ISO/IEC 27001:2022 schützt Informationen, ISO/IEC 42001:2023 steuert den Umgang mit KI. Die KI-Norm erschien am 18. Dezember 2023 und führt im Anhang A 38 Massnahmen in neun Zielsetzungen; die Sicherheitsnorm bündelt 93 Massnahmen in vier Themen. Beide fragen in Klausel 7.2 nach Kompetenz und verlangen dokumentierte Nachweise. Ein Linup-Zertifikat belegt eine absolvierte Schulung und ist keine Zertifizierung nach einer ISO-Norm.
Das Wichtigste in fünf Punkten
- ISO/IEC 42001:2023 erschien am 18. Dezember 2023 als erste Ausgabe mit 51 Seiten und beschreibt ein Managementsystem für künstliche Intelligenz.
- ISO/IEC 27001:2022 liegt in dritter Ausgabe von Oktober 2022 vor; ihr Anhang A ordnet 93 Massnahmen den vier Themen organisatorisch, personenbezogen, physisch und technologisch zu.
- Beide Normen folgen der harmonisierten Struktur mit den Klauseln 4 bis 10: Klausel 7.2 betrifft Kompetenz, Klausel 7.3 Bewusstsein, Klausel 7.5 dokumentierte Information.
- Ein Zertifikat nach einer der beiden Normen ist drei Jahre gültig, begleitet von jährlichen Überwachungsaudits und einem Rezertifizierungsaudit nach drei Jahren.
- Zertifizierungsstellen für Managementsysteme werden nach ISO/IEC 17021-1 akkreditiert; in der Schweiz übernimmt das die Schweizerische Akkreditierungsstelle SAS, die zum SECO gehört.
Worin unterscheiden sich die beiden Normen wirklich?
Im Schutzgut. ISO/IEC 27001:2022 fragt, ob Informationen vertraulich, unversehrt und verfügbar bleiben; die 93 Massnahmen ihres Anhangs A drehen sich um Zugriff, Verschlüsselung, Netzwerke und betriebliche Sicherheit. ISO/IEC 42001:2023 fragt etwas anderes: ob eine Organisation KI-Systeme verantwortungsvoll entwickelt, bereitstellt und nutzt. Die KI-Norm erschien am 18. Dezember 2023 mit 51 Seiten und listet im Anhang A 38 Massnahmen in neun Zielsetzungen von A.2 bis A.10 – von der KI-Politik über Rollen und Auswirkungsbeurteilungen bis zu Daten, Information für interessierte Parteien und Beziehungen zu Dritten. Wer allein ein Informationssicherheits-Managementsystem betreibt, hat für Fragen nach Verzerrung, menschlicher Aufsicht oder Zweckbindung eines Modells keinen Platz im Regal. Umgekehrt ersetzt ein KI-Managementsystem keine Zugriffskontrolle.
Was schaut ein Auditor beim Thema Kompetenz tatsächlich an?
Belege, nicht Absichtserklärungen. Klausel 7.2 verlangt in beiden Normen, dass die Organisation die nötige Kompetenz der Personen bestimmt, sie sicherstellt, die Wirksamkeit der ergriffenen Massnahmen bewertet und geeignete dokumentierte Information als Nachweis aufbewahrt. Klausel 7.3 betrifft das Bewusstsein: Kennen die Beteiligten die geltenden Regeln und die Folgen eines Verstosses? Klausel 7.5 regelt die Lenkung dokumentierter Information, also Version, Freigabe und Auffindbarkeit. Im Auditgespräch heisst das vier Fragen in Folge: Welche Rollen gibt es, welche Kompetenzanforderung gilt je Rolle, welcher Nachweis liegt je Person vor, und woran hat die Organisation erkannt, dass die Massnahme gewirkt hat. Ein bestandenes Abschlussquiz mit Datum beantwortet die vierte Frage schneller als eine Anwesenheitsliste, weil es ein Ergebnis zeigt und nicht bloss eine Präsenz.
Welchen Platz haben Schulungsnachweise im Managementsystem?
Sie sind ein Baustein, nicht das Fundament. Ein Kursnachweis belegt, dass eine bestimmte Person an einem bestimmten Datum ein bestimmtes Programm absolviert und eine Prüfung bestanden hat. Damit deckt er den Nachweisteil von Klausel 7.2 ab, nicht aber die vorgelagerte Festlegung, welche Kompetenz für welche Rolle nötig ist; diese Festlegung bleibt bei der Organisation und lässt sich nicht einkaufen. Ein Linup-Zertifikat mit QR-Verifikation lässt sich von aussen prüfen: Wer den Code scannt, sieht, dass der Nachweis echt ist und wann er ausgestellt wurde. Der Onlinekurs «KI sicher am Arbeitsplatz» umfasst 2 bis 3 Stunden Lernzeit pro Person, endet mit einem Abschlussquiz und steht in fünf Sprachen bereit; die Nachweismappe bündelt Zertifikat, Ergebnis und Datum pro Person, und das Firmen-Dashboard zeigt den Stand über alle Mitarbeitenden hinweg.
Was leisten die Normen beim KI-Nachweis nicht?
