ISO/IEC 27090 soll KI-Systeme sicher machen

Die Normungsorganisationen ISO und IEC haben ISO/IEC 27090 "Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems" veröffentlicht. Der 56 Seiten starke Erstausgabe stammt aus dem Unterkomitee JTC 1/SC 27, das auch die ISO/IEC-27000-Reihe verantwortet. Sie beschreibt Sicherheitsbedrohungen, die nur bei KI-Systemen auftreten, erläutert deren Folgen und nennt Maßnahmen zur Erkennung und Abwehr. Ein Zertifikat gibt es nicht: Die 27090 ist ein Leitfaden ohne Anforderungscharakter.

Zu den behandelten Angriffsklassen gehören Data Poisoning, die Manipulation von Modellgewichten, Evasion-Angriffe mit präparierten Eingaben, Model Extraction über Schnittstellen, Membership Inference und Model Inversion sowie Prompt Injection und Angriffe über Modellausgaben. Ein Anhang ordnet die Angriffe den Phasen des KI-Lebenszyklus und den betroffenen Assets zu, ein zweiter beschreibt KI-Varianten herkömmlicher Angriffe.

Ergänzung von bestehenden Normen

Die Norm versteht sich als Ergänzung zu ISO/IEC 27001 und 27002. Sie zeigt, wo klassische Maßnahmen weiter greifen und wo Modelle, Trainingsdaten und ML-Pipelines zusätzlichen Schutz brauchen. Damit füllt sie die Lücke, die die zertifizierbare Managementsystem-Norm ISO/IEC 42001 offen lässt, deren Anhang A zwar Sicherheitsmaßnahmen für KI-Systeme verlangt, aber keine Angriffe benennt. Das Schwesterdokument ISO/IEC 27091 zum Schutz der Privatsphäre in KI-Systemen befindet sich im Final-Draft-Stadium.

Für europäische Anbieter ändert die Veröffentlichung an der Rechtslage nichts. Eine Konformitätsvermutung nach KI-Verordnung oder Cyber Resilience Act erzeugt die 27090 nicht; dafür arbeitet CEN/CENELEC JTC 21 an der harmonisierten Norm prEN 18282 zur Cybersicherheit von KI-Systemen, die weiterhin im Entwurf steht. Parallel dazu hat ETSI die TS 104 223 veröffentlicht. Ein Mapping zwischen den drei Dokumenten existiert bisher nicht.

Die Organisation hatte das Projekt im September 2022 angenommen, der Committee Draft folgte im Januar 2024, die DIS-Abstimmung endete im Juli 2025. Agentische KI-Systeme, die Zugriff auf Werkzeuge haben, behandelt die Erstausgabe nur am Rande. Die Norm ist ausschließlich auf Englisch erhältlich und kostet 204 Schweizer Franken als PDF oder gedruckt.