ISO 42001 erklärt: KI-Governance für Teams bei der Einführung von Copilot

Was ISO 42001 eigentlich ist – einfach erklärt‍ISO/IEC 42001:2023 ist der erste internationale Standard für den verantwortungsvollen Umgang mit künstlicher Intelligenz. Es handelt sich dabei nicht um eine Checkliste für ein einzelnes KI-Tool, sondern um ein Managementsystem. Es ist nach dem Vorbild von ISO 27001 für Informationssicherheit aufgebaut: risikobasiert, auf einem kontinuierlichen Verbesserungsprozess basierend und gestützt durch eine Reihe von Kontrollen in Anhang A, auf die Sie verweisen können, wenn jemand nach Ihrer KI-Governance fragt.Wenn Sie bereits ein ISMS nach ISO 27001 betreiben, werden Sie das sofort wiedererkennen: gleiche Logik, gleicher Audit-Rhythmus, nur jetzt ausgerichtet auf die KI-Systeme, die auf Ihre Daten zugreifen, sowie auf die Daten selbst.Auf den Punkt gebracht verlangt ISO 42001 von jeder Organisation, die KI entwickelt, kauft oder nutzt, vier Dinge: Wissen, welche KI Sie einsetzen. Verstehen, welches Risiko mit dem jeweiligen Anwendungsfall verbunden ist. Kontrollen für dieses Risiko implementieren. Nachweise darüber führen, dass Sie dies getan haben. Das ist der Standard. Alles Weitere sind Details dazu, wie diese vier Anforderungen auf Ihre Organisation anzuwenden sind – und für ein Microsoft 365-Team werden diese Details relevant, sobald Copilot aktiviert wird.‍Warum dies kein Problem für irgendwann mehr ist‍Microsoft 365 Copilot kommt nicht als separates, in sich geschlossenes Tool, das man aus der Distanz bewerten kann. Es integriert sich direkt in den Tenant, in dem Ihr Team bereits arbeitet, und erbt sämtliche Zugriffsrechte des jeweiligen Nutzers: dessen Postfach, Teams-Chats, SharePoint-Bibliotheken – alles, was das Berechtigungsmodell von Microsoft zulässt. Microsofts eigene Dokumentation stellt dies klar: Copilot macht nur die Organisationsdaten sichtbar, für die einzelne Nutzer mindestens Leseberechtigungen haben. Das ist eine echte Sicherheitsvorkehrung, aber genau darin liegt auch das Problem. Das Risikoprofil von Copilot ist Ihre bestehende Zugriffsgovernance, nur in vergrößerter Form. Geben Sie jemandem zu weitreichenden Zugriff auf eine Datei, die er nicht sehen sollte, wird Copilot sie ihm schneller präsentieren, als er sie jemals selbst gefunden hätte.Der EU AI Act setzt für dieses Risiko zeitliche Rahmen, und einige dieser Fristen haben sich diesen Sommer verschoben. Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck sowie die Governance-Struktur des Gesetzes gelten seit dem 2. August 2025. Die Transparenzpflichten gemäß Artikel 50 – also die Offenlegung, wenn jemand mit einem KI-System interagiert, und die Kennzeichnung von KI-generierten Inhalten, die als menschengemacht durchgehen könnten – traten wie geplant am 2. August 2026 in Kraft. Die allgemeinen Verpflichtungen für Hochrisiko-KI-Systeme greifen nun später. Die Digital Omnibus-Verordnung zur KI, in Kraft seit dem 27. Juli 2026, hat diese auf den 2. Dezember 2027 verschoben, bzw. auf den 2. August 2028 für KI, die in regulierte Produkte integriert ist.Der Bereich Beschäftigung ist einer der sensiblen Bereiche, die die Kommission unter dieser Frist für 2027 nennt. Die meisten alltäglichen Copilot-Anwendungen – das Entwerfen einer E-Mail oder das Zusammenfassen eines Meetings – fallen für sich genommen nicht in die Hochrisiko-Kategorie. Wenn ein Team jedoch Copilot-Agenten in die HR-Auswahlprozesse einbindet, kommt dies dem Profil, auf das diese Regeln abzielen, deutlich näher. Ob ein spezifischer Einsatz qualifiziert ist und ob Sie als Anbieter oder Anwender gelten, ist eine Frage für Ihren Compliance-Prüfer.Sechzehn Monate mehr Zeit für den Papierkram bei Hochrisiko-Systemen ändern nichts daran, worauf Copilot heute Morgen in Ihrem Tenant zugreifen kann. Die Verschärfung von Berechtigungen ist sinnvoll, aber das ist nur die halbe Miete. Die andere Hälfte ist die Dokumentation: Welche KI läuft, wer hat sie aktiviert und warum wurde der Einsatz als akzeptabel bewertet? Genau diese Nachweise zu erbringen, ist der Zweck von ISO 42001.