KI-Frameworks im Vergleich | STOP.LI

STOP.LI · AI Security · Orientierung

FrameworksFür KI richtig kombinieren.

Kein KI-Framework beantwortet alle Fragen. Recht, Risikorahmen, Kontrollkataloge und Angreifermodelle erfüllen unterschiedliche Aufgaben. Diese Seite ordnet die wichtigsten Grundlagen nach Zweck und zeigt, welche Kombination für welche Frage trägt.

Stand: 10. Oktober 2026. Versionen und Daten am Original geprüft. Frei zugängliche Grundlagen sind bevorzugt; kostenpflichtige Normen sind gekennzeichnet.

ISMS-Prozess: 01 Steuerung · 03 Compliance
Zuerst trennen

Fünf Typen,
fünf Aufgaben.

Mehr Frameworks machen den KI-Einsatz nicht sicherer. Entscheidend ist, welche Aufgabe eine Grundlage erfüllt. Wer einen Bedrohungskatalog als Steuerungsrahmen nutzt oder einen Leitfaden mit einer Rechtspflicht verwechselt, baut Lücken ein.

  • Recht: bestimmt Geltung, Rolle, Frist und Nachweis. Beispiel: AI Act.
  • Rahmenwerk: ordnet Verantwortung, Risiko und Verbesserung. Beispiele: NIST AI RMF, ENISA Multilayer Framework.
  • Kontrollkatalog: listet prüfbare Massnahmen. Beispiele: CSA AI Controls Matrix, BSI AIC4, ETSI EN 304 223.
  • Risikokatalog: priorisiert typische Schwachstellen einer Anwendungsart. Beispiele: OWASP Top 10 für LLM- und Agenten-Anwendungen.
  • Taxonomie und Angreifermodell: beschreibt Angriffe mit einheitlichen Begriffen. Beispiele: MITRE ATLAS, NIST AI 100-2.
Vergleichstabelle

Die Grundlagen
im Überblick.

Alle Grundlagen sind gleichrangig aufgeführt. Die Reihenfolge folgt dem Typ, nicht einer Wertung.

