.svg)
Das Wichtigste in Kürze
- ISO/IEC 27090:2026 wurde am 14. Oktober 2026 von ISO/IEC JTC 1/SC 27 veröffentlicht. Die Norm umfasst 56 Seiten und gibt Leitlinien, wie Unternehmen Sicherheitsbedrohungen speziell für KI-Systeme über deren gesamten Lebenszyklus verstehen, erkennen und abwehren.
- ISO 27090 ist ein Leitfaden und keine Managementsystemnorm. Eine Zertifizierung nach ISO 27090 gibt es nicht; ihr Nutzen liegt darin, die Risikobeurteilung Ihres ISO-27001-ISMS und Ihr KI-Managementsystem nach ISO 42001 zu ergänzen.
- Abschnitt 6 der Norm nennt neun Arten der Kompromittierung: Data Poisoning, Evasion, Membership Inference, Modellexfiltration, Model Inversion, direkte Modellvergiftung, sensible Modellausgaben, Prompt Injection und Ausgaben mit eingebetteten Injection-Angriffen.
- Ein ISO-42001-Zertifikat belegt, dass KI gesteuert wird. Es sagt nichts darüber aus, ob ein KI-System diesen neun Angriffen standhält. ISO 27001 Abschnitt 6.1.3 erlaubt Maßnahmen aus beliebigen Quellen, deshalb können Sie ISO 27090 direkt in Ihrer Erklärung zur Anwendbarkeit referenzieren.
- Nach Art. 15 EU AI Act müssen Hochrisiko-KI-Systeme Angriffen wie Data Poisoning, Model Poisoning und Adversarial Examples standhalten. Diese Pflichten gelten ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.
Wenn Ihr Unternehmen ISO 27001 zertifiziert ist und in den letzten zwei Jahren eine KI-Funktion eingeführt hat, beantwortet ISO 27090 eine Frage, die Auditoren und Kunden zunehmend stellen werden: Deckt Ihr Informationssicherheits-Managementsystem die KI tatsächlich ab? Für die meisten Unternehmen lautet die Antwort "teilweise". Zugangssteuerung, Lieferantenmanagement und sichere Entwicklung gelten auch für ein KI-System. Was im Risikoregister meist fehlt, sind die Angriffe, die auf das Modell selbst zielen statt auf die Infrastruktur drumherum.
Dieser Beitrag erklärt, was ISO/IEC 27090 enthält, wie die Norm mit ISO 27001, ISO 42001 und dem EU AI Act zusammenhängt und wie Sie ihre Bedrohungen in ein bestehendes ISMS aufnehmen, ohne ein neues Compliance-Programm zu starten. Die Grundlagen der Norm hinter Ihrem ISMS finden Sie in unserem Leitfaden zur ISO 27001 Zertifizierung.
Was ist ISO/IEC 27090?
ISO/IEC 27090 ist eine internationale Norm mit Leitlinien zu Sicherheitsbedrohungen und Kompromittierungen, die speziell KI-Systeme betreffen: wie sie funktionieren, welche Folgen sie haben und mit welchen Maßnahmen Sie sie erkennen und abwehren. Sie richtet sich an Unternehmen jeder Größe, die KI-Systeme entwickeln oder einsetzen, und deckt den gesamten KI-Lebenszyklus ab.
Die zuständige Arbeitsgruppe ISO/IEC JTC 1/SC 27/WG 4 begann 2022 mit der Entwicklung. Die erste Ausgabe erschien am 14. Oktober 2026, wie aus dem offiziellen ISO-Eintrag hervorgeht. SC 27 ist dasselbe Gremium, das auch ISO 27001 und ISO 27002 verantwortet. Deshalb liest sich 27090 wie eine Erweiterung bekannter Informationssicherheitspraxis und nicht wie eine eigene Disziplin.
