Das Teuerste an ISO 42001 ist nicht das Audit. Es ist die interne Arbeitszeit, die vorher niemand budgetiert hat. Die ISO 42001 Kosten bestehen aus drei Blöcken, und der bekannteste davon, das Zertifikat, ist der am wenigsten dringende. Das ist die kurze Antwort auf eine Frage, die gerade in vielen Geschäftsleitungen auftaucht, meist direkt nachdem jemand gefragt hat, ob man jetzt ein KI-Zertifikat braucht.
Kaum ein Schweizer KMU wird heute von einem Kunden nach einem ISO-42001-Zertifikat gefragt. Die Norm ist seit Dezember 2023 publiziert, die ersten Zertifikate tragen die grossen Tech-Anbieter, nicht der Schweizer Mittelstand. Was du heute brauchst, ist der Inhalt dahinter: ein Inventar deiner KI-Nutzung, eine Richtlinie, eine Risikobewertung. Das kostet deutlich weniger als ein Zertifizierungsprojekt. Und du brauchst es unabhängig davon, ob je ein Auditor vorbeikommt.
Die drei Kostenblöcke von ISO 42001
Bevor du über Beträge redest, musst du wissen, wofür du überhaupt bezahlst. Bei ISO 42001 sind es drei Blöcke, dieselbe Mechanik wie bei jeder zertifizierbaren Managementsystem-Norm.
Block 1: der Aufbau. Das AI-Managementsystem selbst. Konkret: ein Inventar aller KI-Systeme im Unternehmen, eine Richtlinie für den Umgang mit KI, eine Risikobewertung pro System, definierte Prozesse für die Einführung neuer Tools, Zuständigkeiten und Schulung. Der grösste Teil davon ist interne Arbeitszeit, nicht externe Rechnung. Jemand muss mit den Abteilungen reden, um herauszufinden, welche Tools im Einsatz sind, auch die, die nie offiziell eingeführt wurden. Jemand muss entscheiden, welche Daten in welches Tool dürfen, und diese Entscheidung gegenüber der Geschäftsleitung vertreten. Jemand muss die Richtlinie auf euren Betrieb zuschneiden. Genau deshalb wird dieser Block in Budgetdiskussionen regelmässig unterschätzt: Er erscheint auf keiner Offerte.
Block 2: die Begleitung. Externe Unterstützung beim Aufbau, von punktueller Beratung bis zur vollständigen Begleitung. Optional, aber in der Praxis der Unterschied zwischen einem System, das zur Firma passt, und einem Vorlagen-Ordner, den niemand lebt. Hier entscheidet dein Eigenanteil über den Preis. Faustregel aus unseren ISMS-Projekten: Was eure Leute selbst erarbeiten und entscheiden, kostet weniger und überlebt auch den Weggang des Beraters.
Block 3: das Audit. Zertifizierungsaudit in zwei Stufen, danach jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung. Das ist der Block, an den die meisten zuerst denken. Er ist wiederkehrend, aber er ist nicht der grösste. Und er ist der einzige der drei, den du gefahrlos verschieben kannst.
Dazu kommt ein vierter Posten, der auf keiner Kostenaufstellung steht: der Betrieb. Ein KI-Inventar veraltet schneller als jedes klassische Asset-Inventar, weil in den Abteilungen laufend neue Tools auftauchen, und jedes davon will bewertet sein, bevor es Firmendaten sieht. Ein Managementsystem, das nach dem Audit in den Schrank wandert, war darum die teuerste Variante von allen: Du hast den Aufbau bezahlt und musst ihn beim nächsten Audit trotzdem wiederholen.
Der grösste Sparhebel: kein zweites Managementsystem bauen
Die teuerste Entscheidung bei ISO 42001 fällt ganz am Anfang, und sie hat nichts mit dem Auditor zu tun. Es ist die Entscheidung, für KI-Governance ein eigenes, zweites Managementsystem neben dem ISMS aufzubauen.
