ISO 42001 Zertifizierung: Ablauf, Dauer, Voraussetzungen

Das KI-Managementsystem steht, die Richtlinien sind geschrieben – aber wie wird daraus ein Zertifikat? Viele Unternehmen unterschätzen nicht den Aufbau des Systems, sondern den Zertifizierungsprozess selbst: Welche Nachweise verlangt der Auditor? Was passiert in Stufe 1 und Stufe 2? Und wie findet man überhaupt eine Zertifizierungsstelle für eine Norm, die erst seit Ende 2023 existiert?

Dieser Artikel führt durch den kompletten Ablauf der ISO-42001-Zertifizierung: von den Voraussetzungen über beide Auditstufen bis zum Zertifikat und den jährlichen Überwachungsaudits. Sie erfahren, wie lange das Verfahren realistisch dauert, worin sich akkreditierte und nicht akkreditierte Stellen unterscheiden – und an welchen Punkten Zertifizierungsprojekte typischerweise haken.

Voraussetzungen: Was vor der Anmeldung stehen muss

Eine Zertifizierung prüft ein bestehendes System – sie erschafft keines. Bevor Sie eine Zertifizierungsstelle beauftragen, sollten diese Bausteine vorhanden und nachweisbar sein:

• Geltungsbereich (Scope): eine klare Festlegung, welche Standorte, Prozesse und KI-Systeme das AIMS abdeckt – und in welcher Rolle (KI-Anwender, -Entwickler oder beides).
• KI-Inventar: eine vollständige Übersicht aller eingesetzten und entwickelten KI-Systeme inklusive Zweck, Datenquellen und Verantwortlichen.
• KI-Politik und Richtlinien: von der Geschäftsführung verabschiedete Vorgaben zum KI-Einsatz.
• Risikobewertung und Folgenabschätzung: dokumentierte Ergebnisse nach Kapitel 6.1.2 und 6.1.4 der Norm – für jedes relevante KI-System.
• Statement of Applicability (SoA): die begründete Auswahl aus den 38 Controls des Anhangs A.
• Mindestens ein internes Audit und eine Managementbewertung: Beide müssen vor dem Zertifizierungsaudit stattgefunden haben und dokumentiert sein – das ist der häufigste formale Stolperstein.

Faustregel: Das System sollte einige Wochen im Echtbetrieb gelaufen sein, damit Nachweise aus der Praxis existieren – etwa Schulungsnachweise, gepflegte Inventareinträge oder eine behandelte Abweichung. Ein Auditor kann nur prüfen, was Spuren hinterlassen hat.

Der Ablauf in fünf Schritten

Der Weg zum Zertifikat folgt bei ISO 42001 demselben Muster wie bei allen Managementsystemnormen. So sieht der typische Ablauf aus – die Zeitangaben gelten für kleine und mittlere Unternehmen mit vorbereitetem System:

Zwischen Stufe 1 und Stufe 2 liegen üblicherweise einige Wochen – genug Zeit, um festgestellte Lücken zu schließen. Die Stufen dürfen nicht beliebig weit auseinanderliegen; in der Praxis gelten mehr als sechs Monate Abstand als kritisch, weil die Stufe-1-Ergebnisse dann veralten.

Das Stufe-1-Audit: Dokumentation und Reifegrad

Im Stufe-1-Audit verschafft sich der Auditor ein Bild davon, ob Ihr AIMS grundsätzlich zertifizierungsfähig ist. Geprüft werden vor allem Unterlagen: Geltungsbereich, KI-Politik, Inventar, die Methodik von Risikobewertung und Folgenabschätzung, das Statement of Applicability sowie die Berichte aus internem Audit und Managementbewertung. Dieses Audit findet häufig remote statt.

Das Ergebnis ist keine Note, sondern eine Standortbestimmung: Der Auditor benennt Bereiche, die in Stufe 2 vertieft geprüft werden, und weist auf Lücken hin, die bis dahin geschlossen sein müssen. Typische Stufe-1-Feststellungen bei ISO 42001:

• Das KI-Inventar ist unvollständig – gern vergessen werden KI-Funktionen in eingekaufter Standardsoftware.
• Die Folgenabschätzung nach Kapitel 6.1.4 fehlt ganz oder ist mit der Risikobewertung vermischt – die Norm verlangt beide Perspektiven getrennt nachvollziehbar.
• Das SoA begründet Ausschlüsse nicht oder pauschal („nicht relevant" ohne Erläuterung).
• Internes Audit oder Managementbewertung haben noch nicht stattgefunden.

