AAISM oder PECB 42001 Lead Implementer? Programm steuern oder Managementsystem aufbauen

"AAISM oder PECB 42001 Lead Implementer" fragen Security-Verantwortliche und Berater, die das Management von KI-Sicherheit mit einem Zertifikat belegen wollen. Die ehrliche Antwort: Es ist keine Produktwahl, sondern eine Rollenfrage. Der eine Nachweis gehört zur Sicherheitsleitung, die ein KI-Programm steuert, der andere zu den Menschen, die ein KI-Managementsystem aufbauen und am Laufen halten.

---

Auf den ersten Blick liegen die beiden nah beieinander: Beide adressieren Governance und Management von KI-Risiken, beide kommen von etablierten Zertifizierungsanbietern, beide sind jung. Der Unterschied steckt in der Blickrichtung: Steuerung eines Sicherheitsprogramms von oben oder Einführung eines Managementsystems entlang einer Norm.

Wofür die beiden stehen

Der AAISM (Advanced in AI Security Management) ist die Security-Management-Spezialisierung der ISACA-Advanced-Reihe. Er setzt ein aktives CISM oder CISSP voraus und erweitert dieses Führungsprofil um KI: Governance und Programm-Management, KI-Risikomanagement sowie KI-Technologien und deren Kontrollen. Die Zielgruppe sind CISOs und Security-Manager, die KI-Risiken in ihrer Organisation verantworten.

Der PECB 42001LI (PECB ISO/IEC 42001 Lead Implementer) ist eine eigenständige, nach ISO/IEC 17024 akkreditierte Personenzertifizierung. Er belegt Aufbau und Betrieb eines AI Management Systems (AIMS) nach ISO/IEC 42001: Planung, Implementierung, Überwachung und kontinuierliche Verbesserung. Im DACH-Markt ist die Norm vor allem als Umsetzungsrahmen für den EU AI Act relevant, oft im Verbund mit ISO 27001 und bestehenden ISMS-Strukturen.

Die Zahlen im direkten Vergleich

Zwei Muster fallen in der Tabelle auf, bevor die eigentliche Rollenfrage sichtbar wird:

• Der Zugang spiegelt die Zielgruppe. Der AAISM ist ohne aktives CISM oder CISSP nicht erreichbar; er adressiert Menschen, die die Management-Ebene bereits belegt haben. Der 42001 Lead Implementer kennt keine Zulassungshürde für die Prüfung, die Stufen vom Provisional bis zum Lead Implementer wachsen mit nachgewiesener Erfahrung und Projektstunden.
• Zwei Kostenmodelle, nicht einfach zwei Preise. Bei ISACA ist die Prüfung günstiger, und die Jahresgebühr deckt alle drei Advanced-Zertifikate der Reihe gemeinsam ab; dafür laufen die Kosten des vorausgesetzten Stammzertifikats immer weiter. Bei PECB ist der Einstieg teurer und die Jahresgebühr fällt je Zertifizierung an, dafür hängt kein weiteres Zertifikat dran. Wie CertMap solche Laufzeitkosten rechnet, steht in der Kostenmethodik.

Auch die Prüfungsformate erzählen die Rollengeschichte: klassische Wissensprüfung mit Multiple-Choice-Fragen beim AAISM, fallbasierte Open-Book-Essay-Prüfung beim Lead Implementer, in der ein Implementierungsszenario durchgearbeitet wird.

Der eine steuert das Programm, der andere baut das System. AAISM ist die KI-Stufe der Sicherheitsleitung, der 42001 Lead Implementer der Nachweis für den Aufbau eines KI-Managementsystems.

