KI im ISMS? Wir haben da mal einen Baustein gebaut

Mon­tag­mor­gen, der Kaf­fee ist noch heiß. Der Daten­schutz Dude scrollt durch die Update-Noti­zen der Office-Suite.

Dude: Cipher, rat mal, was seit dem letz­ten Update im Text­pro­gramm steckt.

Cipher: Ein KI-Assis­tent, der alles zusam­men­fasst, was er in die Fin­ger kriegt. Und kei­ner hat gefragt.

Dude: Bin­go. Und dann kommt die ISB und will wis­sen, wel­cher Grund­schutz-Bau­stein dafür gilt.

Cipher: Kei­ner. Das Kom­pen­di­um hat für KI bis­lang nichts im Angebot.

Genau da set­zen wir an. KI ist in Behör­den, Kom­mu­nen und Unter­neh­men längst All­tag: als Chat­bot, als Über­set­zer, ein­ge­bet­tet in Fach­an­wen­dun­gen, Brow­ser und Video­kon­fe­ren­zen. Gleich­zei­tig zie­hen die Pflich­ten an. Die KI-Kom­pe­tenz nach Art. 4 KI-VO gilt seit Febru­ar 2025, Trans­pa­renz­pflich­ten seit August 2026. Wei­te­re Ver­bo­te kom­men im Dezem­ber 2026, die Regeln für Hoch­ri­si­ko-Anwen­dun­gen im Dezem­ber 2027.

Wer ein ISMS nach IT-Grund­schutz betreibt, braucht dafür eine Ant­wort. Also haben wir eine gebaut.

OPS.bd.1 Ein­satz von Künst­li­cher Intelligenz

Cipher: Wie­so OPS und nicht APP? KI ist doch eine Anwendung.

Dude: Weil du sonst für jedes Tool den Bau­stein neu model­lierst. Und doku­men­tierst dir einen Wolf. OPS kommt ein­mal auf den Ver­bund, gesteu­ert wird je Anwen­dung über das KI-Register.

Cipher: Klingt nach weni­ger Liegestuhl-Verlust.

Dude: Smi­le

Das steckt drin:

• 33 Anfor­de­run­gen in Basis, Stan­dard und erhöh­tem Schutzbedarf
• Ein Bau­stein für Nut­zung und Eigen­be­trieb, gekenn­zeich­net im Titel der Anforderungen
• Erläu­te­run­gen direkt bei den Anfor­de­run­gen, kei­ne sepa­ra­ten Umsetzungshinweise
• Hin­wei­se für öffent­li­che Stel­len, etwa zum Ver­wal­tungs­ver­fah­rens­recht, und für Unter­neh­men, etwa zur Mit­be­stim­mung nach BetrVG
• Kreuz­re­fe­renz­ta­bel­le zu den ele­men­ta­ren Gefähr­dun­gen für die Risi­ko­ana­ly­se nach BSI-Stan­dard 200–3

Dude: Und das Frei­ga­be­ver­fah­ren hat einen Min­dest­grund­satz: Nichts geht am Mon­tag live, wenn ISB und DSB erst am Frei­tag­nach­mit­tag davon erfahren.

Cipher: End­lich steh​t’s mal schwarz auf weiß.

Com­mu­ni­ty Draft heißt: Du bist gefragt

Ver­si­on 0.3 ist so gut es geht aus­ge­ar­bei­tet und gegen Pri­mär­quel­len geprüft. Final ist sie trotz­dem nicht. Wir wol­len wis­sen, was in der Pra­xis klemmt: Fehlt eine Anfor­de­rung? Passt eine Ein­stu­fung nicht? Ist etwas unver­ständ­lich? Aber es soll kein Mons­trum für tau­send Even­tua­li­tä­ten werden 🙂

Cipher: Und bit­te kein „KI ist doof“​-Feed​back. Kon­kret hilft.

Dude: Kon­kret und gern mit Kaffee.

Rück­mel­dun­gen bit­te an info@​ask-​informationssicherheit.​de 

Klein­ge­druck­tes, aber kurz

Der Bau­stein ist eine Hil­fe­stel­lung der a​.​s​.​k. Infor­ma­ti­ons­si­cher­heit, kein offi­zi­el­ler BSI-Bau­stein. Du darfst ihn kos­ten­frei nut­zen und unver­än­dert wei­ter­ge­ben, auch in der Bera­tung. Intern darfst du ihn anpas­sen. Wei­ter­ver­kau­fen darfst du ihn nicht.

Wei­te­re Infos: KI-Bau­stein OPS.bd.1 auf ask​-infor​ma​ti​ons​si​cher​heit​.de

Dude: Und jetzt?

Cipher: Run­ter­la­den, ins ISMS packen, Feed­back schi­cken. In der Reihenfolge.