ISO 9001:2026 und ISO 27001 haben eine gemeinsame Struktur. Ihre Anforderungen sind jedoch nicht identisch.

Die ISO 9001:2026 wurde am 16. September veröffentlicht und ist nun stärker an andere ISO-Managementsystemnormen angeglichen. Was ändert sich durch ein integriertes Managementsystem nach ISO 9001 und ISO/IEC 27001 bei der Zertifizierung, was bleibt unverändert und welche Bedeutung hat der Übergangszeitplan für Organisationen, die beide Normen anwenden?

Als die ISO am 16. September 2026 die ISO 9001:2026 veröffentlichte, fand eine Aussage aus der begleitenden Berichterstattung besonders viel Aufmerksamkeit. BSI beschreibt, dass die aktualisierte Harmonized Structure eine stärkere Angleichung an andere ISO-Managementsystemnormen ermöglicht – darunter ausdrücklich die ISO/IEC 27001 – und dadurch die Integration vereinfachen und Doppelarbeit reduzieren kann. Für eine Organisation, die bereits nach ISO 9001 und ISO/IEC 27001 zertifiziert ist oder beide Zertifizierungen anstrebt, liegt daher die Schlussfolgerung nahe, dass die beiden Normen inzwischen weitgehend zu einem einheitlichen System zusammengeführt wurden.

Diese Schlussfolgerung ist jedoch nur teilweise richtig, und die Unterscheidung ist wichtig. Eine gemeinsame Struktur bedeutet, dass die Normen dieselben übergeordneten Kapitelüberschriften und gemeinsame grundlegende Texte verwenden. Dadurch sind die Themen Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung aufeinander abgestimmt. Das bedeutet jedoch nicht, dass die Anforderungen identisch sind. Die ISO/IEC 27001 verlangt weiterhin eine Informationssicherheitsrisikobewertung, einen Prozess zur Risikobehandlung und eine Erklärung zur Anwendbarkeit (Statement of Applicability, SoA). Die ISO 9001 verlangt keines dieser Elemente. Ebenso wenig bedeutet die gemeinsame Struktur, dass ein integriertes Audit automatisch zu einem geringeren Auditaufwand führt: Die Auditzeit wird für jede Norm separat berechnet, mögliche Reduzierungen aufgrund der Integration sind begrenzt, und die Erfüllung der Anforderungen jeder Norm wird weiterhin eigenständig bewertet.

Dieser Artikel erläutert, was sich durch die Integration bei der Auditierung durch eine Zertifizierungsstelle ändert und was nicht, welche Bedeutung der Übergangszeitplan zur ISO 9001:2026 für Organisationen hat, die beide Normen anwenden, und welchen aktuellen Akkreditierungsumfang Proks besitzt. Der Artikel stellt keine Empfehlung für oder gegen die Integration dar. Ob und wie eine Integration umgesetzt wird, liegt in der Verantwortung der jeweiligen Organisation.

Die wichtigsten Termine im Überblick

‍

‍‍

Was eine gemeinsame Struktur bedeutet – und was nicht

Gleiche Grundstruktur, unterschiedliche Anforderungen

Die Gemeinsamkeiten der beiden Normen liegen in ihrer grundlegenden Struktur. Die spezifischen Anforderungen, die den jeweiligen Charakter der Norm ausmachen, bauen auf dieser Struktur auf und sind nicht austauschbar.

Ein Informationssicherheitsmanagementsystem (ISMS) basiert insbesondere auf der Risikobewertung, der Risikobehandlung und der Erklärung zur Anwendbarkeit gemäß Abschnitt 6.1.3. Ein Qualitätsmanagementsystem (QMS) orientiert sich hingegen insbesondere an Kundenanforderungen und der Bereitstellung von Produkten und Dienstleistungen. Beide Normen verfolgen damit unterschiedliche Schwerpunkte.

Ein Punkt kann dabei leicht zu Missverständnissen führen: Beide Normen verfügen inzwischen über einen Anhang A, dieser erfüllt jedoch jeweils eine andere Funktion. Der neue Anhang A der ISO 9001:2026 erläutert wichtige Begriffe und die Zielsetzung bestimmter Anforderungen. Anhang A der ISO/IEC 27001 enthält dagegen eine Referenzsammlung von 93 Maßnahmen (Controls). Die eigenen Audithinweise des ISO/IEC JTC 1/SC 27 beschreiben diesen Anhang als Orientierungshilfe zur Überprüfung der Vollständigkeit und nicht als eine Liste von Anforderungen, die ausnahmslos erfüllt werden müssen.

