ISO/IEC 27090: Security für AI-Systeme

Inhalt:

Worum es geht

Viele Unternehmen setzen AI bereits ein: im Kundendienst, in der Qualitätsprüfung oder als Assistent im Büro. Die Sicherheitskonzepte stammen aber meist aus einer Zeit vor AI und decken Server, Netzwerke und Identitäten ab, nicht Trainingsdaten und Modelle. Genau diese Lücke adressiert ISO/IEC 27090, die am 14. Oktober 2026 erschienen ist. Wir zeigen, was die Norm abdeckt, wie sie sich zu ISO/IEC 27001 und ISO/IEC 42001 verhält und womit Sie sinnvoll beginnen.

Was ISO/IEC 27090 ist

Der vollständige Titel lautet «Cybersecurity – Artificial intelligence (AI) – Addressing security threats and compromises to AI systems». Die Norm wurde vom gemeinsamen Gremium ISO/IEC JTC 1/SC 27 erarbeitet, das auch für die ISO-27000-Familie zuständig ist. Die erste Ausgabe umfasst laut ISO 56 Seiten.

Inhaltlich gibt ISO/IEC 27090 Anleitung, wie Organisationen AI-spezifische Bedrohungen über den gesamten Lebenszyklus eines AI-Systems verstehen, erkennen und abschwächen. Sie erklärt, wie Schwachstellen ausgenutzt werden können, welche Folgen das haben kann und welche Massnahmen helfen. Angesprochen sind Organisationen, die AI entwickeln, und solche, die AI nutzen.

Wichtig für die Einordnung: Die Norm ersetzt die bestehende Informationssicherheit nicht. ISO hält ausdrücklich fest, dass etablierte Cybersecurity-Praktiken weiterhin zentral bleiben. ISO/IEC 27090 ergänzt sie um das, was bei AI zusätzlich zu schützen ist.

Als Nutzen nennt ISO unter anderem: AI-spezifische Schwachstellen und ihre möglichen Folgen erkennen, fundiert über Erkennung und Abwehr entscheiden und Trainingsdaten, Modelle sowie geistiges Eigentum besser schützen. Die Norm betrachtet dabei Entwicklung, Betrieb und Modell-Updates gleichermassen. Für Security-Verantwortliche ist das ein gemeinsamer Bezugsrahmen, um mit Data-Science-Teams und Lieferanten über dieselben Risiken zu sprechen.

Welche Bedrohungen die Norm in den Blick nimmt

Klassische Massnahmen wie Firewall, Patching oder MFA schützen die Infrastruktur, auf der ein AI-System läuft. Sie erkennen aber nicht zuverlässig, wenn das System selbst manipuliert wird. ISO nennt dafür zwei Beispiele:

Data Poisoning: Manipulierte Trainingsdaten verändern das Verhalten des Systems. Das fällt oft erst auf, wenn falsche Ergebnisse schon im Einsatz sind.
Model Theft: Über scheinbar legitime Abfragen kann ein Modell nachgebaut und damit geistiges Eigentum abgezogen werden.

Laut ISO sind solche Angriffe schwer zu erkennen und können ein System kompromittieren, obwohl die herkömmlichen Schutzmassnahmen greifen. Besonders heikel ist das bei sicherheitskritischen Anwendungen, etwa in der Medizintechnik oder in der Produktion.

Der Lebenszyklus endet nicht mit dem Go-live

Ein Punkt, den die Norm besonders hervorhebt: Daten aus dem laufenden Betrieb werden später oft verwendet, um ein Modell zu aktualisieren oder neu zu trainieren. Sind diese Daten verfälscht, gelangen Schwachstellen in künftige Modellversionen. Bei Systemen, die laufend dazulernen, werden Eingaben aus dem Betrieb so zu Trainingsdaten. Die Angriffsfläche für Data Poisoning besteht damit nicht nur in der Entwicklung, sondern während der gesamten Nutzung.

Ablaufgrafik mit vier Schritten des AI-Lebenszyklus: Trainingsdaten, Training und Modell, Betrieb sowie Update und Retraining, wobei Betriebsdaten zurück zu Trainingsdaten werden. Darunter die Bedrohungen Data Poisoning bei den Trainingsdaten, Model Theft über scheinbar legitime Abfragen im Betrieb und verfälschtes Retraining, das Schwachstellen in künftige Modellversionen trägt. Fazit: Die Angriffsfläche besteht während der gesamten Nutzung. Quelle: ISO. — Der Lebenszyklus eines AI-Systems: Angriffe sind nicht nur in der Entwicklung möglich, sondern auch im Betrieb und beim Retraining.

