FAQ – Informationssicherheit, KI, Datenschutz & Compliance

Informationssicherheit bezeichnet den Schutz von Informationen in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Ziel ist es, Informationen vor unbefugtem Zugriff, Verlust, Manipulation oder Ausfall zu schützen – unabhängig davon, ob sie digital, auf Papier oder mündlich vorliegen.

Unternehmen sind zunehmend von Cyberangriffen, Datenverlusten und regulatorischen Anforderungen betroffen. Informationssicherheit schützt Geschäftsprozesse, stärkt das Vertrauen von Kunden und Partnern und reduziert rechtliche sowie wirtschaftliche Risiken.

Datenschutz bezieht sich auf den Schutz personenbezogener Daten und ist rechtlich geregelt, z. B. durch die DSGVO. Informationssicherheit ist weiter gefasst und umfasst den Schutz aller Informationen eines Unternehmens – auch solcher ohne Personenbezug.

Besonders schützenswert sind u. a. personenbezogene Daten, Geschäfts- und Betriebsgeheimnisse, Vertragsunterlagen, technische Dokumentationen sowie Informationen zu IT-Systemen und Sicherheitsmaßnahmen.

Informationssicherheit ist ein zentraler Bestandteil von Compliance. Sie unterstützt die Einhaltung gesetzlicher, regulatorischer und vertraglicher Anforderungen.

ISO/IEC 27001 ist eine internationale Norm für den Aufbau, Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). Sie bietet einen systematischen Rahmen für den Umgang mit Informationssicherheitsrisiken.

NIS2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet bestimmte Unternehmen und Organisationen zur Umsetzung konkreter Sicherheitsmaßnahmen sowie zu Melde- und Nachweispflichten.

TISAX® ist ein Prüf- und Austauschmechanismus für Informationssicherheit in der Automobilindustrie und deren Lieferketten. Er basiert inhaltlich auf ISO 27001, ist jedoch branchenspezifisch ausgestaltet.

ISO 27001 ist ein freiwilliger, internationaler Standard. NIS2 ist eine gesetzliche Verpflichtung für bestimmte Unternehmen. TISAX® ist ein branchenbezogener Standard, der häufig vertraglich gefordert wird. Die Anforderungen überschneiden sich inhaltlich teilweise, verfolgen jedoch unterschiedliche Ziele.

Nein. Eine ISO-27001-Zertifizierung kann die Umsetzung von NIS2 oder TISAX® deutlich erleichtern, ersetzt diese jedoch nicht automatisch. Zusätzliche spezifische Anforderungen müssen gesondert betrachtet werden.

Das hängt vor allem von Branche und Unternehmensgröße ab. Betroffen sind in der Regel mittlere und große Unternehmen aus Sektoren wie Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Produktion bestimmter Güter oder Lebensmittel. In Deutschland regelt das NIS2-Umsetzungsgesetz die Details. Ob Ihr Unternehmen darunter fällt, lässt sich meist in einem kurzen Gespräch klären. Mehr dazu auf unserer Themenseite NIS2.

Dann geht es meist um einen Nachweis innerhalb eines festen Zeitrahmens. Wir klären zuerst, welches Label bzw. welche Zertifizierung genau gefordert ist, und planen den Weg dorthin realistisch – von der GAP-Analyse bis zum Assessment oder Audit. Mehr dazu unter TISAX® und ISO 27001.

Der EU AI Act ist die europäische Verordnung über Künstliche Intelligenz. Er teilt KI-Systeme nach ihrem Risiko ein – von verbotenen Praktiken über Hochrisiko-Systeme bis zu Anwendungen mit geringem Risiko – und legt je nach Rolle (z. B. Anbieter oder Betreiber) unterschiedliche Pflichten fest. Mehr dazu auf unserer Themenseite EU AI Act.

Ja. Auch wer KI-Systeme lediglich einsetzt, gilt als Betreiber und hat Pflichten. Dazu gehört insbesondere, dass Mitarbeitende, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Zusätzlich gelten Anforderungen aus Datenschutz und Informationssicherheit, etwa beim Umgang mit vertraulichen oder personenbezogenen Daten.

