Seit Kurzem gibt es die ISO/IEC 27090:2026. Titel: Leitfaden für den Umgang mit Sicherheitsbedrohungen und Kompromittierungen von KI-Systemen. Kaum ist so eine Norm draussen, landet im Posteingang die Frage: Müssen wir das jetzt auch. Die kurze Antwort für die meisten KMU: nein, jedenfalls nicht als Projekt.
Was in der Norm steht
27090 beschreibt Angriffe, die sich gegen das Spezifische an KI richten: Trainingsdaten, Modelle und die Art, wie ein System Antworten erzeugt. Dazu gehören Data Poisoning (vergiftete Trainingsdaten), Model Theft (das Modell stehlen), Model Inversion und Membership Inference (aus dem Modell auf die Trainingsdaten zurückschliessen), Evasion (das Modell gezielt täuschen), Prompt Injection und schädlicher Output. Über den ganzen Lebenszyklus, von den Daten bis zum Betrieb.
Ein Punkt ist zentral: Es ist ein Leitfaden, keine zertifizierbare Anforderungsnorm. Anders als bei ISO 27001 oder ISO 42001 gibt es kein Zertifikat, keinen Audit, keine Pflicht. 27090 ergänzt diese beiden, es ersetzt sie nicht.
Warum das für die meisten KMU wenig ändert
Die Liste klingt bedrohlich, trifft aber grösstenteils die, die KI bauen. Data Poisoning, Model Theft, Model Inversion: Das sind Risiken für Organisationen, die eigene Modelle trainieren oder betreiben. Ein KMU, das KI einkauft, also Copilot, ChatGPT oder eine Funktion im bestehenden Fachprogramm, erbt diesen Teil vom Anbieter. Ihr trainiert kein Modell, also könnt ihr auch keines vergiften.
Übrig bleibt für Nutzer genau das, was ihr ohnehin selbst entscheidet: welche Daten reingehen, was der Assistent ohne Rückfrage tun darf, ob ihr der Antwort traut. Diese drei Stapel haben wir in LLM-Sicherheitsrisiken schon sortiert. 27090 gibt dem ein gemeinsames Vokabular. Eine neue To-do-Liste ist es nicht.
Die unsexy Wahrheit
Eine neue ISO-Nummer erzeugt zuverlässig den Reflex, ein Projekt aufzusetzen: eine Richtlinie, ein Tool, vielleicht ein Zertifikat. Bei 27090 gibt es nichts zu zertifizieren, und das meiste, was drinsteht, deckt ihr mit den Basics ab, die auch ohne die Norm gelten. Wisst ihr, wo ihr KI nutzt. Wisst ihr, welche Daten reingehen. Gibt es eine benannte Person, die für das Ergebnis geradesteht. Das ist ein KI-Inventar und eine Seite Regeln, kein neues Managementsystem.
Wofür 27090 trotzdem taugt
Als Checkliste und als gemeinsame Sprache. Zwei konkrete Anwendungen:
- Beim Rollout eines KI-Werkzeugs die KI-spezifischen Fragen einmal bewusst durchgehen, statt sie zu übersehen.
- Beim Anbieter nachfragen: Wie schützt ihr gegen vergiftete Daten und gegen das Auslesen des Modells, wie geht ihr mit Prompt Injection um. Wer ein Modell einkauft, lagert diese Kontrollen aus und darf nachfragen, ob es sie gibt.
Und falls ihr tatsächlich eigene Modelle trainiert oder feintunt, oder als Anbieter von euren Kunden darauf angesprochen werdet: Dann wird 27090 vom Lesestoff zur echten Design-Referenz.
Was wir empfehlen
Kein 27090-Projekt, keine Lizenz, kein Zertifikat als ersten Schritt, es gibt ohnehin keines. Wenn ihr ein ISO-27001-ISMS betreibt, hängt die KI-Risiken dort an, so wie in KI-Governance ins ISMS integrieren beschrieben. Wenn nicht, reicht der unspektakuläre Dreischritt: Inventar, Zugriffsrechte, Zuständigkeit.
Die Norm ist eine gute Landkarte. Das Gehen nimmt sie euch nicht ab.
Wenn ihr sortieren wollt, welche der 27090-Bedrohungen euch als Nutzer wirklich betreffen und welche beim Anbieter liegen, schauen wir uns euren KI-Einsatz einmal gemeinsam an.
Häufige Fragen
Müssen KMU die ISO 27090 umsetzen?
Nicht als Projekt. Die 27090 ist ein Leitfaden ohne Zertifikat und ohne Pflicht. Ein KMU, das KI einkauft statt selbst Modelle zu trainieren, deckt das meiste mit den Basics ab: wissen, wo KI genutzt wird, welche Daten reingehen und wer für das Ergebnis geradesteht.
Kann man sich nach ISO 27090 zertifizieren lassen?
Nein. Anders als ISO 27001 oder ISO 42001 ist die 27090 eine Guidance-Norm, kein Anforderungsstandard. Es gibt kein Zertifikat, keinen Audit und keine Pflicht. Sie ergänzt die beiden zertifizierbaren Normen, sie ersetzt sie nicht.
Welche KI-Angriffe beschreibt die ISO 27090?
Angriffe gegen das Spezifische an KI über den ganzen Lebenszyklus: Data Poisoning, Model Theft, Model Inversion, Membership Inference, Evasion, Prompt Injection und schädlicher Output. Die meisten davon betreffen Organisationen, die eigene Modelle trainieren oder betreiben, nicht reine Nutzer.