ISO 42001 folgt derselben harmonisierten Struktur wie ISO 27001. Kontext, Führung, Planung, Support, Betrieb, Bewertung, Verbesserung: die Kapitel sind deckungsgleich aufgebaut. Wer ein ISMS betreibt, hat Dokumentenlenkung, Risikomethodik, interne Audits und Management-Review bereits. ISO 42001 als Erweiterung heisst: Diese Prozesse werden mitbenutzt, und dazu kommen nur die KI-spezifischen Teile, etwa das Impact Assessment für KI-Systeme und die Controls über deren Lebenszyklus. Was der Unterschied zwischen den beiden Normen inhaltlich bedeutet, haben wir im Beitrag ISO 42001 vs ISO 27001 auseinandergenommen.
Zwei getrennte Systeme heisst dagegen: doppelte Dokumente, doppelte interne Audits, doppelte Reviews, zwei Auditzyklen. Das verdoppelt den Aufbau und danach den Betrieb, jedes Jahr aufs Neue.
Falls du noch kein ISMS hast, ist die Reihenfolge klar: nicht mit ISO 42001 anfangen. Informationssicherheit trägt die KI-Governance, nicht umgekehrt. Und wenn beides ansteht, plane es als ein System mit zwei Geltungsbereichen, nicht als zwei Projekte. Die Vorarbeit, die beides trägt, ist ohnehin dieselbe: zu wissen, welche Daten ihr habt und wie schützenswert sie sind. Ohne Datenklassifizierung bleibt die Frage, welche Daten in welches KI-Tool dürfen, reine Bauchsache.
Brauchst du das Zertifikat überhaupt?
Jetzt zur Frage, die vor jeder Kostenrechnung kommt und die dir kaum ein Anbieter stellt, der Zertifizierungen verkauft.
Wer verlangt heute ein ISO-42001-Zertifikat? In unserer Erfahrung: fast niemand. In den Security-Fragebögen der Enterprise-Einkäufer steht ISO 27001, teils seit Jahren. ISO 42001 taucht dort erst vereinzelt auf, meist als Frage nach KI-Governance allgemein, nicht als Zertifikatspflicht. Kein Schweizer Gesetz verlangt ein KI-Zertifikat, und auch der EU AI Act schreibt eine ISO-42001-Zertifizierung nicht vor.
Die Arbeit dahinter brauchst du trotzdem. Der Druck dafür kommt aus dem Alltag: Deine Leute nutzen ChatGPT und Copilot längst, mit oder ohne Regeln. Warum die Richtlinie dafür nicht auf ein Gesetz warten sollte, steht im Beitrag Brauchen wir eine KI-Richtlinie? Das Zertifikat ist der Beleg dieser Arbeit. Es ist nicht die Arbeit.
Daraus ergibt sich eine einfache Entscheidungsregel. Das Zertifikat lohnt sich, wenn eine dieser zwei Bedingungen erfüllt ist: Ein konkreter Kunde oder eine Ausschreibung verlangt es, oder du verkaufst KI als Teil deines Produkts und der Nachweis öffnet dir Deals, die du sonst nicht bekommst.
Der zweite Fall ist der interessantere, weil er sich rechnen lässt. Ein Softwarehaus, das seinen Enterprise-Kunden KI-Funktionen verkauft, beantwortet in jedem Beschaffungsprozess Fragen zur KI-Governance. Heute reichen dort meist dokumentierte Prozesse als Antwort. Sobald der erste Mitbewerber mit einem Zertifikat auftritt, verschiebt sich die Messlatte, und dann ist das Zertifikat kein Compliance-Posten mehr, sondern ein Verkaufsargument mit Preisschild. Für dieses Szenario lohnt sich die Rechnung. Für ein KMU, das KI nur intern nutzt, lohnt sie sich in unserer Erfahrung noch nicht.