Die Verordnung ist seit August 2024 in Kraft und wird stufenweise wirksam. Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz gelten bereits seit Februar 2025, weitere Pflichten folgen schrittweise. Einzelne Fristen, insbesondere für Hochrisiko-Systeme, hat die EU zuletzt angepasst – den aktuellen Stand für Ihr Unternehmen klären wir im Einzelfall.

Nur unter klaren Voraussetzungen. Es braucht eine Rechtsgrundlage nach DSGVO, in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter und geeignete Einstellungen, damit Eingaben nicht zum Training verwendet werden. Für vertrauliche Geschäftsinformationen sollten klare Regeln gelten. Eine interne KI-Richtlinie schafft hier Orientierung.

Sehr empfehlenswert. Eine KI-Richtlinie legt fest, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen, wer verantwortlich ist und wie Ergebnisse geprüft werden. Sie reduziert Risiken durch unkontrollierte Nutzung (sogenannte Schatten-KI) und ist ein guter erster Schritt in Richtung KI-Managementsystem.

Die ISO/IEC 42001 ist die internationale Norm für ein Managementsystem für Künstliche Intelligenz (Artificial Intelligence Management System, kurz AIMS). Sie unterstützt Unternehmen dabei, KI verantwortungsvoll zu entwickeln, bereitzustellen und einzusetzen. Im Mittelpunkt stehen klare Verantwortlichkeiten, KI-spezifisches Risikomanagement und die kontinuierliche Verbesserung.

Die ISO 42001 richtet sich an Unternehmen jeder Größe und Branche, die Künstliche Intelligenz entwickeln, anbieten oder einsetzen. Dazu gehören sowohl Entwickler eigener KI-Lösungen als auch Unternehmen, die beispielsweise ChatGPT, Microsoft Copilot oder andere KI-Anwendungen im Geschäftsalltag nutzen.

Nein. Die ISO 42001 ist grundsätzlich eine freiwillige Managementsystemnorm. Eine Zertifizierung kann jedoch durch Kundenanforderungen, Ausschreibungen oder vertragliche Vereinbarungen relevant werden. Sie bietet Unternehmen außerdem die Möglichkeit, einen strukturierten und verantwortungsvollen Umgang mit KI nachzuweisen.

Die ISO 27001 konzentriert sich auf das Management der Informationssicherheit. Die ISO 42001 betrachtet dagegen das Management Künstlicher Intelligenz. Dazu gehören neben Sicherheitsaspekten auch Transparenz, Verantwortlichkeiten, KI-spezifische Risiken und mögliche Auswirkungen auf Menschen und Organisationen.

Beide Normen lassen sich miteinander kombinieren. Unternehmen mit einem bestehenden ISMS nach ISO 27001 können viele vorhandene Prozesse für ihr KI-Managementsystem nutzen.

Nein. Der EU AI Act ist eine europäische Verordnung mit verbindlichen gesetzlichen Anforderungen. Die ISO 42001 ist dagegen eine freiwillige internationale Managementsystemnorm.

Ein KI-Managementsystem nach ISO 42001 kann die Umsetzung regulatorischer Anforderungen unterstützen, ersetzt jedoch nicht die Prüfung und Erfüllung der jeweils geltenden gesetzlichen Pflichten.

Die ISO 42001 fordert einen systematischen Umgang mit Künstlicher Intelligenz. Dazu gehören insbesondere die Festlegung von Verantwortlichkeiten, die Bewertung von KI-Risiken und möglichen Auswirkungen, geeignete Policies und Prozesse sowie die regelmäßige Überprüfung der Wirksamkeit des KI-Managementsystems.

Welche Maßnahmen konkret erforderlich sind, hängt unter anderem von der Rolle des Unternehmens, den eingesetzten KI-Systemen und deren Risiken ab.

Ja. Beide Normen besitzen eine vergleichbare Managementsystemstruktur. Vorhandene Prozesse, beispielsweise für Risikomanagement, Dokumentation, interne Audits und Managementbewertungen, können häufig gemeinsam genutzt werden.

Ergänzt werden insbesondere die KI-spezifischen Anforderungen an Risiken, Auswirkungen und den verantwortungsvollen Einsatz Künstlicher Intelligenz.

Die Dauer hängt von der Unternehmensgröße, der Anzahl und Komplexität der KI-Anwendungen sowie den bereits vorhandenen Prozessen ab. Unternehmen mit einem etablierten Managementsystem nach ISO 27001 können häufig auf bestehenden Strukturen aufbauen und dadurch den Aufwand reduzieren.

