Vertrauenswürdige KI mit der DQS: Governance, Sicherheit und Qualität, aufeinander abgestimmt
DQS auditiert seit mehr als 40 Jahren Managementsysteme in über 60 Ländern. Als weltweit akkreditierte Zertifizierungsstelle wendet die DQS diese Erfolgsbilanz nun auch auf die Norm ISO/IEC 42001 für KI-Managementsysteme an, neben den Normen ISO 27001 und ISO 9001, bei denen die KI-Governance in bestehende Rahmenwerke für Informationssicherheit und Qualitätsmanagement integriert wird – und bietet Unternehmen so einen koordinierten Weg zu nachweisbarer Reife in der KI-Governance.
ISO/IEC 42001-anerkannt
Zertifizierungsstelle für KI-Managementsysteme
ISO 27001-konforme Audits
Integration der Informationssicherheit für Organisationen, die mit KI arbeiten
Zertifizierung nach ISO 9001
Grundlagen für dokumentierte Informationen und Rückverfolgbarkeit
Flexible Durchführung von Audits
Audits aus der Ferne, im Hybridmodus oder vor Ort – durchgeführt unabhängig davon, wo sich Ihr KI-Governance-Team befindet
DQS Als vertrauenswürdiger Partner
Akkreditiert, global und unabhängig: Die Grundlage für eine glaubwürdige KI-Zertifizierung
ISO/IEC 42001 ist eine neue Norm. Die Akkreditierung, die Infrastruktur und die Unabhängigkeit, die hinter einem DQS-Zertifikat stehen, sind es jedoch nicht. So sieht das in Zahlen aus.
Über 3.100 Auditoren weltweit
Zur Unterstützung globaler Normen wie ISO/IEC 42001, ISO 27001, ISO 9001 und weiterer.
Über 65.000 zertifizierte Standorte
Über alle DQS-Normen hinweg – einschließlich des AI-Assurance-Portfolios.
Über 60 Länder
Präsenz lokaler Auditoren in den wichtigsten Märkten – Europa, Asien-Pazifik, Amerika.
Über 40 Jahre Erfahrung
1985 von der DGQ und dem DIN gegründet – Deutschlands erste Zertifizierungsstelle für Managementsysteme.
Die Regeln für KI-Systeme haben sich geändert. Die meisten Governance-Strukturen jedoch nicht
Drei Veränderungen vollziehen sich gleichzeitig. Die Regulierung ist da – der EU AI Act legt verbindliche Verpflichtungen für KI-Systeme mit hohem Risiko fest, und weltweit entstehen ähnliche Rahmenwerke. KI-Systeme selbst verhalten sich anders als herkömmliche Software und erfordern Governance-Ansätze, die ihrer tatsächlichen Funktionsweise entsprechen. Und ISO/IEC 42001 ist zur Referenznorm geworden, deren Einhaltung Regulierungsbehörden und Kunden zunehmend erwarten – nicht erst in fünf Jahren, sondern schon jetzt.
KI-Governance ist mittlerweile eine regulatorische Hürde und keine interne Best Practice mehr
Wo der EU AI Act gilt, erfordern KI-Systeme mit hohem Risiko ein dokumentiertes Risikomanagement, technische Dokumentation und menschliche Aufsicht – und dies wird zunehmend im Zusammenhang mit bestehenden ISO 9001- und ISO 27001-Anwendungsbereichen bewertet und nicht als eigenständiger Prozess.
Zersplitterte Zuständigkeiten, uneinheitliche Dokumentation, fehlgeschlagene Audits
Ohne ein strukturiertes KI-Managementsystem riskieren Unternehmen eine zersplitterte Zuständigkeit über Geschäftsbereiche hinweg, uneinheitliche Dokumentation und Schwierigkeiten, den Aufsichtsbehörden oder Kunden die Reife ihrer Governance nachzuweisen. Bei isolierten Audits werden dieselben Nachweise mehrfach in verschiedenen Unternehmensbereichen vorgelegt – und hinterfragt.
