ISO 42001 Zertifizierung: Ablauf, Dauer, Voraussetzungen und Kosten (2026)

Seit ISO/IEC 42001 im Dezember 2023 erschienen ist, taucht die Norm in immer mehr Ausschreibungen, Lieferantenfragebögen und Vorstandsvorlagen auf. Was die Norm inhaltlich verlangt, haben wir im Ratgeber ISO/IEC 42001: Das KI-Managementsystem beschrieben. Dieser Beitrag beantwortet die Folgefrage: Wie kommt man zum Zertifikat — und lohnt sich der Weg?

Was die Zertifizierung bestätigt — und was nicht

Ein ISO-42001-Zertifikat bescheinigt, dass Ihr Unternehmen ein KI-Managementsystem (AIMS) betreibt, das den Anforderungen der Norm entspricht: Die Organisation kennt ihre KI-Systeme, bewertet deren Risiken und Auswirkungen systematisch, hat Verantwortlichkeiten, Regeln und Kontrollen festgelegt und verbessert das Ganze fortlaufend. Geprüft wird das System, nicht das einzelne Produkt. Ein Zertifikat sagt also nicht, dass ein bestimmtes KI-Modell fehlerfrei oder diskriminierungsfrei ist — sondern dass die Organisation strukturiert damit umgeht.

Wichtig ist außerdem die Abgrenzung zum EU AI Act: Die Zertifizierung ersetzt keine gesetzliche Pflicht. Für Anbieter von Hochrisiko-KI bleibt die Konformitätsbewertung nach Art. 43 ein eigener Vorgang. ISO 42001 hilft, das dafür geforderte Qualitätsmanagement nach Art. 17 belastbar aufzubauen, ist aber keine harmonisierte Norm mit Konformitätsvermutung.

Voraussetzungen: Was vor dem Audit stehen muss

Zertifizierungsstellen prüfen die Wirksamkeit eines laufenden Systems. Bevor Sie ein Audit beauftragen, sollten diese Bausteine existieren und dokumentiert im Einsatz sein:

• Geltungsbereich (Scope): Welche Organisationseinheiten, Standorte und KI-Systeme sind erfasst? Ein zu weiter Scope treibt den Auditaufwand, ein zu enger macht das Zertifikat wertlos, wenn Kunden gerade das ausgeklammerte System interessiert.
• KI-Register: Ein vollständiges Inventar aller eingesetzten und entwickelten KI-Systeme mit Zweck, Rolle (Anbieter oder Betreiber) und Risikoklasse. Eine Vorlage dafür finden Sie im Ratgeber KI-Register erstellen.
• Risikobewertung und Folgenabschätzung: Die Norm verlangt einen dokumentierten Risikoprozess sowie eine Bewertung der Auswirkungen auf Einzelpersonen und Gesellschaft (AI System Impact Assessment). Wie beides praktisch aussieht, zeigen die Ratgeber KI-Risikomanagement und KI-Folgenabschätzung erstellen.
• KI-Politik und Richtlinie: Eine von der Leitung freigegebene KI-Politik plus die operative KI-Richtlinie für Mitarbeiter.
• Rollen und Kompetenzen: Wer verantwortet das AIMS, wer entscheidet über neue KI-Systeme, wer überwacht den Betrieb? Nachweise über Schulungen gehören dazu — hier greift die Verzahnung mit der KI-Kompetenzpflicht nach Art. 4.
• Lebenszyklus-Controls: Anforderungen an Entwicklung, Beschaffung, Daten, Test, Betrieb, Änderung und Außerbetriebnahme von KI-Systemen sowie an Lieferanten und Vorfallmanagement.
• Anwendbarkeitserklärung (Statement of Applicability): Welche der Controls aus Annex A gelten für Sie, welche nicht — und warum.
• Internes Audit und Managementbewertung: Beides muss vor dem Zertifizierungsaudit mindestens einmal durchlaufen und protokolliert sein.