Abschnitt 5 behandelt die Sicherheitspraktiken, die den Rahmen für alles Weitere bilden: ein KI-Governance-Programm, Zero-Trust-Prinzipien, Software-Engineering-Praxis für KI, Lieferkettenmanagement, Threat Modelling und Red Teaming. Abschnitt 7 beschreibt Gegenmaßnahmen und auch, wie diese miteinander und mit den Bedrohungen zusammenwirken. Der informative Anhang A ordnet Angriffe dem KI-Lebenszyklus und den betroffenen Werten zu. Anhang B behandelt KI-spezifische Varianten klassischer Angriffe; Anhang C befasst sich mit föderiertem maschinellem Lernen.
Ein verbreiteter Irrtum ist, 27090 sei "die KI-Version der ISO 27001". Das stimmt nicht. ISO 27001 stellt Anforderungen an ein Managementsystem und ist zertifizierbar. ISO 27090 ist ein Katalog aus Bedrohungen und Gegenmaßnahmen, vom Charakter her näher an ISO 27002, und niemand kann Sie danach zertifizieren.
Die neun KI-Bedrohungen in ISO 27090
Abschnitt 6 von ISO 27090 beschreibt neun Arten, wie KI-Systeme kompromittiert werden können. Gemeinsam ist ihnen, dass klassische Maßnahmen wie Firewalls, Verschlüsselung und Zugriffsverwaltung vollständig umgesetzt sein können und der Angriff trotzdem gelingt. Er läuft über Daten und Eingaben, die das System ganz regulär annimmt.
- Data Poisoning: Manipulierte Trainingsdaten verändern das Verhalten des Modells.
- Evasion: Gezielt gestaltete Eingaben bringen das Modell zu einem falschen Ergebnis, etwa wenn eine Betrugsprüfung eine Transaktion durchwinkt.
- Membership Inference: Ein Angreifer ermittelt, ob ein bestimmter Datensatz Teil der Trainingsdaten war.
- Modellexfiltration: Das Modell selbst oder eine funktionsgleiche Kopie wird abgegriffen, oft über Anfragen, die völlig legitim aussehen.
- Model Inversion: Aus den Ausgaben des Modells werden Informationen über die Trainingsdaten rekonstruiert.
- Direkte Modellvergiftung: Die Parameter des Modells oder eine vortrainierte Komponente werden direkt manipuliert.
- Sensible Modellausgaben: Das Modell gibt vertrauliche oder personenbezogene Daten preis, die es nicht preisgeben sollte.
- Prompt Injection: Anweisungen, versteckt in einer Eingabe, einem Dokument oder einer Webseite, setzen das vorgesehene Verhalten des Systems außer Kraft.
- Ausgaben mit Injection-Angriffen: Die Ausgabe des Modells enthält Schadcode, der ein nachgelagertes System angreift, zum Beispiel ein Skript, das im Browser ausgeführt wird.
Zwei davon verdienen besondere Aufmerksamkeit, wenn Sie auf Modellen von Drittanbietern aufbauen. Prompt Injection wird relevant, sobald ein KI-System Inhalte liest, die Sie nicht kontrollieren: Kunden-E-Mails, Support-Tickets oder hochgeladene Dateien. Data Poisoning und Modellvergiftung werden relevant, sobald ein System mit Betriebsdaten nachtrainiert wird; die Eingaben von heute sind dann die Trainingsdaten von morgen.
ISO 27090, ISO 42001 und ISO 27001 im Vergleich
ISO 27001 regelt die Informationssicherheit, ISO 42001 regelt den Umgang eines Unternehmens mit KI und ISO 27090 beschreibt, wie KI-Systeme angegriffen und verteidigt werden. Die ersten beiden sind zertifizierbare Managementsystemnormen; 27090 ist ein Leitfaden, der beide speist.