‍Wie sich ISO 42001 in Ihr bestehendes ISMS einfügt‍Ein ISMS nach ISO 27001 liefert Ihnen bereits den Großteil der Infrastruktur: ein Risikoregister, benannte Verantwortliche, einen internen Audit-Zyklus und ein Management-Review, das mit Inhalten gefüllt werden muss. ISO 42001 ändert lediglich, was Sie dort einspeisen.Der naheliegende Einwand an dieser Stelle ist, dass Microsoft dies bereits für Sie erledigt hat. Microsoft 365 Copilot und Copilot Studio fallen beide in den Geltungsbereich der eigenen ISO/IEC 42001-Zertifizierung von Microsoft. Microsoft ist dabei präzise, was Ihnen das bringt: Sie können die entsprechende Zertifizierung für Ihre eigene Compliance-Bewertung heranziehen, bleiben aber selbst dafür verantwortlich, einen Prüfer mit der Bewertung der Kontrollen und Prozesse innerhalb Ihrer eigenen Organisation und Ihrer spezifischen Implementierung zu beauftragen. Der Geltungsbereich endet bei den Systemen von Microsoft. Welche Agenten in Ihrem Tenant laufen, wer sie autorisiert hat und worauf sie zugreifen, liegt in Ihrem Verantwortungsbereich.Das Register wächst also. Neben Ihren Informationswerten beginnt es nun, die Systeme zu erfassen, die diese lesen – einschließlich des Copilot Studio-Agenten, den jemand an einem Donnerstagnachmittag erstellt hat. Auch die Klassifizierung ändert sich, denn die entscheidende Frage ist nun, wie riskant dieser spezifische Einsatz von Copilot ist. Das Zusammenfassen eines Stand-up-Meetings und das Ranking von Bewerbern teilen sich zwar eine Lizenz, haben aber sonst wenig gemeinsam.Bei Agenten wird es konkret. Jeder Agent deklariert die Berechtigungen und den Datenzugriff, den er benötigt, und ein Administrator kann dies im Microsoft 365 Admin Center genau überprüfen, bevor er ihn für den Tenant freigibt. Darum herum weitet sich die Zugriffskontrolle auf das aus, was ein KI-System erreichen kann; das Lieferantenmanagement muss hinterfragen, was das Zertifikat eines Anbieters tatsächlich abdeckt; und das Incident-Management benötigt einen Prozess für den Fall, dass ein KI-System ein unvorhergesehenes Verhalten zeigt. Der Nachweispfad, das Verantwortungsmodell und der Audit-Rhythmus, die Sie bereits etabliert haben, lassen sich direkt übernehmen.Die Zertifizierung ist eine separate Entscheidung von der Governance. Ob Sie eine eigene ISO 42001-Zertifizierung anstreben, ist eine Frage des Geltungsbereichs, die Sie mit Ihrem Auditor klären sollten. Die Governance beginnt jedoch in jedem Fall gleich: damit, zu wissen, was bei Ihnen läuft.‍Die ersten drei Schritte für ein M365-Team‍Der Weg von ungeschützt zu kontrolliert erfordert drei Schritte, und die Reihenfolge ist entscheidend.Beginnen Sie mit einer Bestandsaufnahme: Listen Sie jedes KI-System auf, das auf Ihren Tenant zugreift – Copilot selbst, alle Copilot Studio-Agenten sowie die KI-Funktionen, die unbemerkt in anderen SaaS-Tools Ihres Teams eingebettet sind. Weisen Sie jedem Eintrag einen Verantwortlichen und ein Datum zu. Was Sie nicht erfasst haben, können Sie auch nicht kontrollieren.Sobald die Liste