Wer Stufe 1 ernst nimmt, macht Stufe 2 berechenbar: Die meisten Projekte scheitern nicht am zweiten Audit, sondern daran, dass Hinweise aus dem ersten liegen bleiben.

Das Stufe-2-Audit: die gelebte Praxis

Stufe 2 ist das eigentliche Zertifizierungsaudit. Jetzt geht es nicht mehr um Papier, sondern um Wirksamkeit: Der Auditor spricht mit Geschäftsführung, KI-Verantwortlichen und Mitarbeitenden, lässt sich Prozesse am Bildschirm zeigen und zieht Stichproben. Typische Prüfsituationen:

• Ein Mitarbeitender erklärt, welche KI-Tools er nutzen darf und wo die Grenzen liegen – deckt sich das mit der Richtlinie?
• Für ein KI-System aus dem Inventar werden Risikobewertung, Folgenabschätzung und abgeleitete Maßnahmen durchgesprochen.
• Der Auditor prüft, wie ein neues KI-Tool ins Inventar aufgenommen wird und wer die Freigabe erteilt.
• Schulungsnachweise, Lieferantenbewertungen und der Umgang mit einem KI-Vorfall werden stichprobenartig kontrolliert.

Festgestellte Abweichungen sind kein Beinbruch. Bei Nebenabweichungen reicht meist ein Korrekturplan, der im nächsten Überwachungsaudit nachgeprüft wird. Hauptabweichungen – etwa ein komplett fehlendes internes Audit – müssen vor Zertifikatserteilung behoben und nachgewiesen werden. Ein kompletter Durchfall ist selten und trifft fast nur Unternehmen, die ohne eingeführtes System ins Audit gehen.

Wie lange dauert die Zertifizierung realistisch?

Zwei Zeiträume werden oft verwechselt: der Aufbau des Managementsystems und das Zertifizierungsverfahren selbst. Für den Aufbau sollten KI-Anwender im Mittelstand je nach Vorarbeit und Ressourcen etwa zwei bis vier Monate einplanen, Entwickler eher vier bis sechs. Wer bereits ein ISMS nach ISO 27001 betreibt, ist deutlich schneller, weil Strukturen wie Dokumentenlenkung, Auditprogramm und Managementbewertung schon existieren.

Das eigentliche Zertifizierungsverfahren – von der Beauftragung bis zum Zertifikat – dauert bei schlanken Anbietern typischerweise sechs bis acht Wochen. Bei großen akkreditierten Zertifizierungsstellen können daraus mehrere Monate werden: Der Markt für ISO 42001 ist jung, qualifizierte KI-Auditoren sind knapp, und die Terminkalender der etablierten Häuser sind voll. Wer einen festen Zieltermin hat – etwa eine Ausschreibung oder eine Kundenanforderung – sollte die Wartezeit auf einen Auditslot früh abfragen; sie ist derzeit der größte einzelne Zeitfaktor.

Ein realistischer Gesamtfahrplan von der Entscheidung bis zum Zertifikat liegt damit für die meisten KMU zwischen vier und acht Monaten – mit gutem Projektmanagement und schlankem Zertifizierungspartner auch darunter.

Akkreditiert oder nicht akkreditiert: die ehrliche Einordnung

Zertifikate sind nicht gleich Zertifikate. Akkreditierte Zertifizierungsstellen werden von nationalen Akkreditierungsstellen wie der DAkkS überwacht; für ISO 42001 regelt die 2025 veröffentlichte Norm ISO/IEC 42006 die Anforderungen an solche Stellen. Diese Aufsicht macht akkreditierte Zertifikate international anerkannt – und ist der Grund, warum öffentliche Ausschreibungen und viele Konzern-Einkaufsrichtlinien sie ausdrücklich verlangen.

