Ordnungsrahmen · Sicherheit von KI-Systemen
ISO 27090 beschreibt, wie Angreifer KI-Systeme kompromittieren können und wie Sie solche Angriffe erkennen und eindämmen. Sightadel hilft Ihnen, diese Bedrohungen je KI-System zu bewerten und die Maßnahmen dort zu führen, wo Ihre Nachweise für ISO 27001, ISO 42001 und die KI-Verordnung schon liegen.
Worum es geht
ISO 27090 ist im Oktober 2026 in erster Ausgabe erschienen. Die Norm behandelt Sicherheitsbedrohungen, die speziell KI-Systeme betreffen. Sie beschreibt, welche Folgen ein Angriff im Lebenszyklus eines Systems haben kann und wie sich solche Angriffe erkennen und abschwächen lassen. Gedacht ist sie für Organisationen jeder Art und Größe, die KI-Systeme entwickeln oder nutzen.
Gemeint sind Angriffe, die es bei herkömmlicher Software so nicht gibt. ISO nennt als Beispiele vergiftete Trainingsdaten und den Diebstahl eines Modells über scheinbar harmlose Abfragen. Fachbeiträge zur Norm führen weitere Arten auf, etwa präparierte Eingaben, die ein Modell täuschen, Prompt Injection oder Rückschlüsse auf die Trainingsdaten. Die Norm hilft auch zu klären, was überhaupt zu schützen ist, von den Trainingsdaten bis zum fertigen Modell.
ISO 27090 ist ein Leitfaden. Sie enthält keine Anforderungen, nach denen eine Stelle zertifiziert, und kein eigenes Managementsystem. ISO versteht sie als Ergänzung zu ISO 27001 und ISO 27002: Wer ein ISMS betreibt, nimmt die KI-spezifischen Bedrohungen in die Risikobeurteilung auf und wählt dazu passende Maßnahmen. Die Norm gibt es bisher nur auf Englisch.
Kunden und Einkauf fragen, wie Sie Modelle und Trainingsdaten vor Manipulation schützen. Die Norm liefert eine gemeinsame Sprache für diese Antworten und eine Liste von Angriffen, die Sie geprüft haben sollten.
Auch wer ein Sprachmodell nur über einen Anbieter nutzt, ist betroffen, etwa wenn Text aus E-Mails oder Dokumenten das System zu falschen Aktionen bringt. Hier geht es vor allem um Auswahl des Anbieters, Konfiguration und Überwachung.
Wer ISO 27001 oder ISO 42001 betreibt, braucht keinen neuen Prozess. Die Bedrohungen aus ISO 27090 gehen in die bestehende Risikobeurteilung ein, die Maßnahmen in den vorhandenen Behandlungsplan.
Anforderungen
In eigenen Worten zusammengefasst. Maßgeblich ist immer der Originaltext in der geltenden Fassung.
Bekannt ist, welche KI-Systeme Sie entwickeln oder nutzen und welche Teile davon schützenswert sind: Trainingsdaten, Modelle, Eingaben und Ausgaben.
In SightadelKI-Systeme und ihre Bestandteile erfassen Sie als Werte mit Verantwortlichem. Ein KI-Inventar aus ISO 42001 nutzen Sie weiter.
Die für Ihre Systeme denkbaren Angriffsarten sind bekannt, zum Beispiel Datenvergiftung oder Modelldiebstahl, ebenso was ein erfolgreicher Angriff anrichten würde.
In SightadelBedrohungen halten Sie je KI-System im Risikoregister fest, bewertet und mit den betroffenen Werten verknüpft.
Angriffe sind den Phasen zugeordnet, in denen sie ansetzen: Entwicklung, Betrieb und Aktualisierung des Modells.
In SightadelOffene Punkte aus jeder Phase werden zu Aktionsplänen mit Verantwortlichem und Fälligkeit.
Die Folgen eines Angriffs sind abgeschätzt, besonders dort, wo KI in sicherheitskritischen Anwendungen oder bei wichtigen Entscheidungen mitwirkt.
In SightadelDie Bewertung steht beim Risiko, die Begründung im Kommentar. Das Aktivitätsprotokoll zeigt, wer wann entschieden hat.
Für die relevanten Bedrohungen sind Maßnahmen gewählt, mit denen sich Angriffe erkennen oder ihre Wirkung begrenzen lassen.
