ISO 27001 MCP Server: ein ISMS mit KI Assistent führen
Ein ISO 27001 MCP Server ist der Anschluss, über den ein KI Assistent in dem Werkzeug arbeitet, in dem Ihr ISMS liegt. Der Assistent kann Inventar, Lieferanten und Risikoregister pflegen und Entwürfe schreiben. Managementbewertung, Annahme der Restrisiken und Zertifikat bleiben bei Menschen. nisd2.eu ist kein Zertifizierungswerkzeug: Sein MCP Server arbeitet im NIS 2 Durchgang.
Was ist ein ISO 27001 MCP Server?
MCP steht für Model Context Protocol. Das ist ein offener Standard, über den ein KI Assistent wie Claude oder Copilot ein anderes Programm benutzt: Er liest dort Daten und ruft Funktionen auf. Ein ISO 27001 MCP Server ist der MCP Server eines Werkzeugs, in dem ein Unternehmen sein ISMS führt, also sein Managementsystem für Informationssicherheit.
Es gibt zwei Arten. Ein Wissensserver beantwortet Fragen zur Norm und kennt Ihr Unternehmen nicht. Der Server Ihres eigenen Werkzeugs liest Ihre Unterlagen und schreibt, je nach Anbieter, auch hinein. Arbeit in Ihren eigenen Listen nimmt Ihnen nur die zweite Art ab.
Der MCP Server von nisd2.eu ist von der zweiten Art. Er arbeitet im NIS 2 Durchgang, und der führt kein ISMS nach ISO 27001.
Was kann ein KI Assistent in einem ISMS pflegen?
ISO 27001 ist kostenpflichtig. Nummern, Titel und Inhalte der Norm geben wir hier so wieder, wie das Datenmodell von nisd2.eu sie führt. Die Maßnahmen im Anhang A der Norm heißen dort Controls.
Ein Assistent pflegt vor allem Listen, deren Angaben schon an anderer Stelle stehen. Das Inventar der Informationen und zugehörigen Assets (Control A.5.9) stellt er aus einer vorhandenen Inventarliste und Ihren Rechnungen zusammen. Die Lieferanten und das, was ihre Verträge zur Sicherheit regeln (A.5.19 und A.5.20), liest er aus der Kreditorenliste und den Verträgen.
Im Risikoregister (Abschnitte 8.2 und 8.3) schlägt er für jeden Eintrag vor, wie oft ein Schaden eintreten kann und wie groß er wäre. Er entwirft Richtlinien und eine erste Fassung der Erklärung zur Anwendbarkeit (Statement of Applicability), die unser Datenmodell der Risikobehandlung zuordnet.
Das alles sind Entwürfe. Ein Assistent kennt Ihr Unternehmen aus dem, was er lesen darf und was Sie ihm sagen. Ob ein Eintrag stimmt, prüft jemand, der den Betrieb kennt.
Was die Norm der Leitung und den Risikoeigentümern lässt
Nach unserem Datenmodell überprüft die oberste Leitung das ISMS in geplanten Abständen, anhand von Auditergebnissen, Kennzahlen, Vorfällen und Änderungen (Managementbewertung, Abschnitt 9.3). Nach Abschnitt 5.1 genehmigt sie die Leitlinie und stellt die Mittel bereit.
Den Plan zur Risikobehandlung und die Restrisiken akzeptieren nach Abschnitt 6.1.3 die Risikoeigentümer, also die Personen, die für ein Risiko verantwortlich sind.
NIS 2 setzt bei der Leitung an: Die Leitungsorgane billigen die Maßnahmen und überwachen ihre Umsetzung (Art. 20 Abs. 1 NIS 2). Für bestimmte digitale Dienste, etwa Cloud und Rechenzentren, wird die Durchführungsverordnung (EU) 2024/2690 genauer. Dort nehmen die Leitungsorgane die Ergebnisse der Risikobewertung und die Restrisiken an, oder verantwortliche Personen, die Risiken steuern dürfen und der Leitung berichten (Anhang Nr. 2.1.1).
Ein Assistent kann die Unterlagen für die Managementbewertung zusammenstellen. Bewerten, akzeptieren und genehmigen bleibt bei den Menschen, die Norm und Gesetz dafür nennen.
ISO/IEC 27001:2022 Abschnitte 5.1, 6.1.3, 9.3 · Art. 20 Abs. 1 NIS 2
Wer stellt das ISO 27001 Zertifikat aus?
Eine Zertifizierungsstelle, nach einem Audit. In Deutschland akkreditiert die Deutsche Akkreditierungsstelle (DAkkS) solche Stellen; sie beschreibt sich selbst als nationale Akkreditierungsstelle. Eine Urkundenanlage der DAkkS für eine Zertifizierungsstelle nennt als Maßstab ISO/IEC 17021-1 und ISO/IEC 27006-1. Die zweite Norm enthält die Anforderungen an Stellen, die Informationssicherheitsmanagementsysteme auditieren und zertifizieren.
Ob eine Stelle für ISO 27001 akkreditiert ist, zeigt die Datenbank akkreditierter Stellen auf dakks.de. Das Audit ersetzt weder ein Assistent noch ein Werkzeug, auch nisd2.eu nicht: Es führt durch die Pflichten aus NIS 2.
Wo sich der NIS 2 Durchgang und ISO 27001 überschneiden
Die ENISA, die Cybersicherheitsagentur der EU, ordnet in einer Tabelle (Version 1.2 vom 21. August 2025) jedem Punkt im Anhang der Durchführungsverordnung (EU) 2024/2690 Stellen aus ISO 27001:2022 zu. Dem Inventar (Anhang Nr. 12.4) etwa A.5.9, dem Rahmen für das Risikomanagement (Nr. 2.1) unter anderem 6.1.3, 8.2 und 8.3, der Wirksamkeit der Maßnahmen (Nr. 7.1) unter anderem 9.3.
