Wege zum Vertrauen

Der Weg für jedes Rahmenwerk

Nutzen Sie ihn, wenn ein Gesetz, ein Standard oder ein Kunde einen Nachweis verlangt. Dieselben neun Schritte führen durch jeden von ihnen, sodass jedes Rahmenwerk eine Variation dieses Weges ist.

1. Die Verpflichtung benennen

   Was verlangt ist, von wem, bis wann und wer entscheidet, dass es erfüllt ist: ein Gesetz, ein Standard, ein Kunde.

2. Den Geltungsbereich festlegen

   Welche Systeme, Dienste, Personen und Daten dazugehören. Schreiben Sie das zuerst auf.

3. Anforderungen Kontrollen zuordnen

   Eine Kontrolle kann viele Anforderungen beantworten, also schreiben Sie sie einmal.

4. Die Lücken finden

   Vergleichen Sie, was wirklich geschieht, mit dem, was die Kontrollen erwarten, und bewahren Sie die Nachweise auf.

5. Jeder Kontrolle einen Owner geben

   Eine benannte Person, ein Datum und eine nach Risiko geordnete Priorität. Ein Plan, den niemand verantwortet, ist ein Wunsch.

6. Aufbauen und betreiben

   Richtlinien, denen Menschen folgen können, und Kontrollen, die laufen. Nachweise sollten sich aus der Arbeit ergeben.

7. Sich selbst prüfen

   Ein internes Review und ein Management-Review, bevor jemand Externes hinsieht.

8. Unabhängige Assurance einholen

   Wo das Rahmenwerk sie verlangt: ein Auditor, eine Zertifizierungsstelle oder eine benannte Stelle. Ein Gesetz kann stattdessen von einer Aufsichtsbehörde durchgesetzt werden, ohne Audit-Schritt zum Bestehen.

9. Lebendig halten

   Überwachung, Änderungskontrolle und ein Jahresrhythmus, damit das nächste Audit Routine ist.

Wo KI und Automatisierung helfen

• Die Zuordnung von Anforderung zu Kontrolle, Owner und Nachweis verknüpft halten.
• Nachweise nach Plan sammeln und gegen die Kontrolle prüfen.
• Auf Drift achten: eine Kontrolle, die aufgehört hat zu laufen, ein überfälliges Review, eine Behauptung ohne Artefakt dahinter.

Fallen, die am meisten Zeit kosten

• Mit Dokumenten statt mit dem Geltungsbereich beginnen.
• Eine aus einer Vorlage kopierte Kontrollzuordnung, die niemand erklären kann.
• Nachweise, die nur im Kopf einer einzigen Person existieren.
• Das Audit als Ziellinie behandeln.

Der Weg zu SOC 2

Nutzen Sie ihn, wenn Kunden nach Assurance fragen. SOC 2 ist der Bericht eines Auditors darüber, wie Ihre Kontrollen die Trust Services Criteria erfüllen. Der Bericht ist das Produkt: Kunden lesen ihn, statt Ihnen einen Fragebogen zu schicken.

1. Den Geltungsbereich wählen

   Welche Dienste und Systeme, und welche Kriterien. Security ist immer dabei; Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz kommen hinzu, wenn Kunden danach fragen.

2. Das System beschreiben und Risiken bewerten

   Die Systembeschreibung des Managements und eine Risikobewertung, die erklärt, warum jede Kontrolle existiert. Auditoren lesen beides, bevor sie irgendetwas testen.

3. Die Lücken finden

   Vergleichen Sie, was Sie heute tun, mit dem, was die Kriterien erwarten. Eine kurze Readiness-Bewertung spart später Monate.

4. Die Kontrollen aufschreiben

   Richtlinien, denen Menschen folgen können, benannte Owner und Kontrollen, die dazu passen, wie das Team tatsächlich arbeitet.