In SightadelJede Maßnahme mit Status, Verantwortlichem und Nachweis. Dieselbe Maßnahme kann eine Anforderung aus ISO 27001 oder ISO 42001 mit abdecken.
Trainingsdaten, vortrainierte Modelle und KI-Dienste von Dritten werden als mögliches Einfallstor behandelt. Sie wissen, woher sie stammen und wer sie verändern kann.
In SightadelAnbieter von Daten, Modellen und KI-Diensten bewerten Sie im Modul Anbieter, mit Fragebogen und Nachweisen.
Im Betrieb achten Sie auf Anzeichen von Angriffen, etwa ungewöhnliche Abfragemuster. Vorfälle an KI-Systemen laufen durch den üblichen Vorfallprozess.
In SightadelErkenntnisse aus Vorfällen werden zu Maßnahmen mit Frist, der Verlauf bleibt im Aktivitätsprotokoll sichtbar.
Die KI-spezifischen Bedrohungen sind Teil der Risikobeurteilung des ISMS, die Maßnahmen Teil des Behandlungsplans.
In SightadelNachweise verknüpfen Sie einmal und nutzen sie für ISO 27001, ISO 42001 und die KI-Verordnung.
Ablauf
Zwei bis vier Monate bis zu Bedrohungsanalyse und Maßnahmenplan für die wichtigsten KI-Systeme, wenn ein ISMS schon läuft. Technische Maßnahmen umzusetzen kann länger dauern.
Alle KI-Systeme auflisten, auch zugekaufte Dienste. Je System festhalten, welche Daten, Modelle und Schnittstellen dazugehören.
Mit der Norm durchgehen, welche Angriffsarten für welches System in Frage kommen und in welcher Phase sie ansetzen.
Folgen und Wahrscheinlichkeit einschätzen, kritische Systeme zuerst. Die Ergebnisse gehen ins bestehende Risikoregister.
Gegenmaßnahmen wählen, Verantwortliche benennen, Umsetzung mit Nachweisen belegen. Technische Maßnahmen gemeinsam mit Entwicklung und Betrieb planen.
Den Betrieb beobachten, nach Modellwechseln und bei neu bekannten Angriffsarten neu bewerten, Ergebnisse in die Managementbewertung geben.
Startklar
Wer diese Fragen früh klärt, spart später Wochen. In Sightadel sind sie als erste Aufgaben angelegt.
Arbeitsteilung
Würde eine Software alles ausfüllen, erfüllte die Norm ihren Zweck nicht – und der Auditor würde es merken. Deshalb ist klar geregelt, was bei Ihnen bleibt.
Aus der Praxis
Aus langjähriger Beratungs- und Zertifizierungspraxis: Diese Stellen kosten die meiste Zeit oder führen zu Abweichungen im Audit.
Firewall und Zugriffsschutz helfen nicht gegen vergiftete Trainingsdaten oder präparierte Eingaben. Prüfen Sie die Angriffe, die am Modell selbst ansetzen, gesondert.
Sprachmodelle in Standardsoftware und Cloud-Diensten gehören dazu. Gerade hier greifen Angriffe über Eingaben, auch wenn Sie kein eigenes Modell trainieren.
Für ISO 27090 gibt es keines. Planen Sie den Nachweis über das Audit nach ISO 27001 oder ISO 42001 oder über eine externe Prüfung.
Die Umsetzung hilft bei Art. 15 der KI-Verordnung, belegt ihn aber nicht. Gesetzliche Pflichten prüfen Sie gesondert.
Ohne Entwicklung und Datenverantwortliche bleibt die Bedrohungsanalyse theoretisch. Wer das Modell baut oder betreibt, gehört an den Tisch.
Neue Modelle, Daten und Angriffsarten ändern die Lage laufend. Legen Sie Auslöser für Neubewertungen fest und prüfen Sie kritische Systeme regelmäßig.
Ein Nachweis, mehrere Frameworks
Eine Prozentzahl nennen wir bewusst nicht – sie hängt von Ihrem Geltungsbereich ab. Wo sich Anforderungen decken, hängt ein Nachweis an allen.
ISO beschreibt ISO 27090 als Ergänzung zu ISO 27001 und 27002. Risikobeurteilung, Behandlungsplan, Vorfallprozess und internes Audit des ISMS tragen auch die Maßnahmen für KI-Systeme.
