Das NIST AI Risk Management Framework: Zuordnung der Kern-Suite zur Sicherheitspraxis

1. Einleitung

Praktiker, Anbieter und politische Entscheidungsträger behandeln „das NIST-KI-Sicherheitsframework“ zunehmend so, als benenne es eine einzige Kontroll-Baseline. Das tut es nicht. NIST hat seit 2023 eine Familie freiwilliger KI-Dokumente veröffentlicht, und die Formulierung bezeichnet mindestens drei verschiedene Dinge: das Artificial Intelligence Risk Management Framework (AI RMF) selbst (NIST AI 100-1); das später veröffentlichte Cybersecurity Framework Profile for Artificial Intelligence (NIST IR 8596); und, weiter gefasst, die Vereinigung dieser Dokumente mit Leitfäden zu adversarial machine learning (NIST AI 100-2) und üblichen Cybersicherheitskontrollen (CSF 2.0, SP 800-53). Ihre Vermischung erzeugt zwei Fehlermodi. Teams, die ein Sicherheitsprogramm wollten, setzen nur Governance-Workshops um. Teams, die vertrauenswürdige KI wollten, setzen nur Checklisten zum Modell-Hardening um.

Das AI RMF erschien am 26. Januar 2023 als NIST AI 100-1 auf Grundlage eines Mandats aus dem National Artificial Intelligence Initiative Act of 2020. Es ist freiwillig, rechtebewusst, nicht sektorspezifisch und anwendungsfallunabhängig. Sein Gegenstand ist kein Informationssystem im Sinne von SP 800-37. Sein Gegenstand ist ein soziotechnisches KI-System, und sein Erfolgskriterium ist Vertrauenswürdigkeit und nicht allein Vertraulichkeit, Integrität und Verfügbarkeit. NIST lieferte das Framework nicht als isoliertes PDF. Es lieferte ein begleitendes Playbook, eine Roadmap für Folgearbeit, eine detaillierte Darstellung vertrauenswürdiger KI-Merkmale im Kerndokument und einen Community-Katalog mit Implementierungen und Crosswalks über das Trustworthy and Responsible AI Resource Center. Diese fünf Ressourcen sind das ursprüngliche AI-RMF-Programm. Alles andere im NIST-KI-Stack — das Generative AI Profile (AI 600-1), der Entwurf des Cyber AI Profile (IR 8596), die Adversarial-Taxonomie (AI 100-2) und Profile für kritische Infrastrukturen — ist eine Spezialisierung, die an dieses Programm anknüpft.

Dieses Paper ist eine Landkarte, keine Modellbewertung und kein Anspruch auf empirische Entdeckung. Wir lesen den öffentlichen NIST-Korpus Stand August 2026 und die Standards, neben denen er gedacht ist. Drei Beobachtungen strukturieren den Rest des Papers.

Die Suite ist das Framework. AI RMF 1.0 ist Teil I (wie KI-Risiko gerahmt wird und was „vertrauenswürdig“ bedeutet) plus Teil II (vier Funktionen mit Kategorien und Unterkategorien). Playbook, Roadmap, Merkmalsdiskussion und Community-Katalog sind, wie NIST erwartete, wie Organisationen den Kern operationalisieren, erweitern und teilen. AI 100-1 als gesamtes Programm zu behandeln, unterschätzt, was NIST im ersten Quartal 2023 veröffentlichte.

Sicherheit ist ein Merkmal, nicht der Rahmen. NIST nennt sieben Merkmale vertrauenswürdiger KI: valid and reliable; safe; secure and resilient; accountable and transparent; explainable and interpretable; privacy-enhanced; sowie fair, with harmful bias managed. Secure and resilient ist eine Zeile in dieser Liste. Die vier Funktionen — Govern, Map, Measure, Manage — sind, wie eine Organisation alle sieben verfolgt, einschließlich der Spannungen untereinander.

Cybersicherheitsinstrumente docken an; sie ersetzen nicht. NISTs eigener Kommentar zum Cyber AI Profile ist, dass CSF 2.0, AI RMF und das Profile gemeinsam genutzt werden sollen. AI 100-2 liefert Angriffsvokabular für Measure und Manage. SP 800-53 bleibt der Kontrollkatalog für Systeme, die einen brauchen. ISO/IEC 42001 und der EU AI Act sind angrenzende Regime, keine NIST-Dokumente, und sollten crosswalked statt verschmolzen werden.

