ISO/IEC 42001 im DACH-Raum

Weltweit waren es weniger als 100 Organisationen, als BCG im Januar 2026 die eigene Zertifizierung des ISO/IEC 42001 Standards verkündete. In Deutschland gibt es zwei prominente Beispiele: Xayn (Berlin, Juni 2025, SGS) und Unique AG (April 2025, TÜV SÜD). Dabei läuft die erste verbindliche Frist des EU AI Act für Hochrisiko-KI-Systeme im August 2026 ab — in vier Monaten - und ISO 42001 gibt wichtige Orientierung bei der Compliance des EU AI Acts.

Das Muster, das wir in DACH-Vorständen sehen ist eindeutig: Jeder CEO fragt, ob zertifiziert werden muss. Zertifizieren der Compliance wegen. Dabei steckt in der Zertifizierung und dem Aufsetzen der richtigen Prozesse eine echte Chance für Unternehmen. Um diese zu nutzen, muss jedoch zunächst festgelegt werden wer das implementierte Managementsystem verantwortet.

ISO 42001 ist in aller Munde. Die erfolgreiche Umsetzung liegt vor allem in dem dahinter liegenden Managementsystem.

Governance auf dem Papier ist der Regelfall — die Zahlen sprechen eine eindeutige Sprache

Die State-of-AI-Erhebung von Deloitte für 2026 zeigt: 87 % der Führungskräfte sagen, ihr Unternehmen habe ein KI-Governance-Framework. Weniger als 25 % haben es vollständig in den Betrieb gebracht. Im Alltag sieht diese Lücke so aus: Richtlinien werden im Vorstand verabschiedet und z.B. bereits im Einkauf nicht durchgesetzt - der Einkauf nimmt KI-Funktionen in Tools auf, ohne Compliance/QM zu informieren, und Compliance & QM führt dementsprechend ein KI-Inventar , das den Großteil des Stacks nicht sieht.

Im deutschen Mittelstand dürfte das Bild noch deutlicher sein: weniger dedizierte KI-Teams, stärker dezentrale Adoption, ein Einkauf, der Lizenzkosten prüft und nicht Modellrisiken, und ein QM, welches KI in der eigenen Taxonomie noch nicht führt.

In dieses Umfeld kommt ISO/IEC 42001. Veröffentlicht im Dezember 2023 vom Gemeinschaftskomitee ISO/IEC JTC 1/SC 42, ist es der erste internationale Standard, der genau den Stresstest erzwingt, den die Deloitte-Umfrage offenlegt — nämlich ob die genannten Kontrollen tatsächlich laufen oder in einem SharePoint-Ordner liegen.

Wie ISO 42001 Governance aus dem Foliensatz in den Betrieb zwingt

Der Standard gilt für jede Organisation, die KI-basierte Systeme entwickelt, bereitstellt oder nutzt — unabhängig von Größe oder Branche. Er folgt der High Level Structure, die auch ISO 9001 und ISO 27001 kennen. Die Kapitel 4 bis 10 (Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung, Verbesserung) sind vertrautes Terrain für jede Qualitäts- oder Informationssicherheitsfunktion. Neu ist Annex A: 38 KI-spezifische Referenzkontrollen in neun Domänen, von KI-Richtlinien und Folgenabschätzung über Lebenszyklus und Datenmanagement bis zu Dritt- und Kundenbeziehungen.

ISO 42001 ist ein AI-Management-System-Standard (AIMS) — er fordert, dass Governance dokumentiert, auditiert, von verantwortlichen Personen überprüft und kontinuierlich verbessert wird. Was der Standard verlangt, ist der auditierbare Nachweis, wie entschieden wurde, wer entschieden hat, welche Evidenz geprüft wurde und wie das System nach Inbetriebnahme überwacht wird — unabhängig davon, welche KI-Produkte gebaut werden.

Für ein Hochrisiko-System unter dem EU AI Act ist das direkt anschlussfähig. Vantas Analyse beziffert die materielle Überschneidung zwischen ISO-42001-Kontrollen und AI-Act-Anforderungen auf 40–50 %, konzentriert auf Datenmanagement, Risikomanagement, menschliche Aufsicht und Transparenz. ISO 42001 ist bislang keine harmonisierte europäische Norm unter dem AI Act. CEN/CENELEC entwickelt prEN 18286 als wahrscheinlichen harmonisierten Standard. Sobald dieser veröffentlicht ist, erzeugt Konformität mit der Norm eine „Vermutung der Konformität“ mit dem AI Act. Bis dahin ist ISO 42001 die nächste operative Annäherung an das, wonach die Aufsicht als nächstes fragen wird.

Zwei deutsche Zertifizierungen, vier Monate, ein enges Fenster

Der DACH-Stand per April 2026:

Das sind zwei Beispiele von nur wenigen, in der DACH Region -zertifizierten, Organisationen. Die Auditorenbasis wird gerade erst aufgebaut — TÜV SÜD, TÜV Rheinland und Bitkom Akademie betreiben Ausbildungsprogramme für 42001-Auditoren, doch qualifizierte Prüfer im deutschsprachigen Raum bleiben eine Engpassressource.