steht, beginnt die eigentliche Arbeit: Bewerten Sie jeden Eintrag ehrlich hinsichtlich seines Risikopotenzials. Integrieren Sie das Ergebnis in das Risikoregister, das Sie bereits für ISO 27001 führen, anstatt ein zweites, paralleles System aufzubauen. Ein separates KI-Register gerät nur zu leicht in Vergessenheit.Der letzte Schritt ist der Kern der Governance. Unterstellen Sie Copilot und seine Agenten derselben Zugriffssteuerung, die Sie bereits für sensible Dateien und Systeme anwenden: namentliche Verantwortlichkeit, dokumentierter Geltungsbereich und eine Entscheidung, die von jemandem unterzeichnet und datiert wurde. Letzteres ist der Nachweis, den die Norm verlangt.ISOPlanner™ integriert ISO 42001 direkt in die Microsoft 365-Umgebung, in der Ihr Team bereits arbeitet. Es verknüpft die Anforderungen mit ISO 27001, wobei Risikoregister, Verantwortlichkeiten und Nachweise dort verwaltet werden, wo die eigentliche Arbeit stattfindet: in SharePoint und Teams.Wenn eine KI-Einführung nur als „IT hat etwas freigeschaltet“ betrachtet wird, ist das eine Sicherheitslücke mit Ansage. Wird sie hingegen als Entscheidung im Rahmen eines Managementsystems behandelt, ist sie das nicht.‍

Die Kurzfassung für kleine UnternehmenEin Risikomanagement-Framework ist eine wiederholbare Methode, um Risiken zu identifizieren, zu bewerten, über entsprechende Maßnahmen zu entscheiden und diese Schritte später nachvollziehbar zu machen. Genau dieser letzte Punkt macht aus einer guten Gewohnheit ein Framework, das auch von Auditoren oder Kunden anerkannt wird.Für ein europäisches KMU ist die tatsächliche Auswahl begrenzter, als es die Fachliteratur vermuten lässt. Drei Optionen decken fast jeden Anwendungsfall ab.Wählen Sie ISO 27001, wenn ein Kunde, Versicherer oder eine Aufsichtsbehörde einen Nachweis verlangt. Es ist zertifizierbar, EU-weit anerkannt und die ergänzende Norm ISO 27005 liefert Ihnen die passende Risikomethodik. Dies ist die Standardantwort, wenn Sie nach einem Zertifikat gefragt werden.Wählen Sie das NIST CSF, wenn Sie Struktur ohne Audit suchen. Es ist kostenlos, gliedert Sicherheitsaufgaben in sechs Funktionen und bietet keine Zertifizierung. Gut zur Orientierung, aber unzureichend als Antwort auf einen Beschaffungsfragebogen.Wählen Sie NIS2, falls es auf Sie zutrifft. Es ist keine Norm, die man kauft, sondern eine gesetzliche Verpflichtung, die in der Praxis wie ein Framework angewendet wird: ein definierter Satz an Risikomanagementmaßnahmen, die Sie umsetzen, belegen und prüfen lassen können. Lieferkettensicherheit ist eine dieser Pflichten; daher gehören Lieferantendaten, Verarbeitungsverträge und Lieferantenbewertungen in dasselbe System wie der Rest Ihres Risikomanagements und nicht in einen separaten Ordner.Wählen Sie NIS2 Supply Chain, wenn Sie der Zulieferer und nicht das direkt betroffene Unternehmen sind. Diesen Punkt übersehen die meisten Vergleiche. Es handelt sich um ein zertifizierbares System mit unabhängigem Audit, das sich sowohl an NIS2-pflichtige Organisationen als auch an die weitaus größere Gruppe ihrer Zulieferer richtet und in drei Risikostufen unterteilt ist. SC10 BASIC ist auf KMU zugeschnitten, SC20 SUBSTANTIAL für höhere Risiken und SC30 HIGH für kritische Zulieferer. Wenn Ihr Kunde unter NIS2 fällt und Ihnen Fragebögen schickt, ist dies das Framework, das genau für diese Seite der Kommunikation entwickelt wurde.Zwei Klarstellungen, die unnötigen Aufwand ersparen. ISO 31000 taucht bei jeder Suche zu diesem Thema auf und ist tatsächlich die Norm für Risikomanagement, bietet jedoch Prinzipien und