Beiträge. Dieses Paper leistet vier Beiträge:

1. Wir rekonstruieren die ursprüngliche AI-RMF-Ressourcensuite und zeigen, wie Playbook, Roadmap, Vertrauenswürdigkeitsmerkmale und Community-Katalog zu AI 100-1 stehen.
2. Wir verorten Cybersicherheit im Sieben-Merkmale-Modell und präzisieren, was „secure and resilient“ abdeckt und was nicht.
3. Wir ordnen spätere NIST-KI-Sicherheitsinstrumente den vier Funktionen zu, einschließlich CSF 2.0, IR 8596, AI 100-2, AI 600-1 und der Konzeptnotiz zum kritischen-Infrastruktur-Profil.
4. Wir geben ein Nutzungsverfahren und ein durchgerechnetes Beispiel für ein agentisches Sprachmodellsystem mit Fehlermodi, die daraus folgen, ein einzelnes Dokument als ganzes Programm zu behandeln.

2. Hintergrund: KI-Risiko ist kein Informationssystem-Risiko

Das klassische NIST Risk Management Framework (SP 800-37) autorisiert ein Informationssystem. Es kategorisiert das System, wählt SP-800-53-Kontrollen, bewertet sie, autorisiert den Betrieb und überwacht. Diese Schleife bleibt nötig, wenn ein KI-System auf föderaler oder anderweitig kontrollierter Infrastruktur läuft. Sie reicht für KI nicht aus, und NIST sagt das: KI-Risiken unterscheiden sich von traditionellen Software-Risiken in der Art, nicht nur im Grad.

Drei Unterschiede sind für Sicherheitsteams wichtig.

Die Risikoeinheit ist soziotechnisch. Das Verhalten eines KI-Systems hängt von Trainingsdaten, Evaluationsdaten, Prompts, Tools, Nutzern und nachgelagerten Entscheidungsprozessen ab. Ein vertrauliches und verfügbares Modell kann dennoch unfair, unsicher oder strategisch nicht konform sein. Das AI RMF behandelt daher Auswirkungen auf Individuen, Gruppen, Gemeinschaften, Organisationen und die Gesellschaft als im Scope, nicht als Externalitäten für ein separates Ethikbüro.

Vertrauenswürdigkeitsmerkmale stehen in Konflikt. Ein leichter erklärbares System kann mehr über Trainingsdaten preisgeben. Ein System, das Dual-Use-Anfragen ablehnt, kann auf ein vom Entwickler gesetztes Ziel weniger „hilfreich“ sein. NIST führt dieses Trade-off-Problem als Roadmap-Priorität an, statt zu tun, als bildeten die Merkmale ein Gratisessen. Ein Sicherheitsprogramm, das nur adversarial robustness optimiert, kann Risiko in Fairness, Privacy oder Safety verschieben, ohne den Gesamtschaden zu senken.

Das Framework ist freiwillig und ergebnisorientiert. AI 100-1 enthält keinen nummerierten Kontrollkatalog. Es enthält Funktionen, Kategorien und Unterkategorien, die Ergebnisse beschreiben („KI-Risiken werden identifiziert und dokumentiert“) statt Mechanismen („Input-Filter X deployen“). Das Playbook schlägt Handlungen vor; es ist ausdrücklich keine in Reihenfolge abzuarbeitende Checkliste. Organisationen, die ein auditierbares Managementsystem brauchen, sollen ISO/IEC 42001 nutzen oder das AI RMF an eine bestehende RMF-Autorisierungsgrenze binden — nicht aus AI 100-1 selbst eine Zertifizierung erfinden.

Diese Fakten erklären die Namensverwirrung. Sicherheitsingenieure hören „Framework“ und greifen zu CSF oder SP 800-53. KI-Governance-Teams hören „Framework“ und greifen zu AI 100-1. Beide Instinkte sind halb richtig. Der Rest dieses Papers geht darum, sie am selben System zu halten, statt sich gegenseitig zu ersetzen.

3. Die ursprüngliche AI-RMF-Ressourcensuite

NISTs Start im Januar 2023 war ein Paket, keine einzelne Datei. Die Tabelle unten listet die fünf Ressourcen, die in der Praxis mit „dem AI RMF“ gemeint sind. Spätere Profile und Taxonomien sind Ergänzungen, keine Einträge in dieser Tabelle.

3.1 AI RMF 1.0 (NIST AI 100-1)

AI 100-1 hat zwei Teile. Teil I rahmt KI-Risiko: wer die KI-Akteure sind, wie KI-Schaden sich von Software-Schaden unterscheidet und was „vertrauenswürdig“ bedeutet. Teil II ist der Core: vier Funktionen, jeweils in Kategorien und Unterkategorien zerlegt.

Govern ist übergreifend. Es umfasst Organisationspolitik, Accountability, Kultur, Governance Dritter und Einbindung Betroffener. Map, Measure und Manage bilden dann eine Schleife für ein gegebenes KI-System oder einen Anwendungsfall. Map etabliert Kontext und inventarisiert Auswirkungen. Measure wählt Methoden, bewertet Vertrauenswürdigkeitsmerkmale und verfolgt Risiko über die Zeit. Manage priorisiert Behandlungen, einschließlich Restrisiko, Incident Response und Drittpartei-Exposure. NIST stellt dies als parallel und iterativ dar, nicht als Wasserfall.

