ISO 42001 Zertifizierung. Bestanden im ersten Anlauf.

Für eine Organisation mit etabliertem ISO-27001-ISMS: 4-9 Monate. Gap-Analyse (4-6 Wochen), AIMS-Aufbau (3-5 Monate), Stage 1 (Dokumentenaudit, 1-2 Tage), Stage 2 (operative Wirksamkeit, 3-5 Tage). Greenfield-Organisationen ohne bestehendes Management-System sollten 9-18 Monate einplanen. Größter Beschleuniger: Wiederverwendung von ISO-27001-Evidenz, Lieferantenregister, Schulungsnachweisen und Risikoprozessen — was Matproof automatisch mappt.

Stage 1 ist das Dokumentenaudit (1-2 Tage, üblicherweise remote). Der Auditor prüft AIMS-Anwendungsbereich, KI-Politik, Statement of Applicability, KI-Risiko- und Folgenabschätzung, Management-Review-Protokolle und interne Audit-Ergebnisse. Ziel: Stage-2-Reife bestätigen und große Lücken identifizieren. Stage 2 ist das Zertifizierungsaudit (3-5 Tage, üblicherweise vor Ort). Interviews mit KI-Verantwortlichen, Stichproben der Annex-A-Controls, Walkthroughs für Change Management, Incident Handling und Lieferantenaufsicht. Hier landen die meisten Major Findings — Stage 1 ist die Generalprobe.

Für eine mittelständische Organisation (50-500 Mitarbeitende) liegen die Gesamtkosten des ersten 3-Jahres-Zyklus üblicherweise zwischen 15.000 € und 60.000 €. Aufschlüsselung: Stage-1- und Stage-2-Audits durch die Zertifizierungsstelle 8.000-30.000 €, jährliche Überwachungsaudits 3.000-8.000 € pro Jahr in Jahren 2 und 3, Rezertifizierung in Jahr 3 bei etwa 70 % der ursprünglichen Audit-Kosten. Implementierungsaufwand intern 5.000-25.000 € (200-400 Stunden), mit externer Beratung 20.000-80.000 €. Größter Kostentreiber: Add-on auf existierende ISO 27001 (40 % günstiger) oder Aufbau beider parallel.

Stand 2026 bieten folgende akkreditierte Stellen ISO 42001 in DACH an: TÜV Süd (DAkkS-akkreditiert, Industriefokus), DEKRA (DAkkS, starker Automotive-Hintergrund), TÜV NORD (DAkkS, Public Sector), TÜV Rheinland (DAkkS), BSI (UKAS-akkreditiert, global), DNV (Norwegen, EU-stark). PECB als günstigere Alternative. Akkreditierungsumfang vor Vertragsabschluss auf der IAF-Datenbank verifizieren. Branchenerfahrung und Audit-Team-Kompetenz wichtiger als Markenname — eine Stelle mit ISO-27001-Erfahrung bei SaaS-Unternehmen arbeitet schneller als ein Generalist.

Ja — als Integriertes Management System (IMS) ist das die kosteneffizienteste Variante. Kombinierte Stage-1- und Stage-2-Audits, gemeinsames Management-Review, ein einziges internes Audit-Programm, geteilte SoA-Abschnitte, ein Lieferantenregister, ein Risikoregister, ein Incident-Log. Realistische IMS-Kostenersparnis: 30-45 % gegenüber zwei parallelen Standards. TÜV Süd, DEKRA, TÜV NORD, BSI und DNV bieten integrierte Audit-Pakete.

Aus den ersten ISO-42001-Zertifizierungen 2024-2025 die Top 8: (1) KI-Inventar unvollständig oder veraltet (Shadow AI, alte Modellversionen, Drittanbieter-APIs nicht klassifiziert), (2) Risiko- und Folgenabschätzung nicht differenziert (als ein Prozess behandelt), (3) SoA ohne Begründung für ausgeschlossene Annex-A-Controls, (4) Lieferanten-Due-Diligence fehlt für Foundation-Modelle (OpenAI, Anthropic), (5) Menschliche Aufsicht in Richtlinie definiert, aber operativ nicht umgesetzt, (6) KI-Kompetenz-Schulungsnachweise unvollständig oder undatiert, (7) Incident-Klassifizierungsrahmen fehlt oder nicht zum AI Act Art. 73 ausgerichtet, (8) Management-Review-Protokolle ohne dokumentierte KI-Entscheidungen.

Ja, aber das Angebot ist knapp. ISO/IEC 27006-2 (Auditor-Kompetenzstandard für AIMS) verlangt Kompetenz in KI-Lebenszyklus, KI-Risikobeurteilung, KI-Ethik und der technischen Umgebung der auditierten Organisation. Stand 2026 ist der Auditor-Pool stark ISO-27001-lastig mit angrenzender KI-Erfahrung — voll akkreditierte ISO-42001-Auditoren sind noch selten. Bei jeder Zertifizierungsstelle die Audit-Team-Kompetenz speziell für Ihre KI-Anwendungsfälle erfragen (Generative KI, Computer Vision, autonome Entscheidungen).

Drei konkrete Wege: (1) Nachweisbare Governance-Reife — Hochrisiko-KI-Anbieter müssen ein Qualitätsmanagementsystem (Art. 17), Risikomanagementsystem (Art. 9) und Post-Market-Monitoring (Art. 72) betreiben. ISO 42001 mappt direkt auf alle drei. (2) Lieferanten-Due-Diligence — EU-Käufer fordern ISO 42001 zunehmend in RFPs und DPAs für KI-Komponenten. (3) Zukünftige Vermutung der Konformität — sobald CEN-CENELEC JTC 21 die harmonisierten Normen nach AI Act Art. 40 finalisiert (erwartet 2026-2027) und ISO 42001 darin referenziert ist, begründet die Zertifizierung die Vermutung der AI-Act-Konformität.