Prozesse statt einer Kontrollliste – und es gibt keine Zertifizierung dafür. Betrachten Sie es als Dach über einem Sicherheits-Framework, nicht als Alternative dazu. Und falls Sie bereits ISO 9001 anwenden: Deren Klausel zum risikobasierten Denken ist der kostengünstigste Einstieg, da die Gewohnheit und der Überprüfungsrhythmus bereits bestehen.Wo die Wahl tatsächlich Kosten verursachtVergleicht man Frameworks anhand von zwei Achsen, lichtet sich das Feld schnell. Der Geltungsbereich (Scope) definiert, was das Framework abdeckt. Der Aufwand beschreibt die Kosten für den Betrieb – die Achse, die die meisten Anbietervergleiche auslassen.ISO 27001 deckt das Informationssicherheitsmanagement ab. Der Geltungsbereich ist das von Ihnen definierte ISMS, das sich auf eine Produktlinie statt auf das gesamte Unternehmen beschränken kann. Der Aufwand ist bei diesen drei Optionen am höchsten: Risikobewertung, Maßnahmenplan, Kontrollkatalog mit Nachweisen, internes Audit, Managementbewertung und schließlich ein zweistufiges externes Audit. Die Rezertifizierung erfolgt in einem Dreijahreszyklus mit Überwachungsaudits dazwischen. Dafür ist es das Framework, das ein EU-Einkäufer ohne Erklärungsbedarf anerkennt.NIS2 deckt die Risikomanagementmaßnahmen ab, die die Richtlinie für betroffene Organisationen vorschreibt, einschließlich Vorfallmanagement, Geschäftskontinuität und Lieferkettensicherheit. Der Aufwand hängt vom Ausgangspunkt ab: Wer bereits ISO 27001 anwendet, hat den Großteil geschafft; wer bei Null anfängt, hat einen längeren Weg vor sich. Da es verpflichtend und nicht optional ist, stellt es für betroffene Unternehmen keine echte Wahl dar.NIS2 Supply Chain deckt die Zuliefererseite der Richtlinie ab. Der Geltungsbereich ist Ihre eigene Sicherheitslage als Zulieferer eines betroffenen Kunden. Der Aufwand ist bewusst gestaffelt: SC10 ist der Einstieg für KMU, SC30 für kritische Zulieferer; die Kosten skalieren also mit dem tatsächlichen Risiko statt mit der Größe der Norm. Es ist durch ein unabhängiges Audit zertifizierbar – der entscheidende Unterschied zwischen dem Ausfüllen eines Fragebogens und dem Vorweisen eines Zertifikats.ISO 9001 deckt das Qualitätsmanagement ab und erfordert risikobasiertes Denken, bietet jedoch kein vollständiges Risikoframework. Der Aufwand ist gering, falls Sie bereits zertifiziert sind, da Sie ein bestehendes Managementsystem erweitern, statt ein neues aufzubauen. Es ist erwähnenswert, da viele EU-KMU es bereits nutzen und nicht wissen, dass sie dort auch Risikomanagement integrieren können.ISO 31000 deckt Risiken im gesamten Unternehmen ab. Der Aufwand ist moderat und eher intellektueller Natur: Es gibt keinen Kontrollkatalog zur Umsetzung und kein Audit zu bestehen; die Kosten liegen in der Disziplin, den Prozess tatsächlich zu leben. Es wird einen Kunden, der Sicherheitsnachweise verlangt, nicht zufriedenstellen, und es gibt kein Zertifikat – daher gehört es in diesen Vergleich eher als Kontext denn als Kandidat.NIST CSF deckt Cybersicherheitsaktivitäten ab, gegliedert in Govern, Identify, Protect, Detect, Respond und Recover. Der Einstieg ist mit geringem Aufwand verbunden, da Sie sich in einem Workshop selbst bewerten können. Da es kein Zertifikat gibt, bringt Ihnen der Aufwand Klarheit statt eines Nachweises.Die CIS Controls sind erwähnenswert, auch wenn sie keine Risikomethodik darstellen. Es handelt sich um eine priorisierte Liste technischer Kontrollen in drei Implementierungsgruppen, wobei die erste Gruppe gezielt für Organisationen ohne eigenes Sicherheitsteam konzipiert ist. Viele