Grundlage Herausgeber Art Verbindlich Zugang Zweck Wann einsetzen
AI Act, VO (EU) 2024/1689, geändert durch VO (EU) 2026/1744 EU Recht Ja, EU-Recht. Für CH-Unternehmen bei Inverkehrbringen in der EU oder Nutzung des Outputs in der EU (Art. 2 Abs. 1 Bst. a und c) frei Pflichten nach Rolle und Risikoklasse Immer zuerst: Rolle und Einstufung klären
NIST AI RMF 1.0 (AI 100-1, 01/2023) und AI 600-1 (07/2024) NIST, USA Rahmenwerk Nein, freiwillig frei Risikosteuerung über Govern, Map, Measure, Manage. AI 600-1 ergänzt zwölf Risiken generativer KI Aufbau eines KI-Risikoprogramms, gemeinsame Sprache für Führung und Fachteams
NIST AI 100-2 E2025 (03/2025) NIST, USA Taxonomie Nein frei Begriffe und Klassen adversarialer Angriffe auf prädiktive und generative KI, mit Gegenmassnahmen Einheitliche Begriffe für Tests, Red Teaming und Verträge
OWASP Top 10 for LLM Applications 2026 (03.08.2026) OWASP GenAI Security Project Risikokatalog Nein frei Kritische Risiken von LLM-Anwendungen mit Szenarien und Gegenmassnahmen Entwicklung, Code-Review und Testplanung von LLM-Anwendungen
OWASP Top 10 for Agentic Applications 2026 (09.12.2025) OWASP GenAI Security Project Risikokatalog Nein frei Kritische Risiken autonomer und agentischer KI-Systeme Agenten mit Werkzeugzugriff, Mehragentensysteme, MCP
OWASP Agent Control Standard (01.09.2026) OWASP GenAI Security Project Technischer Kontrollstandard Nein frei, Open Source Middleware-Hooks und deklarative Laufzeitkontrollen für Agentenplattformen Durchsetzungspunkte für Agenten festlegen
OWASP AI Exchange (laufend) OWASP Bedrohungs- und Kontrollkatalog Nein frei Über 300 Seiten Bedrohungen und Kontrollen; fliesst nach eigener Angabe in AI-Act-Normung und ISO-Normen ein Nachschlagewerk für die Kontrollauswahl
MITRE ATLAS (Daten v2026.09, 14.09.2026) MITRE Taxonomie, Angreifermodell Nein frei 16 Taktiken, 120 Techniken, 88 Subtechniken, 40 Mitigations, 73 Fallstudien Threat Modeling, Detection, Red-Team-Szenarien; Anschluss an ATT&CK
ENISA Multilayer Framework for Good Cybersecurity Practices for AI (07.06.2023) ENISA, EU Rahmenwerk Nein frei Drei Schichten: Cybersecurity-Grundlagen, KI-spezifische und sektorspezifische Praktiken KI in ein bestehendes Security-Programm einordnen
BSI AIC4 (2021) und weitere BSI-Publikationen zu KI BSI, DE Kontrollkatalog, Prüfkriterien Nein frei AIC4: Mindestanforderungen an maschinelles Lernen in Cloud-Diensten, Erweiterung des C5, prüfbar. Dazu Kriterienkataloge, u. a. zur Integration externer generativer Modelle und für den Finanzsektor KI-Cloud-Dienste prüfen, externe Modelle einbinden
Guidelines for secure AI system development (27.11.2023) NCSC UK, CISA und Partnerbehörden, darunter BSI Leitfaden Nein frei Empfehlungen in vier Phasen: Design, Entwicklung, Bereitstellung, Betrieb und Wartung Anforderungen an Entwicklung und an Anbieter
CSA AI Controls Matrix v1.1 (22.06.2026) Cloud Security Alliance Kontrollkatalog Nein frei (Download) 247 Kontrollziele in 18 Domänen; Mappings u. a. auf AI Act, BSI AIC4, NIST AI RMF und AI 600-1 Kontrollbasis, Lieferantenfragebogen
ETSI EN 304 223 V2.1.1 (12/2025) ETSI Europäische Norm, Basisanforderungen Nein; nicht als harmonisierte Norm zum AI Act referenziert frei 13 Prinzipien über fünf Phasen von Design bis Ausserbetriebnahme Mindestanforderungen in Verträgen und Entwicklung
ISO/IEC 42001:2023 ISO/IEC JTC 1/SC 42 Managementsystemnorm, zertifizierbar Nein kostenpflichtig KI-Managementsystem; einzige zertifizierbare Norm dieser Art Wenn ein Zertifikat verlangt wird. Frei: NIST AI RMF, Funktion Govern, und CSA AICM
ISO/IEC 23894:2023 ISO/IEC JTC 1/SC 42 Leitfaden Risikomanagement Nein kostenpflichtig KI-Risikomanagement in Anlehnung an ISO 31000 Frei: NIST AI RMF und AI 600-1
ISO/IEC 42005:2025 ISO/IEC JTC 1/SC 42 Leitfaden Folgenabschätzung Nein kostenpflichtig Folgenabschätzung für KI-Systeme Frei: NIST AI RMF, Kategorie Map 5
ISO/IEC 42006:2025 ISO/IEC JTC 1/SC 42 Anforderungen an Prüfstellen Nein kostenpflichtig Anforderungen an Audit- und Zertifizierungsstellen für ISO/IEC 42001 Nur bei Zertifizierung: Akkreditierung der Zertifizierungsstelle prüfen

NIST überarbeitet das AI RMF 1.0 derzeit; Version 1.0 bleibt bis zur Neufassung massgeblich. Die Rangfolge der OWASP-Listen wird hier bewusst nicht wiedergegeben; Kategorien und Rang stehen auf der Seite Bedrohungslandschaft.

