ISO 42001: KI-Managementsystem aufbauen und zertifizieren lassen

Dein Vertrieb nutzt einen KI-Assistenten für Angebote, die Entwicklung lässt Code von einem Copilot vorschlagen, und im Kundenportal antwortet ein Chatbot. Wer das alles verantwortet, wer es freigegeben hat und welche Daten dabei wohin fließen, steht in den wenigsten Unternehmen irgendwo geschrieben. ISO/IEC 42001 verlangt genau das: ein Managementsystem für KI, das du auf deinem bestehenden ISMS aufbaust.

Was ist ISO 42001 und was ist ein AIMS?

ISO/IEC 42001 trägt den Titel "Information technology - Artificial intelligence - Management system" und wurde im Dezember 2023 von ISO und IEC veröffentlicht. Sie beschreibt ein KI-Managementsystem, im Englischen AI Management System oder kurz AIMS. Es legt fest, wie eine Organisation KI-Systeme verantwortungsvoll entwickelt, bereitstellt oder nutzt: mit klaren Rollen, bewerteten Risiken, dokumentierten Entscheidungen und kontinuierlicher Verbesserung.

Wichtig ist der Blickwinkel. ISO 27001 schützt Informationen und fragt: Was kann der Vertraulichkeit, Integrität und Verfügbarkeit schaden? ISO 42001 schützt zusätzlich die Menschen und die Gesellschaft, auf die ein KI-System wirkt, und fragt: Welche Folgen hat die Ausgabe dieses Systems für Betroffene? Ein Bewerber-Screening, das eine Gruppe systematisch aussortiert, verletzt keine der drei klassischen Schutzziele, ist aber ein Risiko, das ein AIMS erfassen muss.

Die Norm gilt für Organisationen jeder Größe, die KI-Systeme entwickeln, bereitstellen oder einsetzen. Das schließt dich ein, auch wenn du keine eigene KI trainierst. Wer Copilot, einen Chatbot oder ein KI-gestütztes Wartungstool im Betrieb einsetzt, ist in der Rolle des Nutzers. Wer KI-Funktionen in eigene Produkte einbaut, ist zusätzlich Anbieter. Diese Rollenfrage bestimmt später deinen Scope.

Wie ist die Norm aufgebaut?

ISO 42001 nutzt die gleiche High-Level-Struktur (Annex SL) wie ISO 9001 und ISO 27001. Die zertifizierbaren Anforderungen stehen in den Kapiteln 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Dazu kommen vier Anhänge:

• Anhang A enthält die Controls: 38 Maßnahmen in 9 Zielbereichen (A.2 bis A.10).
• Anhang B gibt Umsetzungshinweise zu diesen Controls.
• Anhang C listet KI-spezifische Zielsetzungen und Risikoquellen, zum Beispiel mangelnde Erklärbarkeit oder Datenqualität. Er ist informativ.
• Anhang D beschreibt den Einsatz in unterschiedlichen Branchen. Auch er ist informativ.

Du erkennst das Muster aus deinem ISMS wieder. Das ist gewollt und der Grund, warum der Einstieg für ISO-27001-Unternehmen deutlich leichter ist als für Neulinge.

Wann lohnt sich ISO 42001 für den Mittelstand?

Die Norm ist freiwillig. Es gibt keine Rechtspflicht zur Zertifizierung, auch nicht über den AI Act. Die Frage ist also, ob der Nutzen den Aufwand trägt. Drei Konstellationen sprechen dafür.

Kunden fragen nach. Ob und wann das in deiner Branche passiert, kannst du an Lieferantenfragebögen und Ausschreibungen ablesen. Wenn dort Fragen zu KI-Governance, KI-Richtlinien oder Verantwortlichkeiten auftauchen, brauchst du Antworten, die du belegen kannst. Eine belastbare Statistik, wie viele Mittelständler eine Zertifizierung tatsächlich verlangt bekommen, ist uns nicht bekannt. Behauptungen von Anbietern, bestimmte Konzerne würden die Zertifizierung in Lieferketten abfragen, haben wir in keiner Primärquelle gefunden. Prüf deshalb die Anfragen, die bei dir eingehen, statt auf Gerüchte zu bauen.