KMU erzielen mit CIS mehr Sicherheit pro Stunde als mit jedem anderen Framework und führen später ein Framework ein, wenn es explizit gefordert wird.Zwei weitere Ansätze tauchen in Suchen auf, passen aber selten für KMU. COSO ERM ist für Vorstände und Finanzberichterstattung konzipiert. FAIR drückt Risiken in Geldwerten aus, was zwar nützlich ist, aber Schadensdaten und einen geschulten Analysten erfordert.Dann gibt es noch branchenspezifische Ergänzungen, die auf Ihrer Wahl aufbauen, statt sie zu ersetzen: IEC 62443 für industrielle Umgebungen und OT, NEN 7510 für das niederländische Gesundheitswesen oder ISO 42001 für KI-Managementsysteme.Vier Fehler sind für den Großteil der Geldverschwendung verantwortlich, die wir beobachten.Das größte Framework zu wählen, nur weil es am gründlichsten aussieht, ist ein Fehler. Der Geltungsbereich ist eine Entscheidung, die Sie treffen, kein Umfang, den Sie einfach übernehmen.Betrachten Sie ein Framework wie Software. Kein Tool implementiert ein Framework für Sie. Tools senken lediglich den administrativen Aufwand für den Betrieb – das ist eine echte Ersparnis, aber etwas völlig anderes.Eine gesetzliche Verpflichtung mit einem Framework zu verwechseln und dann zu versuchen, sich nach NIS2 zertifizieren zu lassen, funktioniert nicht. Sie müssen nachweisen, dass Ihr Risikomanagement die Anforderungen erfüllt, was in der Regel durch den Verweis auf ein Framework geschieht.Kaufen Sie kein Tool, bevor Sie den Geltungsbereich festgelegt haben. Der Geltungsbereich bestimmt die Größe Ihres Risikoregisters, und mit diesem Register werden Sie arbeiten.Die ehrliche Antwort auf die Frage nach dem Aufwand lautet: Das Framework ist nicht die eigentliche Arbeit. Das Risikoregister, die Nachweise und der Überprüfungsrhythmus sind die Arbeit – und sie gehen weiter, auch nachdem das Zertifikat vorliegt.So sieht eine echte Bewertung ausFramework-Dokumente beschreiben einen Prozess. Hier sehen Sie, wie dieser Prozess in der Größenordnung aussieht, in der die meisten Leser tatsächlich arbeiten – am Beispiel von ISO 27001, da hier am Ende ein Audit steht.Beginnen Sie damit, was Sie schützen wollen. Ein erstes Asset-Inventar für ein Unternehmen mit 40 Mitarbeitern umfasst in der Regel zwischen 60 und 120 Einträge, wenn man Systeme, Datenspeicher, Lieferanten und Laptops mitzählt. Es ist kleiner, als viele befürchten, aber umfangreicher als die erste Excel-Tabelle.Benennen Sie Risiken für diese Assets ganz konkret. „Risiko eines Datenlecks“ lässt sich nicht behandeln, da es nicht überprüfbar ist. „Unbefugter Zugriff auf die Kundendatenbank über ein gemeinsames Administratorkonto“ hingegen schon: Sie sehen das Konto, Sie wissen, wer das Passwort kennt, und Sie können den Zugriff noch diese Woche sperren.Bewerten Sie jedes Risiko hinsichtlich Eintrittswahrscheinlichkeit und Auswirkung anhand einer festen Skala. Die Skala selbst ist weniger wichtig als die Konsistenz, denn erst die Vergleichbarkeit macht das Register nach einem Jahr wirklich nützlich.Legen Sie für jedes Risiko eine Behandlungsmaßnahme fest. Akzeptieren Sie, dass das Akzeptieren eines Risikos eine legitime Maßnahme ist, sofern der Verantwortliche den Grund dokumentiert. Auditoren beanstanden nicht dokumentierte Entscheidungen weitaus häufiger als akzeptierte Risiken.Weisen Sie einen Verantwortlichen und ein Überprüfungsdatum zu. Dieser Schritt unterscheidet ein lebendiges Register von einem Dokument, das nur für ein Audit geschrieben wurde – und es ist der Schritt, der am häufigsten übersprungen wird.