Zunächst wird ein KI-Managementsystem aufgebaut und im Unternehmen eingeführt. Dazu gehören unter anderem die Festlegung des Geltungsbereichs, die Bewertung von KI-Risiken, die Einführung geeigneter Maßnahmen sowie interne Audits und eine Managementbewertung.

Anschließend überprüft eine unabhängige Zertifizierungsstelle, ob das Managementsystem die Anforderungen der ISO 42001 erfüllt.

Die glacier ac GmbH unterstützt Unternehmen beim Aufbau und der Weiterentwicklung eines KI-Managementsystems nach ISO/IEC 42001. Dazu gehören Bestandsaufnahmen, Gap-Analysen, KI-Risikomanagement, die Entwicklung geeigneter Policies und Prozesse sowie die Vorbereitung auf interne und externe Audits.

Dabei berücksichtigen wir bestehende Managementsysteme und relevante regulatorische Anforderungen, insbesondere den EU AI Act.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt – von vernetzter Hardware bis zu Software. Cybersicherheit wird damit zur Voraussetzung für den Marktzugang in der EU. Mehr dazu auf unserer Seite Cyber Resilience Act.

Der CRA ist seit dem 10. Dezember 2024 in Kraft und wird stufenweise anwendbar. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit dem 11. September 2026. Die übrigen Anforderungen, einschließlich der CE-Kennzeichnung, gelten ab dem 11. Dezember 2027.

Ja. Neben Hardware fallen auch eigenständige Softwareprodukte und Apps unter den CRA, sofern sie direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Reine Online-Dienste (SaaS) ohne Produktbezug sind in der Regel nicht erfasst, können aber unter NIS2 fallen.

Ja. Ab dem 11. Dezember 2027 dürfen Produkte mit digitalen Elementen nur noch mit CE-Kennzeichnung auf den EU-Markt gebracht werden, die auch die Cybersicherheitsanforderungen des CRA abdeckt. Je nach Einstufung als Standard-, wichtiges oder kritisches Produkt reicht eine Selbstbewertung oder es ist eine benannte Stelle einzubinden.

Eine Software Bill of Materials (SBOM) ist eine strukturierte Stückliste aller Softwarekomponenten eines Produkts, einschließlich Bibliotheken und Open-Source-Bestandteilen. Der CRA verlangt sie, damit Hersteller Schwachstellen in eingesetzten Komponenten schnell erkennen und beheben können.

Hersteller müssen einen Supportzeitraum festlegen, der sich an der erwarteten Nutzungsdauer des Produkts orientiert. In der Regel beträgt er mindestens fünf Jahre, sofern das Produkt nicht kürzer genutzt wird. In diesem Zeitraum sind Schwachstellen zu behandeln und Sicherheitsupdates bereitzustellen.

Nicht kommerziell bereitgestellte Open-Source-Software ist grundsätzlich ausgenommen. Wer Open-Source-Komponenten jedoch in eigene Produkte integriert und diese vermarktet, trägt als Hersteller die Verantwortung für deren Sicherheit. Für sogenannte Open-Source-Software-Verwalter gelten erleichterte Pflichten.

Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Zudem können Marktüberwachungsbehörden Produkte vom Markt nehmen lassen.

Ja. Ein ISMS nach ISO 27001 schafft wichtige Grundlagen, etwa für Risikomanagement, Schwachstellenmanagement, Lieferantensteuerung und den Umgang mit Sicherheitsvorfällen. Produktbezogene Anforderungen wie Security by Design, SBOM und Konformitätsbewertung kommen jedoch hinzu und müssen gezielt ergänzt werden.

In Deutschland in der Regel dann, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Größe ist ein Datenschutzbeauftragter erforderlich, wenn die Kerntätigkeit umfangreiche oder besonders sensible Datenverarbeitungen umfasst. Die Rolle kann auch extern besetzt werden.

Das Verzeichnis dokumentiert, welche personenbezogenen Daten ein Unternehmen zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Empfängern verarbeitet. Es ist nach DSGVO grundsätzlich Pflicht und bildet die Basis für einen strukturierten Datenschutz.

Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa beim Cloud-Hosting, bei Software-as-a-Service, beim Newsletter-Versand oder bei IT-Support mit Datenzugriff.

Verletzungen des Schutzes personenbezogener Daten müssen in der Regel innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, bei hohem Risiko auch an die Betroffenen. Wichtig ist ein vorab festgelegter Prozess, damit im Ernstfall schnell und richtig gehandelt wird.

Datenschutz verlangt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Genau diese Maßnahmen liefert ein Informationssicherheits-Managementsystem. Beide Themen lassen sich daher gut gemeinsam aufbauen. Mehr dazu auf unserer Themenseite Datenschutz.

Nach dem Hinweisgeberschutzgesetz grundsätzlich alle Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Für bestimmte Branchen, etwa im Finanzbereich, gilt die Pflicht unabhängig von der Größe.

Ja. Die interne Meldestelle kann auch von einem externen Dritten betrieben werden. Die Verantwortung, Hinweisen nachzugehen und Missstände abzustellen, bleibt jedoch beim Unternehmen.

Der Eingang einer Meldung muss spätestens nach sieben Tagen bestätigt werden. Innerhalb von drei Monaten erhält die hinweisgebende Person eine Rückmeldung zu den ergriffenen oder geplanten Folgemaßnahmen.

Nicht zwingend. Entscheidend sind ein vertraulicher Meldekanal, klare Zuständigkeiten und ein sauber dokumentierter Prozess. Welche Lösung passt, hängt von Unternehmensgröße und Meldeaufkommen ab. Mehr dazu auf unserer Themenseite Hinweisgeberschutz.

Die ISO 9001 ist der weltweit verbreitetste Standard für Qualitätsmanagementsysteme. Sie beschreibt, wie Unternehmen ihre Prozesse so steuern, dass Kundenanforderungen zuverlässig erfüllt werden und sich die Organisation kontinuierlich verbessert. Mehr dazu auf unserer Seite ISO 9001.

Nein. Die Norm ist branchenunabhängig und wird ebenso von Dienstleistern, IT-Unternehmen, Agenturen oder Beratungen eingesetzt. Entscheidend ist nicht das Produkt, sondern dass Leistungen verlässlich und nachvollziehbar erbracht werden.

Das Zertifikat ist ein international anerkannter Nachweis, dass ein Lieferant seine Prozesse im Griff hat. Viele Unternehmen und öffentliche Auftraggeber setzen es deshalb in Ausschreibungen und Lieferantenbewertungen voraus.

ISO 9001 richtet sich auf die Qualität von Prozessen und Leistungen, ISO 27001 auf den Schutz von Informationen. Beide folgen derselben Grundstruktur und lassen sich gut in einem integrierten Managementsystem zusammenführen.

Das hängt davon ab, wie strukturiert Ihre Abläufe heute schon sind. Mit einer GAP-Analyse zu Beginn wird schnell klar, was bereits vorhanden ist und welcher Aufwand bis zum Zertifizierungsaudit realistisch ist.

Nein. Die Norm verlangt dokumentierte Informationen nur dort, wo sie für wirksame Prozesse und Nachweise nötig sind. Ein schlankes, gelebtes System ist wertvoller als umfangreiche Handbücher.

Sie weist nach, dass ein Unternehmen seine Umweltaspekte systematisch steuert, rechtliche Umweltpflichten im Blick hat und seine Umweltleistung kontinuierlich verbessert. Immer mehr Kunden und Ausschreibungen verlangen einen solchen Nachweis.

Ja. Beide Normen folgen derselben Grundstruktur. Risikomanagement, interne Audits, Managementbewertung und Dokumentenlenkung können gemeinsam genutzt werden – das spart Aufwand. Mehr dazu auf unserer Themenseite ISO 14001.

Ein sinnvoller Einstieg ist die Bestandsaufnahme: Welche Informationen, Prozesse und Systeme sind kritisch? Darauf aufbauend können Risiken bewertet und geeignete Sicherheitsmaßnahmen definiert werden.

Eine Zertifizierung ist nicht immer erforderlich. In vielen Fällen reicht ein strukturiertes ISMS ohne formale Zertifizierung aus. Gesetzliche oder vertragliche Anforderungen können jedoch eine Zertifizierung notwendig machen.

