Zum Inhalt springen
Reality Graph
DEEN

Compliance

ISO/IEC 27001 und KI-Coding

Zuletzt aktualisiert: 2026-07-17Lesezeit ca. 3 Min.

ISO/IEC 27001:2022 regelt ein ISMS, keine benannte KI-Tool-Liste. Für KI-Coding heißt die belastbare Arbeit: Scope festlegen, Risiko bewerten, Controls auswählen und umsetzen sowie relevante Nachweise erhalten. Richtlinie, technischer Check oder Prüfbericht können das stützen; keiner davon ist Zertifizierung oder Auditergebnis.

Kurz: Legt erst den Scope und das Risiko fest. Wählt dann passende Regeln und Checks. Sammelt Belege dafür, dass sie liefen. Ein Check, ein Bericht oder ein Tool ist noch kein Audit und kein Zertifikat. Der Scope gibt den Rahmen vor.

Geht vom ISMS aus, nicht vom Namen des KI-Tools. Schreibt Daten und Systeme im Scope auf, prüft das Risiko für den Lauf und ordnet Regel, Check, Owner und Beleg zu.

Haltet auch Ausnahmen fest. Im Audit zählt, was im Scope gilt und was sich zeigen lässt. Ein grüner Test kann ein Teil davon sein; er sagt nicht, dass das ganze ISMS passt.

Klar.

Tests grünDiff gelesenauth.py geändertFreigabeblockiertgrüne Tests heben das nicht auf
Inhalt

Mit der tatsächlichen Standardgrenze beginnen

Der aktuelle öffentliche ISO-Eintrag führt ISO/IEC 27001:2022 als dritte Ausgabe des ISMS-Anforderungsstandards, veröffentlicht im Oktober 2022, mit Amendment 1:2024. ISO sagt außerdem, dass Organisationen den Standard ohne Zertifizierung umsetzen können. Zertifizierung ist ein getrennter externer Konformitätsbewertungsweg. Geprüft am 17. Juli 2026; maßgeblich bleiben der lizenzierte Volltext, der Organisations-Scope und die Prüfkriterien.

Deshalb behauptet dieser Artikel nicht, ISO/IEC 27001 oder TISAX erlaube oder verbiete KI-Coding pauschal. Er ordnet KI-Tool-Risikofragen der Managementsystem-Arbeit zu. ISMS-Verantwortliche wählen anwendbare Controls; Zertifizierungsstelle oder TISAX-Prüfdienstleister bewerten den vereinbarten Scope.

Ein praktisches Umsetzungsbeispiel

Legt für ein Repo zugelassene Assistenten und Modellendpunkte, erlaubte Datenklassen, verwaltete Identitäten und Zugriffe, geforderte Checks vor Merge, Ausnahmefreigaben und Review-Zyklus fest. Die BSI/ANSSI-Empfehlungen von 2024 zu KI-Programmierassistenten sind ein nützlicher Risiko-Input, aber keine Zertifizierungsentscheidung und kein vorgeschriebenes ISO-Control-Set.