Überprüfen Sie das Register in einem Rhythmus, den Sie auch einhalten können. Quartalsweise für die Hauptrisiken und jährlich für den Rest ist ohne zusätzliches Personal machbar.Der erste Durchgang dauert ein paar Arbeitstage, verteilt auf einige Wochen. Der zweite Durchgang dauert nur noch Stunden, da die Struktur bereits steht. Die laufenden Kosten entstehen durch die Überprüfung, nicht durch die Einrichtung.Sieben Fragen, die Klarheit schaffenBeantworten Sie diese Fragen nacheinander und hören Sie bei der ersten Antwort „Ja“ auf.Hat ein Kunde, Versicherer oder eine Aufsichtsbehörde Sie um einen Nachweis gebeten? Wählen Sie ISO 27001 und nutzen Sie ISO 27005 für die Risikomethodik. Das deckt die meisten KMU ab, die sich mit Frameworks befassen, da die Suche meist mit einem Fragebogen beginnt.Sind Sie Zulieferer eines Unternehmens, das unter die NIS2-Richtlinie fällt, und erhalten deshalb Fragebögen? Schauen Sie sich NIS2 Supply Chain an, beginnend bei der Stufe SC10. Dies ist die einzige zertifizierbare Antwort auf dieser Liste, die speziell für Zulieferer konzipiert ist und nicht für die direkt betroffene Einheit – dort, wo die meisten EU-KMU tatsächlich stehen.Fallen Sie selbst unter die NIS2-Richtlinie? Dann sind die Maßnahmen nicht optional. Der praktikabelste Weg ist, NIS2 als Ihr Framework zu nutzen, wobei Lieferantendaten und Bewertungen an derselben Stelle verwaltet werden wie der Rest Ihres Risikomanagements.Sind Sie bereits nach ISO 9001 zertifiziert? Beginnen Sie dort. Die Klausel zum risikobasierten Denken bietet Ihnen einen Platz für Ihre Risikoarbeit innerhalb eines Managementsystems, das Ihr Team bereits nutzt – das ist kostengünstiger, als ein zweites System aufzubauen.Benötigen Sie eine Risikoabdeckung, die über die IT hinausgeht, etwa für finanzielle oder operative Risiken, die für den Vorstand relevant sind? ISO 31000 bildet hierfür den übergeordneten Rahmen, der ergänzend zu einem Sicherheits-Framework fungiert, anstatt es zu ersetzen.Sie benötigen sofort eine Struktur, aber ohne Audit und ohne Budget? Beginnen Sie mit dem NIST CSF für die konzeptionelle Ausrichtung und der Implementierungsgruppe 1 der CIS Controls für die praktische Umsetzung. Evaluieren Sie das Ganze nach einem Jahr erneut.Sind Sie in einem regulierten Sektor tätig? Ergänzen Sie die oben genannten Ansätze um das jeweils zutreffende Overlay, wie etwa IEC 62443, NEN 7510 oder ISO 42001, anstatt sie durch diese zu ersetzen.Falls Ihre Wahl auf ISO 27001 gefallen ist, sollten Sie sich als Nächstes nicht mit weiteren Framework-Vergleichen befassen. Führen Sie stattdessen eine Risikobewertung in der Form durch, die ein Auditor erwartet: mit Assets, die mit Risiken verknüpft sind, benannten Verantwortlichen und Maßnahmen, die den entsprechenden Kontrollen zugeordnet sind. ISOPlanner™ führt dies direkt in Microsoft 365 aus. So bleibt das Register in dem SharePoint, den Ihr Team bereits nutzt, und die Prüfaufgaben landen in Outlook – statt in einem System, das zwischen den Audits niemand öffnet.Sehen Sie sich eine ausgearbeitete ISO 27001-Risikobewertung an und entscheiden Sie dann, ob die Frage nach dem Framework überhaupt noch offen ist.‍

