ISO 42001 Gap-Analyse: wo steht Ihr KI-Managementsystem?
Die Gap-Analyse nach ISO 42001 (Lückenanalyse oder Erstbewertung) vergleicht, was die Organisation heute schon tut, mit dem, was ISO/IEC 42001:2023 für ein KI-Managementsystem (AIMS) verlangt. Jede Anforderung der Abschnitte 4 bis 10 und jede Maßnahme aus Anhang A wird als umgesetzt, teilweise umgesetzt, nicht umgesetzt oder nicht anwendbar eingestuft, mit aktuellem Nachweis und erforderlicher Maßnahme. Ergebnis ist ein Umsetzungsgrad je Abschnitt und eine priorisierte Lückenliste, aus der der Projektplan entsteht. Die Norm schreibt sie nicht vor, aber sie zeigt am schnellsten den Ausgangspunkt.
Ist eine Gap-Analyse für ISO 42001 Pflicht?
Nein. Kein Abschnitt von ISO/IEC 42001:2023 fordert eine Gap-Analyse, und ein Zertifizierungsauditor verlangt sie nicht als dokumentierte Information. Trotzdem beginnen fast alle Projekte damit: Sie zeigt den Umfang der Arbeit, erlaubt eine begründete Priorisierung und liefert der Leitung eine Ausgangsbasis, an der sich der Fortschritt messen lässt.
Wer bereits nach ISO 27001 arbeitet, stellt meist fest, dass sich ein großer Teil der Abschnitte 4 bis 10 (Kontext, Führung, dokumentierte Information, internes Audit, Managementbewertung, Verbesserung) erweitern lässt, statt neu zu entstehen. Die großen Lücken liegen typischerweise im KI-Spezifischen: Folgenabschätzung von KI-Systemen (6.1.4 und 8.4), Lebenszyklus, Daten und Beziehungen zu Dritten.
Was bewertet wird: 27 Anforderungen und 38 Maßnahmen
Die Selbstbewertung im NexoDocs-Kit (AIMS-GAP-01) teilt die Norm in zwei Tabellenblätter. Titel und Zusammenfassungen sind eigene Formulierungen: Die Norm wird mit Abschnitts- und Maßnahmennummer zitiert, nicht abgeschrieben.
| Teil der Norm | Inhalt | Zeilen in der Bewertung |
|---|---|---|
| Abschnitt 4 · Kontext | Kontext und Rollen in Bezug auf KI, interessierte Parteien, Anwendungsbereich, Managementsystem | 4 |
| Abschnitt 5 · Führung | Engagement der Leitung, KI-Politik, Rollen und Befugnisse | 3 |
| Abschnitt 6 · Planung | Risiken und Chancen, KI-Risikobeurteilung und -behandlung, Folgenabschätzung, Ziele, Änderungen | 6 |
| Abschnitt 7 · Unterstützung | Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information | 5 |
| Abschnitt 8 · Betrieb | Betriebliche Steuerung sowie Durchführung von Risikobeurteilung, Risikobehandlung und Folgenabschätzung | 4 |
| Abschnitt 9 · Bewertung der Leistung | Überwachung und Messung, internes Audit, Managementbewertung | 3 |
| Abschnitt 10 · Verbesserung | Fortlaufende Verbesserung, Nichtkonformität und Korrekturmaßnahmen | 2 |
| Anhang A (A.2 bis A.10) | Richtlinien, interne Organisation, Ressourcen, Folgenabschätzung, Lebenszyklus, Daten, Informationen für interessierte Parteien, Nutzung von KI und Dritte | 38 Maßnahmen in 9 Gruppen |
Die größte Gruppe in Anhang A ist der Lebenszyklus von KI-Systemen (A.6, 9 Maßnahmen), danach folgen Ressourcen (A.4) und Daten (A.7) mit je 5. Sie brauchen auch am meisten Zeit, wenn die Organisation eigene Modelle entwickelt oder trainiert.