Der Haken: Für ISO 42001 ist der akkreditierte Markt noch im Aufbau. Weltweit haben erst wenige Zertifizierungsstellen eine entsprechende Akkreditierung, die Auditkapazitäten sind begrenzt, die Tagessätze hoch. Daneben existiert der nicht akkreditierte Bereich: Zertifizierungsstellen, die nach denselben Normanforderungen auditieren, aber ohne Akkreditierungsaufsicht – dafür schneller und zu planbaren Festpreisen. KCERT arbeitet in diesem Modell und weist das auf jedem Zertifikat transparent aus.

Die Entscheidung hängt allein vom Verwendungszweck ab. Verlangt ein Kunde oder eine Ausschreibung explizit ein akkreditiertes Zertifikat, führt kein Weg an einer akkreditierten Stelle vorbei – das sollte niemand schönreden. Dient das Zertifikat der internen Ordnung, der Vorbereitung auf den AI Act und dem Vertrauensnachweis gegenüber Kunden ohne formale Akkreditierungsanforderung, ist die nicht akkreditierte Zertifizierung der pragmatische Weg. Fragen Sie im Zweifel Ihre wichtigsten Kunden, bevor Sie sich festlegen.

Nach dem Audit: Zertifikat, Überwachung, Rezertifizierung

Mit erfolgreichem Stufe-2-Audit erhalten Sie das Zertifikat – gültig für drei Jahre. Damit beginnt der Zertifizierungszyklus:

1. Jahr 1 und 2: Überwachungsaudits. Einmal jährlich prüft die Zertifizierungsstelle in verkürzter Form, ob das AIMS weiter gelebt wird. Schwerpunkte sind Änderungen im KI-Inventar, neue Risikobewertungen, interne Audits und der Umgang mit Abweichungen aus dem Vorjahr.
2. Jahr 3: Rezertifizierung. Vor Ablauf der drei Jahre findet ein umfassenderes Audit statt, das den Zyklus neu startet.

Gerade bei KI lohnt der Blick auf die Änderungsdynamik: Kaum ein Managementsystem veraltet so schnell wie ein AIMS. Neue Tools, neue Modellversionen, geänderte Rechtslage – was im Zertifizierungsaudit aktuell war, kann zwölf Monate später überholt sein. Wer sein Inventar quartalsweise pflegt und neue KI-Systeme konsequent durch Risikobewertung und Folgenabschätzung schleust, erlebt Überwachungsaudits als Formsache. Wer das System nach dem Zertifikat einfriert, sammelt Abweichungen.

Typische Stolpersteine – und wie Sie sie vermeiden

Aus der Auditpraxis wiederholen sich bei ISO 42001 einige Muster:

• Schatten-KI: Das Inventar listet zehn Systeme, im Unternehmen sind dreißig im Einsatz. Abhilfe: vor dem Audit eine strukturierte Abfrage in allen Abteilungen, inklusive KI-Funktionen in Standardsoftware.
• Folgenabschätzung als Kopie der Risikobewertung: Kapitel 6.1.4 verlangt den Blick auf Betroffene und Gesellschaft, nicht auf Unternehmensrisiken. Beide Dokumente müssen unterscheidbar sein.
• Papier ohne Praxis: Richtlinien existieren, aber niemand kennt sie. Auditoren interviewen gezielt Mitarbeitende außerhalb des Projektteams.
• Vergessene Lieferanten: KI-Anbieter und Cloud-Dienste tauchen weder in Verträgen noch in Bewertungen auf, obwohl Anhang A eigene Controls dafür vorsieht.
• Zu großer Geltungsbereich: Wer im ersten Anlauf das gesamte Unternehmen mit allen Konzerngesellschaften zertifizieren will, multipliziert den Aufwand. Ein sauber begründeter, engerer Scope ist legitim und üblich.

Der gemeinsame Nenner: Fast alle Stolpersteine sind Vorbereitungsfehler, keine Auditfehler. Ein internes Audit mit ehrlichem Blick – oder eine externe GAP-Analyse – deckt sie rechtzeitig auf.

Häufige Fragen

Begriffe in diesem Artikel

Verwandte Beiträge