Der Ablauf in fünf Phasen

1. Gap-Analyse und Scoping. Ist-Zustand gegen die Normkapitel 4 bis 10 und Annex A abgleichen, Lücken priorisieren, Geltungsbereich festlegen. Wer ein ISO-27001-ISMS betreibt, stellt hier meist fest, dass ein erheblicher Teil der Managementsystem-Anforderungen bereits erfüllt ist und nur die KI-spezifischen Inhalte fehlen.

2. Aufbau und Inbetriebnahme des AIMS. Register, Risikoprozess, Folgenabschätzungen, Richtlinie, Rollen, Schulungen und Lebenszyklus-Controls werden eingeführt — nicht nur beschrieben, sondern angewendet. Auditoren wollen Aufzeichnungen sehen: durchgeführte Bewertungen, dokumentierte Entscheidungen, behandelte Vorfälle.

3. Internes Audit und Managementbewertung. Ein unabhängiger interner Prüfer (oder ein externer Dienstleister) prüft das System gegen die Norm; die Geschäftsleitung bewertet Ergebnisse, Ressourcen und Verbesserungsbedarf. Beides ist Pflicht und wird im Zertifizierungsaudit als Erstes abgefragt.

4. Zertifizierungsaudit in zwei Stufen. In Stage 1 prüft die Zertifizierungsstelle die Dokumentation und die Audit-Bereitschaft; typische Ergebnisse sind Hinweise auf fehlende Nachweise, die bis Stage 2 zu schließen sind. In Stage 2 wird die Wirksamkeit vor Ort oder remote geprüft: Interviews mit Verantwortlichen, Stichproben in Register und Risikoakten, Begehung von Entwicklungs- oder Betriebsprozessen. Festgestellte Abweichungen werden als Haupt- oder Nebenabweichung klassifiziert; Hauptabweichungen müssen vor Zertifikatserteilung behoben sein.

5. Zertifikat, Überwachung, Rezertifizierung. Das Zertifikat gilt drei Jahre. In den Jahren dazwischen finden Überwachungsaudits statt, die vor allem Änderungen im KI-Bestand, Vorfälle und die Wirksamkeit der Verbesserungsmaßnahmen prüfen. Nach drei Jahren folgt das Rezertifizierungsaudit.

Wie lange dauert das Ganze?

Der Zeitbedarf wird weniger vom Audit als von der Vorbereitung bestimmt. Drei Konstellationen aus der Praxis:

Ausgangslage	Typischer Zeitrahmen bis Stage 2	Wesentlicher Aufwand
Bestehendes ISO-27001-ISMS, wenige KI-Systeme	Wenige Monate	KI-Register, Folgenabschätzungen, Annex-A-Controls ergänzen
Kein Managementsystem, KI vor allem als Betreiber (SaaS-Tools, Copilots)	Etwa ein halbes Jahr	Governance-Grundgerüst, Richtlinie, Schulungen, erstes internes Audit
KI-Entwicklung im Haus, Hochrisiko-Anwendungen	Bis zu einem Jahr und länger	Lebenszyklus-Controls, Datenmanagement, Testnachweise, Verzahnung mit Art. 17 QMS

Ein häufig unterschätzter Faktor: Das System muss vor dem Audit gelebt worden sein. Ein Risikoprozess, der zwei Wochen vor Stage 2 eingeführt wurde, liefert keine Aufzeichnungen — und ohne Aufzeichnungen keine Wirksamkeit.

Was die Zertifizierung kostet

Die Gesamtkosten bestehen aus zwei Blöcken, die getrennt betrachtet werden sollten.

Auditgebühren der Zertifizierungsstelle. Sie werden nach Audittagen kalkuliert. Die Anzahl der Tage leitet sich aus Mitarbeiterzahl im Scope, Zahl und Kritikalität der KI-Systeme, Standorten und der Frage ab, ob das Audit mit einem bestehenden ISO-27001-Audit kombiniert wird. Lassen Sie sich Angebote für den gesamten Dreijahreszyklus geben — Erstaudit, zwei Überwachungsaudits, Rezertifizierung — statt nur für Stage 1 und 2.

