ISO-42001-Zertifizierung: Ablauf, Kosten und Dauer

Auf einen Blick

• Die ISO-42001-Zertifizierung ist ein Audit durch eine akkreditierte, unabhängige Stelle, das bestätigt, dass Ihr KI-Managementsystem (KIMS) die Norm ISO/IEC 42001:2023 erfüllt, die erste zertifizierbare Norm für die Governance von KI.
• Geprüft werden die Anforderungen der Kapitel 4 bis 10 sowie die 38 Maßnahmen aus Anhang A, gegliedert in neun Zielsetzungen.
• Der Weg führt über fünf Phasen und ein zweistufiges externes Audit und dauert bei den meisten Organisationen vier bis zwölf Monate.
• Das Budget liegt häufig zwischen 4.000 und 20.000 US-Dollar für kleinere Unternehmen und zwischen 15.000 und 80.000 Euro, sobald Beratung eingerechnet wird; eine bestehende ISO 27001 senkt beides.
• Die Zertifizierung belegt Sorgfalt und bereitet auf die KI-Verordnung vor, ersetzt aber keinen rechtlichen Schutzschild: ISO 42001 ist noch keine harmonisierte Norm.

Was die ISO-42001-Zertifizierung wirklich ist

Die ISO-42001-Zertifizierung bestätigt formell und unabhängig, dass Ihre Organisation ein KI-Managementsystem nach ISO/IEC 42001:2023 betreibt. Die im Dezember 2023 veröffentlichte ISO/IEC 42001 ist die erste Managementsystemnorm, die eigens für künstliche Intelligenz geschrieben wurde, und die erste, gegen die eine akkreditierte Stelle zertifizieren kann. Das Zertifikat wird ausgestellt, nachdem ein externer Auditor Ihre Dokumentation geprüft und anschließend nachgewiesen hat, dass das System in der Praxis funktioniert.

Gegenstand der Zertifizierung ist das Managementsystem, nicht ein einzelnes Modell. Ein KI-Managementsystem umfasst die Leitlinien, Rollen, Risikoprozesse und Maßnahmen, mit denen Sie KI über ihren gesamten Lebenszyklus steuern. Dieser Unterschied ist wesentlich: Sie zertifizieren nicht, dass ein bestimmtes Produkt sicher ist, sondern dass Ihre Organisation über ein wiederholbares Verfahren verfügt, um KI verantwortlich zu halten. Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits dazwischen.

Da ISO 42001 die übergeordnete Struktur von ISO 27001 und ISO 9001 teilt, fügt sich die Zertifizierung in bereits betriebene Managementsysteme ein, statt als separates Silo daneben zu stehen.

Wer die ISO-42001-Zertifizierung braucht, und wer nicht

Kein Gesetz verpflichtet derzeit ein Unternehmen, die ISO-42001-Zertifizierung zu halten. Die Nachfrage entsteht durch den Markt und die Risikoexposition, nicht durch eine gesetzliche Pflicht. Drei Gruppen verfolgen sie zuerst.

Die erste umfasst Anbieter und Entwickler von KI-Systemen, die in regulierte Branchen verkaufen, wo Käufer im Beschaffungsprozess inzwischen Nachweise der KI-Governance verlangen. Ein Zertifikat beantwortet diese Frage ein für alle Mal, in einer Form, die Auditoren wie Kunden anerkennen.

Die zweite besteht aus Unternehmen, die KI intern in großem Maßstab einsetzen und deren Vorstände die Gewissheit wollen, dass KI-Risiken mit derselben Strenge gesteuert werden wie Sicherheit oder Finanzkontrolle. Die Zertifizierung gibt der Leitung eine externe Bestätigung dieser Aussage.

Die dritte Gruppe sind Organisationen, die sich auf die KI-Verordnung und ähnliche Regelwerke vorbereiten und die Zertifizierung nutzen, um ihre Governance-Grundlagen zu legen, bevor die Pflichten greifen.

Für ein Team, das ein einzelnes Pilotprojekt mit geringem Risiko und ohne externe Beteiligte betreibt, ist die Zertifizierung weniger dringlich. Hier ist es oft der sinnvolle erste Schritt, die Praktiken zu übernehmen, ohne für ein Zertifikat zu zahlen. Eine kurze Reifegradbewertung, die Sie mit einer Plattform für KI-Risikomanagement unterstützen können, klärt in der Regel, in welches Lager Sie gehören.