ISO 42001Das KI-Managementsystem verlangt eine Risikobeurteilung für KI-Systeme. ISO 27090 liefert dafür den Teil über gezielte Angriffe, das KI-Inventar dient beiden.
EU AI ActArt. 15 verlangt für Hochrisiko-KI-Systeme Robustheit und Cybersicherheit, ausdrücklich auch gegen Datenvergiftung, Modellumgehung und Angriffe auf die Vertraulichkeit. ISO 27090 hilft bei der Umsetzung, ist aber keine harmonisierte Norm.
DSGVOAngriffe, die Rückschlüsse auf Trainingsdaten erlauben, können personenbezogene Daten offenlegen. Für den Datenschutz bei KI arbeitet ISO an der Schwesternorm ISO 27091, die noch nicht erschienen ist.
Prüfung und Nachweis
Nach ISO 27090 kann man sich nicht zertifizieren lassen. Die Norm ist ein Leitfaden und enthält keine prüfbaren Anforderungen. Sichtbar wird sie über die Managementsysteme, in die Sie sie einbauen: Im Audit nach ISO 27001 oder ISO 42001 zeigen Sie, wie Sie Bedrohungen für KI-Systeme bewertet und behandelt haben.
Wer einen unabhängigen Blick will, lässt Bedrohungsanalyse und Maßnahmen extern prüfen. Sightadel prüft nicht. Sie wählen einen Prüfer aus unserem unabhängigen Partnernetz oder einen Ihrer Wahl, und für Prüfungen fließt keine Provision, weder an uns noch an die Partner. Der Prüfer erhält in Sightadel einen eigenen Zugang zu Antworten, Begründungen und Nachweisen, löschen kann er nichts.
Zum unabhängigen AuditorennetzISO 27090 konzentriert sich auf Bedrohungen, die nur oder vor allem KI-Systeme treffen. Sie ordnet sie dem Lebenszyklus zu, beschreibt mögliche Folgen und zeigt Wege, Angriffe zu erkennen und abzuschwächen. Die Beschreibung der Norm bei ISO nennt ausdrücklich die Vergiftung von Trainingsdaten und den Diebstahl eines Modells über Abfragen, die wie normale Nutzung aussehen. Sie betont außerdem die Folgen in sicherheitskritischen Anwendungen.
Die allgemeine Informationssicherheit regelt die Norm nicht neu. Zugriffsschutz, Verschlüsselung, Protokollierung, Schwachstellenmanagement und Notfallvorsorge bleiben Sache von ISO 27001 und 27002. ISO 27090 setzt dort an, wo diese Maßnahmen für KI nicht reichen, etwa wenn ein Angreifer über Daten oder Eingaben das Verhalten eines Modells verändert, ohne einen Server zu übernehmen.
Auch Fairness, Transparenz oder die Folgen für Betroffene sind nicht ihr Thema. Dafür gibt es ISO 42001 mit Risikobeurteilung und Folgenabschätzung für KI und die KI-Verordnung der EU. Für Datenschutz bei KI erarbeitet ISO die Schwesternorm ISO 27091. Wer die Norm einführt, sollte diese Abgrenzung kennen, damit Zuständigkeiten nicht doppelt oder gar nicht verteilt werden.
Die Norm selbst kaufen Sie bei ISO oder einer nationalen Normungsorganisation. Eine Zertifizierungsstelle brauchen Sie nicht, weil es kein Zertifikat gibt. Die Sightadel-Lizenz für ISO 27090: Preis auf Anfrage. Wer ISO 27001 oder ISO 42001 schon in Sightadel führt, nutzt Risikoregister, Maßnahmen und Nachweise weiter.
Der größte Posten ist Zeit von Fachleuten. Eine Bedrohungsanalyse für KI-Systeme lässt sich nicht allein im Informationssicherheitsteam erledigen. Sie brauchen Personen, die Modelle, Daten und Schnittstellen kennen: Entwicklung, Datenverantwortliche, Betrieb und bei zugekauften Diensten den Einkauf. Rechnen Sie je kritischem KI-System mit mehreren Arbeitssitzungen.