Du entwickelst oder bietest KI an. Wenn deine Software oder deine Maschinen KI-Funktionen enthalten, bist du Anbieter im Sinne des AI Act. Dann musst du ohnehin Risikomanagement, Dokumentation und Qualitätssicherung nachweisen, und ein AIMS liefert dafür das Gerüst, auch wenn es die Pflichten nicht abdeckt (dazu weiter unten mehr).

Du hast ein ISMS und KI breitet sich aus. Das ist der häufigste Fall. Mitarbeitende nutzen KI-Tools, teils freigegeben, teils nicht. Das Thema Shadow AI landet früher oder später bei dir. Ein AIMS bringt Ordnung hinein, ohne dass du dafür von vorn anfangen musst.

Wann lohnt es sich eher nicht? Wenn du KI nur punktuell nutzt, kein Kunde danach fragt und dein ISMS noch Lücken hat, ist die Zertifizierung nach ISO 27001 und eine saubere KI-Richtlinie die bessere Investition. Ein AIMS ohne tragfähiges ISMS darunter wird schwer.

Was kostet die Zertifizierung?

Eine Zahl nennen wir bewusst nicht. Anbieter-Blogs veröffentlichen Spannen, die wir nicht gegen eine Primärquelle prüfen konnten. Eine der gesichteten Quellen schreibt selbst, dass sich für ISO 42001 bislang keine einheitlichen Marktpreise gebildet haben. Die Kosten setzen sich aus drei Blöcken zusammen: dem Auditaufwand der Zertifizierungsstelle (Angebot einholen), externer Beratung (optional) und deinem internen Aufwand. Den internen Aufwand unterschätzen Unternehmen bei Managementsystemen erfahrungsgemäß am häufigsten, und er sinkt, wenn du ein funktionierendes ISMS hast.

ISO 42001 vs. ISO 27001: Was ist gleich, was kommt dazu?

Wenn du ISO 27001 betreibst, hast du etwa die Hälfte der Managementsystem-Arbeit bereits erledigt. Die folgende Tabelle zeigt, wo sich beide Normen decken und wo ein AIMS Neues verlangt.

Die Vermutung "Das ist doch einfach ISO 27001 mit anderen Controls" greift trotzdem zu kurz. Die Struktur ist gleich, der Inhalt unterscheidet sich an den Stellen, an denen KI anders ist als klassische IT: Ergebnisse sind nicht deterministisch, Daten prägen das Verhalten, und Fehler treffen Menschen, nicht nur Systeme.

Was du aus dem ISMS direkt übernimmst

Folgendes funktioniert fast unverändert weiter:

• Kontext und interessierte Parteien (Kapitel 4): Du ergänzt Erwartungen an KI, etwa von Kunden, Betriebsrat, Aufsicht.
• Führung und Politik (Kapitel 5): Die Geschäftsleitung verantwortet auch das AIMS. Aus der Informationssicherheitsleitlinie wird eine KI-Politik oder ein eigener Abschnitt.
• Planung mit Risikomethodik (Kapitel 6): Bewertungsskalen und Risikokriterien nutzt du weiter, ergänzt um KI-Risikoquellen.
• Dokumentenlenkung, Kompetenz, Kommunikation (Kapitel 7): Vorhandene Prozesse gelten auch für KI-Dokumente.
• Interne Audits, Management Review, Korrekturmaßnahmen (Kapitel 9 und 10): Du hängst KI-Themen an den bestehenden Zyklus.

Ein internes Audit, das beide Systeme gemeinsam prüft, spart Auditoren-Tage und Dokumentation. Ähnlich wie bei der Kombination von ISMS und ISO 9001 lohnt es sich, ein integriertes Managementsystem mit gemeinsamen Prozessen zu bauen, statt Parallelwelten zu pflegen.

Was ein AIMS zusätzlich zum ISMS verlangt

Hier liegt die eigentliche Arbeit. Sechs Bausteine sind neu oder deutlich erweitert.