ISO 42001 Kit: Dokumentation für Ihr KI-Managementsystem
30 Word-Dokumente · 31 Excel-Werkzeuge · 38 Maßnahmen aus Anhang A
Zum ISO 42001 Kit auf DeutschGap-Analyse Schritt für Schritt
- Vorläufigen Anwendungsbereich festlegen: welche KI-Systeme, Prozesse und Standorte dazugehören. Ohne ihn vermischt die Bewertung Dinge, die später herausfallen.
- Die Menschen einbinden, die die tatsächliche Praxis kennen: AIMS-Verantwortliche, wer KI-Systeme entwickelt oder einkauft, Daten, Recht oder Compliance, Informationssicherheit.
- Für jede Anforderung und Maßnahme einen von vier Status wählen: umgesetzt, teilweise umgesetzt, nicht umgesetzt oder nicht anwendbar.
- Den aktuellen Nachweis notieren (Dokument, Aufzeichnung, Werkzeug). Ohne Nachweis ist der Status nicht »umgesetzt«, auch wenn die Praxis mündlich existiert.
- Die erforderliche Maßnahme als überprüfbaren Satz formulieren und eine verantwortliche Person benennen.
- Das Dashboard prüfen: Umsetzungsgrad je Abschnitt und Maßnahmengruppe, Anzahl nicht umgesetzter und noch nicht bewerteter Zeilen.
- Die Lücken als Aufgaben in den Projektplan übernehmen, beginnend mit den Abschnitten 4 bis 6, weil alles andere darauf aufbaut.
Wie der Umsetzungsgrad berechnet wird
In der Vorlage erhält jede Zeile Punkte nach ihrem Status; der Wert eines Abschnitts ist der Durchschnitt seiner Zeilen:
| Status | Punkte | Wann verwenden |
|---|---|---|
| Umgesetzt | 100 % | Wird gemacht, ist wo nötig dokumentiert und belegbar |
| Teilweise umgesetzt | 50 % | Teilweise gemacht, ohne Dokument oder ohne ausreichende Aufzeichnungen |
| Nicht umgesetzt | 0 % | Wird nicht gemacht oder es gibt keinen Nachweis |
| Nicht anwendbar | Nicht im Durchschnitt | Nur für begründet ausgeschlossene Maßnahmen aus Anhang A (z. B. die Organisation entwickelt keine Modelle) |
Rechenbeispiel: Hat Abschnitt 7 (5 Anforderungen) 2 umgesetzte, 2 teilweise umgesetzte und 1 nicht umgesetzte Zeile, ergibt sich (100 + 100 + 50 + 50 + 0) / 5 = 60 %. Die Abschnitte 4 bis 10 lassen kein »nicht anwendbar« zu: Sie gelten für jede Organisation, die sich zertifizieren lassen will. Ausschlüsse aus Anhang A werden später in der Erklärung zur Anwendbarkeit begründet.
Was mit dem Ergebnis geschieht
- Nach Abhängigkeit priorisieren, nicht nach Bequemlichkeit: Ohne Kontext (4.1), Anwendungsbereich (4.3) und KI-Politik (5.2) gelingen weder Risikobeurteilung noch Folgenabschätzung.
- Lücken zu Arbeitspaketen bündeln (Governance, Risiken und Folgen, Lebenszyklus und Daten, Lieferanten, Bewertung und Verbesserung) und mit Terminen in den Projektplan übernehmen.
- Die Bewertung als Eingabe für das KI-Systeminventar und die Risikobeurteilung nutzen, nicht als deren Ersatz.
- Die Selbstbewertung quartalsweise wiederholen: Dieselbe Datei zeigt der Leitung den Fortschritt ohne zusätzliche Berichte.
- Vor dem Zertifizierungsaudit mit einem internen Audit (9.2) abgleichen: Selbstbewertungen fallen meist zu optimistisch aus.
Häufige Fehler
- »Umgesetzt« ankreuzen, weil »wir das machen«, ohne Nachweis.
- »Nicht anwendbar« bei den Abschnitten 4 bis 10 verwenden, die keine Ausschlüsse erlauben.
- Die Bewertung nur aus der Compliance heraus machen, ohne die Menschen, die KI-Systeme bauen oder einkaufen.