27090, 27001 und 42001: wer was regelt

Für AI gibt es inzwischen mehrere Normen, die oft in einem Atemzug genannt werden. Sie haben aber unterschiedliche Rollen:

ISO/IEC 27001:2022 legt Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) fest. Eine Zertifizierung ist möglich, aber freiwillig.
ISO/IEC 42001:2023 legt Anforderungen an ein AI-Managementsystem (AIMS) fest: Richtlinien, Ziele und Prozesse für die verantwortungsvolle Entwicklung, Bereitstellung oder Nutzung von AI, inklusive Umgang mit AI-Risiken. Sie folgt dem Plan-Do-Check-Act-Prinzip.
ISO/IEC 27090:2026 gibt Anleitung zu den Security-Bedrohungen, die AI-Systeme spezifisch betreffen. Laut ISO ergänzt sie ISO/IEC 27001 und ISO/IEC 27002 und zeigt, wo herkömmliche Massnahmen weiterhin greifen und wo AI-Daten, Modelle und Workflows zusätzlichen Schutz brauchen.

Praktisch heisst das: Wer bereits ein ISMS nach ISO/IEC 27001 betreibt, muss nicht neu anfangen. ISO/IEC 27090 hilft, die bestehende Risikobeurteilung und den Massnahmenkatalog um AI-spezifische Punkte zu erweitern. Wer zusätzlich ein AIMS nach ISO/IEC 42001 aufbaut, findet in ISO/IEC 27090 die Security-Sicht auf die AI-Risiken.

Vergleich von drei Normen: ISO/IEC 27001:2022 legt Anforderungen an ein ISMS fest, Zertifizierung möglich und freiwillig; ISO/IEC 42001:2023 legt Anforderungen an ein AI-Managementsystem nach Plan-Do-Check-Act fest; ISO/IEC 27090:2026 gibt Anleitung zu AI-spezifischen Security-Bedrohungen und ergänzt ISO/IEC 27001 und 27002. Fazit: bestehendes ISMS weiterführen und um AI-spezifische Risiken ergänzen. Quelle: ISO. — ISO/IEC 27090 ergänzt das bestehende ISMS, ISO/IEC 42001 regelt das Management von AI.

Bezug zum EU AI Act

Für Schweizer Unternehmen, die AI-Systeme in der EU anbieten oder deren Ergebnisse dort genutzt werden, lohnt ein Blick auf den EU AI Act. Ob und in welcher Rolle Ihr Unternehmen betroffen ist, sollten Sie im Einzelfall prüfen.

Artikel 15 verlangt für Hochrisiko-AI-Systeme ein angemessenes Mass an Genauigkeit, Robustheit und Cybersecurity über den gesamten Lebenszyklus. Absatz 5 nennt dabei ausdrücklich AI-spezifische Schwachstellen, gegen die Massnahmen getroffen werden sollen, wo angemessen: Data Poisoning, Model Poisoning über vortrainierte Komponenten, Adversarial Examples beziehungsweise Model Evasion, Angriffe auf die Vertraulichkeit und Schwächen des Modells selbst.

Die Überschneidung mit den Themen von ISO/IEC 27090 ist offensichtlich. Die Norm ist kein Nachweis der Konformität mit dem AI Act, sie kann aber helfen, die technischen Fragen hinter Artikel 15 strukturiert anzugehen.

Liste der fünf AI-spezifischen Schwachstellen aus Artikel 15 Absatz 5 des EU AI Act: Data Poisoning, Model Poisoning über vortrainierte Komponenten, Adversarial Examples beziehungsweise Model Evasion, Angriffe auf die Vertraulichkeit und Schwächen des Modells. Hinweis: gilt für Hochrisiko-AI-Systeme, Betroffenheit im Einzelfall prüfen. Quelle: Europäische Kommission, AI Act Service Desk. — Artikel 15 Absatz 5 des EU AI Act nennt fünf AI-spezifische Schwachstellen für Hochrisiko-AI-Systeme.

Tipps und Tricks

AI-Inventar erstellen: Listen Sie auf, welche AI-Systeme Sie entwickeln, einkaufen oder als Funktion in bestehender Software nutzen. Ohne diese Übersicht bleibt jede Risikobeurteilung lückenhaft.
Schutzobjekte benennen: Ergänzen Sie Ihr Asset-Verzeichnis um Trainingsdaten, Modelle, Prompts und Konfigurationen. ISO nennt den Schutz von Trainingsdaten, Modellen und geistigem Eigentum ausdrücklich.
Retraining absichern: Legen Sie fest, welche Betriebsdaten in ein neues Training einfliessen dürfen, wer das freigibt und wie Sie die Qualität prüfen.
Abfragen beobachten: Prüfen Sie bei extern erreichbaren Modellen, ob ungewöhnliche Abfragemuster erkannt werden, etwa sehr viele systematische Anfragen von einer Quelle.
Im bestehenden ISMS verankern: Nehmen Sie AI-spezifische Bedrohungen in Ihre Risikobeurteilung nach ISO/IEC 27001 auf, statt ein separates Regelwerk aufzubauen.

So unterstützt Cyberopex

Mit unserem Risiko Management und Compliance Service unterstützen wir Sie bei der Analyse der geltenden Anforderungen und bei der Umsetzung von Sicherheitsmassnahmen nach ISO 27001 und ISO 27002. Genau auf dieser Grundlage baut ISO/IEC 27090 auf. Gemeinsam ordnen wir ein, welche AI-spezifischen Risiken für Ihre Systeme relevant sind und wie Sie diese in Ihr bestehendes Risikomanagement integrieren.