ISO 27001 und ISO 42001 in einer Auditierung — als Schweizer Erstangebot.

Warum ISO 42001 kein zweites Managementsystem werden darf

Die meisten Organisationen, mit denen wir sprechen, haben ISO 27001 etabliert. Das ISMS steht, die interne Revision läuft, und die Nachweise liegen dort, wo der Auditor sie erwartet. Dann hält der erste KI-Agent Einzug in einen regulierten Prozess, etwa in die Schadenbearbeitung, die Signalauswertung oder die Transaktionsprüfung. Mit ihm kommt ISO 42001.

Naheliegend ist der Reflex, daraus ein separates Projekt zu machen: eigenes Managementsystem, eigener Kontrollkatalog, eigener Auditzyklus. Das verdoppelt die Nachweisarbeit dauerhaft, und zwar genau die Arbeit, die ohnehin niemand gerne macht.

Die Schnittmenge ist gross. Kontext, Führung, Risikobeurteilung, Betrieb, Leistungsbewertung und Verbesserung folgen in beiden Normen derselben Harmonized Structure. Was ISO 42001 zusätzlich verlangt, ist im Kern KI-spezifisch: Wirkungsbeurteilung, Datenherkunft, Transparenz gegenüber Betroffenen, menschliche Aufsicht und die lückenlose Nachvollziehbarkeit dessen, was ein System autonom entschieden hat. Genau diese Anforderungen lassen sich als Erweiterung des bestehenden Kontrollrahmens führen statt als Parallelstruktur daneben.

Ein Kontrollrahmen, aus Schweizer Primärquellen abgeleitet

PrimärquellennDSG, ISG und revISG, kantonale Datenschutzgesetze und FINMA-Rundschreiben 2023/1. Ausgewertet im Originaltext, nicht als Übersetzung eines US-Frameworks.
ISO 27001 Annex AIhr bestehender Kontrollkatalog bleibt die Basis. ClearSky ergänzt ihn, statt ihn zu ersetzen.
ISO 42001 KI-KontrollenWirkungsbeurteilung, Datenherkunft, menschliche Aufsicht und Transparenz werden den bestehenden Kontrollen zugeordnet. Lücken werden ausgewiesen, statt Nachweise doppelt zu führen.
NachweisschichtJede Aktion eines Agenten wird mit Ed25519 signiert und Merkle-verankert. Der Nachweis entsteht im Ausführungspfad, nicht in einem nachgelagerten Log.

ABLAUF

Sechs Wochen bis zum Readiness-Bericht

01 /

Woche 1 — Bestandsaufnahme

Wir nehmen Ihr bestehendes ISMS auf: Geltungsbereich, Erklärung zur Anwendbarkeit (SoA), offene Massnahmen und laufende Auditzyklen. Statt eines generischen Fragebogens arbeiten wir mit Ihren tatsächlichen Nachweisen.

02 /

Woche 2–3 — KI-Inventar und Wirkungsbeurteilung

Welche Systeme entscheiden bereits mit, auf Basis welcher Daten und unter welcher menschlichen Aufsicht? Daraus entsteht das KI-Inventar nach ISO 42001 samt Wirkungsbeurteilung für die regulierten Anwendungsfälle.

03 /

Woche 4–5 — Delta-Analyse

Wir gleichen Ihren Stand mit dem gemeinsamen Kontrollrahmen ab. Sie erhalten pro Kontrolle einen von drei Befunden: bereits durch ISO 27001 abgedeckt, mit vertretbarem Aufwand erweiterbar oder echte Lücke mit Massnahmenvorschlag.

04 /

Woche 6 — Bericht und Audit-Fahrplan

Sie erhalten den Readiness-Bericht mit priorisiertem Massnahmenplan, belastbarer Aufwandschätzung und einem Fahrplan zum Audit, den Sie mit Ihrer Zertifizierungsstelle besprechen können. Danach entscheiden Sie frei, ob Sie mit uns weiterarbeiten.

HÄUFIGE FRAGEN

Was regulierte Organisationen zuerst fragen

Ist ein kombiniertes Audit nach ISO 27001 und ISO 42001 in der Schweiz überhaupt möglich?

Beide Normen folgen der Harmonized Structure, und akkreditierte Stellen können integrierte Audits durchführen. Der Readiness-Bericht bereitet genau dieses Gespräch mit Ihrer Zertifizierungsstelle vor, einschliesslich Geltungsbereich und Nachweislage. Über die Zertifizierung entscheidet immer die akkreditierte Stelle, nicht wir.

Wir betreiben unsere KI-Systeme bei einem Hyperscaler. Lohnt sich das Assessment trotzdem?

Ja. Die Delta-Analyse ist plattformunabhängig. Bei Datenherkunft, Jurisdiktion und Nachvollziehbarkeit wird sie allerdings Befunde ausweisen, die sich in einer fremden Ausführungsumgebung nur vertraglich und nicht strukturell schliessen lassen. Wie Sie mit diesen Befunden umgehen, entscheiden Sie.

Was passiert mit unseren Daten während des Assessments?

Die Bearbeitung erfolgt auf Infrastruktur in der Schweiz beziehungsweise der EU, die wir selbst betreiben. Im Datenpfad ist kein US-Hyperscaler. Den Auftragsbearbeitungsvertrag (AVV) schliessen wir vorab ab, das Löschkonzept ist Teil des Angebots. Wir arbeiten mit Ihren Nachweisdokumenten, nicht mit Ihren Produktivdaten.

Wir haben noch keine ISO 27001. Ist das ein Ausschlusskriterium?

Nein, aber der Zeitplan verschiebt sich. Ohne bestehendes ISMS fehlt die Basis, auf der ISO 42001 aufsetzt. In diesem Fall beginnen wir mit dem Geltungsbereich der ISO 27001 und behandeln ISO 42001 als geplante Erweiterung im selben Rahmen.