KI-Inventar

Ohne Inventar kein AIMS. Du brauchst eine Liste aller KI-Systeme, die dein Unternehmen entwickelt, bereitstellt oder nutzt. Dazu gehören offensichtliche Systeme wie ein Chatbot, aber auch eingebettete KI-Funktionen in Standardsoftware, Cloud-Dienste mit KI-Funktion und alles, was Mitarbeitende auf eigene Faust verwenden. Pro System hältst du mindestens fest:

• Zweck und Fachbereich, der es einsetzt
• Verantwortliche Person (Owner)
• Anbieter und Modell, soweit bekannt
• Welche Daten hineingehen und was herauskommt
• Ob das System Entscheidungen über Menschen beeinflusst
• Datum der Freigabe und der letzten Prüfung

Das ist im Kern die Fortschreibung deines Asset-Inventars. Wenn du bereits ein Asset-Inventar betreibst, legst du KI-Systeme dort an, statt eine zweite Liste zu führen. In ISMS Lite erfasst du sie als Assets mit Eigentümer und Schutzbedarf und verknüpfst sie mit Dienstleistern, Risiken und Maßnahmen.

Rollen und Verantwortung

ISO 42001 verlangt benannte Zuständigkeiten für das AIMS und für jedes einzelne KI-System. In einem Unternehmen mit 100 Mitarbeitenden heißt das typischerweise:

• Geschäftsführung: verantwortet die KI-Politik und gibt Ressourcen frei.
• AIMS-Verantwortliche oder -Verantwortlicher: Oft ist das der ISB in Doppelrolle, solange das Volumen klein ist. Eine eigene Stelle wäre bei dieser Größe übertrieben.
• KI-Owner je System: Fachbereich, der den Zweck definiert und die Ergebnisse verantwortet.
• Fachliche Prüfer für Datenschutz, Recht und Betriebsrat, je nach Anwendungsfall.

Beschreib die Rollen in einer Zeile pro Person in deiner Rollenübersicht. Das reicht dem Auditor als Nachweis, wenn die Personen ihre Rolle kennen und leben.

KI-Risikobewertung

Deine Risikobewertung im ISMS bleibt die Basis. Du erweiterst den Risikokatalog um Szenarien, die in der klassischen IT fehlen: verzerrte Ergebnisse (Bias), falsche oder erfundene Ausgaben (Halluzinationen), Abfluss von Betriebsgeheimnissen über Prompts, Modellabhängigkeit von einem Anbieter, mangelnde Nachvollziehbarkeit und Datenvergiftung. Anhang C der Norm liefert dafür eine Liste von Risikoquellen, die du als Checkliste für den Workshop nutzen kannst.

Bewerte nicht jedes System gleich tief. Ein Meeting-Transkriptionstool mit internen Notizen braucht eine knappe Bewertung, eine KI, die Bewerbungen vorsortiert, eine ausführliche. Leg diese Abstufung in der Methodik fest, dann spart sie dir Arbeit und ist im Audit nachvollziehbar.

AI-Impact-Assessment

Das ist die größte inhaltliche Neuerung gegenüber ISO 27001. Die Folgenabschätzung betrachtet, welche Auswirkungen ein KI-System auf Einzelne, Gruppen und die Gesellschaft haben kann, nicht nur auf deine Informationen. Das Ergebnis fließt in die Risikobehandlung und in die Freigabe ein.

Die Norm fordert den Prozess, die Methode ist offen. Als Hilfe gibt es mit ISO/IEC 42005 (2025 veröffentlicht) einen eigenen Leitfaden für die Folgenabschätzung. Im Alltag reicht für die meisten Anwendungsfälle ein Fragebogen mit vier Blöcken: Wer ist betroffen? Was passiert bei einem Fehler? Gibt es eine menschliche Prüfung vor der Wirkung? Wie können Betroffene Einspruch einlegen? Wenn personenbezogene Daten im Spiel sind, ergänzt sich das gut mit der Datenschutz-Folgenabschätzung nach DSGVO, die du ohnehin kennst. Beide Verfahren sind nicht identisch, du kannst aber Fragen und Ergebnisse wiederverwenden.

Lieferantensteuerung

Fast jeder Mittelständler nutzt KI zugekauft: ein Sprachmodell über eine API, ein Tool mit eingebauter Funktion, ein Modell des Maschinenherstellers. Anhang A hat dafür einen eigenen Zielbereich zu Beziehungen mit Dritten und Kunden. Du musst festlegen, welche Anforderungen du an KI-Lieferanten stellst, und prüfen, ob sie erfüllt sind.