Vorbereitung und Betrieb des Managementsystems. Hier liegt in der Regel der größere Anteil: interne Arbeitszeit für Register, Bewertungen und Dokumentation, gegebenenfalls Werkzeuge, und externe Unterstützung. Bei DATUREX ist die AIMS-Vorbereitung Bestandteil des KI-Beauftragten-Mandats — 250 € monatlich bis 20 Mitarbeiter, 400 € bis 50, 600 € bis 100 (Fair-Use), größere Organisationen individuell. Projektarbeit außerhalb des Mandats rechnen wir mit 150 € pro Stunde ab. Wer die KI-Governance ohnehin extern besetzt, bezahlt die Zertifizierungsvorbereitung damit nicht doppelt.

Ein Preisvergleich lohnt sich auch bei den Zertifizierungsstellen selbst — achten Sie dabei auf akkreditierte Zertifikate. Für ISO 42001 gibt es mit ISO/IEC 42006 inzwischen eigene Anforderungen an Zertifizierungsstellen; in Deutschland läuft die Akkreditierung über die DAkkS. Frühe Zertifikate wurden teilweise ohne Akkreditierung ausgestellt und haben bei Kunden entsprechend weniger Gewicht.

Integration mit ISO 27001: einmal bauen, zweimal nutzen

ISO 42001 und ISO 27001 teilen die harmonisierte Struktur der Managementsystem-Normen. Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung lassen sich in einem integrierten System abbilden; Dokumentenlenkung, Schulungsnachweise, internes Audit und Managementbewertung werden nur einmal betrieben. Auch inhaltlich überschneiden sich viele Controls — Zugriffsschutz, Lieferantenmanagement, Vorfallbehandlung, Protokollierung.

Für Unternehmen mit bestehendem ISMS ist der sinnvolle Weg daher fast immer die Erweiterung statt eines Parallelsystems. Wie ein Zertifizierungsprojekt nach ISO 27001 aufgebaut ist, beschreibt unsere Schwesterdomain unter ISO 27001 Zertifizierung: Ablauf und Anforderungen; die Verzahnung von ISMS und KI-Governance zeigt die Seite KI-Governance.

Typische Stolpersteine im Audit

• Unvollständiges KI-Register. Schatten-KI in Fachabteilungen taucht beim Auditor im Interview auf, aber nicht im Inventar. Vor dem Audit eine strukturierte Erhebung durchführen — der Ratgeber Schatten-KI im Unternehmen beschreibt das Vorgehen.
• Folgenabschätzung als Formular. Auditoren fragen nach der Entscheidung, die aus der Bewertung folgte. Eine Folgenabschätzung ohne dokumentierte Maßnahmen gilt als nicht wirksam.
• Rolle des Anbieters unterschätzt. Wer ein KI-System unter eigener Marke betreibt oder wesentlich verändert, ist Anbieter — mit deutlich mehr Lebenszyklus-Controls im Scope.
• Lieferanten ohne Nachweise. Bei eingekaufter KI müssen Sie belegen, wie Sie Anbieterangaben geprüft und vertraglich abgesichert haben.
• Managementbewertung vergessen. Sie ist Normpflicht und wird oft erst nach der Auditanfrage nachgeholt — dann fehlt der Nachweis eines Verbesserungszyklus.

Fazit: Zertifikat als Ergebnis, nicht als Ziel

Die ISO 42001 Zertifizierung lohnt sich dort, wo Kunden, Aufsichten oder Ausschreibungen den externen Nachweis verlangen — vor allem für KI-Anbieter, Zulieferer regulierter Branchen und Betreiber von Hochrisiko-KI. Für alle anderen ist das AIMS selbst der Gewinn: Register, Risikoprozess, Richtlinie und Schulungen decken die Pflichten aus dem AI Act ab und schaffen die Substanz, aus der ein Zertifikat später ohne Neustart folgen kann. Wer den Weg gehen will, sollte ihn in Phasen planen, das System vor dem Audit einige Monate betreiben und die Integration mit dem ISMS von Anfang an mitdenken.