Die Nachweisebenen nicht vermischen

Ein nützliches Artefakt kann die nächste Ebene stützen, ohne sie zu beweisen; Zertifizierung bleibt eine externe, abgegrenzte Entscheidung.
Was es istKI-Coding-BeispielWas es nicht beweist
ISMS-AnforderungISMS-AnforderungEbenentrennung · 2026-07-17Orientierung in Alltagssprache, keine normative Terminologie.Eine Anforderung im abgegrenzten ManagementsystemUmsetzungsbeispielDie Organisation wählt Controls aus eigener Risikobehandlung und Vorgaben.Dass ein bestimmtes Tool oder Control vorgeschrieben istAussagegrenze · 2026-07-17Externe Prüfer und Zertifizierungsstellen treffen eigene abgegrenzte Feststellungen.
Interne RichtlinieInterne RichtlinieEbenentrennung · 2026-07-17Orientierung in Alltagssprache, keine normative Terminologie.Freigegebene Regeln für Tools, Datenklassen, Accounts und ChecksUmsetzungsbeispielDie Organisation wählt Controls aus eigener Risikobehandlung und Vorgaben.Dass die Regel umgesetzt oder wirksam istAussagegrenze · 2026-07-17Externe Prüfer und Zertifizierungsstellen treffen eigene abgegrenzte Feststellungen.
Umgesetztes ControlUmgesetztes ControlEbenentrennung · 2026-07-17Orientierung in Alltagssprache, keine normative Terminologie.Verwaltete Identität, Datenpfad-Beschränkung, Review-Gate oder AusnahmeprozessUmsetzungsbeispielDie Organisation wählt Controls aus eigener Risikobehandlung und Vorgaben.Dass jedes Risiko behandelt wurde und jeder Run folgteAussagegrenze · 2026-07-17Externe Prüfer und Zertifizierungsstellen treffen eigene abgegrenzte Feststellungen.
NachweisartefaktNachweisartefaktEbenentrennung · 2026-07-17Orientierung in Alltagssprache, keine normative Terminologie.Setup, Freigabe, Log, Testergebnis oder PrüfberichtUmsetzungsbeispielDie Organisation wählt Controls aus eigener Risikobehandlung und Vorgaben.Dass das ISMS konform ist oder ein Audit bestanden wirdAussagegrenze · 2026-07-17Externe Prüfer und Zertifizierungsstellen treffen eigene abgegrenzte Feststellungen.
Externe PrüfhandlungExterne PrüfhandlungEbenentrennung · 2026-07-17Orientierung in Alltagssprache, keine normative Terminologie.Stichproben und Bewertung gegen Scope und KriterienUmsetzungsbeispielDie Organisation wählt Controls aus eigener Risikobehandlung und Vorgaben.Ein Zertifizierungsergebnis vor Abschluss der PrüfungAussagegrenze · 2026-07-17Externe Prüfer und Zertifizierungsstellen treffen eigene abgegrenzte Feststellungen.
ZertifizierungsentscheidungZertifizierungsentscheidungEbenentrennung · 2026-07-17Orientierung in Alltagssprache, keine normative Terminologie.Abgegrenzte Entscheidung der ZertifizierungsstelleUmsetzungsbeispielDie Organisation wählt Controls aus eigener Risikobehandlung und Vorgaben.Sicherheit jedes Produkts, Changes, Lieferanten oder künftigen BetriebsAussagegrenze · 2026-07-17Externe Prüfer und Zertifizierungsstellen treffen eigene abgegrenzte Feststellungen.
Ein nützliches Artefakt kann die nächste Ebene stützen, ohne sie zu beweisen; Zertifizierung bleibt eine externe, abgegrenzte Entscheidung.

TISAX ist ein eigener Prüfweg

Das ENX-Teilnehmerhandbuch beschreibt TISAX-Prüfziele, anwendbare VDA-ISA-Vorgaben, Self-Assessment, Prüfdienstleister und resultierende Labels. Kundenanforderung, aktuelle ISA-Version, Standorte, Schutzbedarf und Scope bestimmen die Prüfung. ISO/IEC-27001-Zertifikat, TISAX-Label und interne KI-Tool-Richtlinie sind verwandte Nachweiskontexte, keine austauschbaren Ergebnisse.

Wo Reality Graph ansetzt

Reality Graph kann eine begrenzte Kette vom schriftlichen Auftrag über gewählte Checks bis zu beobachteten Resultaten erhalten. Wie aus dieser Kette ein Ergebnis wird, und was festgehalten wird, wenn ein Glied fehlt, steht auf der Produktseite. Das kann Control Owner oder Prüfer stützen, wenn es relevant, authentisch und im Scope ist. Es wählt nicht die Controls der Organisation, betreibt nicht das gesamte ISMS, zertifiziert keine Konformität und ersetzt keine externe Prüfung. Mehr dazu im Audit-Trail für KI-Code.