Teuer werden kann die Umsetzung technischer Maßnahmen, etwa zusätzliche Prüfungen von Trainingsdaten, Begrenzungen bei Abfragen oder Tests mit gezielt präparierten Eingaben. Hier lohnt es sich, nach Kritikalität vorzugehen und mit den Systemen zu beginnen, bei denen ein Angriff den größten Schaden anrichten würde. Wo Erfahrung fehlt, buchen Sie Beratung als Paket in der App dazu.
Die KI-Verordnung der EU verlangt in Art. 15 für Hochrisiko-KI-Systeme ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit über den gesamten Lebenszyklus. Zu den genannten Angriffen gehören Datenvergiftung, Modellvergiftung, präparierte Eingaben zur Modellumgehung, Angriffe auf die Vertraulichkeit und Modellmängel. Das deckt sich weitgehend mit den Themen von ISO 27090.
Trotzdem ist die Norm kein Nachweis der Konformität. Sie ist keine harmonisierte Norm mit Fundstelle im Amtsblatt der EU und begründet damit keine Vermutung, dass Art. 15 erfüllt ist. Für die Cybersicherheit von KI-Systemen unter der Verordnung erarbeitet CEN-CENELEC eine eigene europäische Norm, die bisher als Entwurf vorliegt. Die Pflichten für Hochrisiko-Systeme gelten nach der Verschiebung von 2026 ab Dezember 2027 für eigenständige Systeme und ab August 2028 für KI in regulierten Produkten.
Ob Ihr System als Hochrisiko-System gilt und welche Pflichten daraus folgen, prüfen Sie gesondert, am besten mit Ihrer Rechtsberatung. Sightadel gibt dazu keine Rechtsberatung. Für die gesetzlichen Pflichten gibt es in Sightadel ein eigenes Framework zur KI-Verordnung, das Sie mit denselben Nachweisen führen.
Am wenigsten Aufwand entsteht, wenn Sie ISO 27090 als Wissensquelle für vorhandene Prozesse nutzen. In der Risikobeurteilung nach ISO 27001 ergänzen Sie für jedes KI-System die Bedrohungen aus der Norm. Die gewählten Maßnahmen landen im Behandlungsplan und, wo sie über Anhang A hinausgehen, als zusätzliche Maßnahmen in der Erklärung zur Anwendbarkeit.
Wer ISO 42001 betreibt, hat mit dem KI-Inventar bereits die Liste der Systeme, ihrer Zwecke und Verantwortlichen. Die KI-Risikobeurteilung dort fragt nach Risiken für Organisation und Betroffene. ISO 27090 hilft, den Teil zu gezielten Angriffen fachlich sauber zu füllen, statt ihn mit allgemeinen Sätzen zur IT-Sicherheit abzuhaken.
In Sightadel hängen Bedrohungen, Maßnahmen und Nachweise am jeweiligen KI-System. Dieselbe Maßnahme, etwa eine Prüfung der Herkunft von Trainingsdaten, verknüpfen Sie mit ISO 27001, ISO 42001 und der KI-Verordnung. So pflegen Sie sie einmal und sehen in jedem Framework, wo sie zählt. Im internen Audit prüfen Sie dann, ob die Maßnahmen für KI-Systeme so wirken wie geplant.
Bei Datenvergiftung schleust ein Angreifer manipulierte Daten in das Training ein, damit das Modell später falsch oder in seinem Sinn reagiert. Relevant ist das vor allem, wenn Sie Modelle selbst trainieren oder nachtrainieren, etwa mit Daten aus dem Internet, von Kunden oder von Dienstleistern. Schutz bieten bekannte Quellen, Prüfungen vor dem Training und klare Rechte, wer Daten ändern darf.
Beim Modelldiebstahl stellt ein Angreifer viele Abfragen und baut aus den Antworten ein Modell nach, das sich ähnlich verhält. Betroffen sind vor allem Anbieter, deren Modell über eine Schnittstelle erreichbar ist. Ungewöhnliche Abfragemuster und Begrenzungen je Nutzer sind hier naheliegende Ansatzpunkte. Wer KI nur zukauft, hat mit diesem Angriff meist weniger zu tun.
Bei Systemen mit Sprachmodellen kommt Prompt Injection dazu: Anweisungen, versteckt in Eingaben, E-Mails oder Dokumenten, bringen das System dazu, Regeln zu umgehen oder Daten preiszugeben. Das trifft auch Unternehmen, die KI nur über einen Anbieter nutzen. Welche dieser Angriffe die Norm im Einzelnen beschreibt, entnehmen Sie dem Normtext. Sightadel enthält den Wortlaut nicht.