Konkret erweiterst du deinen Prozess zur Lieferantenbewertung um KI-Fragen: Mit welchen Daten wurde das Modell trainiert, werden deine Eingaben zum Training genutzt, wo werden sie verarbeitet, welche Zertifikate gibt es, wie meldet der Anbieter Vorfälle und Änderungen am Modell? Die Antworten gehören zusammen mit dem Vertrag in die Lieferantenakte.

Lebenszyklus

Der Zielbereich zum KI-Lebenszyklus ist mit neun Controls der größte in Anhang A. Er verlangt, dass du von der Anforderung über Entwicklung oder Beschaffung, Test, Freigabe und Betrieb bis zur Abschaltung nachvollziehbar vorgehst. Für ein Unternehmen, das KI nur einkauft, schrumpft das auf einen schlanken Freigabeprozess: Vor dem produktiven Einsatz gibt es eine Prüfung, im Betrieb eine regelmäßige Kontrolle der Ergebnisqualität, und wenn sich das Modell ändert, eine erneute Bewertung. Wer KI selbst entwickelt, braucht zusätzlich Regeln für Datenqualität, Tests, Versionierung und Protokollierung.

Die 9 Zielbereiche von Anhang A im Überblick

Die folgende Übersicht hilft dir bei der Gap-Analyse. Sie zeigt, wofür jeder Zielbereich steht und was du im Mittelstand typischerweise vorlegst.

Die Controls-Zahlen pro Bereich stammen aus Veröffentlichungen Dritter, die den Normtext auswerten. Prüf sie vor der Planung gegen deine eigene Normfassung, die du bei ISO oder dem Beuth Verlag erwirbst. Die Gesamtzahl 38 und die Aufteilung in 9 Bereiche bestätigen mehrere Quellen übereinstimmend.

Wie bei ISO 27001 wählst du die Controls nicht blind aus. Du begründest, welche Controls du anwendest, welche nicht, und warum. Diese Anwendbarkeitserklärung prüft der Auditor zuerst.

Wie hängen ISO 42001 und der AI Act zusammen?

Hier sind viele Anbieter-Texte ungenau, deshalb in aller Klarheit: ISO 42001 ist keine harmonisierte Norm zum AI Act, und eine Zertifizierung ersetzt keine Konformitätsbewertung. Die Europäische Kommission schreibt in ihren FAQ zur Standardisierung, ISO/IEC 42001:2023 sei keine harmonisierte Norm für den AI Act, weil ihre Ziele und Begriffe nicht zum Qualitätsmanagementsystem passen, das die Verordnung verlangt.

Wer schreibt die harmonisierten Normen?

Das übernimmt das gemeinsame Technische Komitee JTC 21 von CEN und CENELEC. Die Kommission erwartet die ersten harmonisierten Normen laut ihrer FAQ für 2026. Für das Qualitätsmanagementsystem, das Artikel 17 des AI Act verlangt, ist der Entwurf prEN 18286 am weitesten: Nach einer Sekundärquelle (Stand Juni 2026) befindet er sich in der formalen Abstimmung. Eine Fundstelle im Amtsblatt der EU, die eine Konformitätsvermutung auslöst, haben wir im Oktober 2026 nicht gefunden. Prüf den aktuellen Stand direkt bei CEN-CENELEC und im Amtsblatt, bevor du Entscheidungen daran knüpfst.

Was bleibt trotzdem nützlich?

Ein AIMS nach ISO 42001 ist kein Ersatz, aber ein hilfreiches Fundament. Es zwingt dich zu einem Inventar, zu klaren Rollen, zu Risiko- und Folgenabschätzungen und zu Dokumentation. Diese Bausteine brauchst du, wenn dein System unter den AI Act fällt. Wie sich Fristen und Pflichten nach dem Digital Omnibus verschoben haben, steht im Artikel zu den AI-Act-Fristen nach dem Digital Omnibus. Nach dem Stand, den wir geprüft haben, ist der Omnibus am 27. Juli 2026 in Kraft getreten und verschiebt die Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027.

Als Faustregel gilt: Mit AIMS und ISMS sparst du dir Aufbauarbeit, den Nachweis gegenüber der Aufsicht führst du trotzdem über die Wege, die der AI Act selbst vorgibt. Ob dein System Hochrisiko-KI ist und welche Pflichten daraus folgen, ist eine Rechtsfrage. Das ist keine Rechtsberatung, klär Zweifelsfälle mit deiner Rechtsabteilung oder Kanzlei.