Welche Prozesse gemeinsam genutzt werden können – und welche nicht

Mehrere Prozesse gehören zu den gemeinsamen Bestandteilen beider Normen. Dazu zählen insbesondere der Umgang mit dokumentierten Informationen, interne Audits, Managementbewertungen und Korrekturmaßnahmen.

Eine Organisation kann diese Prozesse so gestalten, dass sie gleichzeitig beide Normen abdecken. Dazu ist sie jedoch nicht verpflichtet. Auch bei einem gemeinsamen Prozess muss weiterhin nachgewiesen werden können, dass die jeweiligen Anforderungen beider Normen erfüllt sind.

Die spezifischen Anforderungen an die Informationssicherheit lassen sich dagegen nicht einfach in einen Qualitätsmanagementprozess integrieren, ohne ihre Eigenständigkeit zu berücksichtigen.

Die Risikobewertung und Risikobehandlung, die Erklärung zur Anwendbarkeit sowie die Umsetzung von Maßnahmen nach ISO/IEC 27001 verfolgen einen anderen Zweck als das risikobasierte Denken im Qualitätsmanagement, das sich auf Risiken für die angestrebten Qualitätsergebnisse konzentriert.

Die ISO/IEC 27001 schreibt keine einheitliche Form eines Risikoregisters vor. Ebenso wenig verlangt die ISO 9001, dass die Risikobetrachtungen beider Managementsysteme zusammengeführt werden.

Was sich durch ein kombiniertes Audit ändert – und was nicht

Ein Auditprogramm, zwei Anforderungskataloge

Die IAF MD 11 regelt, wie eine Zertifizierungsstelle die ISO/IEC 17021-1 bei der Auditierung eines integrierten Managementsystems nach zwei oder mehr Normen anzuwenden hat. Dabei wird ausdrücklich festgelegt, dass sämtliche Anforderungen der ISO/IEC 17021-1 weiterhin gelten.

Die Zertifizierungsstelle berechnet zunächst die Auditzeit für jede Norm separat. Anschließend werden die Ergebnisse addiert, um einen Ausgangswert für die gesamte Auditzeit zu bestimmen.

Dieser Ausgangswert kann anschließend anhand verschiedener Faktoren angepasst werden. Dazu gehören der tatsächliche Integrationsgrad des Managementsystems, die Fähigkeit der Mitarbeitenden der Organisation, normübergreifende Fragen zu beantworten, sowie die Verfügbarkeit entsprechend qualifizierter Auditoren.

Eine Reduzierung der Auditzeit ist dabei keineswegs garantiert. Wenn die Integration eine Verkürzung ermöglicht, begrenzt die IAF MD 11 diese auf maximal 20 % des ursprünglichen Ausgangswerts. Führt das integrierte Audit hingegen zu zusätzlicher Komplexität, kann die erforderliche Auditzeit auch steigen.

Im Rahmen der Stufe 1 des Audits stellt die Zertifizierungsstelle fest, welcher Integrationsgrad tatsächlich vorliegt. Sowohl die ursprüngliche Berechnungsgrundlage als auch mögliche Anpassungen und deren Begründungen müssen dokumentiert werden.

Getrennte Normen, getrennte Bewertungen

Auch bei einem integrierten Audit werden Feststellungen weiterhin den jeweiligen Normen zugeordnet. Jede Auditfeststellung muss eindeutig auf die Norm zurückgeführt werden können, auf die sie sich bezieht.

Eine Nichtkonformität, die im Zusammenhang mit einer Norm festgestellt wird, ist dabei nicht zwangsläufig auf diese beschränkt. Die Zertifizierungsstelle muss prüfen, ob sich die Nichtkonformität auch auf die Erfüllung der Anforderungen der anderen Norm auswirkt.

Das Auditteam muss insgesamt über die erforderliche Kompetenz für sämtliche betroffenen Fachgebiete verfügen. Darüber hinaus muss jede Norm durch Auditoren bewertet werden, die für den jeweiligen Bereich entsprechend qualifiziert sind.

Diese Trennung spiegelt sich auch in den Akkreditierungsanforderungen wider.

In den DAkkS-Akkreditierungsunterlagen von Proks erfolgt die Akkreditierung für die Zertifizierung von Qualitätsmanagementsystemen auf Grundlage der DIN EN ISO/IEC 17021-3:2019 und für die Zertifizierung von Informationssicherheitsmanagementsystemen auf Grundlage der DIN EN ISO/IEC 27006-01:2024-08.

Damit gelten für die fachliche Kompetenz und Durchführung der Audits in beiden Bereichen unterschiedliche spezifische Anforderungen.