Zwei strukturelle Entscheidungen fallen leicht durchs Raster.

Erstens sind Profile first-class. Ein Profil ist eine Umsetzung der Funktionen für eine bestimmte Umgebung, Risikotoleranz und Ressourcenrahmen. Das Generative AI Profile (AI 600-1) und das kommende kritische-Infrastruktur-Profil sind Profilinstanzen, keine konkurrierenden Frameworks.

Zweitens beschreibt der Core Ergebnisse, keine Tools. „MEASURE 2: AI systems are evaluated for trustworthy characteristics“ benennt weder einen Red-Team-Anbieter, einen Bias-Benchmark noch eine adversarial-robustness-Metrik. Diese Wahl gehört ins Playbook, in ein Organisationsprofil oder in ein Komplement wie AI 100-2.

3.2 Das Playbook

Das Playbook ist der Implementierungsbegleiter. Pro Unterkategorie bietet es vorgeschlagene Maßnahmen, informative Referenzen und Dokumentationsnotizen. NIST ist bei drei Einschränkungen explizit: das Playbook ist freiwillig; Organisationen können so viele oder so wenige Vorschläge nutzen, wie passen; es ist keine in vollem Umfang abzuschließende Sequenz. Die erste vollständige Webversion wurde am 30. März 2023 mit dem Resource-Center-Start angekündigt. NIST hat angegeben, dass das Playbook nach der Revision von AI RMF 1.0 aktualisiert wird.

Für Sicherheitsleser ist das Playbook der Ort, an dem „secure and resilient“ taktisch wird — Logging, Evaluation, Incident-Prozesse, Supply-Chain-Fragen — ohne SP 800-53 zu werden. Braucht ein Team eine auditierbare Kontroll-ID, hat es das Playbook verlassen und sollte das sagen.

3.3 Die Roadmap

Die Roadmap ist NISTs Lückenliste zum Zeitpunkt von 1.0, kein Zeitplan mit Lieferterminen. Veröffentlichte Prioritäten umfassen Abstimmung mit internationalen Standards und Crosswalks; erweiterte Test, Evaluation, Verification and Validation (TEVV); AI-RMF-Profile; Leitfäden zu Trade-offs zwischen Vertrauenswürdigkeitsmerkmalen; Methoden zur Messung der Wirksamkeit des AI RMF selbst; Fallstudien; Human Factors; Explainability im Zusammenhang mit Risikomanagement; Methoden zur Festlegung angemessener Risikotoleranzen; und Bildungsmaterial.

Mehrere davon sind inzwischen eigene Dokumente geworden (Profile, TEVV-nahe Taxonomien). Andere bleiben offen, besonders Trade-off-Leitfäden und Wirksamkeitsmessung. Ein Team, das 1.0 als abgeschlossene Doktrin behandelt, wird vom Revisionsprozess überrascht.

3.4 Trustworthy AI characteristics

Die Merkmale sind kein fünftes PDF. Sie sind Teil I von AI 100-1 und Gegenstand von MEASURE 2. Der wichtige Suite-Punkt ist, dass NIST „gute KI“ definierte, bevor es die vier Funktionen definierte. Die Funktionen dienen der Verfolgung dieser Merkmale, auch wenn sie in entgegengesetzte Richtungen ziehen.

3.5 Der Community-Katalog (AIRC)

Am 30. März 2023 startete NIST das Trustworthy and Responsible AI Resource Center für Playbook-Inhalte, Crosswalks, Perspektiven und beigetragene Anwendungsfälle. Das ist die Ressource, die informell oft als „KI-Risikomanagement-Datenbank“ beschrieben wird: ein Katalog community-basierter Implementierungen, keine Schwachstellen-Datenbank und keine Kontrollbibliothek. Seine Funktion ist sozial — geteilte Profile und Mappings — statt technische Bewertung. Er ist nicht mit Incident-Datenbanken oder MITRE ATLAS zu verwechseln.

4. Vertrauenswürdigkeitsmerkmale und die Sicherheitszeile

NISTs Vertrauenswürdigkeitsmodell ist der Teil des AI RMF, den Sicherheitsprogramme am häufigsten überspringen und den Responsible-AI-Programme am häufigsten als ganzes Programm behandeln. Beide Schnitte verlieren die Struktur.

