AI Governance und AI-Security nach ISO 42001 und ISO/IEC 27090
Wir helfen Ihnen, AI sicher, nachvollziehbar und regelkonform einzusetzen: mit einem AI-Managementsystem nach ISO/IEC 42001, einer Bedrohungsanalyse nach dem neuen ISO/IEC 27090 und klaren Regeln für Copilot, ChatGPT und eigene AI-Agents.
Warum AI Governance jetzt zählt
ISO/IEC 42001:2023 ist der erste internationale Standard für AI-Managementsysteme. Er folgt derselben Struktur wie ISO 27001 und lässt sich deshalb gut in ein bestehendes ISMS integrieren.
Seit dem 14. Oktober 2026 gibt es zusätzlich ISO/IEC 27090: den ersten internationalen Leitfaden gegen Angriffe auf AI-Systeme. Er beschreibt, wie Sie Bedrohungen wie Prompt Injection, Data Poisoning oder Model Stealing erkennen und abwehren, und ergänzt ISO 27001 und ISO 27002 um die AI-Sicht.
Der EU AI Act ist seit August 2024 in Kraft und gilt gestaffelt. Seit Februar 2025 sind bestimmte AI-Praktiken verboten und Unternehmen müssen für ausreichende AI-Kompetenz ihrer Mitarbeitenden sorgen. Schweizer Unternehmen sind betroffen, wenn sie AI-Systeme in der EU anbieten oder deren Ergebnisse dort verwendet werden.
Auch ohne Regulierung gilt: Wer Copilot oder ChatGPT einführt, braucht saubere Berechtigungen, klare Regeln für vertrauliche Daten und eine Übersicht, welche AI wo eingesetzt wird.
Die Angriffe, gegen die der neue Standard schützt
ISO/IEC 27090:2026 gilt für alle Organisationen, die AI entwickeln oder nutzen. Auch wer «nur» Copilot oder eigene Agents einsetzt, ist betroffen.
Mehr dazu im Beitrag ISO/IEC 27090: Der neue Standard für die Sicherheit von AI-Systemen.
So setzen wir es mit Ihnen um
AI-Inventar
1–2 WochenWelche AI-Systeme nutzen Sie, wofür und mit welchen Daten?
- Einstufung nach Risikoklasse
Richtlinie & Risiko
2–3 WochenAI-Policy, Freigabeprozess und Risikoanalyse für Ihre Anwendungsfälle, inklusive Bedrohungen nach ISO/IEC 27090.
Kontrollen
projektbasiertTechnische und organisatorische Massnahmen, etwa Berechtigungen und DLP für Copilot.
Managementsystem
laufendIntegration in Ihr ISMS, Monitoring und Vorbereitung auf eine ISO-42001-Zertifizierung.
Was Sie am Ende in der Hand haben
Häufige Fragen
Gilt der EU AI Act für Schweizer Unternehmen?
Ja, wenn Sie AI-Systeme in der EU in Verkehr bringen oder deren Ergebnisse in der EU verwendet werden. Für rein interne Nutzung in der Schweiz gelten vor allem Datenschutz und vertragliche Anforderungen.
Brauchen wir für Copilot eine AI-Richtlinie?
Ja. Copilot sieht alles, was ein Benutzer sehen darf. Eine Richtlinie und bereinigte Berechtigungen verhindern, dass vertrauliche Daten ungewollt in Antworten auftauchen.
Lässt sich ISO 42001 mit ISO 27001 kombinieren?
Ja. Beide folgen der gleichen Grundstruktur. Wir integrieren die AI-Anforderungen in Ihr bestehendes ISMS und die GRC-Plattform.
Was ist ISO/IEC 27090?
Ein Leitfaden der ISO, veröffentlicht am 14. Oktober 2026. Er beschreibt, wie Organisationen Angriffe auf AI-Systeme verstehen, erkennen und abwehren, etwa Data Poisoning, Model Stealing oder Prompt Injection, und ergänzt ISO 27001 und ISO 27002.
Kann man sich nach ISO/IEC 27090 zertifizieren lassen?
Nein. ISO/IEC 27090 ist ein Leitfaden. Den Nachweis erbringen Sie über eine Zertifizierung nach ISO 27001 oder ISO 42001, in der Sie die Massnahmen aus ISO/IEC 27090 umsetzen. Genau so bauen wir es mit Ihnen auf.
Wie nutzt Cyberopex selbst AI?
Unsere AI-Agents übernehmen ISMS-Routineaufgaben auf der GRC-Plattform, immer mit einem Menschen, der freigibt. Wir sichern sie nach denselben Grundsätzen ab, die ISO/IEC 27090 beschreibt.
Wo stehen Sie heute?
In einem kostenlosen Erstgespräch klären wir Ihren Scope und die nächsten drei Schritte.