Ein einziges Auditprogramm für KI-Governance, Sicherheit und Qualität: Koordiniert, aufeinander abgestimmt und auditbereit
- Eine Zertifizierungsstelle für ISO/IEC 42001, ISO 27001 und ISO 9001
- Abgestimmte Auditzyklen, gemeinsame Nachweise, einheitliche Auslegung über Normen und Standorte hinweg
- Unabhängig von der Beratung – diese Trennung macht das Zertifikat für Aufsichtsbehörden und Kunden glaubwürdig
KI-Governance lässt sich nicht auf eine einzige Norm oder ein einziges Team beschränken
Die Normen, die sich mit KI-Governance befassen, überschneiden sich mit denen zur Informationssicherheit, zum Qualitätsmanagement und zu branchenspezifischen Vorschriften – nicht, weil die Rahmenwerke redundant sind, sondern weil KI-Systeme alle diese Bereiche gleichzeitig betreffen. Welche Kombination zutrifft, hängt davon ab, was Sie entwickeln, was Sie einsetzen und in welchen Märkten Sie tätig sind.
- ISO/IEC 42001 – KI-Managementsystem; umfasst Risikoklassifizierung, Rechenschaftspflicht und kontinuierliche Überwachung
- ISO 27001 – Informationssicherheit; umfasst die Daten, mit denen KI-Systeme trainiert werden und die sie verarbeiten
- ISO 9001 – Dokumentierte Informationen und Prozesskontrolle; die Grundlage für die Rückverfolgbarkeit, auf der die meisten KI-Governance-Konzepte aufbauen
- EU-MDR 2017/745 – Gilt, wenn KI-Funktionalitäten in ein Medizinprodukt integriert sind
- Verpflichtungen nach Risikostufen des EU AI Acts – regulatorischer Treiber; zur Erfüllung dieser Verpflichtungen wird jedoch am häufigsten das Rahmenwerk ISO/IEC 42001 herangezogen
Welche Anforderungen gelten für Sie?
Ihre Rolle in der KI-Wertschöpfungskette bestimmt, wo Sie ansetzen müssen
Ihre Anforderungen an die KI-Governance hängen von Ihrer Rolle in der Wertschöpfungskette ab – unabhängig davon, ob Sie KI-Systeme entwickeln, diese operativ einsetzen, vertreiben oder in regulierte Produkte integrieren. Hier sehen Sie, wo die einzelnen Rollen typischerweise angesiedelt sind.
Vertrauen in KI wird nicht mehr allein durch Technologie geschaffen. Unternehmen benötigen zunehmend Governance-Strukturen, die über internationale Geschäftsbereiche und regulatorische Rahmenbedingungen hinweg transparent, skalierbar und überprüfbar bleiben.
Vier zertifizierbare Ebenen , was jede einzelne umfasst und warum sie wichtig ist.
Jeder Standard beantwortet eine andere Frage – zu Governance, Daten, Prozesskontrolle oder branchenspezifischer Compliance.
So fügen sich die Ebenen zusammen
Jede Ebene ist unabhängig zertifizierbar – und kann einzeln oder als Teil eines koordinierten Programms abgedeckt werden. Zusammen decken sie alles ab, was Aufsichtsbehörden, Kunden und Ihre eigenen Teams bei der Überprüfung Ihres KI-Programms erwarten.
ISO/IEC 42001 legt das Managementsystem für die KI-Governance fest – Risikomanagement, dokumentierte Informationen, Rollen und Verantwortlichkeiten sowie die kontinuierliche Überwachung über den gesamten KI-Lebenszyklus hinweg.
Die Zertifizierung nach ISO/IEC 42001 – KI-Managementsystem – umfasst Risikoklassifizierung, Rechenschaftspflicht im Bereich Governance, Aufsicht über das Datenmanagement sowie Überwachungsanforderungen über den gesamten KI-Lebenszyklus hinweg. Sie gilt für Organisationen, die KI-Systeme entwickeln, einsetzen oder wesentlich modifizieren.
Wie KI-Trainingsdaten, Modellausgaben und Betriebsdaten geschützt werden.
ISO 27001 Zertifizierung – Das Informationssicherheits-Managementsystem befasst sich mit Datensicherheitsmaßnahmen, die für KI-Trainingsdaten, Modelleingaben und -ausgaben sowie den Systemzugriff relevant sind. Wird häufig zusammen mit ISO/IEC 42001 angewendet, wenn KI-Systeme sensible oder personenbezogene Daten verarbeiten.
Die Grundlage für Dokumentation und Rückverfolgbarkeit, auf der die meisten Anforderungen an die KI-Governance aufbauen.