Trifft beides nicht zu, bau die Substanz auf und verschiebe das Audit. Ein Managementsystem, das gelebt wird, lässt sich später ohne Drama zertifizieren. Eines, das nur für das Audit gebaut wurde, bezahlst du zweimal: einmal für den Aufbau und einmal für die Reparatur, wenn es ernst wird.
Was sich über die Höhe ehrlich sagen lässt
Hier wäre der Platz für eine Preistabelle. Wir lassen sie bewusst weg.
ISO 42001 ist jung. Die Auditkapazität bei den Zertifizierungsstellen baut sich erst auf, es gibt wenige abgeschlossene Projekte im KMU-Segment und entsprechend wenig belastbare Marktpreise. Wer dir heute einen Fixpreis für «ISO 42001 komplett» nennt, bevor er dein KI-Inventar gesehen hat, rät. Das darfst du ihm genau so sagen.
Was sich seriös sagen lässt, sind die drei Treiber, über die du die Kosten selbst steuerst:
- Der Geltungsbereich. Ein KMU, das M365 Copilot und zwei SaaS-Tools mit KI-Funktionen nutzt, ist ein anderes Projekt als ein Softwarehaus, das ein eigenes Modell trainiert und als Produkt verkauft. Anzahl und Kritikalität der KI-Systeme bestimmen den Aufwand mehr als die Firmengrösse.
- Das vorhandene ISMS. Der Hebel aus dem letzten Abschnitt. Mit ISMS baust du eine Erweiterung, ohne ISMS ein Fundament plus Haus.
- Der Eigenanteil. Interne Arbeitszeit ist bei jedem Managementsystem der grösste und am meisten unterschätzte Posten. In unserer Erfahrung aus ISMS-Aufbauten gilt das bei KI-Governance genauso, denn die Antworten auf die unbequemen Fragen (welche Daten fliessen in welches Tool, wer trägt die Verantwortung) kann dir kein Berater abnehmen.
Wenn du trotzdem schon Offerten einholen willst, mach sie wenigstens vergleichbar. Lass dir Aufbau, Begleitung und Audit getrennt ausweisen, verlange die Jahreskosten der Überwachungsaudits gleich mit, und frag die Zertifizierungsstelle, wie viele ISO-42001-Audits sie im KMU-Segment schon durchgeführt hat. Die letzte Frage ist unbequem. Sie sagt dir aber mehr über den Ablauf deines Audits als jede Preisliste.
Für das Gefühl der Grössenordnung hilft die Denkweise aus unserem Beitrag zu den ISO 27001 Kosten, und sie gilt hier eins zu eins: Das Zertifikat ist der billigste Teil. Das eigentliche Budget steckt in der Arbeit davor und im Betrieb danach.
Rechne zuerst ohne Zertifikat
Bevor du eine Offerte für eine Zertifizierung einholst, beantworte drei Fragen. Sie kosten dich einen Nachmittag, keine Beratungsrechnung.
Erstens: Welche KI-Tools sind bei euch im Einsatz? Eine Seite reicht für den Anfang, mit Tool, Zweck und den Daten, die hineinfliessen. Zweitens: Verlangt irgendjemand ein Zertifikat von euch? Lies die letzten Security-Fragebögen und die Verträge deiner grössten Kunden, bevor du das beantwortest. Drittens, falls ihr ein ISMS habt: Was würde ISO 42001 als Erweiterung bedeuten? Das gehört als Traktandum ins nächste Management-Review, nicht in ein eigenes Projekt.
Mit diesen drei Antworten kannst du über ISO 42001 Kosten reden, vorher nicht. Genau diese Einordnung machen wir mit unseren Kunden im Rahmen der KI-Governance: erst das Inventar und die Pflichtfrage, dann der Entscheid über den Zertifizierungspfad. Wenn du dabei eine Aussensicht willst, meld dich für ein Erstgespräch, unverbindlich.
Uns interessiert dabei eine Sache besonders: Hat dich schon einmal ein Kunde konkret nach einem KI-Zertifikat gefragt?