Der häufigste Fehler an dieser Stelle: anzunehmen, ein ISO-42001-Zertifikat decke die KI-Sicherheit ab. Das tut es nicht. ISO 42001 fragt, ob Sie eine KI-Richtlinie, Folgenabschätzungen, klare Rollen und Maßnahmen über den KI-Lebenszyklus haben. Ob Ihr Modell bei einem Membership-Inference-Angriff Trainingsdaten preisgibt, prüft sie nicht. Die beiden Normen ergänzen sich sauber: 42001 legt fest, welche KI-Systeme Sie betreiben und warum. 27090 beschreibt, wie diese angegriffen werden, und der Risikoprozess nach ISO 27001 entscheidet, welche Gegenmaßnahmen Sie umsetzen. Wie ein KI-Managementsystem aufgebaut und zertifiziert wird, lesen Sie in unserer Übersicht zu ISO 42001.
Der EU AI Act ergänzt für Hochrisiko-KI-Systeme eine rechtliche Ebene. Art. 15, nachzulesen im Verordnungstext, verlangt ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit und nennt Data Poisoning, Model Poisoning, Adversarial Examples und Angriffe auf die Vertraulichkeit als Bedrohungen, denen zu begegnen ist. ISO 27090 ist keine harmonisierte Norm unter dem AI Act; ihre Anwendung begründet also keine Konformitätsvermutung. Sie ist trotzdem eine der konkretesten veröffentlichten Referenzen für genau die Bedrohungen, die Art. 15 nennt. Nach dem Digital Omnibus zur KI gelten die Hochrisiko-Pflichten ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme in Produkten nach Anhang I. Welche Systeme als hochriskant gelten, erklärt unser Beitrag zu Hochrisiko-KI im EU AI Act.
So integrieren Sie ISO 27090 in Ihr ISO-27001-ISMS
Sie brauchen kein separates KI-Sicherheitsprogramm. ISO 27001 enthält bereits jeden Ansatzpunkt, den 27090 benötigt: ein Inventar der Werte, die Risikobeurteilung nach Abschnitt 6.1.2, die Risikobehandlung und die Erklärung zur Anwendbarkeit nach Abschnitt 6.1.3 sowie Maßnahmen zu Lieferanten und Entwicklung in Anhang A. Die Arbeit besteht darin, all das auf die KI-Systeme in Ihrem Anwendungsbereich auszuweiten.
Schritt 1: KI-Systeme als Werte inventarisieren
Erfassen Sie zuerst jedes KI-System im Anwendungsbereich des ISMS, auch Funktionen auf Basis externer Modell-APIs, interne Assistenten und produktive Machine-Learning-Modelle. Halten Sie für jedes System fest, woher das Modell stammt, mit welchen Daten es trainiert oder feinjustiert wurde, welche Quellen es abruft und wer es abfragen darf. Damit erweitern Sie Maßnahme A.5.9, das Inventar der Informationen und anderer damit verbundener Werte. Anhang A von ISO 27090 ordnet jeden Angriff der betroffenen Lebenszyklusphase und dem betroffenen Wert zu; ein vollständiges Inventar zeigt Ihnen also, welche Bedrohungen relevant sind.
Schritt 2: Die neun Bedrohungen in die Risikobeurteilung aufnehmen
Prüfen Sie anschließend jedes KI-System gegen die neun Kompromittierungsarten aus Abschnitt 6 und nehmen Sie die relevanten mit Eintrittswahrscheinlichkeit und Auswirkung in Ihr Risikoregister auf, genau wie jede andere Bedrohung. Abschnitt 5.6 von 27090 empfiehlt dafür Threat Modelling. Nicht jede Bedrohung gilt überall: Ein Unternehmen, das ein gehostetes Modell nutzt und nie selbst trainiert, hat kaum ein direktes Data-Poisoning-Risiko. Liest das Modell aber Kundeninhalte, ist das Prompt-Injection-Risiko hoch.