ISO 9001 Zertifizierung – Qualitätsmanagement bietet die dokumentierten Informationen, die Prozesskontrolle und die Struktur zur kontinuierlichen Verbesserung, auf denen ISO/IEC 42001 für Organisationen mit einem bestehenden QMS aufbaut.
Konformitätsbewertung gemäß EU-MDR 2017/745
Wenn KI-Funktionalitäten in ein Medizinprodukt integriert sind, gilt zusätzlich zur KI-spezifischen Governance die Konformitätsbewertung gemäß der EU-MDR. Relevant für Hersteller von KI-gestützten Diagnose-, Überwachungs- oder Entscheidungshilfegeräten.
Regulierung von KI gemäß der EU-MDR: Gewährleistung von Compliance und Innovation
Wie sich KI-Governance mit regulatorischen Anforderungen in medizinischen und stark regulierten Betriebsumgebungen überschneidet.
Jeder Beteiligte stellt eine andere Frage zu Ihren KI-Systemen
Eine Aufsichtsbehörde möchte wissen, ob Ihre KI-Systeme unter Kontrolle sind. Ein Kunde möchte wissen, ob seine Daten geschützt sind. Ihre eigenen Teams möchten wissen, wer verantwortlich ist, wenn sich etwas ändert. Das sind nicht dieselben Fragen – und kein einzelner Standard beantwortet sie alle. Deshalb umfasst das richtige KI-Governance-Programm mehr als nur eine Ebene.
Die Zertifizierung nach ISO/IEC 42001 umfasst Risikomanagement, dokumentierte Informationen und Rechenschaftspflicht über den gesamten KI-Lebenszyklus hinweg.
Die Zertifizierung nach ISO 27001 umfasst Maßnahmen zur Datensicherheit; ISO/IEC 42001 ergänzt diese um KI-spezifische Anforderungen an das Datenmanagement.
Die Anforderungen an dokumentierte Informationen gemäß ISO 9001 und ISO/IEC 42001 unterstützen gemeinsam die Erwartungen an die technische Dokumentation, die von den Aufsichtsbehörden zunehmend gefordert werden.
Die Bestimmungen zu Rollen und Verantwortlichkeiten in ISO/IEC 42001 legen die Verantwortlichkeiten für die Überwachung von KI-Systemen fest.
Die Prozesse zur kontinuierlichen Verbesserung gemäß ISO/IEC 42001 umfassen eine fortlaufende Überprüfung, da sich Modelle, Daten und Betriebsbedingungen ändern.
Neben der KI-spezifischen Governance gelten gegebenenfalls auch die EU-MDR 2017/745 und andere branchenspezifische Rahmenwerke.
ISO/IEC 42001 wird zunehmend als gemeinsame operative Grundlage herangezogen, auf die im EU AI Act, im US-amerikanischen NIST-KI-RMF sowie in neuen Rahmenwerken in China, Japan, Südkorea und Brasilien Bezug genommen wird.
KI-Governance im FinTech-Bereich in einem regulierten Markt
Wie Unternehmen den Erwartungen hinsichtlich Rechenschaftspflicht, Aufsicht und Governance in sich weiterentwickelnden internationalen KI-Rahmenwerken gerecht werden.
Warum Regulierung die Nachfrage nach einer KI-Managementebene vorantreibt
Die vier Risikostufen
Risikobasierte Einstufung – klare Verpflichtungen auf jeder Stufe
Die Einstufung von KI-Systemen bestimmt den Umfang der erforderlichen Governance, Dokumentation und Überwachung. Das Modell liefert zwar eine übergeordnete Struktur, doch müssen Organisationen diese Kategorien in konkrete operative Maßnahmen umsetzen.
Inakzeptables Risiko (verboten)
KI-Systeme dieser Kategorie gelten gemäß dem EU-KI-Gesetz als unvereinbar mit Grundrechten und gesellschaftlichen Schutzbestimmungen. Diese Anwendungen sind verboten, da sie ein inakzeptables Risiko für Einzelpersonen, die öffentliche Sicherheit oder demokratische Werte darstellen. Organisationen müssen daher sicherstellen, dass verbotene Anwendungsfälle durch geeignete Governance- und Überprüfungsmechanismen identifiziert und ausgeschlossen werden.