4.1 Sieben Merkmale

AI 100-1 stellt fest, dass vertrauenswürdige KI-Systeme in Kombination Folgendes sind:

1. Valid and reliable — sie erfüllen die beabsichtigte Leistung unter erwarteten und vernünftigerweise unerwarteten Bedingungen, mit dokumentierten Grenzen.
2. Safe — sie gefährden unter definierten Nutzungsbedingungen nicht Leben, Gesundheit, Eigentum oder Umwelt von Menschen.
3. Secure and resilient — sie widerstehen unerwarteten nachteiligen Ereignissen, einschließlich durch unbefugten Zugriff, Nutzung oder Störung, und erholen sich.
4. Accountable and transparent — Akteure sind identifizierbar, und Informationen über das System stehen denen zur Verfügung, die sie brauchen.
5. Explainable and interpretable — KI-Ausgabe und Systemverhalten sind auf einem der Zielgruppe und Entscheidung angemessenen Niveau verständlich.
6. Privacy-enhanced — sie integrieren Privacy-Werte wie Anonymität, Vertraulichkeit und Kontrolle.
7. Fair, with harmful bias managed — sie managen schädlichen Bias und damit verbundene Diskriminierungsrisiken.

Validity wird als Voraussetzung für die anderen beschrieben: ein invalides System kann in keinem robusten Sinn fair oder safe sein. Darüber hinaus ordnet NIST die übrigen sechs nicht. Die Roadmap markiert Trade-offs stattdessen als offenes Forschungs- und Leitfragenproblem.

4.2 Was „secure and resilient“ abdeckt

In RMF-Sprache ist secure and resilient das Merkmal, das mit der klassischen CIA-Triade und CSF-Ergebnissen überlappt. Es umfasst Vertraulichkeit von Modellgewichten, Trainingsdaten und Prompts; Integrität von Daten, Modellen und Tool-Ausgaben; Verfügbarkeit von Inferenz und der umgebenden Pipeline; sowie Resilienz unter Angriff, Distribution Shift und betrieblichem Ausfall.

Es umfasst für sich allein nicht:

• ob das erklärte Modellziel den Werten des Deployers entspricht (Accountability);
• ob Ablehnungen und Dual-Use-Politik angemessen sind (Safety, oft auch Fairness);
• ob Erklärungen faithful sind (Explainability);
• ob Trainingsdaten oder Logs Privacy-Schaden erzeugen (Privacy);
• ob Evaluationen statistisch valide sind (Validity).

Adversarial machine learning liegt an der Grenze. Evasion, Poisoning, Privacy-Angriffe und generative Misuse sind Sicherheitsereignisse, aber auch Validity-, Privacy- und Safety-Ereignisse. Deshalb schrieb NIST eine dedizierte Taxonomie, statt AML vollständig in CSF Identify-Protect-Detect-Respond-Recover zu falten.

4.3 Wie die vier Funktionen auf die Sicherheitszeile anwendbar sind

Eine rein sicherheitsorientierte Lesart der vier Funktionen hat Inhalt und ist schmaler als ein volles AI-RMF-Programm:

Govern. Wer besitzt Modellrisiko versus Application Security versus Safety Policy? Sind Drittmodelle, RAG-Korpora und Tools im Vendor-Risk-Prozess? Gibt es eine Acceptable-Use-Policy, die nicht nur eine Informationssicherheitspolitik ist?

Map. Was ist das KI-System — Modell, Prompts, Tools, Retrieval, Evaluatoren, Menschen in der Schleife? Wer wird geschädigt, wenn es fail-closed, fail-open oder gesteuert wird? Welche Umgebungen sind Training, Evaluation und Produktion, und kann das Modell den Unterschied inferieren?

Measure. Welche Tests gibt es für Jailbreaks, Prompt Injection, Data Exfiltration, Poisoning, Membership Inference und Tool Abuse — und welche Tests für die Nicht-Sicherheits-Merkmale, die diese Angriffe auslösen können? Werden Metriken über die Zeit verfolgt oder nur zum Launch?

Manage. Was ist Restrisiko nach Mitigations? Was ist der Incident-Pfad, wenn eine Modellaktion Schaden verursacht, der kein klassischer Sicherheitsvorfall ist? Wie werden Drittmodell-Updates behandelt?

Das ist immer noch keine Kontroll-Baseline. Es ist eine Art zu bemerken, dass „wir einmal Red Team gemacht haben“ eine Measure-Aktivität ist, kein Govern- oder Manage-System.

5. Ergänzungen: Cybersicherheit und spezialisierte Profile

Ist die Suite der Stamm, sind die Dokumente in diesem Abschnitt die Äste, die am häufigsten fälschlich als „das NIST-KI-Sicherheitsframework“ etikettiert werden. Sie sind real, nützlich und enger.