Möglichkeiten und Grenzen eines integrierten Managementsystems

Ein integriertes Managementsystem ermöglicht es einer Organisation, zwei unterschiedliche Anforderungskataloge über gemeinsame Prozesse und Verantwortlichkeiten zu steuern.

Es kann doppelte Dokumentation reduzieren, sofern tatsächlich Überschneidungen bestehen, und dem Management einen einheitlichen Überblick über die Steuerung der Organisation ermöglichen.

Allerdings entsteht durch die Integration kein Anspruch auf eine kürzere Auditdauer, ein einziges gemeinsames Zertifizierungsergebnis oder reduzierte Anforderungen aus einer der beiden Normen.

Eine mögliche Verkürzung der Auditzeit wird von der Zertifizierungsstelle anhand des tatsächlich festgestellten Integrationsgrads berechnet. Sie darf höchstens 20 % der ursprünglich addierten Auditzeit betragen.

Zertifizierungsangaben überprüfen – und feststellen, wer beide Normen auditieren darf

Jede Aussage über eine Zertifizierung sollte überprüft werden, unabhängig davon, ob es sich um ein integriertes Managementsystem handelt oder nicht.

Dabei sollte nicht allein auf werbliche Aussagen vertraut werden. Stattdessen empfiehlt es sich, die Akkreditierungsurkunde einzusehen und im öffentlichen Verzeichnis der jeweiligen Akkreditierungsstelle – beispielsweise DAkkS, UKAS, ANAB, RvA oder einer vergleichbaren Stelle – zu prüfen, welche Normen und Normausgaben tatsächlich vom Akkreditierungsumfang abgedeckt sind.

Eine Zertifizierungsstelle, die für ISO 9001:2015 akkreditiert ist, verfügt nicht automatisch bereits am Tag der Veröffentlichung der neuen Normausgabe über eine Akkreditierung für ISO 9001:2026.

Zunächst muss die zuständige Akkreditierungsstelle das entsprechende Verfahren zur Erweiterung des Akkreditierungsumfangs abschließen. Dafür gilt der oben dargestellte Übergangszeitplan.

Die Proks Certification GmbH ist durch die DAkkS unter der übergeordneten Akkreditierungsnummer D-ZM-21201-01-00 akkreditiert.

Unser Akkreditierungsumfang für Informationssicherheitsmanagementsysteme (ISMS), dokumentiert unter D-ZM-21201-01-02 (gültig ab dem 17. November 2025), umfasst die DIN EN ISO/IEC 27001:2024-01. Dabei handelt es sich um die deutsche und europäische Übernahme der ISO/IEC 27001:2022.

Unser Akkreditierungsumfang für Qualitätsmanagementsysteme (QMS), dokumentiert unter D-ZM-21201-01-01 (gültig ab dem 1. April 2026), umfasst die DIN EN ISO 9001:2015.

Proks verfügt derzeit noch nicht über eine Akkreditierung für ISO 9001:2026 und kann daher noch keine akkreditierten Zertifikate nach dieser Normausgabe ausstellen.

Global ACI verlangt, dass Akkreditierungsstellen spätestens bis zum 31. März 2027 bereit sind, Begutachtungen nach der neuen Normausgabe durchzuführen. Die anschließenden Erweiterungen des Akkreditierungsumfangs der Zertifizierungsstellen erfolgen im Rahmen dieses Zeitplans. Es gibt somit keinen einheitlichen Stichtag, ab dem alle Zertifizierungsstellen die neue Normausgabe akkreditiert anbieten können.

Die Rolle von Proks unterscheidet sich zudem bewusst von der eines Beratungsunternehmens.

Die ISO/IEC 17021-1 verpflichtet Zertifizierungsstellen, einschließlich aller Teile derselben juristischen Person und aller Organisationen unter ihrer organisatorischen Kontrolle, zur Wahrung ihrer Unparteilichkeit. Sie untersagt es, neben der Zertifizierung auch Managementsystemberatung anzubieten.

Wir können erläutern, welche Anforderungen die einzelnen Normen stellen, und Auditfeststellungen erklären. Wir entwickeln jedoch keine integrierten Managementsysteme für unsere Kunden, entscheiden nicht darüber, welche Prozesse zusammengeführt werden sollten, und erstellen keine Kundendokumentation.

Diese Trennung zwischen Beratung und Zertifizierung ist eine wesentliche Voraussetzung für die Vertrauenswürdigkeit einer akkreditierten Zertifizierung.

