Unterschiedliches Thema, gleiche Bauweise
ISO 9001 fragt: Liefert unser Unternehmen verlässlich die vereinbarte Qualität, und verbessern wir uns systematisch. ISO 27001 fragt: Schützen wir Informationen angemessen vor Verlust, Missbrauch und Ausfall. Inhaltlich haben beide Normen wenig gemeinsam. Formal folgen sie aber derselben High Level Structure (Annex SL), die für alle modernen ISO-Managementsystemnormen gilt: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung. Wer eine der beiden Normen schon lebt, erkennt die Struktur der anderen sofort wieder, auch wenn die fachlichen Inhalte in jedem Kapitel völlig andere sind. Das erleichtert vor allem internen Auditoren und der Geschäftsleitung die Einarbeitung in die zweite Norm erheblich.
ISO 9001:2026 löst ISO 9001:2015 ab
Am 16. September 2026 hat die ISO die neue Fassung ISO 9001:2026 veröffentlicht, die die bisherige Version ISO 9001:2015 ablöst. Für Unternehmen mit bestehendem Zertifikat gilt eine Übergangsfrist von drei Jahren: Zertifikate nach ISO 9001:2015 verlieren ihre Gültigkeit spätestens am 30. September 2029. Wer aktuell eine Erstzertifizierung plant, zertifiziert sich sinnvollerweise direkt gegen die neue Fassung, statt kurz darauf ein zweites Mal umstellen zu müssen. ISO/IEC 27001 wurde zuletzt im Oktober 2022 revidiert: Anhang A wurde dabei von 114 auf 93 Massnahmen verschlankt und in vier Themengruppen neu gegliedert, organisatorisch, personell, physisch und technologisch. Beide Revisionen zeigen, dass ISO-Normen keine einmal fixierten Dokumente sind, sondern in regelmässigen Abständen an neue Risiken und Arbeitsweisen angepasst werden.
Was ein integriertes Managementsystem konkret bringt
Weil beide Normen dieselbe Grundstruktur teilen, lässt sich vieles gemeinsam nutzen statt doppelt zu pflegen. Für die Praxis heisst das vor allem weniger Verwaltungsaufwand und weniger Zeit, die für zwei getrennte Nachweisführungen aufgewendet werden muss, und ein einheitliches Bild für die Geschäftsleitung statt zweier getrennter Berichtswege. Ein einzelnes Audit-Team, das beide Normen kennt, findet ausserdem Zusammenhänge, die zwei getrennten Teams leicht entgehen, etwa wenn eine Qualitätsabweichung zugleich ein Sicherheitsrisiko berührt.
- Ein gemeinsames Dokumentenlenkungssystem statt zwei getrennter Ablagen
- Ein gemeinsames internes Audit-Programm, das beide Normen in einem Durchgang abdeckt
- Ein gemeinsames Management-Review statt zweier getrennter Sitzungen
- Ein gemeinsamer Verbesserungsprozess (CAPA) für Qualitäts- und Sicherheitsabweichungen
Wo die Kombination Grenzen hat
Trotz gemeinsamer Struktur bleiben die fachlichen Inhalte getrennt zu betrachten. Das Statement of Applicability für ISO 27001 und die Qualitätsziele für ISO 9001 werden von unterschiedlichen Fachfragen getrieben und brauchen unterschiedliches Fachwissen im Team. Ein integriertes Managementsystem spart Struktur und Verwaltungsaufwand, ersetzt aber nicht die inhaltliche Auseinandersetzung mit Informationssicherheitsrisiken auf der einen und Prozessqualität auf der anderen Seite. Wer beide Themen derselben Person ohne ausreichende Fachkenntnis zuweist, riskiert, dass eines der beiden Systeme auf dem Papier gut aussieht, im Alltag aber nicht wirklich gelebt wird. Sinnvoller ist meist ein gemeinsamer Rahmen mit getrennten fachlichen Verantwortlichkeiten, die sich im Management-Review regelmässig abstimmen.
Wie IT am Main unterstützt
ITM ist selbst seit Januar 2025 sowohl nach ISO 9001 als auch nach ISO 27001 zertifiziert und baut für Kunden gezielt integrierte Managementsysteme, die Doppelarbeit vermeiden. Dabei modellieren wir zuerst die Prozesslandkarte und ergänzen sie anschliessend um die Informationssicherheitsrisiken, statt zwei getrennte Projekte parallel zu führen. Das gilt auch für den Übergang auf ISO 9001:2026: Wer ohnehin zertifiziert wird oder rezertifiziert, prüfen wir direkt gegen die neue Fassung, statt kurz danach ein zweites Mal umzustellen. Details finden Sie unter ISO 9001 & 13485 und ISO 27001.
Quellen
- ISO 9001:2026 Revision: Changes and Transition, DNV, 2026
- ISO/IEC 27001:2022 in deutscher Sprache: DIN EN ISO/IEC 27001-Ausgabe 2024-01, GUTcert, 2024
- ISO 27001: Standard für Informationssicherheit, Anhang A im Vergleich 2013/2022, CSM Consulting GmbH, 2026