Wie läuft die ISO-42001-Zertifizierung ab?

Der Ablauf entspricht dem, was du von ISO 27001 kennst. Die Anforderungen an die Zertifizierungsstellen regelt ISO/IEC 42006, die 2025 erschienen ist und ISO/IEC 17021-1 ergänzt. Das Auditteam muss als Ganzes die nötige KI-Kompetenz für deinen Scope mitbringen.

1. Angebot und Scope-Festlegung. Du wählst eine akkreditierte Zertifizierungsstelle und definierst den Geltungsbereich. Frag nach dem Akkreditierungsnachweis für ISO/IEC 42001. Welche Stelle von welcher Akkreditierungsbehörde akkreditiert ist, unterscheidet sich, und eine verlässliche Übersicht zur Lage bei der DAkkS konnten wir nicht finden. Bisher meldeten Zertifizierer Akkreditierungen für ISO 42001 unter anderem über ANAB, UKAS und RvA.
2. Stage 1. Der Auditor prüft Dokumentation und Reife deines AIMS: Scope, Politik, Risikobewertung, Anwendbarkeitserklärung, internes Audit, Management Review.
3. Behebung von Feststellungen. Du schließt die Lücken aus Stage 1, bevor es weitergeht.
4. Stage 2. Der Auditor prüft, ob das System im Alltag wirkt. Er spricht mit Owners, schaut sich Freigaben und Impact-Assessments an und lässt sich Stichproben zeigen.
5. Zertifikat. Es gilt drei Jahre.
6. Überwachungsaudits. Jährlich folgt ein kürzeres Audit, nach drei Jahren die Rezertifizierung.

Wie viele Auditoren-Tage anfallen, hängt von Scope, Anzahl der KI-Systeme und Unternehmensgröße ab und steht im Angebot der Stelle. Vendor-Angaben dazu variieren, und eine belastbare Zahl gibt dir nur das Angebot.

Der große Vorteil bei bestehender ISO-27001-Zertifizierung: Frag, ob dein Zertifizierer Audits kombinieren kann. Dann prüft er gemeinsame Elemente wie Management Review und internes Audit einmal statt zweimal. Ob und wie das geht, regelt die Stelle, nicht die Norm.

Zeitplan für ein Unternehmen mit rund 100 Mitarbeitenden

Nehmen wir ein fiktives Beispiel: einen Maschinenbau-Zulieferer mit 100 Mitarbeitenden und gültigem ISO-27001-Zertifikat. Er nutzt Copilot im Büro, einen KI-Chatbot im Kundenservice und ein Wartungsvorhersagetool eines Anbieters. Der ISB ist gleichzeitig AIMS-Verantwortlicher.

Die folgende Zeitschiene ist ein Planungswert aus der Praxis ähnlich gelagerter Projekte, keine Normvorgabe. Sie hängt stark von deinem Reifegrad ab.

Das ergibt etwa sechs bis neun Monate, je nach Terminlage der Zertifizierungsstelle und deiner Kapazität. Plane vor allem die Betriebsphase nicht zu knapp: Ein Auditor will Nachweise sehen, dass das System über mehrere Wochen funktioniert, nicht nur Papier.

Das Management Review ist dabei der Prüfstein, an dem du das AIMS der Geschäftsleitung vorlegst. Ergänze die Agenda um KI-Themen: neue KI-Systeme seit dem letzten Review, Ergebnisse der Folgenabschätzungen, KI-Vorfälle, Lieferantenänderungen.

Checkliste: AIMS-Start in 90 Tagen

Diese Liste führt dich von null zu einem arbeitsfähigen Fundament. Sie ist auch ohne Zertifizierungsziel sinnvoll, denn Inventar, Rollen und Richtlinie brauchst du für jeden verantwortlichen KI-Einsatz.