Auf dem Deckblatt schreibt die ENISA, die Tabelle solle nicht als Maß für Gleichwertigkeit verstanden werden. Sie nenne einschlägige Stellen, ohne zu prüfen, ob diese die Anforderungen der Verordnung vollständig abdecken.
Unsere Zuordnung im Datenmodell von nisd2.eu stellt die Punkte des Durchgangs daneben: 2.2 zu A.5.9, 2.3 zu 8.2 und 8.3, 5.2 zu A.5.20, 6.3 zu A.8.8, 4.4 zu A.8.13 und 7.3 zu 9.3. Sie ist unsere Lesart und keine Aussage einer Zertifizierungsstelle. Für ein ISO 27001 Projekt sind diese Listen ein Anfang.
ENISA Mapping table v1.2 · Anhang CIR 2024/2690
So geht das im Durchgang
Die Listen, auf denen ein ISMS aufbaut, entstehen im Durchgang in 2.2 und 2.3; in 7.3 sieht die Geschäftsführung die Risikokarte daraus.
2.2 Aufschreiben, was Ihr Unternehmen hat: Der Assistent hakt an, was Ihr Inventar zeigt, und trägt bei „Welches Programm genau, und von wem?“ das Produkt und den Anbieter ein. Sie prüfen die Liste und schließen 2.2 ab.
2.3 Risiken bewerten: Er schlägt auf „Ihre Programme bewerten“, „Ihre Technik und Räume bewerten“ und „Ihre Lieferanten bewerten“ Häufigkeit und Schaden vor. Die Karte „Ihre Risiken auf einen Blick“ rechnet die App daraus, und dort ändern Sie, was nicht passt.
7.3 Die Managementbewertung festhalten: Hier füllt kein Assistent etwas aus. Eine Person trägt die Bewertung ein, und die Geschäftsführung gibt die Dokumente frei, angemeldet mit ihrem eigenen Zugang.
Auf jedem Bildschirm, den ein Assistent geschrieben hat, stehen sein Name und der Tag, etwa „Am 16. Oktober 2026 vom Assistenten claude-code/2.1.287 eingetragen“.
Häufige Fragen
Kann eine KI die Erklärung zur Anwendbarkeit für ISO 27001 erstellen?
Einen Entwurf, ja. Unser Datenmodell ordnet die Erklärung zur Anwendbarkeit der Risikobehandlung zu (Abschnitt 8.3), und aus Ihrem Risikoregister kann ein Assistent eine erste Fassung ableiten. Wie Sie Ihre Risiken behandeln, entscheiden Menschen, und davon hängt die Erklärung ab.
Akzeptieren Auditoren ISO 27001 Dokumente, die eine KI geschrieben hat?
Eine Regel dazu haben wir nicht gefunden, soweit wir das prüfen konnten (Stand Oktober 2026). Ob ein Auditor solche Dokumente annimmt, können wir deshalb nicht sagen. ComplianceForge, ein Anbieter von Vorlagen und damit nicht neutral, schreibt, dass Auditoren Dokumente mit der Wirklichkeit vergleichen. Prüfen Sie deshalb vor allem, ob Ihr Betrieb tut, was der Text sagt.
Ist ISO 27001 für NIS 2 Pflicht?
Die NIS 2 Richtlinie schreibt kein ISO 27001 Zertifikat vor. Sie verlangt, bei den Maßnahmen den Stand der Technik und gegebenenfalls einschlägige europäische und internationale Normen zu berücksichtigen (Art. 21 Abs. 1). Die Mitgliedstaaten fördern die Anwendung solcher Normen (Art. 25).
Ersetzt der NIS 2 Durchgang ein ISMS nach ISO 27001?
Nein. Der Durchgang hält fest, was die Pflichten aus NIS 2 verlangen, und endet mit der Freigabe durch die Geschäftsführung in 7.3. Erklärung zur Anwendbarkeit, internes Auditprogramm und Zertifizierung gehören nicht dazu. Seine Listen und Dokumente können Sie für ein ISMS weiterverwenden.
Welche ISMS Tools haben einen MCP Server?
Mehrere Anbieter von Werkzeugen für Governance, Risiko und Compliance bieten MCP Server an, mit unterschiedlichen Rechten zum Lesen, Schreiben und Löschen. Unser Vergleich der Compliance MCP Server stellt sie nebeneinander, Stand Oktober 2026. Prüfen Sie bei jedem, ob ein Assistent auch freigeben oder löschen darf.
Weiterlesen
Quellen
- ENISA, Technical Implementation Guidance, Mapping table Version 1.2 vom 21.08.2025 (Deckblatt und Tabelle), enisa.europa.eu
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 20, 21 und 25, EUR-Lex (CELEX 32022L2555)
- Durchführungsverordnung (EU) 2024/2690, Art. 1 und Anhang Nr. 2.1.1, EUR-Lex (CELEX 32024R2690)
- DAkkS, dakks.de: Anlage zur Akkreditierungsurkunde D-ZM-17431-01-02 (ISO/IEC 17021-1, ISO/IEC 27006-1) und Datenbank akkreditierter Stellen
- ComplianceForge, Can I pass an audit with AI generated documentation?, 18.06.2025, complianceforge.com
- open-isms, packages/grc-data-model/src/satisfaction-pairs.ts und frameworks/iso27001.ts (unsere Zuordnung), messages/requirements (Titel und Inhalte), lib/mcp/walk.ts, github.com/NISD2/open-isms
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Risikomanagement
Risiken bewerten
Jedes Programm, jedes Gerät und jeden Lieferanten mit der Matrix einstufen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