5.1 CSF 2.0

Das Cybersecurity Framework 2.0 ordnet Cybersicherheitsergebnisse in sechs Funktionen: Govern, Identify, Protect, Detect, Respond, Recover. Es ist technologieneutral und bereits weit verbreitet. Es kennt weder Modellgewichte, Prompt Injection noch Chain-of-Thought-Leaks. CSF allein auf einem LLM-System einzusetzen erfasst typischerweise Cloud-Konto und Anwendung und verpasst modellspezifische Fehlermodi.

Die lexikalische Überlappung von „Govern“ mit dem AI RMF ist zufällig im Namen und im Geist ausgerichtet. CSF Govern ist Cybersicherheits-Governance. AI RMF Govern ist KI-Vertrauenswürdigkeits-Governance, die Sicherheit und vieles mehr einschließt.

5.2 Cyber AI Profile (NIST IR 8596)

Das Cybersecurity Framework Profile for Artificial Intelligence, im Dezember 2025 als initial preliminary draft veröffentlicht, ist das NIST-Dokument, das einem „KI-Sicherheitsframework“ im umgangssprachlichen Sinn am nächsten kommt. Es wendet CSF-2.0-Ergebnisse auf KI an und ist um drei Schwerpunktbereiche organisiert:

1. Secure — Cybersicherheit von KI-Systemkomponenten (Modelle, Daten, Pipelines, Agenten, Infrastruktur).
2. Defend — KI zur Verbesserung defensiver Operationen, einschließlich der neuen Fehlermodi, die das einführt.
3. Thwart — Resilienz gegen KI-gestützte Angriffe (automatisiertes Phishing, Malware, Intrusion).

NISTs erklärte Absicht ist, dass CSF 2.0, AI RMF und dieses Profile gemeinsam genutzt werden, nicht dass das Profile AI 100-1 ersetzt. Der Entwurf weist Überlegungen Prioritätsstufen als Planungsleitfaden zu; Organisationen sollen diese Prioritäten an die eigene Risikotoleranz anpassen. Zum Zeitpunkt dieses Schreibens bleibt das Dokument ein Entwurf auf dem Weg zu einem initial public draft nach der Kommentierungsfrist im Januar 2026.

5.3 Adversarial machine learning taxonomy (NIST AI 100-2)

NIST AI 100-2 ist ein Terminologie- und Taxonomiebericht, 2025 aktualisiert. Er klassifiziert Angriffe nach Lernparadigma, Lebenszyklusphase, Angreiferzielen, Fähigkeiten und Wissen. Für prädiktive Systeme sind die Hauptklassen Evasion, Poisoning und Privacy-Angriffe. Für generative Systeme kommt Misuse hinzu. Er diskutiert auch Mitigations und deren Grenzen.

Das ist das Dokument, das man zitiert, wenn Measure eine gemeinsame Sprache für „was mit dem Modell passiert ist“ braucht. Es ist kein Governance-Framework und kein CSF-Profil. ATLAS ist eine verwandte Practitioner-Threat-Landschaft; AI 100-2 ist das NIST-Vokabular für künftige Standards und Praxisleitfäden.

5.4 Generative AI Profile (NIST AI 600-1)

NIST AI 600-1 ist ein AI-RMF-Profil, kein CSF-Profil. Es wendet Govern–Map–Measure–Manage auf Risiken an, die in generativen Systemen einzigartig oder verstärkt sind: Confabulation, Datenschutz, Informationssicherheit, schädliche Inhalte, Homogenisierung, Mensch-KI-Konfiguration und mehrere weitere. Ein Team, das LLMs oder Agenten deployt und 1.0 ohne 600-1 umsetzt, nutzt den allgemeinen Rahmen ohne die GenAI-spezifische Risikoliste, die NIST bereits schrieb.

5.5 SP 800-53 und AI control overlays

SP 800-53 bleibt der Kontrollkatalog für US-Bundessysteme und viele private Programme, die ihn bereits nutzen. NIST entwickelt KI-orientierte Control Overlays: Auswahl und Interpretation bestehender Kontrollen für KI-Systemtypen, statt Ersatzkatalog. Bis Overlays final sind, ist der ehrliche Implementierungspfad: RMF autorisiert die Plattform; AI RMF regiert das Modell; CSF / Cyber AI Profile priorisieren Cyber-Ergebnisse; SP 800-53 (oder privater Katalog) instantiiert technische Kontrollen.

5.6 Critical infrastructure profile

Im April 2026 veröffentlichte NIST eine Konzeptnotiz für ein AI-RMF-Profil zu vertrauenswürdiger KI in kritischer Infrastruktur. Zielgruppe sind CI-Betreiber in IT-, OT- und ICS-Kontexten, die Vertrauenswürdigkeitsanforderungen gegenüber Anbietern und internen Teams formulieren müssen. Es ist ein Sektorprofil von AI 100-1, kein Ersatz für sektorspezifische Cyber-Regulierung.

