Eine vernetzte Kamera mit eingebauter Bilderkennung, eine Produktionsanlage mit KI-gestützter Qualitätskontrolle, ein medizinisches Gerät mit selbstlernender Diagnosefunktion: Immer mehr Produkte sind gleichzeitig vernetzt und KI-gestützt. Für Hersteller bedeutet das, zwei Regelwerke gleichzeitig im Blick zu behalten, die aus unterschiedlichen Richtungen auf dasselbe Produkt schauen.
Der Cyber Resilience Act (CRA) verlangt Cybersicherheit über den gesamten Produktlebenszyklus. ISO 42001 ist die internationale Norm für ein KI-Managementsystem. Beide sind eigenständig, aber bei einem KI-gestützten vernetzten Produkt wirken sie auf dasselbe Objekt.
Executive Summary
1. Ausgangslage: zwei Normen, ein Produkt
Der CRA definiert "Produkte mit digitalen Elementen" sehr breit, alles mit Datenverbindung fällt grundsätzlich darunter. ISO 42001 wiederum gilt für Organisationen, die KI-Systeme entwickeln, bereitstellen oder betreiben, unabhängig davon, ob das Produkt vernetzt ist. Ein Produkt kann also beide Kriterien gleichzeitig erfüllen, ohne dass eines der beiden Regelwerke das andere ersetzt.
2. Wer ist betroffen?
- Hersteller vernetzter Geräte mit eingebetteter KI-Funktion, etwa Kameras, Sensorik, Industrieanlagen
- Produktentwicklungsteams, die CRA-Konformität und KI-Governance bislang getrennt bearbeiten
- Geschäftsführung, die Ressourcen für zwei parallele Nachweispflichten einplanen muss
3. Wie hoch ist die Priorität?
Hoch. Der CRA gilt grundsätzlich bereits für alle neu in Verkehr gebrachten Produkte mit digitalen Elementen, die zentralen Meldepflichten greifen ab September 2026. Wer die KI-Komponente seines Produkts nicht separat einordnet, riskiert eine unvollständige Konformitätserklärung.
4. Warum ist das wichtig?
Die beiden Regelwerke verlangen teils unterschiedliche Nachweise für denselben technischen Sachverhalt: Der CRA fragt nach Schwachstellenmanagement und sicherem Design, ISO 42001 nach Risikobewertung und Governance der KI-Komponente selbst. Wer diese Nachweise von Anfang an gemeinsam denkt, vermeidet doppelte Dokumentation für dieselbe technische Komponente.
5. Was muss konkret getan werden?
- ✓ Produkt eindeutig einordnen: vernetzt, KI-gestützt, oder beides
- ✓ Schwachstellenmanagement des CRA und Risikobewertung der ISO 42001 auf denselben technischen Komponenten aufsetzen
- ✓ Konformitätserklärung und ISMS-/KIMS-Dokumentation aufeinander abstimmen, statt getrennt zu pflegen
- ✓ Verantwortlichkeiten klären: wer ist für CRA, wer für ISO 42001 zuständig
BAM Core
CRA und ISO 42001 im selben Datenmodell abbilden
Ein Kontrollen-Set für vernetzte, KI-gestützte Produkte statt zwei getrennter Dokumentationen.
Executable Compliance ansehen →6. Welche Dokumente werden benötigt?
- CRA-Konformitätserklärung und technische Dokumentation
- ISO-42001-Risikobewertung der KI-Komponente
- Gemeinsames Schwachstellen- und Änderungsmanagement-Protokoll
7. BAM-Mapping
| Framework | Kapitel | Kontrolle | Priorität |
|---|---|---|---|
| CRA | Anhang I | Wesentliche Cybersicherheitsanforderungen | hoch |
| ISO 42001 | Klausel 6.1 | Risikobewertung von KI-Systemen | hoch |
| ISO 42001 | Klausel 8 | Betriebliche Steuerung der KI-Komponente | mittel |
8. Unsere Empfehlung
Unsere Empfehlung
- Produkteinordnung als ersten Schritt dokumentieren, bevor Einzelnachweise erstellt werden
- Ein gemeinsames Verantwortlichkeitsmodell für CRA und ISO 42001 statt getrennter Zuständigkeiten
- Schwachstellenmanagement so gestalten, dass es beide Nachweispflichten gleichzeitig bedient
- Bei Unsicherheit zur Einordnung frühzeitig rechtliche Einschätzung einholen
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), Anhang I
- ISO/IEC 42001:2023, Klauseln 6.1 und 8 (KI-Managementsystem)