ISO 42001 als Erweiterung, nicht als zweites Managementsystem

Der Auslöser ist fast immer derselbe. Eine Organisation hat ISO 27001 seit Jahren im Griff. Dann kommt der erste KI-Agent in einem regulierten Prozess zum Einsatz, etwa in der Schadensbearbeitung, der Signalauswertung oder der Transaktionsprüfung, und im nächsten Lenkungsausschuss steht ISO 42001 auf der Traktandenliste. Die Frage, die dann gestellt wird, ist meist die falsche: «Wer baut uns das zweite Managementsystem auf?»

Was die Trennung kostet

Ein separates KI-Managementsystem klingt sauber, ist aber teuer. Es bedeutet einen zweiten Geltungsbereich, einen zweiten Kontrollkatalog, einen zweiten Auditzyklus und eine zweite Reihe interner Audits. Vor allem bedeutet es eine zweite Nachweislage, die dauerhaft gepflegt werden muss. Die Kosten fallen nicht im Projekt an, sondern in jedem Jahr danach.

Das lohnt sich nur, wenn sich die beiden Normen kaum überschneiden. Das ist nicht der Fall. Beide folgen der harmonisierten Struktur (Harmonized Structure): Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung, Verbesserung. Wer diese Kapitel für ISO 27001 belastbar dokumentiert hat, hat den Grossteil der Struktur für ISO 42001 bereits. Was fehlt, ist nicht das Gerüst, sondern das KI-Spezifische.

Was ISO 42001 tatsächlich zusätzlich verlangt

Im Kern sind es vier Dinge, und keines davon erledigt sich mit den Mitteln eines klassischen ISMS von selbst.

Wirkungsbeurteilung. Gemeint ist nicht das Risiko für die Organisation, sondern die Auswirkung auf betroffene Personen. Ein Modell, das Leistungsansprüche vorsortiert, wirkt anders als eines, das Server-Logs klassifiziert, auch wenn das Informationssicherheitsrisiko identisch ist.

Datenherkunft. Woher stammen Trainings- und Kontextdaten, auf welcher Rechtsgrundlage wurden sie erhoben, und darf ein Agent sie in genau diesem Prozessschritt verwenden? Diese Frage stellt ISO 27001 so nicht.

Menschliche Aufsicht. Wer darf eingreifen, ab welcher Schwelle muss eskaliert werden, und ist dokumentiert, dass die Eskalation tatsächlich stattgefunden hat?

Nachvollziehbarkeit autonomer Entscheidungen. Was hat das System entschieden, auf welcher Grundlage, und lässt sich das anderthalb Jahre später gegenüber einer Aufsicht rekonstruieren?

Alle vier lassen sich als Erweiterung eines bestehenden Kontrollrahmens führen. Genau auf diesem Grundsatz ist ClearSky aufgebaut.

Warum Primärquellen statt Vorlagen

Der Markt für Compliance-Werkzeuge ist voll von Frameworks, die im Kern SOC-2-Logik abbilden und ein nDSG-Etikett tragen. Das funktioniert, solange niemand genau hinschaut. Es funktioniert nicht mehr, wenn ein kantonaler Datenschutzbeauftragter fragt, auf welche Rechtsgrundlage Sie welche Bearbeitung stützen. Oder wenn das FINMA-Rundschreiben 2023/1 Anforderungen an die Auslagerung stellt, für die ein US-Kontrollkatalog schlicht keine Entsprechung kennt.

ClearSky ist aus den Originaltexten abgeleitet: nDSG, ISG und revISG, die kantonalen Datenschutzgesetze, die einschlägigen FINMA-Rundschreiben. Der Unterschied zeigt sich an den Rändern: dort, wo eine Aufsicht nachfragt und eine Übersetzung aus einem anderen Rechtsraum keine Antwort mehr liefert.

Wo die Nachweislage entsteht

Ein Kontrollrahmen bleibt eine Behauptung, bis Nachweise ihn stützen. Bei agentischen Systemen liegt genau hier die Schwachstelle: Üblich ist ein Audit-Log, das die Anwendung selbst schreibt und dem der Auditor vertrauen muss.

Wir haben die Nachweisführung deshalb in den Ausführungspfad selbst verlegt. Jede Agent-Aktion wird mit Ed25519 signiert und in einer Merkle-Kette verankert, bevor sie als abgeschlossen gilt. Ein Prüfer verifiziert Authentizität und Reihenfolge offline, ohne Zugriff auf unsere Systeme und ohne unsere Mitwirkung. Für die Nachvollziehbarkeit, die ISO 42001 verlangt, ist das kein Nebeneffekt, sondern der eigentliche Nachweis. Wie das technisch abläuft, beschreiben wir ausführlich in Nachweis statt Versprechen.

Der pragmatische Einstieg

Bevor jemand ein Zertifizierungsprojekt aufsetzt, sollte eine nüchterne Frage beantwortet sein: Wie viel von ISO 42001 deckt Ihr bestehendes ISMS bereits ab, und wo liegen die echten Lücken?

Dafür gibt es das ClearSky Readiness-Assessment: sechs Wochen, eine Delta-Analyse gegen den gemeinsamen Kontrollrahmen und ein Readiness-Bericht mit priorisiertem Massnahmenplan und belastbarer Aufwandschätzung. Der Bericht gehört Ihnen, auch wenn Sie danach mit einem anderen Anbieter weiterarbeiten.

Details und Ablauf: ClearSky Audit-Readiness

Oder direkt: www.dxzio.one · contact@dxzio.one