5.7 Revision von AI RMF 1.0

NIST gibt an, dass AI RMF 1.0 im Rahmen des White House AI Action Plan überarbeitet wird und dass das Playbook nach dieser Revision aktualisiert wird. Jedes Mapping-Paper, einschließlich dieses, sollte als Karte der 1.0-Ära-Suite plus der bis Mitte 2026 veröffentlichten Ergänzungen gelesen werden — nicht als Einfrieren des 2.0-Textes.

6. Nutzungskarte

Die praktische Frage ist nicht, welches Dokument „das“ Framework ist. Es ist, welches Dokument welche Frage beantwortet.

1. Welche Ergebnisse schulden wir? → AI RMF 1.0 + Profil (600-1 oder sektoral)
2. Wie könnten wir sie verfolgen? → Playbook + AIRC-Beispiele
3. Was sind die Cyber-Ergebnisse? → CSF 2.0 + Cyber AI Profile
4. Was kann mit dem Modell passieren? → AI 100-2 (+ ATLAS)
5. Welche Kontrollen instantiieren das? → SP 800-53 / Overlay / ISO 27001

Eine Zeile zu überspringen ist üblich; zu behaupten, die übersprungene Zeile sei abgedeckt, ist der übliche Fehler.

6.1 Verfahren

1. System und Akteure benennen (Map). Modell(e), Datenspeicher, Tools, Evaluatoren, Nutzer und Betroffene aufschreiben. Existiert dieses Inventar nicht, retten weder CSF noch das Playbook das Programm.

1. Profil wählen. Allgemeine Systeme nutzen 1.0 unverändert. Generative und agentische Systeme ergänzen AI 600-1. CI-Betreiber sollten das kritische-Infrastruktur-Profil verfolgen. Ein Profil ist eine Scoping-Entscheidung, kein Papierkram um des Papierkrams willen.

1. Govern vor Measure-Theater aufbauen. Owner für Modellrisiko, Application Security, Safety Policy und Vendor-KI zuweisen. Risikotoleranz explizit festlegen — Roadmap-Punkt 9 existiert, weil dieser Schritt meist vorgetäuscht wird.

1. Cybersicherheit über CSF ziehen, nicht über Metapher. Secure-/Defend-/Thwart-Überlegungen aus IR 8596 auf bestehende CSF-Kategorien mappen. Das ISMS nicht um AI-100-1-Unterkategorien neu schreiben.

1. Measure ein Angriffsvokabular geben. AI-100-2-Klassen (Evasion, Poisoning, Privacy, Misuse) als Mindesttaxonomie für modellzentrierte Tests nutzen. Nicht-Sicherheits-Evaluationen für Validity, Fairness, Privacy und Safety ergänzen oder aufhören, diese Merkmale zu behaupten.

1. Kontrollen in einem echten Katalog instantiieren. SP 800-53, Cloud-Anbieter-Control-Mapping oder ISO/IEC 27001 können die technischen Objekte tragen. Restrisiko in Manage dokumentieren, einschließlich Schäden, die nie in einem SIEM erscheinen.

1. Den Negativraum dokumentieren. Implementiert die Organisation nur Secure-and-resilient + CSF, sagen: „Wir führen ein KI-Cybersecurity-Programm, informiert durch das AI RMF“, nicht „wir implementieren das AI RMF“.

6.2 Durchgerechnetes Beispiel: ein agentisches Chat-System

Betrachten Sie einen gehosteten Assistenten, der private Dokumente abruft, Tools aufruft und über mehrere Turns handelt — die Form vieler produktiver LLM-Agenten.

Map. Das System ist nicht „das Modell“. Es ist Modell, System-Prompt, abgerufene Korpora, Tool-APIs, Session-Memory, Evaluatoren und menschliche Operatoren. Betroffene sind Endnutzer, Dritte, deren Daten im Retrieval erscheinen, und wer auf der anderen Seite eines Tool-Calls steht. Die GenAI-Risikoliste von AI 600-1 ist im Scope; eine rein prädiktive-ML-Lesart von 1.0 nicht.

Govern. Getrennte Owner für: Application Security (Authn/z, Tenant-Isolation); Modell- und Prompt-Change-Control; Safety Policy (Refusals, Dual-Use); Vendor-Modelle. Third-Party Govern (GOVERN 6 / MANAGE 3) gilt für Foundation-Model-APIs wie für SaaS.

Measure. AI-100-2-Misuse- und Privacy-Klassen decken Jailbreaks, Prompt Injection über abgerufene Dokumente und Data Exfiltration über Tools ab. Sie decken nicht Confabulation ab, die einem Nutzer ohne Angreifer schadet, oder systematische Refusal-Fehler in manchen Sprachen. Das sind Validity-, Safety- und Fairness-Messungen. Ein Red-Team-Bericht, der nur Angriffserfolgsrate zählt, ist unvollständiges Measure relativ zu 600-1.