Wogegen auditiert wird: Kapitel 4 bis 10 und Anhang A

Ein ISO-42001-Audit prüft zwei Ebenen. Die erste sind die Managementsystem-Anforderungen der Kapitel 4 bis 10. Die zweite sind die anwendbaren Maßnahmen aus Anhang A.

Die Managementsystem-Kapitel

Die Kapitel 4 bis 10 folgen der gemeinsamen Struktur moderner ISO-Normen und arbeiten im Rhythmus „Planen, Umsetzen, Prüfen, Handeln“:

• Kapitel 4, Kontext: den Anwendungsbereich Ihres KIMS und die zu erfüllenden interessierten Parteien festlegen.
• Kapitel 5, Führung: Verantwortlichkeiten zuweisen, eine KI-Leitlinie veröffentlichen und die Trägerschaft der Leitung sichern.
• Kapitel 6, Planung: KI-Risiken und -Chancen erkennen, Ziele setzen und eine Folgenabschätzung durchführen.
• Kapitel 7, Unterstützung: Ressourcen, Kompetenz, Bewusstsein und dokumentierte Information bereitstellen.
• Kapitel 8, Betrieb: die KI-Risikobeurteilung und -behandlung durchführen und den Lebenszyklus steuern.
• Kapitel 9, Bewertung der Leistung: überwachen, intern auditieren und Managementbewertungen abhalten.
• Kapitel 10, Verbesserung: Nichtkonformitäten behandeln und die fortlaufende Verbesserung vorantreiben.

Anhang A: 38 Maßnahmen in neun Zielsetzungen

Anhang A führt 38 Referenzmaßnahmen auf, gegliedert in neun Zielsetzungen mit den Nummern A.2 bis A.10, nach maßgeblichen Lesarten der Norm (ISMS.online). Die Zielsetzungen umfassen KI-Leitlinie, interne Organisation, Ressourcen für KI-Systeme, Folgenabschätzung, den Lebenszyklus der KI-Systeme, Daten für KI-Systeme, Information der interessierten Parteien, verantwortlichen KI-Einsatz und Beziehungen zu Dritten. Welche Maßnahmen gelten, begründen Sie in einer Anwendbarkeitserklärung, demselben Mechanismus, den ISO-27001-Praktiker kennen.

Für einen ausführlichen Durchgang jeder Zielsetzung zeigt unsere Darstellung der Norm ISO 42001, wie Kapitel und Anhang A zusammenwirken.

Der Zertifizierungsablauf, Phase für Phase

Die meisten Programme durchlaufen fünf Phasen, bevor das Zertifikat erteilt wird.

1. Vorbereitung und Gap-Analyse. Legen Sie den Zertifizierungsumfang fest und vergleichen Sie die aktuelle Praxis mit den Kapiteln und Anhang A, um die Lücken zu finden. Diese Phase dauert von zwei Wochen bis drei Monaten.
2. Aufbau und Dokumentation des KIMS. Erstellen Sie Leitlinien, Risikoprozesse, Rollen und die Anwendbarkeitserklärung. Rechnen Sie mit einem bis drei Monaten.
3. Umsetzung und Schulung. Betreiben Sie das System, schulen Sie die Belegschaft und beginnen Sie, die Nachweise zu erzeugen, die das Audit benötigt. Für die meisten ist dies die längste Phase, mit einem bis vier Monaten.
4. Internes Audit und Managementbewertung. Prüfen Sie das System selbst, schließen Sie offensichtliche Feststellungen und lassen Sie es formell durch die Leitung bewerten. Etwa ein Monat.
5. Externes Zertifizierungsaudit. Eine akkreditierte Stelle führt das Audit in zwei Stufen durch.

Stufe-1- und Stufe-2-Audit

Stufe 1 ist eine Dokumentenprüfung: Der Auditor prüft, ob das KIMS richtig aufgebaut und ob Sie bereit sind. Stufe 2 ist der Kern, in dem der Auditor Nachweise für das tatsächliche Wirken der Maßnahmen sammelt, mit den Verantwortlichen spricht und Aufzeichnungen stichprobenartig prüft. Feststellungen werden abgestuft, und jede schwerwiegende Nichtkonformität muss vor der Erteilung des Zertifikats behoben sein. Beide Stufen erstrecken sich meist über einen bis zwei Monate (SureCloud).