Was bei einem akkreditierten Audit eines integrierten Managementsystems geprüft wird

• Gemeinsame Prozesse: Prozesse wie interne Audits und Managementbewertungen werden anhand der Anforderungen jeder Norm separat bewertet. Die Auditdokumentation hält fest, auf welche Norm sich die jeweiligen Feststellungen beziehen.
• Spezifische Anforderungen der Informationssicherheit: Hierzu gehören insbesondere die Risikobewertung, die Risikobehandlung, die Erklärung zur Anwendbarkeit sowie die Umsetzung und Wirksamkeit der anwendbaren Maßnahmen. Diese werden anhand der ISO/IEC 27001 bewertet.
• Spezifische Anforderungen des Qualitätsmanagements: Die entsprechenden Elemente werden anhand der Anforderungen der ISO 9001 bewertet.
• Integrationsgrad: Der tatsächliche Integrationsgrad wird im Rahmen der Stufe 1 des Audits festgestellt und dokumentiert. Er beeinflusst sowohl die Berechnung der Auditzeit als auch die Zusammensetzung des Auditteams.
• Umstellung auf ISO 9001:2026: Gemäß den Anforderungen von Global ACI kann die Umstellung im Rahmen eines regulären Überwachungsaudits, eines Rezertifizierungsaudits oder eines gesonderten Umstellungsaudits erfolgen. Ob dieses Audit gleichzeitig die ISO/IEC 27001 umfasst, ist eine Frage der Terminplanung zwischen der Organisation und ihrer Zertifizierungsstelle. Die Zertifizierungszyklen der beiden Normen müssen nicht zwingend übereinstimmen.

Warum diese Unterscheidung wichtig ist

Eine gemeinsame Struktur bietet einen guten Anlass, bestehende Überschneidungen zwischen zwei Managementsystemen erneut zu betrachten.

Sie bedeutet jedoch nicht, dass eine der beiden Normen geringere Anforderungen stellt.

Organisationen, die aus der Anwendung beider Normen einen Mehrwert ziehen, sind diejenigen, deren Entscheidungen im Qualitätsmanagement und in der Informationssicherheit aufeinander abgestimmt sind. Diese Übereinstimmung kann durch eine unabhängige Bewertung der Anforderungen beider Normen überprüft werden.

Die Umstellung auf ISO 9001:2026 bietet Organisationen, die über beide Zertifizierungen verfügen, einen geeigneten Anlass, das Zusammenspiel ihrer Managementsysteme zu überprüfen. Dafür steht ihnen eine Übergangsfrist bis zum 30. September 2029 zur Verfügung.

Wie ein integriertes Managementsystem konkret ausgestaltet wird, entscheidet die jeweilige Organisation selbst.

Welche Anforderungen die einzelnen Normen stellen und ob diese erfüllt werden, wird dagegen von der Zertifizierungsstelle bewertet.

Sie sind bereits nach ISO/IEC 27001 und ISO 9001 zertifiziert oder planen eine Zertifizierung nach beiden Normen?

Wenn Sie mehr über den Akkreditierungsumfang von Proks, unseren Zertifizierungsprozess oder die einzelnen Auditphasen erfahren möchten, nehmen Sie gerne Kontakt mit uns auf.

Quellen

• ISO/IEC 27001:2022, Abschnitt 6.1.3 und Anhang A.
• ISO Technical Committee ISO/TC 176/SC 2, „ISO 9001:2026 has been released!“ (Nachrichtenbeitrag).
• BSI, „BS EN ISO 9001:2026 is here: Celebrating 30 years of quality management“, 16. September 2026.
• Global ACI, „Global ACI Publishes Transition Requirements for ISO 9001:2026“ (Referenz: Global ACI-TECH-3-TR 2029-09-30), 16. September 2026.
• IAF MD 11:2023 (Ausgabe 3), Application of ISO/IEC 17021-1 for Audits of Integrated Management Systems, iaf.nu.
• ISO/IEC JTC 1/SC 27/WG 1, „Auditing Practices Note - Annex A“ (N3297).
• ISO/IEC 17021-1:2015, Abschnitt 5.2.5, gemäß der Zusammenfassung von European Accreditation.
• DAkkS, Akkreditierungsunterlagen D-ZM-21201-01-00, D-ZM-21201-01-01 und D-ZM-21201-01-02 (Proks Certification GmbH).

Zuletzt überprüft: 7. November 2026.

Der in diesem Artikel dargestellte Akkreditierungsumfang von Proks entspricht dem Stand der an diesem Datum veröffentlichten DAkkS-Unterlagen D-ZM-21201-01-01 und D-ZM-21201-01-02. Dieser wird sich im Zuge der Umstellung der Akkreditierung ändern.

Dieser Artikel stellt keine Akkreditierungs-, Audit- oder Rechtsberatung dar und enthält keine Empfehlung für eine bestimmte Ausgestaltung eines Managementsystems.

‍