Manage. Incident-Typen umfassen klassische Breaches und schädliche abgeschlossene Tool-Aktionen, Secret-Leaks in Logs und entdecktes alignment-faking oder deceptive reasoning, wenn das Modell dafür evaluiert wird. Recovery kann Rollback von Prompt oder Modell bedeuten, nicht nur Credential-Rotation.

CSF-/IR-8596-Overlay. Secure deckt Serving-Stack und Training- oder Fine-Tuning-Pipeline ab. Defend deckt jede Modellnutzung in SOC-Workflows ab — und das Prompt-Injection-Risiko, das das erzeugt. Thwart deckt Angreifer ab, die andere Modelle gegen dieses System nutzen (Credential Stuffing mit generierten Ködern, automatisierte Schwachstellensuche).

Nichts davon erfordert zu behaupten, IR 8596 sei AI 100-1 oder AI 100-1 sei SP 800-53.

6.3 Fehlermodi

Wir beobachten vier wiederkehrende Kategoriefehler in öffentlichen Behauptungen (keine statistische Stichprobe; eine Typologie):

• PDF-Compliance. Eine ausgefüllte Playbook-Tabelle als Implementierung von MEASURE 2 behandeln.
• Sicherheits-Synecdoche. AI-RMF-Implementierung mit adversarial-robustness-Eval gleichsetzen.
• Ethik-Synecdoche. AI-RMF-Implementierung mit Fairness-Dashboard ohne Incident-Pfad gleichsetzen.
• Zertifizierungs-Theater. „NIST AI RMF zertifiziert“ werben, obwohl NIST dafür für 1.0 keine Zertifizierung anbietet.

Letzteres ist am irreführendsten. ISO/IEC 42001 ist das zertifizierbare KI-Managementsystem. Das AI RMF ist ein freiwilliges Ergebnis-Framework, das mit diesem System aligniert werden kann.

7. Verwandte Arbeit

NISTs eigener Stack. Dieses Paper ist eine Lesart dieses Stacks, kein Konkurrent. Primärquellen sind AI 100-1, Playbook und Roadmap, AIRC, AI 600-1, AI 100-2, CSF 2.0 und IR 8596. SP 800-37 und SP 800-53 bleiben Autorisierungs- und Kontroll-Rückgrat für föderale Informationssysteme.

Internationale Managementsysteme und Recht. ISO/IEC 42001 spezifiziert ein auditierbares KI-Managementsystem. ISO/IEC 22989 liefert Vokabular; ISO/IEC 42005 behandelt Impact Assessment. Die AI-RMF-Roadmap listete Crosswalks zu dieser Familie bereits als Top-Priorität. Der EU AI Act ist bindende risikogestufte Regulierung für Systeme in seinem Scope. Er ist kein NIST-Profil. Crosswalks sind angemessen; Identität nicht. Die OECD AI Principles stehen auf höherer Ebene und informierten viel des 2019–2023 trustworthy-AI-Vokabulars, das NIST destillierte.

Secure development guidelines. CISA- und NCSC-Leitlinien für sichere KI-Systementwicklung liegen näher am Secure-Schwerpunkt von IR 8596 als am AI RMF insgesamt. Sie sind nützlicher Measure/Manage-Input, kein Ersatz-Govern-Modell für Fairness oder Accountability.

Threat landscapes. MITRE ATLAS katalogisiert Angreifertaktiken gegen KI-Systeme. Biggio und Roli überblicken das erste Jahrzehnt adversarial ML. Weidinger et al. taxonomisieren Sprachmodellrisiken jenseits des adversarial Settings. Amodei et al. rahmten Unfallrisiko, das primär kein Angreiferproblem ist. Das AI RMF ist absichtlich breiter als jede dieser Listen; AI 100-2 ist das NIST-Dokument, das die adversarial Teilmenge am direktesten aufnimmt.

Alignment als Vertrauenswürdigkeitsproblem. Arbeit an helpful, honest, harmless assistants und constitutional training betrifft Safety, Accountability und Validity mehr als klassische Cybersicherheit. Sie gehört dennoch unter Map und Measure für agentische Systeme: ein Modell, das unter Aufsicht strategisch compliant ist, ist ein Manage-relevanter Fehlermodus, auch wenn keine SP-800-53-Kontrolle versagt hat. Das AI RMF nutzt „alignment“ nicht als Primitive; Organisationen, denen es wichtig ist, sollten es als benanntes Risiko in Map behandeln, nicht als Synonym für secure-and-resilient.