Tag 1 bis 30: Überblick schaffen

• Geschäftsleitung entscheidet über Ziel: Governance, Kundennachweis oder Zertifizierung
• Verantwortliche Person für das AIMS benannt
• KI-Inventar angelegt: freigegebene Systeme, eingebettete KI-Funktionen, geduldete und unbekannte Tools
• Umfrage in den Fachbereichen zur tatsächlichen KI-Nutzung durchgeführt
• Eigene Rolle je System geklärt: Nutzer, Anbieter oder beides
• Scope-Entwurf erstellt und mit ISMS-Scope abgeglichen
• Interessierte Parteien und ihre KI-Erwartungen notiert (Kunden, Betriebsrat, Datenschutz)
• Gap-Analyse gegen Kapitel 4 bis 10 und Anhang A gestartet

Tag 31 bis 60: Regeln und Bewertung

• KI-Politik formuliert und von der Geschäftsleitung freigegeben
• KI-Nutzungsrichtlinie für Mitarbeitende erstellt oder aktualisiert
• Risikokatalog um KI-Szenarien erweitert (Anhang C als Hilfe)
• Risikobewertung für die wichtigsten drei bis fünf KI-Systeme durchgeführt
• Vorlage für das Impact-Assessment erstellt und an zwei Systemen getestet
• Freigabeprozess für neue KI-Systeme definiert (Wer prüft was, bevor es live geht?)
• Fragenkatalog für KI-Lieferanten ergänzt

Tag 61 bis 90: Betrieb anstoßen

• Alle kritischen Systeme im Inventar mit Owner, Zweck und Risikostufe versehen
• Erster Entwurf der Anwendbarkeitserklärung zu Anhang A erstellt
• Maßnahmenplan mit Terminen und Verantwortlichen für die Lücken aus der Gap-Analyse
• Owner in Folgenabschätzung und Freigabe geschult
• Meldeweg für KI-Vorfälle und Bedenken eingerichtet
• KI-Themen in den Management-Review-Kalender und das Auditprogramm aufgenommen
• Entscheidung über Zertifizierungsstelle und Zeitplan vorbereitet

Häufige Fehler beim Aufbau eines KI-Managementsystems

ISO 42001 mit AI-Act-Konformität gleichsetzen. Das Zertifikat belegt, dass dein Managementsystem der Norm entspricht. Es belegt nicht, dass ein bestimmtes KI-System die Anforderungen des AI Act erfüllt. Wer das Kunden oder der Geschäftsleitung so verkauft, riskiert böse Überraschungen.

Das Inventar unvollständig lassen. Viele Unternehmen listen nur das, was die IT bereitgestellt hat. Die Risiken stecken aber oft in Funktionen, die in Standardsoftware aktiviert wurden, oder in Tools, die Mitarbeitende selbst gebucht haben. Ohne vollständiges Inventar ist jede Bewertung lückenhaft.

Den Scope zu groß ziehen. Wer sofort alle KI-Nutzung im Konzern abdecken will, verzettelt sich. Starte mit den Systemen, die Kunden betreffen oder Entscheidungen über Menschen beeinflussen, und erweitere später.

Ein separates Parallelsystem aufbauen. Eigene Dokumentenstruktur, eigene Audits, eigene Reviews: Das verdoppelt Aufwand und verwirrt die Beteiligten. Hänge das AIMS an die vorhandene Struktur.

Impact-Assessments als Pflichtübung abhaken. Wenn der Fragebogen immer mit "keine Auswirkungen" endet, nimmt ihn der Auditor nicht ernst. Dokumentiere die Annahmen und die Menschen, die du dafür befragt hast. Eine ehrliche Antwort mit Restrisiko überzeugt mehr als eine glatte.

Fazit: Auf dem ISMS aufbauen, den AI Act getrennt betrachten

ISO 42001 ist für Unternehmen mit funktionierendem ISMS ein überschaubarer Schritt: Struktur und Prozesse bringst du mit, neu sind Inventar, Folgenabschätzung, KI-Risiken, Lieferantensteuerung und Lebenszyklus. Fang mit den 90 Tagen an, auch wenn die Zertifizierung noch offen ist, und kläre parallel mit Rechtsabteilung oder Kanzlei, welche Pflichten der AI Act für deine Systeme tatsächlich auslöst.

Weiterführende Artikel

• ISO 27001 Zertifizierung: Ablauf, Kosten und Aufwand für KMU
• Richtlinie zur Nutzung von KI-Tools (ChatGPT, Copilot) im Unternehmen
• ISO 27701:2025: Datenschutz-Managementsystem auch ohne ISO 27001
• ISMS und ISO 9001: Synergien zwischen Qualitäts- und Informationssicherheitsmanagement
• IT-Asset-Management für das ISMS: Inventar, Kritikalität und Klassifizierung