Kernaussagen
- • ISO 27001 zertifiziert, dass Sie einen Prozess etabliert haben. SOVP belegt, was Ihre Infrastruktur tatsächlich tut.
- • Weder ISO 27001 noch SOVP erfüllt eine Pflicht des EU AI Act für sich allein. Beide liefern Belege: ISO 27001 für das Managementsystem, SOVP für den technischen Zustand der öffentlich erreichbaren Infrastruktur.
- • SOVP arbeitet mit festen, dokumentierten Prüfregeln und Gewichten, ohne Ermessensentscheidung eines Auditors. Die Messwerte externer Prüfungen können zwischen zwei Abrufen schwanken; ein Scan dokumentiert einen datierten Zustand.
- • Beide Instrumente sind komplementär: ISO 27001 deckt Governance, SOVP deckt technische Infrastruktur-Evidenz.
Das Problem mit Prozess-Zertifikaten
ISO 27001 ist ein exzellentes Werkzeug. Es hilft Organisationen, ein Information Security Management System (ISMS) zu etablieren, dokumentiert Risikomanagement-Prozesse und zeigt Dritten, dass Informationssicherheit ernst genommen wird. Für viele regulatorische Kontexte ist ISO 27001 eine sinnvolle Grundlage.
Das Problem ist, was ISO 27001 nicht belegt: den tatsächlichen Infrastrukturzustand zum Zeitpunkt eines Audits.
Ein Unternehmen kann ISO 27001-zertifiziert sein und gleichzeitig:
- TLS-Zertifikate mit veralteten Cipher-Suites ausliefern
- DNSSEC nicht implementiert haben
- Fehlende HTTP-Security-Header auf produktiven Endpunkten betreiben
- Keine kryptografische Verifizierbarkeit für externe Auditoren bereitstellen
Ein ISO-27001-Zertifikat gilt drei Jahre, dazwischen finden jährliche Überwachungsaudits statt. Es bestätigt, dass Prozesse etabliert sind. Ein SOVP-Scan hält dagegen fest, was zu einem bestimmten Zeitpunkt messbar war. Ein Beispiel aus unserer eigenen Infrastruktur: certavia.org wurde zwischen 06.08. und 12.10.2026 38-mal gescannt, jedes Mal CERTIFIED, mit CES-Werten zwischen 77,8 und 97,2. Cluster B (Maschinenlesbarkeit) stieg in dieser Zeit von 72 (August) über 86 (September) auf 91 (Oktober).
Was der EU AI Act verlangt — und was nicht
Art. 50 EU AI Act gilt seit dem 2. August 2026 und regelt Transparenz gegenüber Personen: etwa den Hinweis, dass jemand mit einem KI-System interagiert, und die maschinenlesbare Kennzeichnung synthetischer Inhalte durch Anbieter generativer Systeme (Abs. 2). Welche Pflicht in welchem Absatz steht und wen sie trifft, ist im Glossar zugeordnet. TLS, DNSSEC oder Security-Header verlangt Art. 50 nicht.
SOVP prüft dazu in Cluster F, ob eine Domain maschinenlesbare Governance-Angaben veröffentlicht (z. B. ai-disclosure.json, AI Policy, Kontaktstelle). Das ist ein technischer Beleg für die Art.-50-Dokumentation, kein Nachweis, dass die Kennzeichnung im KI-System selbst umgesetzt ist.
Eine Konformitätsbewertung nach Art. 43 betrifft Hochrisiko-KI und wird für Annex-III-Systeme ab dem 2. Dezember 2027 Pflicht. Dort verlangt Art. 15 ein angemessenes Maß an Cybersicherheit. Für diesen Teil können beide Instrumente Belege liefern: ISO 27001 für Prozesse und Kontrollen, ein datierter Infrastruktur-Scan für den von außen messbaren Zustand.
