreditierungsstellen sollten einzeln geprüft werden.

Sieben Fehler, die wir häufig sehen

• Ein zweites Register oder ein eigenes KI-Managementsystem neben dem ISMS — doppelte Pflege, widersprüchliche Bewertungen
• ISO/IEC 27090 als Checkliste abgehakt statt über die Risikobeurteilung priorisiert
• Schatten-KI in Standardsoftware und SaaS übersehen
• Schutz nur über Prompt-Regeln statt über Rechte, Freigaben und Isolierung
• Keine Protokollierung der Inferenz — Vorfälle bleiben unbemerkt, Audits ohne Nachweis
• Migration kurz vor dem Audit, die Nachweishistorie geht verloren
• Werbung mit „ISO-27090-zertifiziert“ — irreführend und wettbewerbsrechtlich angreifbar

Erfolgsfaktoren

• Sichtbares Mandat der Leitung mit Risikoappetit für KI
• Eigentümer je KI-System im Fachbereich, nicht nur in der IT
• Ein Datenmodell, mehrfach gemappt
• Frühe No-Regret-Maßnahmen für schnelle Wirkung
• Red Teaming als Wirksamkeitsnachweis
• Schulungen nach Zielgruppe statt Einheitskurs