Hohes Risiko (Strenge regulatorische Anforderungen)
KI-Systeme mit hohem Risiko unterliegen aufgrund ihrer potenziellen Auswirkungen auf Gesundheit, Sicherheit und Grundrechte den umfassendsten regulatorischen Verpflichtungen. Diese Systeme erfordern in der Regel ein strukturiertes Risikomanagement, technische Dokumentation, Überwachungsmechanismen und eine klar definierte menschliche Aufsicht während des gesamten KI-Lebenszyklus, um die kontinuierliche Einhaltung der Vorschriften und die operative Kontrolle sicherzustellen.
Geringes Risiko (Transparenzanforderungen)
KI-Systeme mit begrenztem Risiko unterliegen in erster Linie Transparenzanforderungen, die sicherstellen sollen, dass Nutzer sich bei der Interaktion mit künstlicher Intelligenz dessen bewusst bleiben. Organisationen müssen klare Kommunikations- und Offenlegungspraktiken umsetzen, insbesondere dort, wo KI-generierte Inhalte oder automatisierte Interaktionen andernfalls Verwirrung stiften oder die Transparenz für Nutzer beeinträchtigen könnten.
Minimales Risiko (Freiwillige Maßnahmen)
Die meisten KI-Anwendungen fallen in die Kategorie „minimales Risiko“ und unterliegen keinen spezifischen Verpflichtungen gemäß dem EU-KI-Gesetz. Dennoch erkennen Organisationen zunehmend den Wert der Umsetzung freiwilliger Governance-Maßnahmen, die Rechenschaftspflicht, operative Konsistenz und langfristige Bereitschaft fördern, da sich die regulatorischen Erwartungen weltweit weiterentwickeln.
Eine Governance-Struktur, anpassbar an jeden Markt, in dem Sie tätig sind.
Für multinationale Organisationen beschränkt sich die KI-Governance selten auf einen einzigen Rechtsrahmen oder eine einzige operative Region – Systeme können in einem Land entwickelt, in mehreren Rechtsräumen eingesetzt und in global verteilte Prozesse integriert werden. Zwar bleibt das EU-KI-Gesetz der umfassendste Rahmen und der weltweit gängigste Bezugspunkt, doch teilen Rechtsordnungen weltweit zunehmend Governance-Grundsätze wie Transparenz, Rechenschaftspflicht, Risikomanagement und menschliche Aufsicht – selbst dort, wo sich die rechtlichen Strukturen und die Umsetzung unterscheiden. Die Herausforderung besteht nicht darin, jeden Rechtsrahmen einzeln zu verstehen, sondern ein Governance-System aufzubauen, das standardisiert genug für globale Konsistenz und zugleich anpassungsfähig genug für lokale regulatorische Erwartungen ist.
EU-KI-Gesetz
Das EU-KI-Gesetz schafft den ersten umfassenden, sektorübergreifenden Rechtsrahmen für KI mit einer risikobasierten Einstufung, Transparenzanforderungen und Konformitätsverpflichtungen für Systeme mit hohem Risiko. Es dient zunehmend als globaler Bezugspunkt für die Governance-Struktur im Bereich der KI.
Die USA setzen auf einen dezentraleren Ansatz: das freiwillige NIST-Risikomanagement-Framework für KI, Verordnungen der Bundesregierung sowie ein immer umfangreicheres Flickwerk aus KI-Gesetzen auf Ebene der Bundesstaaten. Der Schwerpunkt liegt dabei auf Rechenschaftspflicht, Cybersicherheit und operativem Risikomanagement und nicht auf einem einzigen verbindlichen sektorübergreifenden Gesetz.
China hat mehrere Rahmenwerke eingeführt, die generative KI-Dienste, Empfehlungsalgorithmen und algorithmische Governance abdecken, wobei ein starker Schwerpunkt auf der Rechenschaftspflicht der Anbieter und der Inhaltssteuerung liegt.
Japans Ansatz legt den Schwerpunkt auf freiwillige, international kompatible Governance-Rahmenwerke, die auf Betriebssicherheit und industrielle Innovation ausgerichtet sind.
Südkoreas Rahmenwerk schafft ein Gleichgewicht zwischen Innovation und Verpflichtungen hinsichtlich Transparenz und Rechenschaftspflicht, wobei der Schwerpunkt zunehmend auf einem Risikomanagement liegt, das sich an den internationalen Diskussionen über vertrauenswürdige KI orientiert.