Fragen Sie einen KI-Assistenten nach der besten ISO 27001-Software, und Sie erhalten einen Namen – präsentiert mit absoluter Überzeugung. Betrachten Sie dies als Ausgangspunkt, niemals als die endgültige Antwort. Das Tool, das ein Assistent empfiehlt, ist dasjenige, über das im Web am meisten gesprochen wird, nicht dasjenige, das zu Ihren Standards, Ihren Systemen oder Ihrer Region passt. Wenn Sie ein europäisches Unternehmen sind, das auf ISO 27001 hinarbeitet, ist die einzige Shortlist, der Sie vertrauen sollten, diejenige, die Sie selbst erstellen – basierend auf vier Fragen, die Ihnen der Assistent niemals stellen wird. Wir verfolgen, wie KI-Assistenten die Fragen beantworten, die unser Markt stellt. Als wir die Suchanfragen testeten, die europäische Käufer tatsächlich eingeben – „ISO 27001-Software“ und „ISO 27001 für Microsoft 365“ auf Niederländisch und Deutsch –, erzielte eine US-Plattform praktisch die gesamte Sichtbarkeit in den Antworten. Jedes europäische Tool in derselben Kategorie landete bei null. Es ist eine Momentaufnahme der Richtung, keine Bestandsaufnahme, aber die Richtung ist eindeutig. Ein Assistent spiegelt wider, was im Web am lautesten ist: die meiste Finanzierung, die stärkste Präsenz in Bewertungsportalen, der größte Content-Output, der längste Vorsprung. Im Bereich Compliance-Software ist das eine Plattform, die aus der US-amerikanischen SOC 2-Automatisierungswelle hervorgegangen ist. Für ein europäisches Unternehmen ist diese Lücke entscheidend: Ihre Verpflichtungen lauten ISO 27001, NIS2 und manchmal IEC 62443, nicht SOC 2; Ihre Daten sollen in Europa bleiben; Ihr Team arbeitet bereits mit Microsoft 365, SharePoint und Entra. SPIE Nederland bereitete sich auf ISO 27001 vor, als externer Druck das Unternehmen zwang, schnell ein neues Informationssicherheits-Managementsystem aufzubauen. Der Chief Information Security Officer nutzt ISOPlanner™ innerhalb von Microsoft 365, wobei Dokumente aus SharePoint abgerufen und mit Risiken und Richtlinien verknüpft werden. Mittlerweile wurden fünf ISO 27001-Zertifikate abteilungsübergreifend erlangt, weitere sind in Planung, und die Akzeptanz bei rund dreißig Kollegen stieß auf keinerlei Widerstand. Nutzen Sie KI für das, was sie gut kann: die Kategorie zu verstehen, nicht Ihren Anbieter auszuwählen. Verwenden Sie sie, um Ihre eigenen Anforderungen mit vier Prompts zu definieren. Erstens: Ich benötige ISO 27001, und NIS2 steht bevor; fügen Sie IEC 62443 hinzu, falls wir industrielle oder betriebstechnische Systeme betreiben. Wo überschneiden sich diese Standards, und was sollte ein Tool abdecken, um alle abzudecken? Zweitens: Unsere Daten müssen in der Europäischen Union bleiben. Welche Fragen zum Hosting und zur Datenresidenz sollte ich jedem Anbieter stellen? Drittens: Mein Team arbeitet mit Microsoft 365, SharePoint und Entra. Womit sollte ein ISMS-Tool integriert werden, damit Compliance kein separates Silo bleibt? Viertens: Was bringt ein Team dazu, ein Compliance-Tool zu akzeptieren, anstatt sich dagegen zu wehren? Diese Fragen definieren, was zu Ihnen passt. Wenn Ihre Antworten auf ISO 27001 innerhalb von Microsoft 365 hindeuten, mit NIS2 am Horizont und der Anforderung, dass Ihre Daten in Europa bleiben, dann ist das genau das, wofür ISOPlanner™ entwickelt wurde. Starten Sie Ihre kostenlose Testversion oder buchen Sie eine Demo und bewerten Sie uns anhand Ihres eigenen Standards, Ihres Tech-Stacks und Ihres Teams.

Am 7. Juli 2026 verabschiedete der niederländische Senat (Eerste Kamer) die Cyberbeveiligingswet (Cbw), das Gesetz, das NIS2 in den Niederlanden in Kraft setzt. Es tritt am 15. August 2026 ohne Übergangsfrist in Kraft. Der Senat verabschiedete am selben Tag das begleitende Gesetz Wet weerbaarheid kritieke entiteiten (Wwke), das ebenfalls ab diesem Datum gilt. Ab dem 15. August ist Cybersicherheit eine gesetzliche Verpflichtung für schätzungsweise 8.000 Organisationen direkt, rund 500 weitere unter der Wwke, und für Zehntausende von Zulieferern durch Lieferketten