MAP
5 KategorienKontext und Risiken kennen- 1Kontext
- 2Kategorisierung
- 3Fähigkeiten und Ziele
- 4Komponentenrisiken
- 5Auswirkungen
Kontext · Kategorisierung · Fähigkeiten und Ziele · Komponentenrisiken · AuswirkungenMEASURE
4 KategorienBewerten, analysieren und verfolgen- 1Methoden und Metriken
- 2Vertrauenswürdigkeit
- 3Risikoverfolgung
- 4Feedback zu Messungen
Methoden und Metriken · Vertrauenswürdigkeit · Risikoverfolgung · Feedback zu MessungenMANAGE
4 KategorienPriorisieren und handeln- 1Priorisieren und reagieren
- 2Nutzen und Auswirkungen
- 3Risiken durch Dritte
- 4Reaktion und Wiederherstellung
Priorisieren und reagieren · Nutzen und Auswirkungen · Risiken durch Dritte · Reaktion und Wiederherstellung
GOVERN
Gilt für alle drei6 Kategorien- 1Richtlinien und Prozesse
- 2Verantwortlichkeit
- 3Vielfalt der Belegschaft
- 4Risikokultur
- 5Einbindung von KI-Akteuren
- 6Lieferkette
Sie entscheiden sich selbst dafür, oft um Lücken in Ihrem KI-Risikomanagement zu finden.
Alle, die KI-Systeme entwickeln, bereitstellen oder nutzen. Es handelt sich um freiwillige Leitlinien, nicht um ein Gesetz.
GOVERN 6 behandelt KI-Risiken aus Software, Daten und Lieferketten von Drittanbietern.
Alle, die von Dritten entwickelte KI einsetzen, einschließlich KI-Funktionen in Software, die Sie bereits nutzen.
NIST AI 600-1 ergänzt Maßnahmen für 12 Risiken generativer KI, zugeordnet zum RMF.
Alle, die generative KI entwickeln oder nutzen, von Chatassistenten bis zu Tools für Inhalte und Code.
Die weitgehende Einhaltung des NIST-Profils für generative KI wird bei einer der Verteidigungsmöglichkeiten berücksichtigt.
Alle, die in Texas geschäftlich tätig sind. Dort ist das KI-Gesetz des Bundesstaats am 1. Januar 2026 in Kraft getreten.
GOVERN 1
Führen Sie Richtlinien, Prozesse und Verfahren ein, um KI-Risiken zu erfassen, zu messen und zu steuern. GOVERN ist eine Querschnittsfunktion: Sie durchzieht die anderen drei Funktionen und ermöglicht sie.
GOVERN 1.6
Schaffen Sie Mechanismen zur Inventarisierung von KI-Systemen, deren Ressourcen sich nach Ihren Risikoprioritäten richten. Was Sie nicht gefunden haben, können Sie weder erfassen noch messen oder steuern.
GOVERN 2
Schaffen Sie Verantwortlichkeitsstrukturen, damit die richtigen Teams und Personen die Befugnisse, die Verantwortung und die Schulung für die Arbeit an KI-Risiken haben.
GOVERN 6
Legen Sie Richtlinien und Verfahren für die KI-Risiken und -Vorteile fest, die sich aus Software und Daten von Drittanbietern sowie aus anderen Lieferkettenfragen ergeben.
MAP 1 · MAP
Halten Sie fest, wofür das System gedacht ist, wo und wie es eingesetzt wird und welche Gesetze, Normen und Erwartungen gelten (MAP 1.1). Dasselbe Modell kann in unterschiedlichen Umgebungen unterschiedliche Risiken bergen.
MAP 5 · MAP
Beschreiben Sie, wie sich das System auf Einzelpersonen, Gruppen, Gemeinschaften, Organisationen und die Gesellschaft auswirken könnte. Diese Auswirkungen bestimmen, was Sie als Nächstes messen.
MEASURE 2
Bewerten Sie Systeme auf Merkmale der Vertrauenswürdigkeit, mit den Methoden und Metriken, die unter MEASURE 1 gewählt wurden. Dokumentieren Sie die verwendeten Testdatensätze, Metriken und Tools (MEASURE 2.1).
MEASURE 3
Schaffen Sie Mechanismen, um erkannte Risiken im Zeitverlauf zu verfolgen, einschließlich unvorhergesehener und neu auftretender Risiken, sowie die Leistung des Systems nach der Bereitstellung.
MANAGE 1
Entscheiden Sie, ob das System seinen vorgesehenen Zweck erfüllt und weiterverfolgt werden soll (MANAGE 1.1). Priorisieren Sie dann die Risiken anhand der Ergebnisse aus MAP und MEASURE und reagieren Sie darauf.
NIST, AI RMF
Das NIST verhängt keine Bußgelder und setzt nichts durch. Ob Sie das Framework übernehmen, entscheiden Sie selbst.
