BSI A5: die staatliche KI-Prüfarchitektur und ihre Lücke

In Deutschland entsteht gerade eine Prüfarchitektur für KI-Systeme, und die meisten Mittelständler haben noch nie davon gehört. Sie heißt A5, kommt vom Bundesamt für Sicherheit in der Informationstechnik und liegt als Entwurf zur Kommentierung vor. Wer heute überlegt, wie er die Vertrauenswürdigkeit seiner KI später einmal belegen soll, sollte sie kennen. Nicht weil sie schon gilt, sondern weil sie eine Lücke hat, die genau dort sitzt, wo der Mittelstand steht.

Was A5 ist, und was es noch nicht ist

A5 steht für AI Audit and Assurance Assessment Architecture. Eine Vorbemerkung zur Abkürzung, weil der Hinweis darauf oft über britische Kollegen kommt: BSI ist hier nicht die British Standards Institution, sondern das deutsche Bundesamt für Sicherheit in der Informationstechnik. Eine Behörde, kein Normungsinstitut. Gleiche drei Buchstaben, völlig andere Rolle.

Und das Wichtigste zuerst: A5 ist ein Community Draft. Ein Entwurf, zu dem die Fachwelt Rückmeldung geben kann. Es gibt heute keine Zertifizierung nach A5, kein Testat, keinen Nachweis, den Sie einem Kunden vorlegen könnten. Wer Ihnen etwas anderes verkauft, hat den Stand nicht geprüft.

Ein Entwurfsstand ist trotzdem kein Grund wegzusehen, und zwar aus einem nüchternen Grund: Er zeigt Ihnen die Richtung, bevor sie verbindlich wird. Wer heute liest, welche Nachweise eine Prüfarchitektur später sehen will, kann seine Aufzeichnungen danach ausrichten, solange das noch nichts kostet. Wer wartet, bis der Katalog fertig ist, sammelt Belege rückwirkend, und rückwirkend gibt es viele Belege nicht mehr. Protokolle, die nie geschrieben wurden, lassen sich nicht nachholen.

Ein Entwurf ist keine Anforderung. Aber ein Entwurf, der von einer Bundesbehörde kommt und auf einem etablierten Prüfkatalog aufsetzt, ist auch keine Fingerübung.

Woher die Methodik kommt, und warum das viel erklärt

A5 erfindet das Prüfen nicht neu. Es übernimmt die Methodik des C5, also des Kriterienkatalogs, den das BSI für Cloud-Dienste etabliert hat, und stützt sich auf den internationalen Prüfungsstandard ISAE 3000. Das ist eine Entscheidung mit Folgen, und sie erklärt fast alles Weitere.

ISAE 3000 ist die Welt der Prüfungs- und Bestätigungsleistungen, in der ein Prüfer ein Testat über einen Sachverhalt abgibt. In Deutschland ist das traditionell die Welt der Wirtschaftsprüfer. Die ISO-Welt funktioniert anders: Dort zertifiziert eine akkreditierte Zertifizierungsstelle ein Managementsystem nach den Regeln der ISO/IEC 17021-1, für KI-Managementsysteme ergänzt um die ISO/IEC 42006.

Zwei Nachweiswelten also, die beide legitim sind und beide etwas anderes bezeugen. Die eine bestätigt einen Sachverhalt zu einem Zeitpunkt oder über einen Zeitraum. Die andere bestätigt, dass ein System da ist, gelebt und verbessert wird. Wer beides braucht, prüft zweimal.

Für die Praxis ist der Unterschied handfester, als er klingt. Ein Testat nach der Prüfungslogik beantwortet die Frage: Hat dieses System in diesem Zeitraum diese Kriterien erfüllt? Eine Zertifizierung beantwortet: Hat diese Organisation ein Verfahren, das solche Fragen dauerhaft beantwortbar hält? Das erste ist eine Momentaufnahme mit Prüfsiegel, das zweite eine Zusage über die Zukunft. Kunden fragen meistens nach dem zweiten und meinen das erste, und umgekehrt.

Aus der letzten Zeile folgt die praktische Antwort auf die Frage, die mir in Gesprächen gerade häufig gestellt wird: Soll ich mit der 42001 warten, bis A5 fertig ist? Nein. Sie können sich heute nicht nach etwas prüfen lassen, das es noch nicht gibt, und die Vorarbeit ist in beiden Welten dieselbe. Aufzeichnungen, Rollen, Risikoverfahren und Lieferantensteuerung braucht jede Prüfung, egal aus welcher Tradition sie kommt.

Die Lücke: die ISO/IEC 42001 kommt nicht vor

Ich habe die A5-Seite des BSI am 17. August 2026 daraufhin gelesen. Als regulatorischer Rahmen werden der EU AI Act und der Cyber Resilience Act genannt, methodisch das C5 und ISAE 3000. Die ISO/IEC 42001, also die internationale Norm für KI-Managementsysteme, wird nicht erwähnt.

Das ist kein Vorwurf, ein Entwurf darf Lücken haben, dafür ist die Kommentierung da. Aber es ist ein praktisches Problem für jeden, der schon losgelaufen ist. Wenn Sie heute ein AIMS nach ISO/IEC 42001 aufbauen, haben Sie eine KI-Politik, ein Risikoverfahren, eine Folgenabschätzung, Lieferantenverfahren und Aufzeichnungen. Das ist genau der Stoff, aus dem eine A5-Prüfung ihre Nachweise ziehen würde. Ohne eine Zuordnung zwischen beiden müssen Sie diesen Stoff zweimal aufbereiten, einmal für die Norm und einmal für die Prüfarchitektur.

