Start/Wissen
Wissen
ISMS mit KI aufgebaut? Die 7 Stellen, an denen es im Audit auffällt
Immer mehr Unternehmen bauen ihre ISO-27001-Dokumentation mit KI auf. Das ist kein Fehler — es spart Wochen, und die Ergebnisse sehen gut aus. Genau das ist das Problem: Generierte Dokumente sind typischerweise vollständig, aber nicht stimmig. Ein Auditor erkennt das nicht am Schreibstil. Er erkennt es daran, dass Dinge nicht zusammenpassen, die zusammenpassen müssen.
Ein Zertifizierungsauditor prüft keine Texte, sondern Zusammenhänge: Risiko → Maßnahme → Begründung → Nachweis → gelebte Praxis. Generierte Dokumentation reißt diese Kette an vorhersehbaren Stellen.
Das Risikoregister kennt dein Geschäft nicht
Generierte Register nennen die üblichen Verdächtigen — Phishing, Ransomware, Stromausfall — aber nicht das eine Risiko, das deinen Betrieb wirklich trifft: die Schnittstelle zum größten Kunden, den einen Admin, der alles kann, den Aktenschrank im Flur. Ein Auditor fragt nach genau solchen Punkten. Steht davon nichts im Register, ist die Risikoanalyse erkennbar nicht aus dem Unternehmen heraus entstanden.
Die Anwendbarkeitserklärung widerspricht dem Register
Die SoA begründet Ausschlüsse, die das Risikoregister eigentlich nötig macht — oder erklärt Controls für anwendbar, zu denen es keine Maßnahme gibt. Diese Querverbindung ist das erste, was geprüft wird, weil sie sich nicht generieren lässt, ohne beide Dokumente gleichzeitig zu denken.
Maßnahmen sind ‚umgesetzt‘ — Nachweise fehlen
Die Richtlinie existiert, das Häkchen steht auf ‚umgesetzt‘. Aber es gibt kein Schulungsprotokoll, kein Log, keinen Wiederanlauftest, kein datiertes Ticket. Papier ohne Spur ist für einen Auditor keine Umsetzung, sondern eine Absichtserklärung.
Die Leitlinie verspricht Prozesse, die niemand kennt
Im Audit werden Mitarbeitende befragt. Wenn die Leitlinie ein Meldeverfahren für Sicherheitsvorfälle beschreibt und die befragte Kollegin noch nie davon gehört hat, ist der Bruch dokumentiert — freundlich formuliert als ‚Abweichung‘.
Kennzahlen sind definiert, aber nie gemessen
Generierte ISMS-Handbücher definieren gern ambitionierte KPIs. Kapitel 9.1 der Norm verlangt aber Messung und Bewertung — also Zahlen mit Datum. Ein KPI ohne einen einzigen Messwert ist ein Eigentor: Er beweist, dass das System nicht gelebt wird.
Internes Audit und Managementbewertung sind Textbausteine
Beides ist Pflicht (9.2, 9.3) — und beides lässt sich nicht rückwirkend generieren, ohne aufzufallen: Ein internes Audit ohne Feststellungen, eine Managementbewertung ohne Entscheidungen und ohne Bezug zu echten Vorfällen liest sich wie das, was es ist.
Alle Dokumente sind vom selben Tag
Version 1.0, überall dasselbe Erstelldatum, keine Änderungshistorie, identische Freigabevermerke. Ein ISMS wächst über Monate — eine Dokumentenlenkung, die das nicht zeigt, sagt dem Auditor, wie alt das System wirklich ist.
Was daraus folgt — und was nicht
Die Konsequenz ist nicht, auf KI zu verzichten. Die Konsequenz ist, den Aufbau und die Prüfung zu trennen: KI beschleunigt das Schreiben, aber die Durchgängigkeit — vom Risiko bis zum gelebten Nachweis — muss jemand herstellen und prüfen, der weiß, wonach ein Auditor sucht. Wer die sieben Punkte oben selbst gegen die eigene Dokumentation hält, findet die meisten Brüche ohne fremde Hilfe. Für den Rest gibt es die Prüfung vor der Prüfung.
Dieser Artikel beschreibt typische Auditfeststellungen, ersetzt aber keine Beratung im Einzelfall. Ob ein konkretes ISMS zertifizierungsreif ist, zeigt nur die Prüfung gegen die Norm.
Häufige Fragen
Erkennen Auditoren KI-generierte Dokumente?
Nicht am Stil — und sie suchen auch nicht danach. Sie prüfen Zusammenhänge und Nachweise. Generierte Dokumentation fällt auf, weil die Kette Risiko → Maßnahme → Nachweis an typischen Stellen reißt, nicht weil ein Text ‚nach KI klingt‘.
Darf man ein ISMS überhaupt mit KI aufbauen?
Ja. Die Norm schreibt nicht vor, wie Dokumente entstehen — sie verlangt, dass das System zum Unternehmen passt, gelebt wird und nachweisbar ist. Genau daran wird gemessen, nicht am Werkzeug.
Wie lange dauert es, die 7 Punkte zu reparieren?
Hängt vom Zustand ab. Häufig sind es zwei bis sechs Wochen konzentrierter Arbeit: Register erden, SoA abgleichen, Nachweise nachziehen, Messwerte erzeugen, internes Audit echt durchführen. Ein Zertifizierungsreife-Check liefert vorher die priorisierte Liste.
Änderungsprotokoll
19.08.2026 — Erstfassung.
Das Thema betrifft deinen Betrieb?
Dann ist das hier die passende Seite dazu — mit Umfang, Ablauf und Festpreis.
Fünfzehn Minuten, dann weißt du, ob das bei dir trägt.