Texas HB 149 (TRAIGA)
Das KI-Gesetz von Texas berücksichtigt das NIST-Profil für generative KI bei einer Verteidigungsmöglichkeit
Texas HB 149, §552.105(a)
Höchstbuße in Texas je nicht behebbarem Verstoß, also die Haftung, die diese Verteidigung abwenden kann
Stand Oktober 2026 nicht. Laut NIST wird das AI RMF 1.0 „im Rahmen des AI Action Plan des Weißen Hauses überarbeitet“, doch es gibt bisher weder einen überarbeiteten Text noch einen Termin. [1]
Seit dem 1. Januar 2026 schützt das KI-Gesetz von Texas einen Beklagten, der einen Verstoß durch eine interne Prüfung aufdeckt und dabei das NIST-Profil für generative KI oder ein anderes anerkanntes Framework im Wesentlichen einhält. [5]
Laut NIST ist das Playbook „weder eine Checkliste noch eine Abfolge von Schritten“. Es schlägt für jede Unterkategorie freiwillige Maßnahmen vor, und Sie übernehmen die, die zu Ihrem Kontext passen. [3]
Ist das NIST AI RMF verpflichtend?
Nein. Das NIST hat es zur freiwilligen Anwendung veröffentlicht, und es gibt keine Zertifizierung. Trotzdem taucht es im Recht auf: Das KI-Gesetz von Texas, bekannt als TRAIGA, wertet die weitgehende Einhaltung des NIST-Profils für generative KI als Teil einer Verteidigung gegen Haftung. Organisationen übernehmen es zudem aus eigenem Antrieb, oft um Lücken in ihrem KI-Risikomanagement zu finden und ihren Teams eine gemeinsame Sprache dafür zu geben.
Was sind die vier Funktionen des NIST AI RMF?
GOVERN legt die Richtlinien und Verantwortlichkeiten für das Management von KI-Risiken fest und zieht sich durch die anderen drei Funktionen. MAP bestimmt den Kontext jedes Systems und seine möglichen Auswirkungen. MEASURE testet und verfolgt die Risiken mit gewählten Methoden und Metriken. MANAGE priorisiert die Risiken, behandelt sie und plant die Reaktion. Zusammen umfassen sie 19 Kategorien: sechs in GOVERN, fünf in MAP und jeweils vier in MEASURE und MANAGE.
Was ist das NIST-Profil für generative KI (AI 600-1)?
Es ist eine Ergänzung zum AI RMF, veröffentlicht am 26. Juli 2024, kein Ersatz. Es benennt 12 Risiken, die für generative KI spezifisch sind oder durch sie verstärkt werden: chemische, biologische, radiologische oder nukleare Informationen (CBRN), Konfabulation, gefährliche oder hasserfüllte Inhalte, Datenschutz, Umweltauswirkungen, schädliche Verzerrungen, Mensch-KI-Konfiguration, Informationsintegrität, Informationssicherheit, geistiges Eigentum, obszöne oder missbräuchliche Inhalte sowie Integration in die Wertschöpfungskette. Anschließend ordnet es den Unterkategorien des Frameworks empfohlene Maßnahmen zu.
Wann veröffentlicht das NIST das überarbeitete Framework?
Das hat das NIST nicht mitgeteilt. Der AI Action Plan der USA vom Juli 2025 forderte eine Überarbeitung des Frameworks, und laut NIST wird das Playbook danach aktualisiert. Bis dahin sind Version 1.0 und das Profil für generative KI aktuell. Im April 2026 hat das NIST außerdem ein Konzeptpapier für ein Profil zu kritischen Infrastrukturen veröffentlicht. In Enzai haben Frameworks Versionen, sodass Sie selbst entscheiden, wann eine Bewertung auf eine neue Version umgestellt wird.
Kann man sich nach dem NIST AI RMF zertifizieren lassen?
Nein. Für das AI RMF gibt es keine Zertifizierung. Wenn Sie ein Zertifikat benötigen, ist ISO/IEC 42001 die zertifizierbare Norm für KI-Managementsysteme, und akkreditierte Zertifizierungsstellen stellen die Zertifikate aus. Beide decken ähnliche Themen ab, darunter Verantwortlichkeit, Risikobeurteilung und Risikobehandlung. So können Sie beide als ein Programm umsetzen, statt dieselbe Arbeit doppelt zu machen.
Wie unterstützt Enzai beim NIST AI RMF?
Sie können das AI RMF in Enzai als eigenes Framework abbilden, mit seinen Unterkategorien als Kontrollen, und dann jedes KI-System daran bewerten. Klassifizieren Sie zuerst ein System, dann werden nur die passenden Kontrollen erstellt. Verantwortliche, Fälligkeitsdaten und Freigaben unterstützen GOVERN. Das Inventar unterstützt GOVERN 1.6 und MAP. Als Nachweise erfasste Metriken unterstützen MEASURE, und das Risikoregister mit Risikominderungsmaßnahmen und Nachweisen unterstützt MANAGE.
Quellen · Stand: Okt. 2026
