JTC-21-Normentracker: CEN-CENELEC-Normen zur KI-Verordnung

Was CEN-CENELEC JTC 21 ist¶

Das Gemeinsame Technische Komitee 21 „Künstliche Intelligenz“ von CEN-CENELEC (CEN/CLC/JTC 21) wurde am 1. Juni 2021 von CEN und CENELEC eingerichtet, im Anschluss an die Roadmap der CEN-CENELEC-Fokusgruppe zu KI. Das Sekretariat wird von DS (Danish Standards / Dansk Standard) geführt, und es vereint mehr als 300 Fachleute aus 20 europäischen Ländern. Identität und Mitgliedschaft des Komitees sind auf der JTC-21-Website und über CEN-CENELEC dokumentiert.

JTC 21 erarbeitet die europäischen und harmonisierten Normen, die hinter dem Konformitätsregime der EU-KI-Verordnung stehen. Sobald eine Norm fertiggestellt und ihre Fundstelle im Amtsblatt veröffentlicht ist, begründet die Übereinstimmung mit ihr eine rechtliche Konformitätsvermutung in Bezug auf die entsprechenden Anforderungen der KI-Verordnung — der in Artikel 40 festgelegte Mechanismus.

Das Komitee gliedert sich in fünf Arbeitsgruppen:

• WG1 — Strategic Advisory Group (SAG): Programmkoordination und strategische Ausrichtung
• WG2 — Operative Aspekte: Liefergegenstände zu Managementsystemen, darunter Risikomanagement (prEN 18228), Qualitätsmanagement (EN 18286) und Konformitätsbewertung (prEN 18285)
• WG3 — Ingenieurtechnische Aspekte: technische Methoden, darunter Umgang mit Verzerrungen (Bias) (prEN 18283) sowie Qualität und Governance von Datensätzen (prEN 18284)
• WG4 — Grundlagen und gesellschaftliche Aspekte: das Rahmenwerk für die Vertrauenswürdigkeit von KI (die prEN-18229-Teile zu Protokollierung, Transparenz, menschlicher Aufsicht, Genauigkeit und Robustheit) sowie übergreifende gesellschaftliche Erwägungen
• WG5 — Cybersicherheit für KI-Systeme: Cybersicherheitsspezifikationen für KI-Systeme (prEN 18282)

Der Normungsauftrag: M/593 und Änderung M/613¶

Das Arbeitsprogramm zur KI-Verordnung wird durch einen förmlichen Normungsauftrag der Europäischen Kommission festgelegt. Der ursprüngliche Auftrag ist M/593, ergangen als Durchführungsbeschluss der Kommission C(2023)3215 und angenommen am 22. Mai 2023. M/593 forderte CEN und CENELEC auf, die harmonisierten Normen zur Unterstützung der KI-Verordnung zu liefern, mit einer ursprünglichen Lieferfrist zum 30. April 2025. JTC 21 hielt diese Frist nicht ein.

Die M/613 ist die Änderung 1 zu diesem Auftrag, ergangen als Durchführungsbeschluss der Kommission C(2025)3871 und angenommen am 23. Juni 2025. C(2025)3871 hob den ursprünglichen Beschluss C(2023)3215 auf und ersetzte ihn, wobei derselbe Anwendungsbereich und dieselben Liefergegenstände unter einem verlängerten Zeitplan fortgeführt werden; der geänderte Auftrag läuft am 28. Februar 2027 aus, mit alle drei Monate fälligen Fortschrittsberichten. CEN-CENELEC beschreibt die Liefergegenstände weiterhin als die „im Rahmen des Normungsauftrags M/593 (und seiner Änderung M/613)“ angeforderten.

Die Seite der Kommission zur Normung der KI-Verordnung gliedert den Auftrag in zehn Bereiche: Risikomanagement, Governance und Qualität von Datensätzen, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit, Qualitätsmanagement und Konformitätsbewertung. Jeder prEN-Liefergegenstand im Arbeitsprogramm lässt sich einem oder mehreren dieser Bereiche zuordnen.

Im Oktober 2025 verabschiedeten CEN und CENELEC ein außerordentliches Maßnahmenpaket, damit die priorisierten Liefergegenstände spätestens im Q4 2026 verfügbar werden. Diese Angabe Q4 2026 ist das Verfügbarkeitsziel auf Programmebene von CEN-CENELEC und ist vom Ablauf des Kommissionsauftrags am 28. Februar 2027 zu unterscheiden. Die Beschleunigungsmitteilung von CEN-CENELEC legt zwei Mechanismen fest. Erstens kann ein Entwurf nach einem positiven Umfrageergebnis (Enquiry) gemäß der internen Geschäftsordnung von CEN-CENELEC unmittelbar zur Veröffentlichung weitergehen, was den Weg verkürzt. Zweitens wurde eine kleine Redaktionsgruppe aus bereits aktiven Fachleuten damit beauftragt, die am stärksten verzögerten Entwürfe fertigzustellen. Einzelne Zeitfenster für Umfrage und Genehmigung verschieben sich weiterhin.