Wie lange die ISO-42001-Zertifizierung dauert

Für die meisten Organisationen dauert die ISO-42001-Zertifizierung vier bis zwölf Monate, vom Start bis zum Zertifikat. Ein kleines Unternehmen mit engem Anwendungsbereich und reifer Governance erreicht sie in drei bis vier Monaten, während ein Großkonzern mit vielen KI-Systemen und wenig vorhandener Struktur am oberen Ende liegt.

Der stärkste Beschleuniger ist ein bereits bestehendes ISO-27001-Programm. Weil beide Normen ihr Grundgerüst und mehrere Maßnahmen teilen, nutzen Teams, die bereits ein Informationssicherheits-Managementsystem betreiben, einen Großteil des Gerüsts erneut und verkürzen den Zeitplan erheblich.

Was die ISO-42001-Zertifizierung kostet

Die Kosten verteilen sich auf drei Posten: die Auditgebühren der Zertifizierungsstelle, die etwaige Beratung oder Werkzeuge zur Vorbereitung und die wiederkehrenden Überwachungsaudits.

Für kleine und mittlere Unternehmen liegen die Gesamtausgaben häufig zwischen 4.000 und 20.000 US-Dollar, während breitere Schätzungen einschließlich Beratung 15.000 bis 80.000 Euro erreichen, je nach Umfang und Komplexität (Advisera). Die Auditgebühren bilden einen planbaren Anteil; die Beratung ist die Größe, die am stärksten vom Umfang getrieben wird. Die jährlichen Überwachungsaudits fügen danach einen kleineren wiederkehrenden Posten hinzu, und die Rezertifizierung steht alle drei Jahre an.

Wie bei der Dauer senkt eine vorhandene ISO-27001-Zertifizierung die Kosten, weil die zu schließende Lücke kleiner ist. Die Vorbereitung als Maßnahmen- und Nachweisarbeit zu behandeln statt als einmaligen Dokumentensprint hält die Zahl niedrig, denn der größte Teil der Überschreitungen entsteht durch Nacharbeit.

ISO-42001-Zertifizierung und die KI-Verordnung

Hier kommt es auf sorgfältige Sprache an. Die ISO-42001-Zertifizierung macht Sie nicht konform mit der KI-Verordnung, und jede gegenteilige Behauptung ist falsch. ISO 42001 ist eine freiwillige internationale Norm. Sie ist derzeit keine harmonisierte europäische Norm und verleiht daher nicht von sich aus die Konformitätsvermutung, die Artikel 40 der KI-Verordnung an harmonisierte Normen knüpft (ISMS.online-Analyse).

Die harmonisierte Norm für KI-Managementsysteme, die die EU entwickelt und die als prEN 18286 geführt wird, ist der Text, der dieses rechtliche Gewicht tragen wird, sobald er im Amtsblatt zitiert ist. Ihr Entwurf ist so angelegt, dass er auf Anhang A der ISO 42001 zurückverweist, sodass zertifizierte Organisationen bestehende Maßnahmen wiederverwenden können, statt neu zu beginnen.

Was die Zertifizierung Ihnen bringt, ist Vorbereitung. Die Pflichten, die die KI-Verordnung Anbietern von Hochrisiko-Systemen auferlegt, von Risikomanagement und Daten-Governance über Protokollierung, menschliche Aufsicht, Transparenz bis zur Marktbeobachtung, überschneiden sich stark mit einem KIMS nach ISO 42001. Die Zertifizierung legt diese Grundlagen und liefert einen Prüfpfad, weshalb wir sie als Vorbereitung und Vertrauenssignal beschreiben und nicht als Ziellinie.

Die Zertifizierung am Leben halten: Überwachung und fortlaufende Konformität

Ein Zertifikat ist eine Momentaufnahme; die Norm erwartet ein lebendiges System. Nach Stufe 2 kehrt die Zertifizierungsstelle für Überwachungsaudits zurück, in der Regel einmal im Jahr, um zu bestätigen, dass das KIMS weiterhin wirkt und sich verbessert. Lassen Sie Maßnahmen zwischen den Audits erschlaffen, riskieren Sie Feststellungen, die das Zertifikat aussetzen können.