Voraussetzungen: Führungsnachweis gegen Stufenmodell

Die beiden regeln den Zugang grundverschieden:

• AAISM: Setzt ein aktives CISM oder CISSP voraus. Das vorausgesetzte Zertifikat muss über die gesamte Laufzeit gepflegt werden, sonst fällt auch der AAISM.
• PECB 42001LI: Keine formale Voraussetzung für die Prüfungszulassung. Die Zertifizierungsstufe richtet sich nach Erfahrung: vom Provisional Implementer ohne Erfahrungsnachweis bis zum Lead Implementer mit fünf Jahren Berufserfahrung, davon zwei mit KI-Bezug, plus dokumentierten Projektstunden.

Praktisch heißt das: Der AAISM ist ein Karriereschritt innerhalb einer bestehenden Security-Laufbahn, der Lead Implementer ein Einstieg in die KI-Governance auch für Menschen aus Compliance, Beratung oder Projektleitung.

Die Prüfungen

Die AAISM-Prüfung ist eine klassische Wissensprüfung: 90 Fragen in zweieinhalb Stunden, Bestehensgrenze 450 von 800 Punkten. Die Prüfung zum 42001 Lead Implementer ist anders gebaut: fallbasierte Essay-Aufgaben über sechs Domänen, Open-Book mit Norm, Schulungsmaterial und eigenen Notizen als erlaubten Hilfsmitteln, rund drei Stunden, Bestehensgrenze 70 Prozent. Beide Prüfungen werden derzeit ausschließlich auf Englisch angeboten.

Unsere Einordnung

Was unsere Bewertung sagt: In der CertMap-Bewertung liegen die beiden gleichauf, im soliden Mittelfeld junger Spezialisierungen: Beide Programme sind inhaltlich sauber gebaut und werden gepflegt, beiden fehlt aber noch die Marktdurchdringung der etablierten Stammzertifikate, auf denen sie aufsetzen oder mit denen sie konkurrieren. Die Bewertung liefert hier also keinen Ausschlag; die Weiche stellt sich über die Rolle, nicht über die Qualität. Wie die Bewertungsachsen zustande kommen, steht in der Bewertungsmethodik.

Die Entscheidung wird einfacher, wenn man sie von der Zielrolle her denkt:

• Wer als Security-Führungskraft mit CISM oder CISSP die KI-Verantwortung der Organisation übernimmt, findet im AAISM die passende Aussage: Er verlängert das vorhandene Führungsprofil in das KI-Feld, bleibt im gewohnten ISACA-Ökosystem und ist im Unterhalt günstig.
• Wer als Implementierer, Berater oder Compliance-Verantwortlicher ein AIMS nach ISO/IEC 42001 einführen soll, gerade mit Blick auf die EU-AI-Act-Umsetzung, ist beim Lead Implementer richtig: Er belegt genau diese Aufbauleistung und braucht keine Security-Zertifikats-Vorgeschichte.
• Die beiden schließen sich nicht aus: In größeren Organisationen steuert die Sicherheitsleitung das KI-Programm, während ein Implementierungsteam das Managementsystem aufbaut. Die Kombination bildet beide Seiten derselben Aufgabe ab.

Häufige Fragen

Brauche ich für den AAISM zwingend CISM oder CISSP?

Ja. Der AAISM setzt eines der beiden aktiv voraus, und das Stammzertifikat muss während der gesamten Laufzeit gepflegt werden. Wer keines hält, kann direkt zu einem eigenständigen Nachweis wie dem PECB 42001 Lead Implementer greifen.

Ist ISO/IEC 42001 für den EU AI Act verpflichtend?

Nein. ISO/IEC 42001 ist ein freiwilliger Managementsystem-Standard. Er gilt als praktikabler Umsetzungsrahmen für Organisationspflichten aus dem EU AI Act, ersetzt aber keine rechtliche Prüfung und ist keine gesetzliche Anforderung.

Gibt es die Prüfungen auf Deutsch?

Nein. Beide Prüfungen werden derzeit nur auf Englisch angeboten; PECB gewährt Nicht-Muttersprachlern eine Zeitverlängerung von 30 Minuten.