5. Ab dem ersten Tag Nachweise sammeln

   Tickets, Reviews, Zugriffslisten und Testergebnisse gibt es bereits; erfassen Sie sie, wenn sie entstehen.

6. Typ I: Kontrollen wie entworfen

   Eine CPA-Gesellschaft berichtet, ob die Kontrollen zu einem Zeitpunkt angemessen entworfen sind. Das ist der schnellste erste Bericht. SOC 2 ist eine Attestierung, keine Zertifizierung, und der Bericht wird normalerweise nur eingeschränkt mit Kunden geteilt.

7. Typ II: Kontrollen im Betrieb

   Dieselben Kontrollen, über einen Beobachtungszeitraum von oft drei bis zwölf Monaten als wirksam gezeigt. Kunden schätzen diesen Bericht meist am meisten.

Wo KI und Automatisierung helfen

• Nachweise nach Zeitplan aus Systemen ziehen und gegen die Kontrolle prüfen, statt Screenshots zur Audit-Zeit.
• Richtlinien und Kontrollbeschreibungen aus Ihrer realen Praxis entwerfen, damit eine Person sie prüft und freigibt.
• Auf Drift achten: eine Kontrolle, die unbemerkt aufgehört hat zu laufen, ein überfälliges Zugriffsreview.

Fallen, die am meisten Zeit kosten

• Richtlinien schreiben, denen niemand folgt. Der Auditor prüft, was geschieht, nicht, was das Dokument sagt.
• Ein Geltungsbereich, der während des Audits wächst. Legen Sie ihn früh fest und schreiben Sie ihn auf.
• Nachweise, die niemand verantwortet. Jede Kontrolle braucht eine benannte Person, die sie prüft.

SOC-Suite und Kriterien (AICPA) ↗↗ Weitere Quellen in der Bibliothek →

Der Weg zu ISO 27001

Nutzen Sie ihn, wenn Sie einen unabhängigen, zertifizierten Beleg dafür brauchen, wie Sie Informationssicherheit betreiben. ISO 27001 zertifiziert ein Managementsystem, kein Produkt: eine Arbeitsweise, die sich laufend verbessert und die eine unabhängige Stelle prüft.

1. Den Kontext verstehen

   Wer von Ihnen abhängt, was Gesetz und Verträge verlangen und was geschützt werden muss.

2. Geltungsbereich und Leitlinie festlegen

   Welche Teile der Organisation und welche Werte dazugehören. Die Leitlinie liegt in der Verantwortung der obersten Leitung.

3. Risiken bewerten und behandeln

   Eine wiederholbare Risikomethode, ein Register mit Ownern und Entscheidungen, Risiken zu mindern, zu akzeptieren, zu übertragen oder zu vermeiden.

4. Die Kontrollen auswählen

   Wählen Sie aus den Kontrollen des Annex A (ISO/IEC 27001:2022) und halten Sie Auswahl und Gründe in der Erklärung zur Anwendbarkeit fest.

5. Das System betreiben

   Die Kontrollen betreiben, Menschen schulen, überwachen und die Aufzeichnungen führen, die das belegen.

6. Sich selbst auditieren, dann bewerten

   Ein internes Audit, Korrekturmaßnahmen für dessen Feststellungen und eine Managementbewertung, bevor die Zertifizierungsstelle kommt.

7. Zertifizierung und Zyklus

   Ein zweistufiges Audit durch eine akkreditierte Zertifizierungsstelle, jährliche Überwachungsaudits und die Rezertifizierung am Ende des dreijährigen Zyklus.

Wo KI und Automatisierung helfen

• Risikoregister, Kontrollliste und Nachweise verknüpft halten.
• Prüfdaten, überfällige Aufgaben und Korrekturmaßnahmen verfolgen und die Owner erinnern.
• Das interne Audit vorbereiten: Stichproben, Nachweisprüfungen und eine erste Liste von Feststellungen, die der Auditor bestätigen kann.