Beide Märkte entwickeln ihre KI-Governance weiterhin durch sich weiterentwickelnde Rahmenwerke statt durch ein einziges umfassendes Gesetz. Brasilien treibt risikobasierte Vorschläge zur KI-Governance parallel zu umfassenderen Initiativen zur digitalen Governance voran, wobei der aktuelle Schwerpunkt auf Rechenschaftspflicht und Aufsicht für Systeme mit erheblichen Auswirkungen liegt. Indien stützt sich auf eine Kombination bestehender Gesetze – das IT-Gesetz, die Änderung der IT-Vorschriften von 2026, die sich mit KI-generierten Inhalten befasst, sowie das Gesetz zum Schutz digitaler personenbezogener Daten – in Verbindung mit den 2026 veröffentlichten freiwilligen, prinzipienbasierten KI-Governance-Leitlinien, während Branchenaufsichtsbehörden wie die RBI und die SEBI eigene KI-spezifische Aufsichtserwartungen entwickeln.
Fünf Schritte von verstreuten Anforderungen zu einem koordinierten Programm
Ihr Ansatz – Schritt für Schritt
Zu wissen, wo man anfängt – und in welcher Reihenfolge –, ist meist der schwierigste Teil. Die folgenden Schritte helfen Ihnen, Ihr Ziel ohne unnötigen Nacharbeitungsaufwand zu erreichen.
Ermitteln Sie Ihre Anforderungen
Prüfen Sie, welche KI-Systeme in den Geltungsbereich fallen, wie sie gemäß dem EU AI Act risikoeingestuft sind und inwiefern sie sich mit bestehenden Managementsystemen nach ISO 9001 oder ISO 27001 überschneiden.
Bewerten Sie Ihre aktuelle Situation
Prüfen Sie bestehende Managementsysteme, Auditzyklen und interne Zuständigkeiten im Bereich der KI-Governance
Abstimmen und konsolidieren
Integrieren Sie die KI-Governance nach Möglichkeit in bestehende zertifizierte Managementsysteme, anstatt eine eigenständige Struktur aufzubauen.
Bereiten Sie sich auf neue Anforderungen vor
Die Fristen für die schrittweise Einführung des EU AI Act sowie die sich weiterentwickelnden Rahmenbedingungen in den USA, China, Japan, Südkorea und Brasilien entwickeln sich weiter.
Planen Sie Auditkapazitäten frühzeitig ein
Sichern Sie sich Audit-Termine nach ISO/IEC 42001 bei Ihrer Zertifizierungsstelle entsprechend Ihren regulatorischen und geschäftlichen Fristen.
Was Sie erhalten, wenn Sie sich bei der DQS zertifizieren lassen
Jeder Auftrag folgt derselben Struktur – von der ersten Dokumentenprüfung bis zur Zertifikatsausstellung und der laufenden Überwachung. Ganz gleich, ob Sie eine oder mehrere Normen zertifizieren lassen, der Prozess ist einheitlich.
Warum DQS?
Ein einziger Audit-Partner für KI-Governance, Datensicherheit und Qualität
Die Erfüllung von KI-Governance-Anforderungen gemäß verschiedener Standards muss nicht zwangsläufig bedeuten, dass mehrere Zertifizierungsstellen verwaltet werden müssen. DQS deckt den gesamten Umfang in einem einzigen Programm ab – so werden Auditzyklen aufeinander abgestimmt, Nachweise geteilt und Ergebnisse standardübergreifend konsistent.
Sind Sie bereit, loszulegen?
- Teilen Sie uns mit, was Sie entwickeln, bereitstellen oder vertreiben
- Wir ermitteln, welche Standards für Ihre Rolle gelten, und legen den Umfang fest
- Sie erhalten einen Auditplan, einen Ansprechpartner und einen einheitlichen Ansatz
Häufig gestellte Fragen
Ist die Zertifizierung nach ISO/IEC 42001 gemäß dem EU AI Act verpflichtend?
Nein. Der EU AI Act nennt die Zertifizierung nach ISO/IEC 42001 nicht als gesetzliche Anforderung. Bei KI-Systemen mit hohem Risiko wird ISO/IEC 42001 jedoch häufig als strukturierter Ansatz herangezogen, um die im Gesetz festgelegten Anforderungen an das Risikomanagement, die Dokumentation und die menschliche Aufsicht nachzuweisen.