Entscheidungshilfe

Welches Framework
für welche Frage.

Beginnen Sie mit der Frage, die als Nächstes entschieden werden muss.

Frage Erste Wahl Ergänzend
Welche Pflichten haben wir? AI Act: Rolle nach Art. 3, Einstufung nach Art. 6 Regulierung DCH für Schweiz und Deutschland
Wie steuern wir KI-Risiken organisationsweit? NIST AI RMF ISO/IEC 42001 (kostenpflichtig), wenn ein Zertifikat gefordert ist
Welche Risiken bringt generative KI? NIST AI 600-1 OWASP Top 10 for LLM Applications 2026
Wie wird unsere KI angegriffen? MITRE ATLAS NIST AI 100-2 für Begriffe, OWASP AI Exchange für Kontrollen
Was prüfen wir vor dem Go-live einer LLM-Anwendung? OWASP Top 10 for LLM Applications 2026 BSI-Kriterienkatalog zur Integration externer generativer Modelle
Wie sichern wir Agenten ab? OWASP Top 10 for Agentic Applications 2026 OWASP Agent Control Standard für Laufzeitkontrollen
Welche Kontrollen verlangen wir vertraglich vom Lieferanten? CSA AI Controls Matrix v1.1 BSI AIC4, ETSI EN 304 223
Wie entwickeln wir KI-Systeme sicher? NCSC/CISA-Guidelines ETSI EN 304 223
Wie binden wir KI ins bestehende ISMS ein? ENISA Multilayer Framework ISMS-Prozesslandkarte
Kombination

Vier Rollen,
ein Programm.

Steuerung

NIST AI RMF als Steuerungsrahmen für Verantwortung, Risikoappetit und Berichterstattung. ISO/IEC 42001 (kostenpflichtig) nur, wenn ein Zertifikat verlangt wird.

Bedrohungen

OWASP-Listen für Anwendungsrisiken, MITRE ATLAS für Angreiferverhalten, NIST AI 100-2 für einheitliche Begriffe.

Kontrollen

CSA AI Controls Matrix oder BSI-Kataloge als prüfbare Kontrollbasis, ergänzt durch ETSI EN 304 223 für Mindestanforderungen.

Pflichten

AI Act für Rolle, Einstufung und Nachweise. In der Schweiz zusätzlich das Datenschutzgesetz, in Deutschland das KI-MIG für die Aufsicht.

Ausgangslage Empfohlene Kombination
Betreiber zugekaufter KI-Dienste, keine Eigenentwicklung AI Act (Betreiberpflichten) + NIST AI RMF, Govern und Map + CSA AICM oder BSI AIC4 für die Lieferantenprüfung
Eigene LLM-Anwendung oder Agenten NIST AI 600-1 + OWASP LLM und Agentic Top 10 + MITRE ATLAS + NCSC/CISA-Guidelines; Agent Control Standard für Laufzeitkontrollen
Anbieter eines Hochrisiko-KI-Systems in der EU AI Act Kapitel III + NIST AI RMF vollständig + harmonisierte Normen, sobald referenziert; ISO/IEC 42001 als Managementsystem prüfen
Mapping

Funktionen
verbinden.

Die Übersicht ordnet die vier NIST-Funktionen den Anforderungen des AI Act für Hochrisiko-KI-Systeme und den OWASP- und ATLAS-Inhalten zu. Sie dient der Orientierung und ersetzt kein vollständiges Mapping.