Der Abschnitt über die Grenzen ist der wertvollste dieser Seite. Weder ISO/IEC 42001 noch ISO/IEC 27001 schreibt ein bestimmtes Schulungsprodukt vor, nennt einen Anbieter oder legt eine Mindeststundenzahl fest. Keine der beiden Normen verlangt ein persönliches Zertifikat für jede Mitarbeiterin und jeden Mitarbeiter; ein nachvollziehbarer Beleg genügt, und wie er aussieht, entscheidet die Organisation. Anhang A der KI-Norm ist eine Referenzliste und kein Pflichtkatalog: Welche der 38 Massnahmen anwendbar sind, ergibt sich aus der Risiko- und Auswirkungsbeurteilung und wird in der Anwendbarkeitserklärung begründet. Ein Kurszertifikat eines Anbieters wird durch keine Norm zu einem Managementsystemzertifikat – dafür braucht es ein Audit durch eine Zertifizierungsstelle, die nach ISO/IEC 17021-1 akkreditiert ist, in der Schweiz durch die Schweizerische Akkreditierungsstelle SAS beim SECO. Und keine der beiden Normen bescheinigt die Einhaltung eines Gesetzes.
Wie hängen die Normen mit dem EU-Recht zusammen?
Über den Umweg des Nachweises und nicht über eine automatische Anerkennung. Art. 4 der Verordnung (EU) 2024/1689 hält Anbieter und Betreiber an, Massnahmen zur Entwicklung der KI-Kompetenz ihres Personals zu ergreifen. Die Fassung, die mit der Digital-Omnibus-Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt erschien, stellt ausdrücklich klar, dass diese Verpflichtung niemanden dazu anhält, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu gewährleisten. Ein Managementsystem nach ISO/IEC 42001 liefert die Struktur, in der solche Massnahmen geplant, durchgeführt und belegt werden. Eine Konformitätsvermutung im Sinne von Art. 40 der Verordnung entsteht daraus nicht, solange keine entsprechende harmonisierte Norm vorliegt. Was unter KI-Kompetenz zu verstehen ist, erläutert der Glossareintrag KI-Kompetenz; ob eine Norm in Ihrer Konstellation den passenden Rahmen bildet, klären Sie mit einer Fachperson.
Welche Belege gehören in eine Ablage, die ein Audit übersteht?
Sechs Zeilen genügen für den Anfang. Die Tabelle ordnet jeder typischen Auditfrage einen Beleg, eine zuständige Stelle und eine Aufbewahrungsregel zu. Zur Aufbewahrung: Die Normen selbst nennen keine Frist. Das Schweizer Recht tut es dort, wo ein Beleg zugleich ein Buchungsbeleg ist – nach Art. 958f OR sind Geschäftsbücher und Buchungsbelege während zehn Jahren aufzubewahren, gerechnet ab dem Ablauf des Geschäftsjahres. Enthält ein Nachweis Personendaten, richtet sich die Dauer zusätzlich nach dem Datenschutzgesetz (SR 235.1), das seit dem 1. September 2023 in Kraft ist.
| Was das Audit sehen will | Dokument oder Inhalt | Wer erstellt es | Aufbewahrung |
|---|---|---|---|
| Wofür KI überhaupt eingesetzt wird | Systeminventar mit Zweck, Datenarten und verantwortlicher Person | Geschäftsleitung | Solange das System im Einsatz ist, danach nach interner Regel |
| Welche Regeln für die Nutzung gelten | KI-Weisung mit Version und Freigabedatum (Klausel 7.5) | Geschäftsleitung | Alle Versionen bis mindestens zur Ablösung |
| Ob die beteiligten Personen kompetent sind | Kursnachweis und Prüfungsergebnis mit Datum (Klausel 7.2) | Schulungsanbieter und Personaldienst | Nach interner Regel; als Buchungsbeleg zehn Jahre nach Art. 958f OR |
| Ob das Bewusstsein im Alltag verankert ist | Bestätigung der Weisungskenntnis, Teilnahmeliste (Klausel 7.3) | Vorgesetzte | Bis zur nächsten Auffrischung, mindestens ein Zyklus |
| Welche Massnahmen aus Anhang A gelten | Anwendbarkeitserklärung mit Begründung je Massnahme | Projekt- oder Qualitätsverantwortliche | Über den Zertifikatszyklus von drei Jahren |
| Ob das System selbst überprüft wird | Bericht des internen Audits und der Managementbewertung | Interne Auditstelle | Mindestens ein voller Zyklus von drei Jahren |
Zur Klarstellung, die auf dieser Seite besonders wichtig ist: Linup erbringt keine Rechtsberatung. Hinter dem Zertifikat steht die Alpasana GmbH in 5745 Safenwil als Anbieterin – nicht eine Behörde und nicht eine akkreditierte Zertifizierungsstelle. Es handelt sich damit weder um ein amtliches Dokument noch um eine Zertifizierung nach ISO/IEC 42001, ISO/IEC 27001 oder einer anderen ISO-Norm. Belegt wird, dass eine Person einen Kurs absolviert und ein Abschlussquiz bestanden hat – nicht mehr und nicht weniger.
Als nächster Schritt bietet sich eine Trockenübung an: Wählen Sie eine Person aus Ihrem Team und versuchen Sie, in fünf Minuten die vier Auditfragen zu beantworten – Rolle, Kompetenzanforderung, Nachweis, Wirksamkeitsbeleg. Wenn Sie an der dritten Frage hängen bleiben, fehlt nicht das Managementsystem, sondern schlicht die Ablage. Der Onlinekurs «KI sicher am Arbeitsplatz» liefert Nachweis und Ergebnis in einem Zug, und die Nachweismappe legt beides pro Person ab, sodass die Antwort beim nächsten Mal in zwei Minuten steht.