Harmonisierte Struktur: das Integrationsprinzip von ISO 9001 und ISO 27001, und seine Grenzen

Problem in der Praxis

In Organisationen mit QMS und ISMS zeigen sich zwei gegenläufige Fehlentwicklungen.

Die erste ist der Parallelbetrieb: Zwei vollständige Managementsysteme entstehen nebeneinander, doppelte Governance-Prozesse, Auditprogramme, Managementbewertungen. Die Führung erhält zwei unverbundene Lagebilder, Fachbereiche werden doppelt befragt, die gemeinsame Architektur bleibt ungenutzt.

Die zweite ist die Überintegration: Weil beide Normen gleich aufgebaut sind, gelten auch die Inhalte als austauschbar. Das Qualitätsrisikoregister soll die Informationssicherheits-Risikobeurteilung miterledigen, die Anwendbarkeitserklärung gilt als Formalie, vom integrierten Audit wird ein gemeinsamer Konformitätsbefund erwartet. In der externen Prüfung bricht diese Annahme: Integration ersetzt die normspezifische Konformitätsprüfung nicht.

Beide Fehlentwicklungen haben dieselbe Wurzel: Es fehlt die bewusste Entscheidung, welche Systembausteine gemeinsam betrieben werden und wo die fachliche Trennlinie verläuft.

CISO-Einordnung

Die harmonisierte Struktur ist keine Norm, sondern eine Vorgabe der Normschreiber an sich selbst, verankert in den ISO/IEC Directives, Part 1, Annex SL; der Strukturtext ist als eigenes Dokument ausgelagert (Fassung beim Abruf: 2026-07-01), öffentlich zum Lesen und Verlinken zugänglich, jedoch ISO-copyrightgeschützt und nicht frei lizenziert. 2012 als High Level Structure eingeführt, heißt der Ansatz seit 2021 amtlich Harmonized Structure. Typ-A-Normen, also Managementsystemnormen mit Anforderungen, müssen diese Struktur anwenden; deshalb sehen ISO 9001 und ISO 27001 von außen gleich aus.

Die tragende Konsequenz: Die Systemmechanik ist teilbar und als ein Regelkreis mit zwei fachlichen Sichten betreibbar. Dass diese Architektur normübergreifend trägt, zeigen die Climate-Action-Amendments von Februar 2024, die für zahlreiche Managementsystemnormen gleichzeitig erschienen, darunter ISO 9001 und ISO 27001.

Die erste Grenze ist der Inhalt. Ein QMS steuert Qualität, ein ISMS Informationssicherheit; beide arbeiten mit unterschiedlichen fachlichen Risikoperspektiven, die aus Praxissicht nicht als wechselseitig substituierbar behandelt werden sollten.

Die zweite Grenze ist die Nachweislogik. ISO 27001 kennt mit Maßnahmenanhang und Anwendbarkeitserklärung normeigene Instrumente ohne Entsprechung in ISO 9001; ihre verbindliche Ausgestaltung regelt allein die Originalnorm, hier werden sie nur benannt.

Die dritte Grenze zieht die Konformitätsbewertung. Für Audits integrierter Managementsysteme ist IAF MD 11:2023 das Referenzdokument; verbindliche Audit- und Zertifizierungsdetails sind nur dem Original zu entnehmen. Allgemein gilt: Integration verschmilzt die Systemsteuerung, nicht die normspezifische Konformitätsprüfung. Zudem ist der institutionelle Rahmen im Umbruch: Das IAF hat den Betrieb zum 1. Januar 2026 eingestellt, seine Rolle hat Global ACI übernommen; ob Altdokumente wie MD 11 fortgelten, ist vor operativer Nutzung zu prüfen.

Umsetzungsperspektive

Der erste Schritt ist eine explizite Integrationsentscheidung je Systembaustein. In der Praxis kann es sich bewähren, die Governance-Mechanik weitgehend zu teilen, etwa Dokumentenlenkung, internes Auditprogramm, Managementbewertung, und die fachlichen Inhalte getrennt zu führen; das ist eine Empfehlung aus Beratersicht, keine Vorgabe von ISO oder Akkreditierungsakteuren.

Getrennt bleiben sollten dabei die fachlichen Risikobetrachtungen (koordinierte Methodik ja, verschmolzene Bewertung nein) und die Anwendbarkeitserklärung als reines ISMS-Instrument. Auch in gemeinsamer Dokumentation sollte erkennbar bleiben, welcher Nachweis welche Norm bedient; ohne diese Zuordnung kann ein integriertes Audit seinen Effizienzvorteil in der externen Prüfung wieder verlieren.

Ebenso wichtig ist die Rollenklärung: Qualitätsmanagementbeauftragte und CISO arbeiten auf derselben Systemmechanik, verantworten aber unterschiedliche Fachinhalte; die Managementbewertung kann integriert stattfinden, sollte aber je Norm auswertbare Ergebnisse liefern. Für die Auditpraxis ist ISO 19011:2026 der aktuelle Leitfaden (Ausgabe 2018 zurückgezogen).