Da es kein Zertifikat gibt, schreibt niemand eine bestimmte Dokumentation vor. Sinnvoll und in Audits nach ISO 27001 oder ISO 42001 hilfreich sind eine Liste der KI-Systeme mit ihren schützenswerten Teilen, die Bedrohungsanalyse je System, die gewählten Maßnahmen mit Begründung und Belege, dass sie umgesetzt sind und wirken. Halten Sie fest, wer welche Bewertung wann vorgenommen hat.
KI-Systeme ändern sich schneller als viele andere Systeme. Ein neues Modell beim Anbieter, ein neuer Datensatz oder eine neue Schnittstelle kann die Bewertung ändern. Legen Sie fest, welche Änderungen eine erneute Analyse auslösen, und machen Sie die Prüfung zur festen Station bei Beschaffung und Freigabe. Nach einem Vorfall oder wenn ein neuer Angriff bekannt wird, prüfen Sie die betroffenen Systeme außer der Reihe.
In Sightadel laufen Neubewertungen, Prüfungen der Anbieter, internes Audit und Managementbewertung als wiederkehrende Zyklen mit Termin. Im Trust Center zeigen Sie Kunden, wie Sie KI-Systeme absichern, ohne für jede Anfrage neue Unterlagen zusammenzustellen.
Was es kostet
Sie zahlen nur für die Frameworks, die Sie wirklich brauchen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit, nicht im fachlichen Umfang. Wer mehrere Frameworks führt, spart dauerhaft. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite.
Die Kosten der Zertifizierungs- oder Prüfstelle rechnet diese direkt mit Ihnen ab. Beratung buchen Sie bei Bedarf als Paket in der App dazu.
Arbeitsmaterial
Checklisten und Vorlagen zu weiteren Frameworks finden Sie unter Ressourcen.
Arbeitshilfen, keine Rechtsberatung.
Begriffe
Nein. Die Norm ist ein Leitfaden ohne prüfbare Anforderungen. Im Audit nach ISO 27001 oder ISO 42001 können Sie aber zeigen, wie Sie Bedrohungen für KI-Systeme bewertet und behandelt haben.
Ja. Die erste Ausgabe ist im Oktober 2026 erschienen, bisher nur auf Englisch. Eine deutsche Fassung gibt es noch nicht.
Nicht automatisch. Die Norm passt inhaltlich gut zu den Cybersicherheitspflichten für Hochrisiko-KI-Systeme, ist aber keine harmonisierte Norm. Ob und welche Pflichten Sie treffen, prüfen Sie gesondert. Sightadel gibt dazu keine Rechtsberatung.
Oft ja, in kleinerem Umfang. Angriffe über Eingaben wie Prompt Injection treffen auch genutzte Dienste. Im Vordergrund stehen dann Anbieterauswahl, Konfiguration, Rechte des Systems und Überwachung.
ISO beschreibt ISO 27090 als Ergänzung zu ISO 27001 und 27002. Sie bauen die KI-spezifischen Bedrohungen in die Risikobeurteilung Ihres ISMS ein und führen die Maßnahmen im selben Behandlungsplan.
ISO 42001 ist das Managementsystem für KI mit Inventar, Risikobeurteilung und Folgenabschätzung. ISO 27090 liefert Fachwissen zu gezielten Angriffen, das in diese Risikobeurteilung einfließt. Ein Zertifikat gibt es nur für ISO 42001.
Die Sightadel-Lizenz: Preis auf Anfrage, alle Details stehen auf der Preisseite. Dazu kommen das Exemplar der Norm und Ihr interner Aufwand. Kosten für eine Zertifizierungsstelle fallen nicht an.
Nein. ISO-Normen sind urheberrechtlich geschützt. Sightadel enthält Struktur, Leitfragen, Vorlagen und eigene Erläuterungen, nicht den Wortlaut. Ein Exemplar der Norm brauchen Sie im Haus.
Neben der Informationssicherheit die Personen, die Modelle entwickeln oder betreiben, die Datenverantwortlichen und bei zugekauften Diensten der Einkauf. Ohne sie bleibt die Analyse an der Oberfläche.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