Fortlaufende Konformität ist vor allem ein Nachweisproblem. Jede anwendbare Maßnahme braucht einen Verantwortlichen, einen Nachweis über ihre Durchführung und eine Prüfkadenz. Managementbewertungen und interne Audits müssen fristgerecht stattfinden, und Korrekturmaßnahmen aus früheren Feststellungen müssen geschlossen und dokumentiert sein. Die Tabellenkalkulation genügt, solange das KI-Inventar klein bleibt; darüber hinaus wird die Zuordnung von Maßnahmen zu Verantwortlichen und Nachweisen zum Engpass.

Genau dafür ist eine Governance-Plattform gebaut: ein lebendiges Inventar der KI-Systeme, jede Maßnahme mit ihrem Nachweis verknüpft, und Prüfzyklen, die anstehende Fristen sichtbar machen, bevor ein Auditor danach fragt. Diese operative Ebene verwandelt eine einmalige ISO-42001-Zertifizierung in dauerhafte Governance.

Häufige Fragen

Ist ISO 42001 kostenlos? Nein. Die Norm ist ein urheberrechtlich geschütztes Dokument, das Sie bei der ISO oder einer nationalen Normungsstelle kaufen. Die Zertifizierung fügt dann die Kosten eines akkreditierten Audits hinzu, meist auch Vorbereitungsarbeit; die reale Zahl sind also die Gesamtkosten des Programms, nicht nur der Dokumentenpreis.

Wer braucht die ISO-42001-Zertifizierung? Jede Organisation, die einem Dritten eine strukturierte KI-Governance nachweisen muss: KI-Anbieter, die in regulierte Märkte verkaufen, Unternehmen, die KI in großem Maßstab einsetzen, und Organisationen, die sich auf die KI-Verordnung vorbereiten. Ein Team mit einem einzelnen risikoarmen Pilotprojekt ohne externe Beteiligte kann die Praktiken meist übernehmen, ohne sich sofort zertifizieren zu lassen.

Was ist der Unterschied zwischen ISO 27001 und ISO 42001? ISO 27001 zertifiziert ein Informationssicherheits-Managementsystem; ISO 42001 zertifiziert ein KI-Managementsystem. Sie teilen dasselbe strukturelle Grundgerüst und mehrere überlappende Maßnahmen und sind auf Integration ausgelegt. Eine vorhandene ISO 27001 macht die ISO-42001-Zertifizierung schneller und günstiger.

Wie lange dauert die ISO-42001-Zertifizierung? Vier bis zwölf Monate für die meisten Organisationen und nur drei bis vier Monate für einen kleinen, gut vorbereiteten Anwendungsbereich. Der stärkste Beschleuniger ist ein bestehendes ISO-27001-Programm.

Macht mich die ISO-42001-Zertifizierung konform mit der KI-Verordnung? Nein. Sie bereitet Sie vor und belegt Sorgfalt, aber ISO 42001 ist keine harmonisierte Norm und verleiht keine Konformitätsvermutung. Die künftige prEN 18286 ist der Text, den man für diese rechtliche Wirkung beobachten sollte.

Wie oft ist eine Rezertifizierung nötig? Das Zertifikat gilt drei Jahre, mit jährlichen Überwachungsaudits dazwischen. Am Ende des Zyklus erneuert ein Rezertifizierungsaudit es.

Fazit

Die ISO-42001-Zertifizierung ist weniger ein Abzeichen als eine Betriebsdisziplin. Sie verlangt von Ihnen, zu definieren, wie KI gesteuert wird, nachzuweisen, dass das System läuft, und es unter unabhängiger Prüfung zu verbessern. So verstanden erfüllt sie eine Doppelfunktion: Sie überzeugt heute Kunden und Aufsichtsgremien und bereitet zugleich den Boden für die KI-Verordnung von morgen. Am meisten profitieren die Organisationen, die die Nachweisebene einmal aufbauen und pflegen, statt zum Zertifikat zu sprinten und die Maßnahmen abdriften zu lassen. Wenn Sie das Vorhaben abstecken, beginnen Sie damit, Ihre KI-Systeme und die sie steuernden Maßnahmen zu kartieren, und entscheiden Sie dann, wo die ISO-42001-Zertifizierung in Ihre Roadmap passt.