ISO 27001 vs. ISO 42001: Der praktische Unterschied für Unternehmen

Zwei Managementsystem-Normen, beide aus dem Hause ISO/IEC, beide mit Annex A, beide nach Harmonized Structure aufgebaut. Und dennoch lösen ISO/IEC 27001:2022 und ISO/IEC 42001:2023 grundlegend verschiedene Probleme. Wer KI im Unternehmen einsetzt oder plant, muss verstehen, wo die eine Norm aufhört und die andere anfängt. Und wann beide zusammen gebraucht werden.

Zwei Normen, zwei Ziele: Was ISO 27001 und ISO 42001 jeweils leisten

ISO/IEC 27001:2022 ist die etablierte Grundlage für Informationssicherheit. Ihr Scope umfasst den Schutz von Informationen nach der CIA-Triade, also Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability). Das Risikomodell ist asset-basiert. Welche Informationswerte hat das Unternehmen, welche Bedrohungen und Schwachstellen bestehen? Annex A 2022 liefert 93 Controls in vier Themenbereichen: Organisational, People, Physical, Technological.

ISO/IEC 42001:2023 dagegen ist kein Informationssicherheits-Standard. Sie ist ein Managementsystem für die verantwortungsvolle Entwicklung, den Einsatz und die Beschaffung von KI-Systemen. Der entscheidende Unterschied liegt im Risikoobjekt. Ein ISMS schützt Informationen. Ein AIMS bewertet, welche Wirkung KI-Systeme auf Individuen, Gesellschaft und Umwelt haben. Annex A der ISO 42001 umfasst 10 Objectives mit rund 38 Controls, darunter KI-Policies, Rollenmodelle, Impact Assessment, Lebenszyklus-Management und Anforderungen an KI-Lieferanten.

Kurz gesagt fragt ein ISMS „Wer greift auf unsere Daten zu?". Ein AIMS fragt „Was macht unser KI-System mit Menschen?".

Gemeinsamkeiten: Warum beide Normen dieselbe Sprache sprechen

Wer ISO 27001 kennt, findet sich in ISO 42001 schnell zurecht. Beide Normen folgen der Harmonized Structure (HS), dem gemeinsamen Grundgerüst aller modernen ISO-Managementsystemnormen. Kapitel 4 bis 10 sind strukturell identisch. Kontext der Organisation, Führung und Verpflichtung, Planung, Unterstützung, Betrieb, Leistungsbewertung, Verbesserung.

Das bedeutet in der Praxis, dass Dokumentationslogik, Risikoprozess-Architektur, internes Audit-Schema und Management-Review sich zwischen beiden Normen teilen lassen. Der PDCA-Zyklus (Plan-Do-Check-Act) strukturiert beide Systeme. Governance-Strukturen, die für ein ISMS aufgebaut wurden, können für ein AIMS wiederverwandt oder erweitert werden.

Das reduziert den Implementierungsaufwand erheblich, wenn beide Normen gemeinsam eingeführt werden.

Unterschiede in der Tiefe: ISO 27001 vs ISO 42001 im Detail

Die Strukturgleichheit verdeckt fundamentale inhaltliche Unterschiede. Vier davon sind für Entscheider besonders relevant.

Risikoobjekt und Risikomodell. ISMS-Risiken entstehen durch Bedrohungen gegen Informationsassets. AIMS-Risiken entstehen durch Wirkungen von KI-Systemen, etwa Diskriminierung, Erklärbarkeitsdefizite, unkontrolliertes Verhalten oder Umweltauswirkungen. Ein Sprachmodell, das korrekt funktioniert und keine Datenpanne verursacht, kann trotzdem AIMS-relevant sein, wenn seine Ausgaben systematisch bestimmte Gruppen benachteiligen.

AI System Impact Assessment. ISO 42001 verlangt eine strukturierte Wirkungsfolgenabschätzung für KI-Systeme. ISO/IEC 42005 (AI Impact Assessment) liefert dafür ein dediziertes Rahmenwerk als ergänzende Norm. Dieses Assessment ist kein klassisches Datenschutz-DSFA und kein IT-Risikoassessment, sondern bewertet KI-spezifische Risiken wie Modell-Bias, Erklärbarkeit und Robustheit gegenüber Adversarial Inputs.