Schließlich die zeitliche Dimension: Integrierte Systeme müssen asynchrone Ausgabenwechsel verkraften. ISO/IEC 27001 liegt seit 2022 in aktueller Ausgabe vor; die angekündigte sechste Ausgabe der ISO 9001 (geplante Publikation September 2026) ist Stand 2026-07-24 nicht veröffentlicht und nicht geltende Norm. Ebenso ist Stand 2026-07-24 keine verbindliche ISO-9001-spezifische Übergangsfrist veröffentlicht; nach Publikation sind die Festlegungen von Global ACI beziehungsweise den zuständigen Akkreditierungsakteuren zu prüfen.

Typische Fehler

1. Zwei vollständige Managementsysteme laufen parallel; doppelte Governance-Prozesse, Auditprogramme und Managementbewertungen verschleißen Fachbereiche und Führung.
2. Strukturgleichheit wird mit Inhaltsgleichheit verwechselt; das Qualitätsrisikoregister soll die Informationssicherheits-Risikobeurteilung ersetzen.
3. Die Anwendbarkeitserklärung wird als Formalie behandelt, weil das QMS nichts Vergleichbares kennt.
4. Vom integrierten Audit wird ein gemeinsamer Konformitätsbefund erwartet; Integration ersetzt die normspezifische Konformitätsprüfung jedoch nicht.
5. Struktur- und Auditfragen werden aus Sekundärquellen rekonstruiert statt aus den Originaldokumenten von ISO und Akkreditierungsakteuren.
6. Der Ausgabenwechsel einer Teilnorm, aktuell die angekündigte ISO-9001-Revision, trifft das integrierte System ohne Plan für asynchrone Normstände.

Risiken und Trade-offs

Weitgehende Integration kann Pflegeaufwand sparen und Konsistenz erzwingen, koppelt aber: Eine schwache gemeinsame Managementbewertung oder ein lückenhaftes Auditprogramm kann die Nachweislage beider Normen gleichzeitig schwächen. Wer integriert, sollte die gemeinsamen Bausteine entsprechend robust betreiben.

Der getrennte Betrieb reduziert diese Kopplung, kostet aber doppelte Pflege und produziert erfahrungsgemäß divergierende Stände, unterschiedliche Kontextannahmen, widersprüchliche Risikoaussagen, konkurrierende Maßnahmenplanungen.

Ein dritter Trade-off ist organisatorisch: Integration wirft die Machtfrage zwischen Qualitäts- und Sicherheitsorganisation auf; ohne geklärte Ownership entsteht Verantwortungsdiffusion. Die Integrationsentscheidung ist deshalb eine Führungsentscheidung, keine Methodikfrage.

Entscheidungspunkte

• Welche Systembausteine betreiben wir gemeinsam, welche getrennt, und wer entscheidet das?
• Wer verantwortet die gemeinsamen Governance-Bausteine, wer die normspezifischen Inhalte wie Risikobeurteilung und Anwendbarkeitserklärung?
• Bleiben Nachweise je Norm eindeutig zuordenbar, wenn Dokumentation, Audits und Managementbewertung zusammengelegt werden?
• Wie koordinieren wir die Risikomethodik, ohne die unterschiedlichen Risikoperspektiven von QMS und ISMS zu vermischen?
• Wie bereiten wir das integrierte System auf asynchrone Ausgabenwechsel vor, konkret auf die angekündigte ISO-9001-Revision?

Praktische Empfehlungen

1. Treffen Sie die Integrationsentscheidung explizit je Baustein und dokumentieren Sie, was gemeinsam und was getrennt betrieben wird.
2. Prüfen Sie, welche Governance-Bausteine Sie nur einmal betreiben, etwa Dokumentenlenkung, Auditprogramm, Managementbewertung, und entscheiden Sie das auf Führungsebene.
3. Halten Sie Ergebnisse integrierter Audits und Managementbewertungen je Norm auswertbar; Integration ersetzt die normspezifische Konformitätsprüfung nicht.
4. Belassen Sie Risikobeurteilung und Anwendbarkeitserklärung fachlich beim ISMS; koordinieren Sie Methodik, nicht Inhalte.
5. Nutzen Sie für Struktur- und Auditfragen die Originaldokumente (ISO-Strukturdokument, ISO 19011:2026, IAF MD 11); prüfen Sie bei IAF-Altdokumenten die Fortgeltung unter Global ACI.
6. Beobachten Sie die ISO-9001-Revision; Stand 2026-07-24 ist keine verbindliche Übergangsfrist veröffentlicht, prüfen Sie nach Publikation die Festlegungen der zuständigen Akkreditierungsakteure.

Relevante Normreferenzen

• ISO 9001:2015: zertifizierbare Anforderungsnorm für Qualitätsmanagementsysteme, Typ A mit harmonisierter Struktur (Referenz).
• ISO/IEC 27001:2022: zertifizierbare Anforderungsnorm für Informationssicherheits-Managementsysteme, Typ A mit harmonisierter Struktur (Referenz).
• ISO/IEC Directives, Part 1, Annex SL: Verankerung der harmonisierten Struktur, Strukturtext als eigenes Dokument (Fassung 2026-07-01) (Referenz).
• IAF MD 11:2023: Referenzdokument für Audits integrierter Managementsysteme, Fortgeltung unter Global ACI zu prüfen (Referenz).
• ISO 19011:2026: Leitfaden zum Auditieren von Managementsystemen, löst die zurückgezogene Ausgabe 2018 ab (Referenz).