- KI-Risikobeurteilung (6.1.2) mit der Folgenabschätzung von KI-Systemen (6.1.4) verwechseln: Die erste betrachtet die Organisation, die zweite betroffene Personen und Gruppen.
- Die Bewertung in die Schublade legen: Ohne Plan mit Verantwortlichen und Terminen bringt sie nichts.
Vorlage: die Gap-Analyse im ISO 42001 Kit
Das ISO 42001 Kit von NexoDocs enthält die Selbstbewertung AIMS-GAP-01 auf Deutsch: eine Excel-Datei ohne Makros mit den 27 Anforderungen der Abschnitte 4 bis 10 und den 38 Maßnahmen aus Anhang A, vorbefüllt mit eigenen Zusammenfassungen, farbiger Statusauswahl, automatischer Punktberechnung und einem Dashboard mit dem Umsetzungsgrad je Abschnitt und Maßnahmengruppe. Sie ist mit dem Projektplan mit Gantt-Diagramm (AIMS-PRJ-01) verknüpft, in dem die Gap-Analyse die zweite Aufgabe ist, und mit dem Umsetzungsleitfaden desselben Kits. Kostenlos zum Einstieg gibt es die Vorlage für eine KI-Richtlinie.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISO 42001 Kit: Dokumentation für Ihr KI-Managementsystem
30 Word-Dokumente · 31 Excel-Werkzeuge · 38 Maßnahmen aus Anhang A
Zum ISO 42001 Kit auf Deutsch
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Wie lange dauert eine ISO 42001 Gap-Analyse?
Das hängt von der Größe und der Zahl der KI-Systeme im Anwendungsbereich ab. In einer kleinen oder mittleren Organisation reichen mit den richtigen Personen meist zwei bis drei Arbeitssitzungen und die Durchsicht vorhandener Nachweise.
Kann ich eine Gap-Analyse nach ISO 27001 für ISO 42001 verwenden?
Für die Abschnitte 4 bis 10, die in beiden Normen gleich aufgebaut sind, ja. Die Maßnahmen aus Anhang A von ISO 42001 und die Folgenabschätzung von KI-Systemen deckt sie aber nicht ab. Eine eigene KI-Bewertung lohnt sich.
Was unterscheidet Gap-Analyse und internes Audit?
Die Gap-Analyse ist eine Selbstbewertung zur Planung ohne vorgeschriebene Form. Das interne Audit (Abschnitt 9.2) ist Pflicht, wird von objektiven und unparteiischen Personen nach einem Auditprogramm durchgeführt, und seine Feststellungen werden als Nichtkonformitäten oder Beobachtungen festgehalten.
Wie oft wird sie wiederholt?
Zu Projektbeginn und danach quartalsweise während der Einführung. Läuft das AIMS, übernehmen Kennzahlen, internes Audit und Managementbewertung die Überwachung.
Garantieren 100 % in der Bewertung die Zertifizierung?
Nein. Über die Zertifizierung entscheidet eine Zertifizierungsstelle nach ihrem Audit; die Gap-Analyse ist eine Selbstbewertung, die die Arbeit ordnet und den Fortschritt zeigt.
Verwandte Leitfäden
Was ist ISO/IEC 42001? Das Managementsystem für künstliche Intelligenz
Was ISO/IEC 42001:2023 ist, für wen sie gilt, die Kapitel 4 bis 10, die 38 Maßnahmen aus Anhang A und der Bezug zu ISO 27001 und zur KI-Verordnung der EU.
Leitfaden lesen →ISO 42001 Pflichtdokumente (KI-Managementsystem)
Welche dokumentierten Informationen ISO/IEC 42001:2023 für ein KI-Managementsystem verlangt, mit dem Kapitel je Dokument und den Nachweisen für das Audit.
Leitfaden lesen →Kostenlose Vorlage: KI-Richtlinie für die Nutzung generativer KI im Unternehmen
Kostenlose Word-Vorlage einer KI-Nutzungsrichtlinie für Mitarbeitende: freigegebene Werkzeuge, erlaubte Daten, Regeln, Verantwortlichkeiten und Nachweise.
Leitfaden lesen →Aktualisiert: 2026-10-29