Die neue Norm hat 56 Seiten und nennt in ihrem Anwendungsbereich neben den Entwicklern ausdrücklich auch die Nutzer von KI-Systemen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Was im Katalog steht

IEC-Webstore und ISO-Katalog führen ISO/IEC 27090:2026 seit dem 14. Oktober 2026 als veröffentlicht, der IEC-Webstore als Edition 1.0, der ISO-Katalog mit der Stufe 60.60. Der englische Titel endet mit „Addressing security threats and compromises to AI systems“. Herausgegeben haben die Norm ISO und IEC gemeinsam. Zuständig ist das Unterkomitee ISO/IEC JTC 1/SC 27 (Information security, cybersecurity and privacy protection), laut heise dasselbe Gremium, das die ISO/IEC-27000-Reihe verantwortet. Erhältlich ist die Norm nur auf Englisch, laut heise als PDF oder gedruckt.

Worum es geht, beschreibt der Anwendungsbereich, hier sinngemäß übersetzt. Die Norm behandelt Bedrohungen, die speziell KI-Systeme treffen. Organisationen sollen die Folgen solcher Bedrohungen über den gesamten Lebenszyklus eines KI-Systems besser verstehen, und die Norm beschreibt, wie sie sich erkennen und abmildern lassen. Gemeint sind Organisationen jeder Art und Größe, die KI-Systeme entwickeln oder nutzen, ausdrücklich auch private Unternehmen, Behörden und gemeinnützige Einrichtungen.

Den Weg dorthin zeichnet heise nach. Das Projekt wurde im September 2022 angenommen. Der Committee Draft folgte im Januar 2024, die DIS-Abstimmung lief bis Juli 2025.

Eine deutsche Ausgabe gibt es laut unseren Quellen nicht, ein Termin dafür ist nicht bekannt. DIN führte den Entwurf unter einem deutschen Titel, der von einem „Leitfaden für den Umgang mit Sicherheitsbedrohungen und Fehlern in Systemen der künstlichen Intelligenz“ spricht; das war der Titel des Entwurfs.

Die Angriffsarten, wie heise sie aufzählt

Den Normtext selbst haben wir nicht gelesen, er ist kostenpflichtig. Was über den Inhalt bekannt ist, stammt aus dem Bericht von heise vom 19. Oktober 2026. Danach behandelt die 27090 Data Poisoning, also manipulierte Trainingsdaten, und die Manipulation von Modellgewichten. Dazu kommen Evasion-Angriffe mit präparierten Eingaben und Model Extraction über Schnittstellen. Membership Inference und Model Inversion stehen ebenfalls auf der Liste. Genannt werden außerdem Prompt Injection, bei der einem System Anweisungen untergeschoben werden, und Angriffe über Modellausgaben. Ein Anhang ordnet die Angriffe laut heise den Phasen des KI-Lebenszyklus und den betroffenen Werten zu. Ein zweiter beschreibt KI-Varianten herkömmlicher Angriffe.

Eine Grenze nennt heise ebenfalls: KI-Systeme mit Zugriff auf Werkzeuge, also agentische KI, behandelt die Erstausgabe nur am Rande.

Neben 27001 und 42001

Laut heise versteht sich die 27090 als Ergänzung zu ISO/IEC 27001 und 27002. heise schreibt auch, sie fülle die Lücke, die ISO/IEC 42001 offen lasse: Deren Anhang A verlange Sicherheitsmaßnahmen für KI-Systeme, benenne aber keine Angriffe. Wie ISO/IEC 42001 aufgebaut ist und wie sie sich zu ISO 27001 verhält, haben wir in einem eigenen Beitrag zur ISO 42001 für kleine und mittlere Betriebe zusammengestellt.

Das Schwesterdokument ISO/IEC 27091 zum Schutz der Privatsphäre in KI-Systemen ist laut heise im Final-Draft-Stadium.

Ändert die Norm etwas an der Rechtslage?

Laut heise ändert die Veröffentlichung an der Rechtslage in der EU nichts. Eine Konformitätsvermutung nach KI-Verordnung oder Cyber Resilience Act erzeugt die 27090 nicht. Auf europäischer Ebene arbeitet CEN/CENELEC JTC 21 an der harmonisierten Norm prEN 18282 zur Cybersicherheit von KI-Systemen, die weiter im Entwurf steht. ETSI hat die TS 104 223 veröffentlicht, und einen Abgleich zwischen den drei Dokumenten gibt es laut heise bisher nicht.