Schritt 3: Maßnahmen auswählen und 27090 in der Erklärung zur Anwendbarkeit referenzieren
ISO 27001 Abschnitt 6.1.3 stellt klar, dass die Maßnahmen in Anhang A nicht abschließend sind und Unternehmen Maßnahmen aus beliebigen Quellen heranziehen können. Deshalb lässt sich 27090 direkt zitieren. Die meisten KI-Bedrohungen lassen sich bestehenden Anhang-A-Maßnahmen zuordnen, deren Geltungsbereich Sie erweitern; für einige brauchen Sie eigene, zusätzliche Maßnahmen. Die folgende Tabelle zeigt unsere Zuordnung. Sie ist eine Arbeitsinterpretation und nicht Teil einer der beiden Normen; prüfen Sie sie deshalb gegen Ihren eigenen Anwendungsbereich.
Alle 93 ISO 27001 Controls aus Anhang A und welche Nachweise ein Auditor jeweils erwartet, behandeln wir in einem eigenen Beitrag.
Schritt 4: Lieferantenprüfung auf Modellanbieter ausweiten
Nur wenige Unternehmen trainieren Foundation Models selbst. Ein großer Teil des KI-Risikos liegt deshalb bei Lieferanten. Abschnitt 5.5 von ISO 27090 behandelt Lieferkettenmanagement als eigenes Thema. In der Praxis heißt das, Ihre Lieferantenbewertung nach A.5.19 und A.5.20 um Fragen zu ergänzen: Nutzt der Anbieter Ihre Eingaben für das Training? Wie werden vortrainierte Komponenten geprüft? Wie werden Modell-Updates angekündigt? Welche Tests führt der Anbieter gegen Evasion und Prompt Injection durch?
Schritt 5: Das KI-System testen, nicht nur die Infrastruktur
Ein klassischer Penetrationstest prüft Server, APIs und Authentifizierung rund um eine KI-Funktion. Ob sich das Modell dazu bringen lässt, seine Anweisungen zu ignorieren, testet er selten. Genau deshalb empfiehlt Abschnitt 5.7 von 27090 Red Teaming. Planen Sie es als Teil der Abnahmeprüfung nach A.8.29 ein und wiederholen Sie es, sobald sich das Modell, der System-Prompt oder die abgerufenen Quellen ändern.
Beispiel: Ein SaaS-Unternehmen mit 80 Mitarbeitenden führt einen KI-Support-Assistenten ein
Nehmen wir ein fiktives SaaS-Unternehmen mit 80 Mitarbeitenden, seit 2024 nach ISO 27001 zertifiziert, das einen Support-Assistenten auf Basis eines gehosteten Large Language Models einführt. Der Assistent liest Kundentickets und beantwortet sie aus dem Hilfecenter und der bisherigen Ticket-Historie.
Die Prüfung gegen Abschnitt 6 ergibt drei neue Einträge im Risikoregister. Prompt Injection wird hoch bewertet, weil jedes Ticket eine nicht vertrauenswürdige Eingabe ist. Sensible Modellausgaben werden ebenfalls hoch bewertet, weil alte Tickets Daten anderer Kunden enthalten. Ausgaben mit Injection-Angriffen werden als mittel eingestuft, weil die Antworten im Browser der Support-Mitarbeitenden angezeigt werden. Data Poisoning wird niedrig bewertet, weil das Unternehmen das Modell nicht selbst trainiert.
Die Behandlung betrifft vier bestehende Maßnahmen und schafft keine neuen. Der Abruf wird auf die Tickets des anfragenden Kunden beschränkt (A.5.15), Ausgaben werden vor der Anzeige gefiltert (A.8.26) und der Vertrag mit dem Modellanbieter schließt das Training mit Unternehmensdaten aus (A.5.20). Zusätzlich kommt ein Red-Teaming-Test in die Release-Checkliste (A.8.29). Die Erklärung zur Anwendbarkeit nennt ISO 27090 Abschnitt 6.9 und 6.8 als Quelle für den erweiterten Geltungsbereich. Beim nächsten Überwachungsaudit sieht der Auditor KI-Bedrohungen, die im bestehenden ISMS behandelt werden, statt in einem Nebendokument, das niemand pflegt.