Wie SOVP funktioniert
Das Sovereign Validation Protocol ist eine Infrastruktur-Validierungsmethode mit deterministischen Prüfregeln: Regeln und Gewichte sind fest und dokumentiert. Die Messwerte externer Prüfungen (etwa TLS-Bewertung oder Erreichbarkeit) können dennoch zwischen zwei Abrufen schwanken; bei litzki-systems.com lagen am 13.10.2026 innerhalb einer Stunde 97,6 und 99,0. Das Protokoll ist als Internet-Draft draft-litzki-sovp-04 veröffentlicht (ein Entwurf, kein IETF-Standard) und als US-Provisional-Patentanmeldung #64/005,737 eingereicht.
SOVP umfasst 180+ Parameter in 20 Clustern. Der CERTavia-Scan wendet davon 80+ Parameter in 6 Clustern an:
- Cluster A — Digitale Infrastruktur: DNS, TLS, Security-Header
- Cluster B — Maschinenlesbarkeit: llms.txt, JSON-LD, agents.md, API-Katalog
- Cluster C — Rechtliche Compliance: Schema, Metadaten, Rechtskonsistenz
- Cluster D — Transparenz & Consent: Bot-Zugangspolitik, Consent-Management
- Cluster E — Agentic Readiness: API-Katalog, Agent-Schnittstellen
- Cluster F — AI Governance Hard Gate: ai-disclosure.json; muss ≥ 40 erreichen für CERTIFIED
Das Ergebnis ist ein Compliance Evidence Score (CES) von 0–100. CERTIFIED wird vergeben, wenn CES ≥ 75 UND Cluster F ≥ 40; sonst lautet das Ergebnis FAILED (bei Datenlücken INCOMPLETE). Zum Vergleich: Im Benchmark erreichte keine von 567 Messungen in zehn Branchenlisten CERTIFIED, der höchste gemessene Wert liegt bei 55,1 (Juni-Messungen, siehe Korrekturhinweis).
Der entscheidende Unterschied: Verifikation vs. Zertifizierung
ISO 27001 beruht auf dem Vertrauen in den Zertifizierungsprozess: Ein akkreditierter Auditor hat stichprobenartig geprüft, dass Prozesse dokumentiert und gelebt werden. Das Ergebnis ist ein fachliches Urteil, das sich auf das gesamte ISMS bezieht.
SOVP-Nachweise sind signiert und im Sovereign Vault abgelegt; die Ed25519-Signatur lässt sich mit dem öffentlichen Schlüssel prüfen, der als DNS-TXT-Record unter _sovp.certavia.org veröffentlicht ist. Beispiel: Der Nachweis für litzki-systems.com (CES 97,9, Scan 08.09.2026) liegt unter der Vault-ID cv_b5d1baaa2a4edfc2 (Referenzen).
Der Nachweis gilt nur für den Zeitpunkt des Scans und nur für das, was von außen messbar ist. Interne Systeme, Prozesse und Verträge bleiben unsichtbar — das ist der Bereich von ISO 27001.
Wann brauche ich was?
| Anwendungsfall | ISO 27001 | SOVP / CERTavia |
|---|---|---|
| ISMS-Nachweis für Kunden / Partner | ✓ | — |
| Technischer Beleg zur Art.-50-Dokumentation (Governance-Angaben) | — | ✓ |
| Drittanbieter-Risikobewertung (DORA Art. 28) | ergänzend | ergänzend (externe Sicht) |
| Belege zu Cybersicherheit im Konformitätsbewertungs-Dossier (Art. 15, 43) | ergänzend | ergänzend |
| Kryptografisch verifizierbarer Stichtag-Nachweis | — | ✓ |
| Governance & Policy-Framework | ✓ | — |
Fazit: Ergänzung, nicht Konkurrenz
ISO 27001 und SOVP beantworten unterschiedliche Fragen. ISO 27001: "Haben wir ein funktionierendes Sicherheitsmanagement?" SOVP: "Welchen Zustand hatte unsere öffentlich erreichbare Infrastruktur zum Zeitpunkt X?"
Für Anbieter von Hochrisiko-KI (Pflichten ab dem 2. Dezember 2027 für Annex III) sind beide relevant: ISO 27001 für die organisatorische Ebene, ein SOVP-Nachweis für den gemessenen technischen Zustand. Keines der beiden ist ein behördlich anerkanntes Zertifikat nach dem EU AI Act und keines ersetzt die Konformitätsbewertung.