Fallen, die am meisten Zeit kosten

• Es als Dokumentationsprojekt behandeln. Auditoren suchen ein System, das läuft und sich verbessert.
• Eine aus einer Vorlage kopierte Erklärung zur Anwendbarkeit mit Begründungen, die niemand erklären kann.
• Die Managementbewertung zur Formalität werden lassen. Dort werden Entscheidungen festgehalten.

ISO/IEC 27001 (ISO) ↗↗ Weitere Quellen in der Bibliothek →

Der Weg zu ISO/IEC 42001

Nutzen Sie ihn, wenn Sie KI entwickeln, bereitstellen oder einsetzen und eine Art der Steuerung brauchen, die eine unabhängige Stelle prüfen kann. ISO/IEC 42001 ist ein Managementsystem-Standard für KI, veröffentlicht 2023. Wenn Sie bereits ISO 27001 betreiben, ist die Struktur gemeinsam, und vieles lässt sich wiederverwenden.

1. Die eigene Rolle verstehen

   Entwickeln Sie KI, stellen Sie sie bereit oder nutzen Sie sie? Wer hängt davon ab, und was erwarten Gesetz und Kunden?

2. Geltungsbereich und eine KI-Leitlinie festlegen

   Welche KI-Systeme und Teile der Organisation dazugehören, und eine Leitlinie, die in der Verantwortung der obersten Leitung liegt.

3. Die KI-Systeme inventarisieren

   Jedes System, sein Owner, die genutzten Daten und die Lieferanten dahinter. Was Sie nicht sehen, können Sie nicht steuern.

4. Risiko und Auswirkungen bewerten

   KI-Risiken für die Organisation und eine Folgenabschätzung jedes Systems für die Menschen, die es berührt. Wiederholen, wenn sich ein System ändert.

5. Die Kontrollen auswählen

   Wählen Sie die passenden Kontrollen, halten Sie die Gründe fest und decken Sie den KI-Lebenszyklus ab: Daten, Entwicklung, Test, Bereitstellung und Überwachung.

6. Mit Menschen im Prozess betreiben

   Menschliche Aufsicht, wo sie zählt, Überwachung dessen, was das System wirklich tut, und Umgang mit Vorfällen und Beschwerden.

7. Audit und Bewertung

   Ein internes Audit und eine Managementbewertung, dann ein Zertifizierungsaudit durch eine akkreditierte Stelle, danach Überwachungsaudits.

Wo KI und Automatisierung helfen

• Das KI-Inventar aktuell halten, indem gelesen wird, was tatsächlich im Einsatz ist, und Nutzungen markiert werden, die niemand registriert hat.
• Überwachungsnachweise nach Plan sammeln: Leistung, Drift, menschliche Eingriffe.
• Folgenabschätzungen entwerfen, damit eine Person sie prüft und freigibt.

Fallen, die am meisten Zeit kosten

• Eine Leitlinie schreiben und es damit gut sein lassen.
• Die KI übersehen, die in Produkten von Lieferanten mitkommt.
• Die Folgenabschätzung als Formular behandeln statt als Gespräch mit den betroffenen Menschen.

Eine Zertifizierung nach ISO/IEC 42001 zeigt für sich allein keine Konformität mit dem EU AI Act, der ein Gesetz mit eigenen Anforderungen ist.

ISO/IEC 42001 (ISO)↗ NIST AI Risk Management Framework↗ Mehr in der Bibliothek

Der Weg zum EU AI Act

Nutzen Sie ihn, wenn Sie KI-Systeme entwickeln, bereitstellen oder einsetzen und das Gesetz für Sie gelten kann. Der EU AI Act ist ein Gesetz, kein Standard: Die Pflichten hängen von Ihrer Rolle und vom Risiko Ihrer KI-Systeme ab. Die erste Frage ist, welche Kategorie für Sie gilt.