Eine Abbildung der A5-Kriterien auf die Klauseln und Anhang-A-Maßnahmen der 42001 wäre also kein Luxus, sondern der Unterschied zwischen einem Nachweis und zwei Nachweisen. Genau das ist ein Punkt, den man im Rahmen der Kommentierung anmerken kann.

Es geht dabei nicht um Bequemlichkeit, sondern um eine Erfahrung aus jedem integrierten Managementsystem: Doppelte Nachweisführung wird nicht doppelt gepflegt. Sie wird einmal gepflegt und einmal vergessen, und welche der beiden Fassungen aktuell ist, weiß nach einem Jahr niemand mehr. Wer zwei Nachweiswege nebeneinander betreibt, ohne sie zu verbinden, hat am Ende nicht doppelte Sicherheit, sondern einen zusätzlichen Widerspruch, den ein Auditor findet.

Dieselbe Frage stellt sich übrigens auch in die andere Richtung. Wenn eine Organisation ein Testat nach der C5-Systematik für ihre Cloud hat, wie viel davon lässt sich in einem 42001-Audit als Nachweis verwenden? Diese Anschlussfragen entscheiden darüber, ob eine Prüfarchitektur den Aufwand im Markt senkt oder erhöht. In der Entwurfsphase kann man sie stellen, danach nicht mehr.

Zwei Module, und für wen sie gedacht sind

A5 ist modular aufgebaut. Bislang liegen zwei Module vor: ein horizontales Basismodul zur Vertrauenswürdigkeit, das technologie- und anwendungsunabhängig gedacht ist, und ein Betriebsmodul für die Cloud-Infrastruktur mit Querverbindung zum C5.

Sehen Sie sich diese Aufteilung genau an, dann sehen Sie, wo Sie stehen. Ein Anbieter, der ein KI-System entwickelt und in einer eigenen Cloud betreibt, findet sich in beiden Modulen wieder. Ein mittelständischer Betrieb, der ein zugekauftes KI-System einsetzt, findet sich vor allem im Basismodul und ansonsten nicht. Für die Rolle, in der die allermeisten Unternehmen tatsächlich sind, nämlich Betreiber eines fremden Systems, fehlt bislang das passende Modul.

Das ist wichtig, weil die Pflichtenlage genau an dieser Rolle hängt. Die KI-Verordnung unterscheidet in Artikel 25 und Artikel 26 sauber zwischen den Verantwortlichkeiten entlang der Wertschöpfungskette und den Pflichten der Betreiber. Eine Prüfarchitektur, die vor allem Anbieter und Cloud-Betrieb adressiert, lässt die größere Gruppe zunächst außen vor.

Auch das ist kein Grund zur Untätigkeit, sondern eine Ansage, worauf Sie sich vorbereiten. Ein Betreiber wird an anderen Dingen gemessen als ein Entwickler: an der bestimmungsgemäßen Nutzung, an der menschlichen Aufsicht, an der Einweisung der eigenen Leute, an der Überwachung des laufenden Betriebs und daran, ob er merkt, wenn sein Anbieter etwas ändert. Diese Punkte stehen heute schon in der KI-Verordnung und in der ISO/IEC 42001. Wer sie ordnet, ordnet damit auch das, was eine spätere Prüfung von ihm sehen will.

Was Sie jetzt konkret tun sollten

• Den Stand kennen und richtig einordnen: A5 ist ein Entwurf. Es gibt heute keine A5-Zertifizierung, und niemand kann eine verlangen.
• Nicht warten. Der pragmatische Weg zum Nachweis führt weiter über ein Managementsystem nach ISO/IEC 42001, ergänzt um die Pflichten aus der KI-Verordnung. Wer das hat, ist auf jede Prüfarchitektur besser vorbereitet als jemand, der auf den fertigen Katalog wartet.
• Die eigene Rolle bestimmen. Anbieter, Betreiber oder Händler entscheidet darüber, welcher Teil einer künftigen Prüfung Sie überhaupt betrifft.
• Wenn Sie fachlich betroffen sind: kommentieren. Die Kommentierungsfrist des Community Draft endet am 31. August 2026, Rückmeldungen gehen per Kommentierungsbogen an das BSI. Ein Entwurf, zu dem nur Großanbieter Rückmeldung geben, wird ein Katalog für Großanbieter.

Der letzte Punkt ist der, den ich am ehesten unterschätzt sehe. Bei Normen und Katalogen entscheidet sich in der Entwurfsphase, für wen sie am Ende praktikabel sind. Wer in dieser Phase schweigt, darf sich später nicht wundern, dass der fertige Katalog Verhältnisse voraussetzt, die er nicht hat.

Meine Einordnung als Auditor, und die ist unaufgeregt: A5 ist eine gute Nachricht. Eine staatliche Stelle baut eine Methodik, die auf einem bewährten Katalog aufsetzt, statt etwas Neues zu erfinden. Dass die 42001 darin heute nicht vorkommt, ist eine Lücke des Entwurfs und kein Urteil über die Norm. Bis sie geschlossen ist, gilt für die Praxis, was vorher galt: Wer seine KI ordentlich führt, dokumentiert und nachweist, ist vorbereitet. Wer auf den fertigen Katalog wartet, verliert die Zeit, die er später nicht mehr hat.