Ja. Auch kleine Unternehmen sind Ziel von Cyberangriffen und müssen gesetzliche Anforderungen erfüllen. Der Umfang der Maßnahmen sollte jedoch immer risikoorientiert und angemessen gewählt werden.

Die Geschäftsleitung trägt die Gesamtverantwortung für Informationssicherheit. Sie muss Ziele festlegen, Ressourcen bereitstellen und die Umsetzung aktiv unterstützen.

Externe Unterstützung ist sinnvoll, wenn internes Know-how fehlt oder Ressourcen begrenzt sind. Sie hilft dabei, Anforderungen effizient und praxisnah umzusetzen.

Die Dauer hängt von Größe, Komplexität und Ausgangslage des Unternehmens ab. In der Praxis reichen die Zeiträume von wenigen Monaten bis zu einem Jahr.

Richtig umgesetzt, lässt sich Informationssicherheit gut in bestehende Prozesse integrieren. Ziel ist nicht zusätzliche Bürokratie, sondern ein bewusster und strukturierter Umgang mit Risiken.

Ja, und das ist oft der effizienteste Weg. ISO 27001, ISO 42001 und ISO 14001 teilen dieselbe Grundstruktur, und viele Anforderungen aus NIS2, TISAX®, Datenschutz und EU AI Act überschneiden sich. In einem integrierten Managementsystem werden Prozesse einmal aufgebaut und mehrfach genutzt.

Kryptografie ist ein zentraler Bestandteil moderner Informationssicherheit. Sie sorgt dafür, dass Informationen vertraulich übertragen werden können, nicht unbemerkt verändert werden und eindeutig einem Kommunikationspartner zugeordnet werden können. In Unternehmen wird Kryptografie beispielsweise bei der Verschlüsselung von Datenübertragungen (z. B. TLS), bei VPN-Verbindungen, bei der Festplattenverschlüsselung oder bei digitalen Signaturen eingesetzt.

Die ISO 27001 fordert, dass Organisationen geeignete kryptografische Maßnahmen zum Schutz von Informationen einsetzen. Dazu gehören unter anderem Regelungen zur Nutzung von Verschlüsselung, zum sicheren Umgang mit kryptografischen Schlüsseln sowie zur Auswahl geeigneter Verfahren und Schlüssellängen. Welche Maßnahmen konkret erforderlich sind, ergibt sich aus der jeweiligen Risikoanalyse.

Verschlüsselung sollte immer dann eingesetzt werden, wenn sensible oder vertrauliche Informationen gespeichert oder übertragen werden. Typische Einsatzbereiche sind etwa die Absicherung von Internetverbindungen, der Schutz mobiler Geräte, die Verschlüsselung von Datenträgern oder der sichere Austausch von Daten mit Geschäftspartnern.

Auch wenn leistungsfähige Quantencomputer noch nicht verfügbar sind, beschäftigen sich Sicherheitsbehörden und Forschungseinrichtungen bereits intensiv mit sogenannten Post-Quantum-Kryptografieverfahren. Unternehmen sollten daher frühzeitig prüfen, wo in ihrer IT-Infrastruktur kryptografische Verfahren eingesetzt werden und ob diese langfristig angepasst werden müssen. Hintergrund ist unter anderem das Szenario „Store now, decrypt later“, bei dem verschlüsselte Daten heute gesammelt und in Zukunft entschlüsselt werden könnten.

Mehr dazu lesen Sie auch in unserem Blogbeitrag zur Zukunft der Kryptografie im Zeitalter der Quantencomputer.

Kryptoagilität beschreibt die Fähigkeit von IT-Systemen, kryptografische Verfahren oder Schlüssellängen flexibel austauschen zu können. Da sich kryptografische Standards im Laufe der Zeit verändern können, ist es wichtig, dass Systeme so gestaltet sind, dass neue Verfahren ohne grundlegende Systemänderungen eingeführt werden können.

Auch im TISAX-Umfeld spielt der Schutz von Informationen durch geeignete kryptografische Maßnahmen eine wichtige Rolle. Unternehmen müssen sicherstellen, dass vertrauliche Informationen, etwa Entwicklungsdaten oder personenbezogene Daten, angemessen geschützt werden. Dazu gehören beispielsweise sichere Kommunikationsprotokolle, verschlüsselte Datenspeicherung und ein kontrolliertes Schlüsselmanagement.