1. Die eigene Rolle finden

   Anbieter, Betreiber, Einführer, Händler oder Bevollmächtigter. Die Pflichten hängen davon ab, was Sie sind, und Sie können mehr als eines sein.

2. Ihre KI-Systeme inventarisieren

   Jedes System und jede Nutzung, auch zugekaufte und in andere Werkzeuge eingebaute.

3. Das Risiko einstufen

   Verbotene Praktiken (bereits in Kraft), Hochrisiko-Systeme, Systeme mit Transparenzpflichten und der Rest. Die Kategorie bestimmt, was folgt.

4. Anbieterpflichten für Hochrisiko-Systeme

   Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber Nutzern, menschliche Aufsicht, Genauigkeit und Robustheit sowie ein Qualitätsmanagementsystem. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck haben eigene Pflichten.

5. Betreiberpflichten

   Das System wie angewiesen nutzen, kompetenten Personen menschliche Aufsicht übertragen, es überwachen, Protokolle führen und die betroffenen Menschen informieren. Manche Betreiber müssen außerdem die Auswirkungen auf Grundrechte bewerten. Systeme, die mit Menschen sprechen oder synthetische Inhalte erzeugen, unterliegen Transparenzpflichten.

6. Belegen

   Bei den meisten Hochrisiko-Systemen bewertet der Anbieter die Konformität selbst; eine benannte Stelle ist nur bei manchen beteiligt. Registrieren Sie, wo verlangt, und führen Sie Dokumentation, die eine Behörde lesen könnte.

7. KI-Kompetenz aufbauen

   Diese Pflicht gilt bereits: Wer mit KI arbeitet, braucht ausreichendes Verständnis, um es verantwortungsvoll zu tun.

8. Nach dem Start überwachen

   Das System im Einsatz beobachten, schwerwiegende Vorfälle melden und die Akte aktualisieren, wenn sich das System oder das Gesetz ändert.

Wo KI und Automatisierung helfen

• Inventar und Klassifizierung aktuell halten, wobei eine Person jede Entscheidung bestätigt.
• Protokolle und Überwachungsnachweise sammeln, damit sich die technische Akte von selbst aufbaut.
• Verfolgen, welche Pflichten ab welchem Datum und für welche Systeme gelten.

Fallen, die am meisten Zeit kosten

• Nach Hoffnung statt nach dem Text einstufen.
• Vergessen, dass die Nutzung fremder KI Sie trotzdem zum Betreiber mit Pflichten macht.
• Es als einmaliges Projekt behandeln, obwohl die Pflichten nach dem Start weitergehen.

Allgemeine Orientierung, keine Rechtsberatung. Der Act trat im August 2024 in Kraft. Nach meinem Verständnis des Zeitplans gelten die Verbote und die Pflicht zur KI-Kompetenz seit Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, und die Termine für die Hochrisiko-Regeln hängen von der Art des Systems ab und können geändert werden. Prüfen Sie den offiziellen Text und etwaige Änderungen auf die für Sie heute geltenden Daten.

EU AI Act, offizieller Text↗ Unabhängiger, durchsuchbarer Leitfaden↗ Mehr in der Bibliothek

Mehrere bedienen, ohne es doppelt zu tun

Die Wege teilen den größten Teil ihres Terrains. Bauen Sie Kontrollen und Nachweise einmal auf, ordnen Sie sie jedem Rahmenwerk zu, das Sie brauchen, und lassen Sie jedes Audit dieselben Aufzeichnungen lesen.

• Ein Kontrolldatensatz, verknüpft mit jeder Anforderung, die er beantwortet, über SOC 2, ISO 27001, ISO/IEC 42001 und den AI Act hinweg.
• Eine Nachweiskette für jedes Audit.
• Ein Risikoregister, das erklärt, warum jede Kontrolle existiert.

Möchten Sie Hilfe bei der Wahl oder beim Start eines Weges? Zusammenarbeit → Lesen: Compliance als Graph → Zurück zur AI World →