Das Arbeitsprogramm: Statusüberblick¶

Die nachstehende Tabelle ist der Tracker des Arbeitsprogramms: die prEN-18xxx-Familie, die jeweils umgesetzten Artikel der KI-Verordnung, die zuständige Arbeitsgruppe, die erreichte Stufe und das Ziel. Die Stufen entsprechen dem Stand von Juni 2026 — prüfen Sie das aktuelle Arbeitsprogramm von CEN-CENELEC, bevor Sie sich auf eine Stufe oder ein Datum verlassen. Zu diesem Zeitpunkt befindet sich ein Liefergegenstand (EN 18286) in der Genehmigung, drei (prEN 18228, prEN 18229-1, prEN 18282) in der Umfrage und die übrigen Entwürfe noch in der Ausarbeitung; keiner ist bislang veröffentlicht oder im Amtsblatt zitiert.

Wie man eine Stufe liest und welchen Artikel jeder Entwurf umsetzt¶

Ein Liefergegenstand steht kurz vor dem Abschluss. EN 18286 (QMS) erreichte als erster die Stufe Genehmigung (Schlussabstimmung); prEN 18228, prEN 18229-1 und prEN 18282 befinden sich in der Umfrage, und der Rest ist noch in der Ausarbeitung. Der Termin Q4 2026 von CEN-CENELEC ist ein Verfügbarkeitsziel für die priorisierten Liefergegenstände und kein garantiertes Veröffentlichungsdatum je Einzelnorm. Mit Stand Juni 2026 ist keine dieser Normen veröffentlicht oder im Amtsblatt zitiert, sodass bislang keine eine Konformitätsvermutung nach Artikel 40 begründet.

Die Zuordnung zu den Arbeitsgruppen folgt der Auflistung der JTC-21-Arbeitsgruppen. Die Arbeit zu Verzerrungen (prEN 18283) und zur Daten-Governance (prEN 18284) liegt in der WG3 Ingenieurtechnische Aspekte; die Teile des Rahmenwerks für die Vertrauenswürdigkeit von KI (prEN 18229-1, prEN 18229-2, prEN 18229-3) liegen in der WG4 Grundlagen und gesellschaftliche Aspekte; die Cybersicherheit (prEN 18282) liegt in der WG5; und die Normen zu Managementsystemen und zur Konformitätsbewertung (prEN 18228, EN 18286, prEN 18285) liegen in der WG2. Speziell bei prEN 18283 ging der verteilte Arbeitsentwurf in eine fünfwöchige Konsultation, deren Kommentierungsfrist am 30. April 2026 endete — eine frühere Reifestufe als EN 18286.

CEN-CENELEC-Entwürfe durchlaufen eine nummerierte Stufenleiter. Je höher die Stufe, desto näher ist der Text an der Veröffentlichung. Nationale Spiegelgremien prägen die Entwürfe durchgängig, und die Debatte in ihnen kann substanziell sein, wie die Debatte um prEN 18286 in Frankreich zeigt.

Zuordnung Artikel zu Liefergegenstand¶

Die Rückzuordnung der Liefergegenstände zur Verordnung zeigt, welche Anforderung der KI-Verordnung jeder Entwurf umsetzen soll. Dies ist die Umkehrung der Statustabelle und der schnellste Weg, die Norm zu finden, die an eine bereits für Sie geltende Pflicht geknüpft ist.

Wie JTC 21 ISO/IEC-Normen nutzt¶

Die europäische Normung stützt sich bevorzugt auf bestehende internationale Normen von ISO/IEC, soweit diese zum regulatorischen Ziel passen. JTC 21 nutzt grundlegende ISO/IEC-Arbeiten als Input für die gesamte prEN-Familie. Die Kommission erläutert diese Logik in ihren FAQ zum Verständnis der Normung.

Wo ein internationales Rahmenwerk nicht mit einer Anforderung der KI-Verordnung übereinstimmt, erarbeitet JTC 21 eine eigens dafür entwickelte europäische Norm. Der klarste Fall ist das Qualitätsmanagement. Die Kommission stellte fest, dass die Ziele und Definitionen von ISO/IEC 42001:2023 nicht mit dem nach der KI-Verordnung geforderten Qualitätsmanagementsystem übereinstimmen, weshalb prEN 18286 als eigenständige europäische Norm entwickelt wurde. Einen ausführlicheren Vergleich der QMS-Rahmenwerke finden Sie unter prEN 18286 im Vergleich zu ISO 9001 und ISO 42001.

Begründet eine Übernahme als EN ISO/IEC heute eine Vermutung nach Artikel 40?

Noch nicht. JTC 21 kann einige internationale Normen als EN-ISO/IEC-Texte übernehmen, und Teams, die bereits ein Managementsystem nach ISO/IEC 42001 betreiben, verfügen über übertragbare Strukturen, die sie wiederverwenden können. Bislang ist kein EN-ISO/IEC-Text als harmonisierte Norm im Amtsblatt zitiert worden, die eine Vermutung nach Artikel 40 begründet. Eine Ebene mit einer Erklärung zur Anwendbarkeit (SoA) lässt sich mit dem ISO-42001-SoA-Tool aufbauen, während die eigens erarbeiteten europäischen Liefergegenstände noch in Arbeit sind.