Benötigen wir sowohl ISO/IEC 42001 als auch ISO 27001?
Viele Organisationen verfügen über beide Zertifizierungen, da sie unterschiedliche Ebenen abdecken. ISO/IEC 42001 befasst sich mit KI-spezifischer Governance – Risikoklassifizierung, Überwachung und menschlicher Aufsicht. ISO 27001 befasst sich allgemein mit Informationssicherheit, einschließlich der Daten, mit denen KI-Systeme trainiert werden und die sie verarbeiten. Wenn es sich bei den Entwicklungsdaten um sensible Daten handelt, werden beide Zertifizierungen üblicherweise gemeinsam umgesetzt.
Was gilt gemäß dem EU AI Act als KI-System mit hohem Risiko?
Der EU AI Act stuft KI-Systeme in Risikostufen ein – inakzeptabel, hoch, begrenzt und minimal. Als Systeme mit hohem Risiko gelten solche, die Gesundheit, Sicherheit, Grundrechte oder kritische Infrastrukturen betreffen, wie beispielsweise bestimmte Systeme für die Personalauswahl, Bonitätsbewertung oder biometrische Identifizierung. Die genaue Einstufung hängt von den spezifischen Anwendungsfällen ab, die in den Anhängen des Gesetzes aufgeführt sind.
Wie lässt sich der EU AI Act mit dem US-amerikanischen NIST-KI-RMF vergleichen?
Der EU AI Act ist eine verbindliche, branchenübergreifende Verordnung mit risikostufengestaffelten rechtlichen Verpflichtungen. Das NIST AI Risk Management Framework ist ein freiwilliges Rahmenwerk, das in den USA weit verbreitet ist und häufig zusammen mit branchenspezifischen und bundesstaatlichen Vorschriften angewendet wird. Organisationen, die in beiden Märkten tätig sind, passen ihre interne Governance in der Regel an – oft mithilfe der Norm ISO/IEC 42001 –, um beide Anforderungen konsequent zu erfüllen.
Können ISO/IEC 42001, ISO 27001 und ISO 9001 über eine einzige Zertifizierungsstelle abgedeckt werden?
Ja. Wenn Managementsysteme die gemeinsame „High-Level-Struktur“ nutzen, die in modernen ISO-Normen verwendet wird, können Audits koordiniert und gegebenenfalls zu integrierten Auditzyklen bei einer einzigen Zertifizierungsstelle zusammengefasst werden.
Bezieht sich ISO/IEC 42001 speziell auf generative KI-Systeme?
ISO/IEC 42001 gilt allgemein für KI-Managementsysteme und ist nicht auf eine bestimmte KI-Technik beschränkt. Sie regelt die Struktur rund um jedes KI-System, das eine Organisation entwickelt, einsetzt oder nutzt – einschließlich generativer KI –, anstatt technikbezogene technische Kontrollen vorzuschreiben.
Gelten die KI-Governance-Verpflichtungen auch, wenn wir KI-Tools von Drittanbietern nutzen, anstatt eigene zu entwickeln?
Die Verpflichtungen des EU AI Acts gelten für Anbieter und Betreiber unterschiedlich, und die Verpflichtungen des Betreibers können auch dann gelten, wenn das zugrunde liegende KI-Modell von einem Drittanbieter bezogen wurde. Wenn eine Organisation ein KI-Tool mit hohem Risiko einsetzt, können ihre eigenen Governance-Verpflichtungen gemäß dem Gesetz und den zugehörigen Normen gelten, unabhängig davon, wer das Modell entwickelt hat.
Kann die KI-Governance in mehreren Rechtsräumen über ein einziges Zertifizierungsprogramm verwaltet werden?
Für viele Organisationen ja. Zwar unterscheiden sich der EU AI Act, das US-amerikanische NIST-KI-RMF sowie neue Rahmenwerke in China, Japan, Südkorea und Brasilien in ihrer rechtlichen Struktur, doch basieren sie auf gemeinsamen Governance-Grundsätzen – Transparenz, Rechenschaftspflicht, Risikomanagement und menschliche Aufsicht. ISO/IEC 42001 wird zunehmend als gemeinsame operative Grundlage herangezogen, auf die in all diesen Rahmenwerken Bezug genommen wird, wobei regionale Besonderheiten innerhalb des Governance-Systems berücksichtigt werden und nicht durch separate Zertifizierungen geregelt werden.