Die regulatorische Uhr ist der eigentliche Taktgeber. Der EU AI Act ist am 1. August 2024 in Kraft getreten. Die Anforderungen für Hochrisiko-Systeme greifen ab August 2026. Das deutsche KI-Marktüberwachungs- und Implementierungsgesetz (KI-MIG) wurde am 11. Februar 2026 vom Bundeskabinett verabschiedet und bestimmt die Bundesnetzagentur zur zentralen KI-Aufsichtsbehörde, die BaFin als Aufsicht für Hochrisiko-KI im Finanzsektor. Bitkom verweist im Positionspapier „Wettbewerbsfähige AI-Act-Normen schaffen“ (Mai 2025) ausdrücklich auf ISO 42001 als Basisframework.

Das Bewusstsein holt schnell auf. Eine Benchmark-Studie vom Juni 2025 unter 1.000 Compliance-Verantwortlichen ergab: 76 % planen, ISO 42001 oder ein Äquivalent als Rückgrat ihrer KI-Governance einzusetzen. Der Abstand zwischen „plant“ und „hat operationalisiert“ kann zum entscheidenden Wettbewerbsvorteil für Unternehmen werden — grob zwölf bis achtzehn Monate, in denen Vorsprung Einkaufs- und Aufsichtsvorteile erzeugt, bevor das Zertifikat zum Mindeststandard wird.

ISO 27001 ist der kürzeste Weg — und braucht trotzdem eine Entscheidung, die der Vorstand noch nicht getroffen hat

Der Mechanismus hinter der 40-%-Zahl ist strukturell: gemeinsame High Level Structure, gemeinsame Richtlinienarchitektur, gemeinsame interne Auditdisziplin, gemeinsame Management-Review-Taktung. Für eine Mittelstandsgruppe, die 9001 und 27001 bereits führt, ist der inkrementelle Aufbau überschaubar: Datenmanagement-Upgrade, KI-spezifische Risiko- und Folgenabschätzung, Lebenszyklus-Kontrollen, Third-Party-AI-Aufsicht. Realistische Spanne bei disziplinierter Scope-Führung und entschiedener Leitung: vier bis sechs Monate.

Für Unternehmen ohne 27001 — und die meisten DACH-Mittelständler außerhalb kritischer Infrastruktur gehören dazu — liegt die ehrliche Antwort bei sechs bis zwölf Monaten Neuaufbau. Beide Werte liegen komfortabel innerhalb typischer KI-Programmbudgets. Der Blocker sitzt früher — bei der Ownership.

Das Managementsystem braucht eine verantwortliche Führungskraft in dem Sinne, in dem der AI Act und der Standard das Wort verwenden: eine namentlich benannte Rolle, kein Gremium. Diese Rolle sitzt nicht in der IT. Sie sitzt neben Risiko, Recht oder Strategie, mit direktem Zugang zum Vorstand. An dieser Stelle scheitern die meisten Programme: Dem CIO wird die Rolle zugewiesen, er lehnt sie ab oder übernimmt sie ohne Autorität, und aus dem Governance-Programm wird schleichend ein Beschaffungsprojekt.

Ein KI-Managementsystem durch die HandsOn-Linse

Das HandsOn AI Operating Model behandelt KI-Governance als Organisationsdesign-Problem mit zwei tragenden Domänen. ISO 42001 liefert das Nachweisgerüst für die System-Governance (D03). Die Entscheidungsarchitektur-Frage (D04) beantwortet der Standard nicht. Das bleibt eine Designentscheidung und ist die folgenreichere.

Wer das Entscheidungsrechte-Register aus Governance-Gründen baut, bekommt die Auditspur als Nebenprodukt. Wer es nur für den Audit baut, bekommt ein Dokument, das niemand nutzt. Ein HandsOn-konformer 42001-Scope sequenziert deshalb so: Managementsystem-Owner festlegen; Scope im ersten Jahr auf Systemebene und nicht auf Organisationsebene definieren; Register für die in-scope Systeme aufbauen; Registereinträge auf Annex-A-Kontrollen mappen; existierende 27001-Kontrollen bewerten, die übertragen; Gap-Analyse auf KI-spezifische Kontrollen; dann den Auditor einbinden. Das Muster entspricht der Stufe „Augmented“ im Multidimensionalen Reifeprofil — der Stufe, auf der KI in spezifische Workflows eingebettet ist und Governance bewusst nachzieht, nicht zufällig.

Fünf Entscheidungen für die nächste Vorstandssitzung

Für ein DACH-Unternehmen mit KI in Produktion und ohne laufendes 42001-Programm gehören fünf Entscheidungen auf die nächste Vorstandsagenda. Jede lässt sich in einer Sitzung treffen. Keine braucht eine weitere Arbeitsgruppe.

Die nachgelagerten Entscheidungen — detailliertes Budget, Auditorenauswahl, Implementierungspartner, System-für-System-Remediation — sind operativ. Sie gehören ins Programm.

Die Berater zertifizieren sich selbst. Der Raum hat sich längst verschoben.

BCG hat sich im Januar 2026 selbst zertifiziert. KPMG, Deloitte und EY positionieren ISO 42001 als Rückgratframework in ihren Kundenmaterialien. Wenn die Berater, die Ihre KI-Strategie begleiten, zertifiziert sind und Sie nicht, verschiebt sich die Dynamik im Raum — leise, aber dauerhaft. Die August-2026-Frist des AI Act ist der externe Taktgeber. Der interne Taktgeber ist einfacher: Zum Jahresende hat Ihr Haus entweder ein laufendes KI-Managementsystem — oder Sie erklären Kunden, Regulatoren und Aufsichtsrat, warum nicht.