Wir bitten Sie nicht um Vertrauen. Wir belegen es.

Es ist die jüngste Norm von allen und geht genau darum: wie man ein KI-System baut und überwacht, damit es nicht unbemerkt seltsame Dinge tut.

Diese Norm gibt Ihnen die Antwort auf die unangenehmste Frage jedes Beschaffungsgremiums schriftlich: Wer kontrolliert eigentlich die künstliche Intelligenz? Dokumentiert ist, wer die Modelle trainiert, die Ihre Kameras auswerten, mit welchen Daten, wer prüft, ob sie richtig liegen, und was passiert, wenn nicht. Kommt die Frage im Rat oder im Audit, zeigen Sie ein Zertifikat statt zu improvisieren.

Es ist die weltweite Referenznorm für den Schutz von Informationen. Jemand von außen prüft, wer worauf zugreifen darf, wie Zugangsdaten aufbewahrt werden, was passiert, wenn jemand einen Laptop verliert, und wie man merkt, dass etwas schiefläuft.

Ihre IT muss uns nicht glauben: Sie fordert das Zertifikat an und prüft es. Das erspart Ihnen den vierzigseitigen Sicherheitsfragebogen, den Sie sonst schicken, abwarten und selbst bewerten müssten. In einer Ausschreibung kommt das Feld Informationssicherheit bereits von einem externen Auditor bestätigt.

Sie ist die Schwester der vorigen, aber auf personenbezogene Daten fokussiert. Sie regelt, was über eine Person gespeichert wird, wozu, wie lange und wer es sehen darf.

Wenn ein Anwohner fragt, was über ihn gespeichert wird, gibt es ein schriftliches Verfahren und keine Improvisation. Und wenn Sie den Umgang mit Aufnahmen vor der Datenschutzaufsicht oder Ihrem eigenen Datenschutzbeauftragten begründen müssen, ist die Arbeit bereits getan und geprüft: Sie fangen nicht erst an, wenn die Anfrage eintrifft.

Es geht um den schlechten Tag: ein Brand, ein Cyberangriff, ein Wasserschaden im Serverraum. Die Norm verlangt, dass es schriftlich vorliegt und vor allem geprobt wurde.

In einer Ausschreibung wird gefragt, was passiert, wenn das System ausfällt, und wie lange es bis zum Wiederanlauf dauert. Mit dieser Norm ist diese Antwort gemessen und geprobt, nicht vom Vertrieb geschätzt. Es ist ein Notfallplan, der wirklich getestet wurde — keiner, der bis zum Ernstfall in der Schublade liegt.

Die Klassikerin. Sie verlangt, dass die Arbeitsweise schriftlich festliegt, gemessen und korrigiert wird, wenn sie nicht funktioniert.

Wenn etwas schiefgeht, gibt es ein Verfahren, es zu beheben und eine Wiederholung zu verhindern — und dieses Verfahren ist prüfbar. Es hängt nicht daran, ob gerade der Techniker Dienst hat, der sich auskennt. In vielen öffentlichen Ausschreibungen steht diese Norm als Eignungsnachweis: Bei uns ist das Kästchen schon gesetzt.

Sie misst und senkt, was wir verbrauchen und wegwerfen: Stromverbrauch der Server, Elektroschrott, Lebenszyklus der Geräte.

In einer öffentlichen Ausschreibung bringen Umweltkriterien Punkte, und ein zertifizierter Lieferant bringt Ihnen welche, statt welche zu kosten. Und wenn Ihre Organisation über ihre Nachhaltigkeitsziele berichten muss: Unser Verbrauch und unsere Abfälle sind bereits gemessen und geprüft — Sie müssen sie für Ihren Jahresbericht nicht schätzen.

Es geht um die Menschen, die installieren und warten: wer auf einen acht Meter hohen Mast steigt, um eine Kamera zu montieren, oder in ein Klärwerk oder einen Tunnel geht.

Wer Ihre Anlage betritt, kommt geschult, ausgerüstet und mit Verfahren — genau das müssen Sie bei der Koordination von Fremdfirmen nachweisen. Passiert auf Ihrem Gelände ein Unfall, existiert die Dokumentation und ist extern geprüft. Ohne sie wird das Problem am Ende Ihres.

Das Nationale Sicherheitsschema ist die verbindliche Regelung für Systeme der spanischen Verwaltung. Es hat drei Stufen, und die hohe ist die strengste: für Systeme, deren Ausfall schwere Folgen hätte.

Wenn Sie eine spanische Behörde sind, können Sie uns beauftragen, ohne den Zuschlag eigens begründen zu müssen. Die Anforderung ist erfüllt und von einer Zertifizierungsstelle bestätigt, und das merkt man an der Laufzeit des Vorgangs. Für Systeme der spanischen Verwaltung ist der ENS nicht optional: Entweder der Anbieter hat ihn, oder der Vorgang bleibt liegen.

Es ist die EU-Richtlinie, die Sektoren, von denen der Alltag abhängt — Energie, Wasser, Verkehr, Gesundheit — verpflichtet, sich gegen Cyberangriffe zu schützen. Die hohe Kategorie betrifft die kritischsten Einrichtungen.

Fällt Ihre Organisation unter NIS2, gehören Ihre Lieferanten zur Gleichung: Die Richtlinie schaut auf die gesamte Lieferkette, nicht nur auf Ihr eigenes Haus. Bei uns ist dieses Kästchen bereits gesetzt — Sie müssen uns weder selbst auditieren noch im Bericht begründen, warum Sie jemanden beauftragt haben, der nicht konform ist.

IRIS enthält NeuralPax, eine eigenständige Lizenz, und ist heute das einzige System weltweit mit dieser Zulassung: der des spanischen Metrologiezentrums für das Zählen von Personen, das Messen von Kapazitäten und die Kontrolle von Besucherströmen. Das spanische Metrologiezentrum ist die Stelle, die sagt, ob ein Instrument richtig misst: dieselbe, die eine Waage oder ein Radargerät zulässt. Die Personenzahl, die IRIS liefert, ist also keine Schätzung von uns: Sie ist eine von Dritten geprüfte Messung. Achtung beim Umfang: Zugelassen ist diese Messung, nicht das gesamte Produkt.

Wenn Sie sagen, bei einer Veranstaltung waren zwölftausend Menschen, hat diese Zahl amtlichen Rückhalt. Deshalb genügt sie den geltenden Kapazitätsvorschriften für Veranstaltungen: Sie ist keine Schätzung, sondern eine zugelassene Messung — und genau die wird angezweifelt, wenn eine Kapazität vor einer Kontrolle, vor einer Versicherung oder notfalls vor Gericht zu begründen ist. Eine Schätzung hält dort nicht stand. Der Umfang sei klar: Zugelassen ist das Zählen von Personen, nicht das gesamte Produkt.