8. Diskussion

8.1 Was diese Zuordnung nicht tut

Wir haben nicht gemessen, ob Organisationen mit behaupteter AI-RMF-Alignment sich in Incident-Raten von anderen unterscheiden. Roadmap-Punkt 5 (Wirksamkeit des Frameworks) bleibt ein offener NIST-Workstream. Wir haben auch kein neues Control Overlay oder vollständigen Crosswalk zu ISO/IEC 42001 oder dem EU AI Act produziert; das sind dokumentgroße Projekte, von denen einige bereits in AIRC leben.

Das Paper ist daher ein kartographischer Beitrag. Sein Fehlermodus ist der übliche für Karten: autoritärer wirken als das Terrain, besonders während 1.0 überarbeitet wird.

8.2 Freiwillige Frameworks und Beschaffungssprache

Weil AI 100-1 freiwillig und ergebnisorientiert ist, eignet es sich schlecht für binäre Beschaffungsklauseln („Lieferant muss AI-RMF-konform sein“). Eine präzisere Klausel benennt das Profil (z. B. AI 600-1), die Merkmale im Scope, die für Measure erwarteten Nachweise und den Kontrollkatalog zur Instantiation technischer Protect/Detect-Objekte. Wo ein zertifizierbares Managementsystem gefordert ist, ist ISO/IEC 42001 das vorgesehene Instrument. Wo ein zertifizierbarer Sicherheitskontrollsatz gefordert ist, bleibt SP 800-53 oder ein Äquivalent das vorgesehene Instrument.

8.3 Die Messlücke

Govern und Map lassen sich mit Workshops machen. Measure nicht. NISTs TEVV-Roadmap-Punkt existiert, weil soziotechnische Evaluation von KI-Systemen methodologisch dünn ist relativ zu den Behauptungen, die Käufer hören wollen. Sicherheitsteams sollten diese Lücke nicht füllen, indem sie Red-Team-Pass/Fail-Raten für Validity, Fairness und Safety herhalten lassen. Diese Substitution ist, wie „NIST-KI-Sicherheitsframework“ zur Marketingphrase wird.

8.4 Agenten, Tools und der 2023-Text

AI 100-1 predatiert die breite Deployment tool-nutzender Agenten. AI 600-1 und IR 8596 holen auf. Ein Agent, der E-Mail senden, Infrastruktur ändern oder Code schreiben kann, erweitert Map-Inventar und Manage-Incident-Taxonomie. Es braucht keinen neuen Marketingnamen für das AI RMF; es braucht ein Profil, das Tools, Memory und Authorization als first-class Systemkomponenten benennt.

8.5 Revisionsrisiko

Leser, die aus diesem Paper implementieren, sollten die 1.0-Revision verfolgen. Funktionsnamen können bestehen bleiben, während Unterkategorien, Profilerwartungen und Playbook-Aktionen sich ändern. Die strukturelle Behauptung, die uns wichtig ist — Suite versus Ergänzungen; Merkmale versus Kontrollen — wird vermutlich überleben; tabellenartige Zitate auf 1.0-Unterkategorien vielleicht nicht.

9. Fazit

Es gibt kein einzelnes NIST-Dokument mit dem Titel AI Security Framework. Es gibt ein 2023-Programm — die AI-RMF-Suite aus AI 100-1, Playbook, Roadmap, Vertrauenswürdigkeitsmerkmalen und Community-Katalog — und eine Reihe späterer Instrumente, die Cybersicherheit, generative KI und sektorale Praxis vertiefen.

Sicherheit ist eines von sieben Merkmalen vertrauenswürdiger KI. Die vier Funktionen operationalisieren alle sieben. CSF 2.0 und der Entwurf des Cyber AI Profile sind die Cybersicherheitsergebnis-Schicht. AI 100-2 ist das Angriffsvokabular. SP 800-53 (und kommende Overlays) sind die Kontrollschicht. ISO/IEC 42001 und der EU AI Act sind angrenzende Regime.

Zusammen genutzt sind diese Dokumente kohärent. Als Synonyme genutzt erzeugen sie Programme, die entweder Sicherheit mit Ethik-Vokabular oder Ethik ohne Incident-Pfad sind. Die billigste Korrektur ist sprachlich: sagen, welches Dokument welche Frage beantwortet, und aufhören, den Rest zu behaupten.

Danksagung

Dieses Paper ist eine strukturierte Lektüre öffentlich verfügbarer NIST-Dokumente und verwandter Standards. Es steht in keiner Verbindung zu NIST, stellt keine Rechts- oder Compliance-Beratung dar und behauptet nicht, dass ein Produkt das AI RMF umsetzt.

@online{violet2026nistairmf,
  author = {Haigh, John},
  title = {The NIST AI Risk Management Framework: Mapping the Core Suite to Security Practice},
  date = {2026-09-12},
  year = {2026},
  url = {https://www.violetai.ca/de/research/nist-ai-rmf/paper},
}