Artikel 40: Vom Entwurf zur Konformitätsvermutung¶

Artikel 40 der EU-KI-Verordnung ist der rechtliche Ertrag des Normungsprogramms. Bei einem Hochrisiko-KI-System, das mit harmonisierten Normen übereinstimmt, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, wird die Konformität mit den in Kapitel III Abschnitt 2 festgelegten Anforderungen (den Anforderungen der Artikel 8 bis 15) vermutet, und bei einem KI-Modell mit allgemeinem Verwendungszweck die Konformität mit den entsprechenden Pflichten aus Kapitel V, soweit diese Normen die Anforderungen abdecken. Die Zusammenfassung des AI Act Service Desk zu Artikel 40 erläutert den Mechanismus.

Artikel 17 (Qualitätsmanagementsystem) steht in Kapitel III Abschnitt 3, außerhalb der Anforderungen des Abschnitts 2, die Artikel 40 Absatz 1 benennt. prEN 18286 setzt diese Pflicht aus Artikel 17 um und ist der Liefergegenstand, der einer Zitierung am nächsten ist; und da das Qualitätsmanagement zum Normungsauftrag gehört, sollten Sie die genaue Rechtswirkung einer etwaigen QMS-Zitierung anhand der veröffentlichten Fundstelle bestätigen, statt für Artikel 17 von einer automatischen Vermutung nach Artikel 40 auszugehen. Das Zusammenspiel ist in Zuordnung von Artikel 17 zu prEN 18286 dargestellt.

Zwei Bedingungen steuern die Vermutung. Die Norm muss fertiggestellt und harmonisiert sein, und ihre Fundstelle muss im Amtsblatt zitiert sein. Solange nicht beides erfüllt ist, begründet ein Normentwurf (prEN oder Arbeitsentwurf) keine Konformitätsvermutung; die Ausrichtung an einem Entwurf schafft Vorbereitung und Auditnachweise. Die FAQ der Kommission gibt an, dass die ersten harmonisierten Normen voraussichtlich 2026 von CEN und CENELEC veröffentlicht werden, woraufhin die Kommission ihre Prüfung beginnt, ob die Fundstellen im Amtsblatt zitiert werden können. Die Zitierung im Amtsblatt der EU folgt dieser Prüfung.

Für jeden Eintrag in der Statustabelle bedeutet dies heute dasselbe. Mit Stand Juni 2026 begründet keiner der JTC-21-Liefergegenstände eine Vermutung, weil keiner im Amtsblatt zitiert ist. EN 18286 in der Genehmigung ist am weitesten fortgeschritten und am wahrscheinlichsten als erste zitiert.

So nutzen Sie diesen Tracker schon jetzt¶

Die Normen bleiben im Entwurfsstadium, während sich die Hochrisiko-Pflichten ihrer Anwendung nähern. Die Artikel 9 bis 15 und Artikel 17 gelten gemäß Artikel 113 ab dem 2. August 2026, wobei die Einstufungsregel des Artikels 6 Absatz 1 für in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2027 gilt. Der Digital Omnibus, im Mai 2026 vorläufig vereinbart, aber mit Stand Juni 2026 noch nicht angenommen oder im Amtsblatt veröffentlicht, würde, sobald er in Kraft ist, die eigenständigen Hochrisiko-Pflichten nach Anhang III (einschließlich der Grundrechte-Folgenabschätzung nach Artikel 27) auf den 2. Dezember 2027 verschieben. Die vertretbare Haltung ist, die rechtlich erforderlichen Kontrollen jetzt auf Grundlage des 2. August 2026 aufzubauen und die harmonisierten Normen nach ihrer Zitierung rasch zu übernehmen.

• Pflegen Sie eine Delta-Übersicht zu den Normen: Gleichen Sie jede prEN mit Ihren bestehenden Kontrollen ab, damit Sie den harmonisierten Text nach seiner Zitierung rasch übernehmen können.
• Bauen Sie die rechtlich erforderlichen Kontrollen jetzt auf (Artikel 9–15 zu Risiko, Daten, Transparenz, Aufsicht, Genauigkeit und Robustheit; das QMS nach Artikel 17) mit auditfähigen Nachweisen und nutzen Sie den Leitfaden zu den Anforderungen der EU-KI-Verordnung und den Leitfaden zur Hochrisiko-Einstufung, um den Umfang korrekt abzugrenzen.
• Beobachten Sie die Schritte bei Umfrage und Genehmigung, da diese Stufen signalisieren, welche Norm kurz davorsteht, zitierfähig zu werden; EN 18286 in der Genehmigung ist die kurzfristig zu verfolgende (siehe Zuordnung von Artikel 17 zu prEN 18286).
• Behandeln Sie Ihr Normeninventar als ein gelenktes Artefakt mit benanntem Verantwortlichen und einem Überprüfungsrhythmus, das neben Ihrer Kontrollbibliothek auf der Normen-Landingpage geführt wird.