Transparenz und Erklärbarkeit. Ein AIMS verlangt, dass Organisationen die Erklärbarkeit ihrer KI-Systeme adressieren, soweit technisch und wirtschaftlich vertretbar. Das ist für ein ISMS schlicht kein Thema. Ein ISMS-zertifiziertes Unternehmen kann vollständig opake Black-Box-Modelle betreiben, ohne gegen seine Norm zu verstoßen.

Datenqualität und Bias. ISO 42001 adressiert explizit die Qualität von Trainingsdaten, Repräsentativität und Bias-Risiken. Ein ISMS-Audit würde danach nicht fragen. Wer hochriskante KI-Systeme im Sinne des EU AI Act (Art. 9-15) betreibt, wird feststellen, dass AIMS hier die normative Grundlage liefert, auf der technische Maßnahmen dokumentiert werden können.

Welche Norm wann: Orientierung nach Unternehmensprofil

Eine Entweder-oder-Entscheidung stellt sich in den meisten Fällen nicht. Dennoch hilft eine Einordnung.

Nur ISO 27001 (zunächst). Unternehmen ohne nennenswerten KI-Einsatz, die regulatorischen Druck aus NIS-2, DORA oder Kundenanforderungen abarbeiten müssen. ISO 27001 ist die etabliertere, auditierungspraktisch ausgereifte Norm mit deutlich größerem Zertifizierungsmarkt.

Nur ISO 42001 (selten sinnvoll). Spezialisierte KI-Anbieter ohne eigene kritische Infrastruktur können ein AIMS als Einstieg wählen. In der Praxis ist das eher selten, weil ISO 27001 in vielen Ausschreibungen als Grundvoraussetzung gilt.

Beide Normen. Unternehmen, die eigene KI-Systeme entwickeln, hochriskante KI im Sinne des EU AI Act einsetzen oder KI-Services an Kunden erbringen. Wer ISO 27001 bereits hat, kann ISO 42001 als Aufbaustufe implementieren. Der gemeinsame HS-Unterbau macht das effizienter als eine Greenfield-Einführung.

Faustregel. Mit ISO 27001 anfangen, wenn Informationssicherheit noch nicht grundlegend adressiert ist. ISO 42001 parallel planen, wenn KI-Systeme in Kern-Geschäftsprozesse eingeführt werden.

Integration statt Duplikation: Wie sich beide Managementsysteme zusammen betreiben lassen

Ein integriertes Managementsystem (IMS) fasst mehrere Normen unter einem Dach zusammen. Das ist kein Idealzustand für später, sondern eine praktische Entscheidung, die Audit-Aufwand, Dokumentationspflege und Governance-Ressourcen direkt beeinflusst.

Gemeinsame Elemente sind die Kontext-Analyse, Interessenparteien, Führungsverantwortung, Dokumentenlenkung, das interne Audit-Programm, Management-Review, Umgang mit nichtkonformem Verhalten und kontinuierliche Verbesserung. Diese Prozesse werden einmal definiert und gelten für beide Normen.

Getrennt bleiben müssen das ISMS-spezifische Asset-Inventar und die AIMS-spezifische KI-System-Registry. Die Risikoassessments verlaufen methodisch unterschiedlich, können aber in einem gemeinsamen Tool verwaltet werden. Annex-A-Controls lassen sich nach Normen trennen und dennoch gemeinsam auditieren, wenn die Auditstrategie entsprechend geplant ist.