Wie Kertos KI in Ihrem ISMS abdeckt
Kertos bildet ISO 27001 und ISO 42001 auf einer Plattform ab. Die KI-Systeme aus Ihrem KI-Managementsystem und die Risiken aus Ihrem ISMS liegen damit am selben Ort statt in zwei Tabellen. KI-Systeme werden einmal inventarisiert. Die dafür identifizierten Risiken, einschließlich der neun Kompromittierungsarten aus ISO 27090, stehen im selben Risikoregister wie Ihre übrigen Informationssicherheitsrisiken. Die Maßnahmen, die sie behandeln, sind mit Richtlinien und Nachweisen verknüpft.
Für das KI-Managementsystem bietet Kertos vorgemappte ISO-42001-Maßnahmen, eine Gap-Analyse und eine KI-Risikobibliothek, die am EU AI Act und an ISO/IEC 23894 ausgerichtet ist. Die zertifizierten Experten von Kertos helfen Ihnen zu entscheiden, welche Bedrohungen für Ihre Systeme relevant sind und wie Sie die Behandlung so dokumentieren, dass sie im Audit trägt. Wenn Sie sehen möchten, wie sich eine KI-Funktion in Ihr bestehendes ISMS einfügt, buchen Sie eine Demo und bringen Sie einen Ihrer KI-Anwendungsfälle mit.
Häufig gestellte Fragen
Was ist ISO/IEC 27090?
ISO/IEC 27090:2026 ist eine internationale Norm mit Leitlinien, wie Unternehmen Sicherheitsbedrohungen speziell für KI-Systeme über deren gesamten Lebenszyklus verstehen, erkennen und abwehren. Sie wurde am 14. Oktober 2026 von ISO/IEC JTC 1/SC 27 veröffentlicht und umfasst 56 Seiten. Sie gilt für Unternehmen jeder Größe, die KI-Systeme entwickeln oder einsetzen.
Kann man sich nach ISO 27090 zertifizieren lassen?
Nein. ISO 27090 ist ein Leitfaden und keine Managementsystemnorm; eine Zertifizierung danach gibt es nicht. Unternehmen nutzen sie als Quelle für Bedrohungen und Gegenmaßnahmen in der Risikobeurteilung eines ISO-27001-ISMS oder eines KI-Managementsystems nach ISO 42001. Beide sind zertifizierbar.
Was ist der Unterschied zwischen ISO 27090 und ISO 42001?
ISO 42001 stellt Anforderungen an ein KI-Managementsystem: Richtlinie, Rollen, Folgenabschätzungen und Maßnahmen über den KI-Lebenszyklus. Sie ist zertifizierbar. ISO 27090 beschreibt neun Angriffsarten auf KI-Systeme, etwa Data Poisoning und Prompt Injection, und die passenden Gegenmaßnahmen. Ein ISO-42001-Zertifikat belegt nicht, dass ein KI-System diesen Angriffen standhält.
Deckt ISO 27001 die Sicherheit von KI ab?
Teilweise. Maßnahmen aus ISO 27001 wie Zugangssteuerung, Lieferantenmanagement und sichere Entwicklung gelten auch für KI-Systeme, aber Anhang A nennt keine KI-spezifischen Angriffe wie Model Inversion oder Prompt Injection. Da Abschnitt 6.1.3 Maßnahmen aus beliebigen Quellen zulässt, können Unternehmen die Bedrohungen aus ISO 27090 in ihre Risikobeurteilung aufnehmen und die Norm in der Erklärung zur Anwendbarkeit referenzieren.
Ist ISO 27090 nach dem EU AI Act verpflichtend?
Nein. ISO 27090 ist keine harmonisierte Norm unter dem EU AI Act; ihre Anwendung begründet keine Konformitätsvermutung. Sie behandelt aber genau die Bedrohungen, denen Hochrisiko-KI-Systeme nach Art. 15 standhalten müssen, darunter Data Poisoning, Model Poisoning und Adversarial Examples. Damit ist sie eine nützliche Referenz, bevor die Hochrisiko-Pflichten ab dem 2. Dezember 2027 greifen.