Ein Zertifikat nach der 27090 gibt es laut heise ebenfalls nicht. Die Norm ist ein Leitfaden ohne Anforderungscharakter.

Unsere Einschätzung

Für einen Betrieb ohne eigene Sicherheitsabteilung liegt der Wert aus unserer Sicht weniger im Dokument selbst mit seinen 56 englischen Seiten für 204 Schweizer Franken. Brauchbar ist die Liste der Angriffsarten, die heise beschreibt. Sie taugt als Prüfliste für die eigenen Werkzeuge und für das Gespräch mit Anbietern. Ein Assistent im Postfach oder ein Chatbot auf der Website genügt, um zu den Nutzern zu gehören, die der Anwendungsbereich nennt.

Wir würden mit der Frage beginnen, was ein solches Werkzeug zu lesen bekommt und von wem. Kann eine eingehende E-Mail oder ein hochgeladenes Dokument dem System Anweisungen geben, ist das genau die Prompt Injection, die heise in der Liste führt. Woher die Daten stammen, mit denen das System arbeitet, gehört in dieselbe Frage.

Danach kommt die Ausgabe, denn auch Angriffe über Modellausgaben stehen laut heise in der Norm. Wer nach einer KI-Antwort handelt, eine Überweisung freigibt oder einem Kunden antwortet, sollte wissen, wer sie vorher ansieht.

Wer schon mit ISO/IEC 27001 arbeitet, findet laut heise in der 27090 die Ergänzung für KI. Das spricht aus unserer Sicht dafür, die Angriffsarten in die bestehende Risikobetrachtung aufzunehmen, wo es sie gibt, und kein zweites Regelwerk daneben aufzubauen.

Bietet jemand einem Betrieb ein „27090-Zertifikat“ an, lohnt die Rückfrage, was genau bescheinigt werden soll. Ein solches Zertifikat gibt es laut heise nicht.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 20. Oktober 2026):

Häufige Fragen

Wann ist ISO/IEC 27090 erschienen und was kostet sie?

Laut IEC-Webstore ist ISO/IEC 27090:2026 am 14. Oktober 2026 als Edition 1.0 erschienen. Die Norm hat 56 Seiten, ist nur auf Englisch erhältlich und kostet im IEC-Webstore 204 Schweizer Franken. Eine deutsche Ausgabe gibt es laut unseren Quellen nicht, ein Termin dafür ist nicht bekannt.

Für wen ist ISO/IEC 27090 gedacht?

Laut Anwendungsbereich richtet sie sich an Organisationen jeder Art und Größe, die KI-Systeme entwickeln oder nutzen. Ausdrücklich genannt sind private Unternehmen, Behörden und gemeinnützige Einrichtungen. Herausgegeben haben sie ISO und IEC gemeinsam, zuständig ist das Unterkomitee ISO/IEC JTC 1/SC 27.

Welche Angriffe auf KI-Systeme behandelt die Norm?

Laut heise behandelt sie Data Poisoning, die Manipulation von Modellgewichten, Evasion-Angriffe mit präparierten Eingaben und Model Extraction über Schnittstellen. Dazu kommen Membership Inference, Model Inversion, Prompt Injection und Angriffe über Modellausgaben. KI-Systeme mit Zugriff auf Werkzeuge behandelt die Erstausgabe laut heise nur am Rande.

Muss ein Betrieb jetzt handeln oder sich nach ISO/IEC 27090 zertifizieren lassen?

Laut heise ist die 27090 ein Leitfaden ohne Anforderungscharakter, ein Zertifikat gibt es nicht. An der Rechtslage in der EU ändert die Veröffentlichung laut heise nichts, eine Konformitätsvermutung nach KI-Verordnung oder Cyber Resilience Act erzeugt sie nicht. Aus unserer Sicht lohnt es sich trotzdem, die eigenen KI-Werkzeuge anhand der Angriffsarten zu prüfen, etwa ob eine eingehende E-Mail dem System Anweisungen geben kann.

Welche fremden Texte bekommen die KI-Werkzeuge im Betrieb zu lesen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 20. Oktober 2026. Stand der Recherche: 20. Oktober 2026.