Dieser Workflow kann festhalten

  • Freigegebenen Auftrag, Scope und gewählte Checks
  • Beobachtete Befehlsresultate und geänderte Dateien eines gesteuerten Runs
  • Operator-Entscheidung und erhaltene Nachweisgrenze

Er kann nicht feststellen

  • Organisationsweite Konformität mit ISO/IEC 27001:2022
  • TISAX-Prüfergebnis oder -Label
  • Zertifizierung, Audit-Erfolg, Control-Wirksamkeit jenseits des Nachweises oder Rechtskonformität
Reality Graph kann begrenzte Umsetzungsnachweise erzeugen; es trifft keine ISO/IEC-27001- oder TISAX-Feststellung.

FAQ

Erlaubt oder verbietet ISO/IEC 27001:2022 KI-Coding-Tools?
ISO/IEC 27001:2022 definiert Vorgaben an ein Informationssicherheits-Managementsystem; die öffentliche ISO-Beschreibung entscheidet kein benanntes KI-Coding-Tool. Eine Organisation legt den Scope fest, bewertet Risiken, wählt und implementiert Controls, bewertet deren Wirksamkeit und bewahrt Nachweise auf. Anwendbarkeit und Konformität bleiben organisations- und prüfungsspezifisch.
Beweist eine KI-Coding-Richtlinie ISO/IEC-27001-Konformität?
Nein. Eine Richtlinie beschreibt eine genehmigte Regel. Ein technisches oder organisatorisches Control setzt einen Teil davon um; ein Nachweisartefakt dokumentiert ein beobachtetes Ereignis. Das sind Eingaben für ISMS und Audit, keine Zertifizierungsentscheidung.
Ist ein Prüfbericht Audit-Nachweis?
Er kann ein Nachweisartefakt sein, wenn er authentisch, abgegrenzt, aufbewahrt und für ein gewähltes Control relevant ist. Das Audit bewertet weiterhin ISMS-Scope, Control-Design, Umsetzung, Betrieb und weitere Nachweise. Ein Bericht zertifiziert weder Organisation noch Tool.
Ist TISAX dasselbe wie eine ISO/IEC-27001-Zertifizierung?
Nein. ENX beschreibt TISAX als Prüf- und Austauschmechanismus auf Basis des VDA ISA; Prüfziele bestimmen die anwendbaren Vorgaben. ISO/IEC 27001 ist ein ISMS-Anforderungsstandard, Zertifizierung ein eigener Konformitätsbewertungsweg. Aktuelles TISAX-Prüfziel, ISA-Version, Scope und Partneranforderung sind getrennt zu prüfen.
Was sollte ein Control Owner für KI-Coding dokumentieren?
Zuerst Risiko und Entscheidung: zugelassene Tools und Setups, erlaubte Datenklassen, Identitäten und Zugriffe, Lieferanten- und Modellendpunkte, geforderte Checks, Ausnahmen, Verantwortliche, Aufbewahrung und Review-Zyklus. Danach Nachweise, dass die gewählten Controls betrieben wurden. Das ist ein Umsetzungsmuster, kein vorgeschriebenes ISO-Control-Set.

Weiterlesen

ComplianceKI-Coding in regulierten BranchenDORA, IEC 62304/MDR, ISO 26262/ASPICE regulieren Prozess und Nachweis, nicht die Autorschaft. Was jede Branche verlangt, wenn KI Code schreibt - und das eine Basis-Setup, das zu allen drei passt.ComplianceAudit-Trails für KI-generierten CodeGit protokolliert, was sich änderte - nicht den Auftrag, die Validierung, die Freigabe. Die fünf Auditor-Fragen, warum der Druck unter NIS2 und neuer Produkthaftung steigt und wie man den Trail aufbaut.Alle ArtikelDie ganze Sammlung - 58 belegte, datierte Guides zur Prüfung von KI-generiertem Code.

Quellen

Wollt ihr sehen, wie euer letzter Agenten-Run ausgesehen hätte?

Zugang anfragen