NIST AI RMF Kern AI Act OWASP und ATLAS
Govern Verantwortung, Richtlinien, Kompetenz, Lieferanten Art. 4 KI-Kompetenz (Kap. I); Art. 17 Qualitätsmanagement und Art. 26 Betreiberpflichten (Kap. III Abschnitt 3) Governance-Kontrollen der OWASP AI Exchange; Agent Control Standard für Agenten-Policies
Map Kontext, Zweck, Einstufung, Auswirkungen Art. 5 Verbote (Kap. II); Art. 6 mit Anhang III Einstufung (Kap. III Abschnitt 1); Art. 9 Abs. 2 Risikoermittlung; Art. 27 Grundrechte-Folgenabschätzung OWASP Top 10 als Risikoliste; ATLAS-Taktiken für Angriffspfade
Measure Testen, Bewerten, Sicherheit und Resilienz (Measure 2.7) Art. 9 Abs. 6 bis 8 Tests; Art. 10 Daten; Art. 15 Genauigkeit, Robustheit, Cybersicherheit (Kap. III Abschnitt 2) OWASP-Angriffsszenarien und ATLAS-Techniken als Testfälle; Begriffe nach NIST AI 100-2
Manage Behandlung, Überwachung nach Einsatz, Vorfälle (Manage 4) Art. 14 Menschliche Aufsicht (Kap. III Abschnitt 2); Art. 50 Transparenz (Kap. IV); Art. 72 Beobachtung und Art. 73 Meldung schwerwiegender Vorfälle (Kap. IX) OWASP-Gegenmassnahmen, ATLAS-Mitigations, Laufzeitkontrollen nach Agent Control Standard

Detaillierte, frei zugängliche Zuordnungen: die AI RMF Crosswalks von NIST, der GenAI Security Industry Framework Crosswalk von OWASP und die Mappings der CSA AI Controls Matrix.

Harmonisierte Normen

Konformität
vermuten.

Nach Art. 40 Abs. 1 AI Act wird die Konformität eines Hochrisiko-KI-Systems mit den Anforderungen von Kapitel III Abschnitt 2 vermutet, soweit es harmonisierten Normen entspricht, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Die Anwendung bleibt freiwillig. Fehlen geeignete Normen, kann die Kommission nach Art. 41 gemeinsame Spezifikationen erlassen.

  • CEN und CENELEC erarbeiten die Normen im Joint Technical Committee 21 (JTC 21). Der Normungsauftrag der Kommission umfasst zehn Bereiche, darunter Risikomanagement, Daten, Protokollierung, menschliche Aufsicht, Robustheit, Cybersicherheit und Qualitätsmanagement.
  • Als erste Norm zum AI Act hat CEN-CENELEC im Juli 2026 die EN 18286:2026 (Qualitätsmanagementsystem nach Art. 17) veröffentlicht; die öffentliche Umfrage lief ab 30.10.2025. Eine Fundstelle im Amtsblatt lag per 10.10.2026 nicht vor.
  • Erst die Fundstelle im Amtsblatt löst die Vermutung aus. Eine Veröffentlichung durch CEN und CENELEC oder eine ISO-Zertifizierung genügt dafür nicht.
  • Die VO (EU) 2026/1744 ergänzt Art. 40 Abs. 2: Die Kommission soll Normen beauftragen, die AI Act und Produktrecht nach Anhang I gemeinsam abdecken.
Haltung und Navigator

Frei zugänglich
zuerst.

STOP.LI stützt sich wo möglich auf frei zugängliche Grundlagen. Sie decken Steuerung, Bedrohungen und Kontrollen ab und lassen sich ohne Lizenzkosten im ganzen Unternehmen teilen. ISO/IEC-Normen sind kostenpflichtig und werden genannt, wo sie fachlich nötig sind, etwa für eine Zertifizierung. Allgemeine Security-Frameworks wie NIST CSF 2.0, CIS Controls oder MITRE ATT&CK ordnet der Framework Navigator.

Einordnung und Quellen

Zitierte Fremdinhalte unterliegen der Lizenz ihrer Herausgeber. Die Seite ist eine Orientierung, keine Rechtsberatung.

© 2026 4T2 Solutions GmbH. Text und eigene Diagramme stehen unter CC BY 4.0.

Zurück zur Übersicht AI Security →