Eine gleichzeitige Erstzertifizierung nach beiden Normen ist technisch möglich, erfordert aber erhebliche Vorbereitungskapazität. Häufiger ist der Pfad ISO 27001 zuerst und dann ISO 42001 als Erweiterungsaudit. Erstaudit ISO 27001 dauert typischerweise 9 bis 18 Monate Vorbereitung, ISO 42001 als Aufbau danach rund 6 bis 12 Monate. Kostenindikation für den Mittelstand: ISO 27001-Zertifizierung ab rund 15.000 bis 25.000 EUR (Beratung, Zertifizierungsstelle), ISO 42001 als Erweiterung ab rund 8.000 bis 15.000 EUR, je nach Scope und Vorzertifizierung.

FAQ

Muss ich ISO 27001 haben, bevor ich ISO 42001 zertifiziere?

Nein, formal nicht. ISO 42001 setzt keine ISO-27001-Zertifizierung voraus. In der Praxis ist es freilich selten sinnvoll, ein AIMS einzuführen, ohne grundlegende Informationssicherheit geregelt zu haben. Wer ISO 27001 bereits hat, spart bei der ISO-42001-Einführung deutlich Zeit, weil Governance-Strukturen, Dokumentensteuerung und Audit-Prozesse bereits existieren.

Wie hoch ist der Mehraufwand für ISO 42001?

Das hängt stark vom Ausgangspunkt ab. Unternehmen mit bestehendem ISMS können das gemeinsame HS-Fundament weitgehend wiederverwenden. Der eigentliche Mehraufwand liegt in der KI-spezifischen Substanz. Ein KI-System-Inventar aufbauen, Impact Assessments durchführen, Bias- und Erklärbarkeitskontrollen dokumentieren, Lieferanten-Management für KI-Dienste etablieren. Erfahrungswert: 30 bis 50 Prozent des Erstaufwands einer ISO-27001-Einführung, wenn diese bereits abgeschlossen ist.

Gibt es DIN-SPEC- oder BSI-Referenzen zu ISO 42001?

Das BSI hat ISO/IEC 42001 als relevante Norm für KI-Governance in den Blick genommen und verweist im Kontext des AI Act auf das Norm-Portfolio. DIN SPEC 92001 (KI-Lebenszyklusmodell) ist eine ergänzende Spezifikation, die konzeptionell mit ISO 42001 harmoniert, aber keine direkte Zertifizierungsgrundlage ist. ISO/IEC 42005 (AI Impact Assessment) ist als Ergänzungsnorm zu ISO 42001 konzipiert und würde separat zertifiziert. Beide Normen befinden sich noch in der Marktanlaufphase. Zertifizierungsdienstleister bauen ihre Kompetenz derzeit auf.

Hilft ISO 42001 bei der EU-AI-Act-Compliance?

Direkt ist ISO 42001 kein Konformitätsnachweis für den EU AI Act. Eine zertifizierte AIMS-Einführung schafft jedoch erhebliche Vorleistungen. Das Risikomanagement-System nach ISO 42001 adressiert Anforderungen, die Art. 9 EU AI Act (Risikomanagementsystem für Hochrisiko-KI) an Anbieter und Betreiber stellt. Art. 10 (Daten und Datenverwaltung), Art. 13 (Transparenz) und Art. 15 (Genauigkeit, Robustheit, Cybersicherheit) werden durch ISO-42001-Controls inhaltlich unterstützt. Eine ISO-42001-Zertifizierung dürfte im AI-Act-Konformitätsverfahren als wertvoller Nachweis anerkannt werden, sobald harmonisierte Normen veröffentlicht sind.

Wie lange dauert eine Erstzertifizierung?

ISO 27001: Realistisch 9 bis 18 Monate Vorbereitung für ein mittelständisches Unternehmen (100 bis 1.000 Mitarbeiter), je nach Ausgangssituation. Danach Stage-1-Audit (Dokumentenprüfung) und Stage-2-Audit (Implementierungsprüfung). ISO 42001 als Erstzertifizierung ist vergleichbar, tendenziell etwas kürzer, weil die Norm jünger und noch nicht so ausdifferenziert ist. Als Erweiterung zu bestehendem ISMS laufen 6 bis 12 Monate. Alle Angaben sind Richtwerte. Professionelle Beratung lohnt sich, um den individuellen Scope und Zeitplan zu kalibrieren.