Prozessorientierung, PDCA und risikobasiertes Denken: warum QM-Risiko nicht Informationssicherheitsrisiko ist

Problem in der Praxis

Die typische Ausgangslage: Eine Organisation mit gereiftem QMS baut ein ISMS nach ISO/IEC 27001 auf. Aus dem Qualitätsmanagement kommt der Einwand, Risiken würden längst behandelt: Es gibt ein Register mit Risiken je Prozess, besprochen in der Managementbewertung, im QM-Audit nie beanstandet.

Der Einwand verwechselt Etikett mit Abdeckung. Ob ein für die Steuerung des QMS aufgebautes Register auch die für ein ISMS verbindlichen Anforderungen abdeckt, lässt sich weder aus seiner Bezeichnung noch aus seiner QM-Historie ableiten, sondern nur durch eine Prüfung gegen die Originalnorm im Einzelfall. Solange diese Prüfung nicht geführt ist, bleibt die Frage offen, in beide Richtungen.

Nach Praxiserfahrung bleibt die Verwechslung oft lange unbemerkt, weil die Vokabeln ähnlich klingen und intern selten beide Anforderungssätze gegeneinander geprüft werden. Im Audit eines integrierten Systems kann sie sichtbar werden: Nach dem Rahmen für Audits integrierter Managementsysteme (IAF MD 11) bleibt ein solches Audit ein Audit gegen getrennte Kriteriensätze mit Konformitätsbewertung je Norm; Lücken in der Risikodisziplin können dann unter Zeitdruck nachzuarbeiten sein.

CISO-Einordnung

Prozessorientierung, PDCA-Zyklus und risikobasiertes Denken gehören zum etablierten Begriffsbestand des Qualitätsmanagements. Dieser Artikel definiert die drei Begriffe bewusst nicht: Ihre verbindliche Fassung und ihre Stellung im Normwerk sind ISO 9000 als Grundlagen- und Begriffsnorm (dort sind auch die sieben Qualitätsmanagement-Grundsätze definiert) und ISO 9001 als Anforderungsnorm zu entnehmen. Für die Abgrenzungsfrage dieses Artikels genügt der Befund, dass alle drei Konzepte ein Vokabular verwenden, das dem eines ISMS zum Verwechseln ähnlich ist.

Aus dieser begrifflichen Nähe folgt keine inhaltliche Deckung. Der belegbare Kern der Abgrenzung lautet: Beide Normen bleiben auch im integrierten Betrieb getrennte Anforderungssätze. Das ISMS benötigt eine eigenständige, informationssicherheitsbezogene Risikosteuerung; welche Bestandteile dafür in welcher Form verbindlich sind, regelt ausschließlich ISO/IEC 27001, nicht dieser Artikel und nicht die QM-Gewohnheit. Ob vorhandene QMS-Instrumente diese Anforderungen abdecken, ist ausschließlich anhand der Originalnorm zu beurteilen; dieser Artikel nimmt das Ergebnis dieser Prüfung bewusst nicht vorweg, weder bejahend noch verneinend.

Die Verwechslung wird strukturell begünstigt: gleiche harmonisierte Struktur, ähnlich klingende Begriffe, und die Integrationsbotschaft „ein System für mehrere Normen" klingt nach Verschmelzung. Der Rahmen für Audits integrierter Managementsysteme, IAF MD 11:2023, historisch von IAF herausgegeben und heute über das Global-ACI-Repositorium bereitgestellt, nachdem IAF zum 1. Januar 2026 den Betrieb eingestellt und Global ACI die Funktionen übernommen hat, zieht die Grenze: Integration verschmilzt die normspezifischen Anforderungen nicht; auditiert wird gegen getrennte Kriteriensätze, Konformität wird je Norm bewertet.

Für den CISO folgt daraus eine doppelte Haltung: die QM-Instrumente als organisatorisches Fundament ernst nehmen, die Frage der ISMS-Konformität aber ausschließlich an der Originalnorm entscheiden.

Umsetzungsperspektive

Zunächst gilt: übernehmen, was trägt. Nach Praxiserfahrung ist die Prozesslandkarte eines gelebten QMS ein brauchbarer Startpunkt für die ISMS-Scope-Diskussion, weil sie sichtbar macht, wie die Organisation arbeitet und wo Prozesse ineinandergreifen. Der eingespielte PDCA-Takt des QMS mit internen Audits und Managementbewertung lässt sich für das ISMS mitnutzen oder synchronisieren; gemeinsame Managementbewertung und integrierte interne Audits gehören nach IAF MD 11 zu den Merkmalen zunehmender Integration.

Die Risikosteuerung des ISMS ist dagegen eigenständig zu gestalten, und zwar entlang der verbindlichen Anforderungen der ISO/IEC 27001, nicht entlang der QM-Gewohnheiten. QM-Prozessrisiken können nach Praxiserfahrung als Hinweisgeber dienen; ob ein vorhandenes Instrument genügt, entscheidet die Prüfung gegen die Originalnorm, nicht das Etikett.

Organisatorisch bewährt sich eine klare Rollenteilung zwischen Qualitätsmanagementbeauftragten und CISO: gemeinsame Takte und Gremien, getrennte Bewertungslogiken und eine ausdrücklich vereinbarte fachliche Abstimmung an den Schnittstellen. Der Integrationsgrad ist eine bewusste Entscheidung; das Spektrum reicht nach IAF MD 11 vom kombinierten System bis zur vollen Integration. Auf keiner Stufe entfällt die Konformitätsbewertung je Norm.

Datumsabhängiger Hinweis: Die sechste Ausgabe der ISO 9001 ist angekündigt (geplante Publikation September 2026), Stand 2026-07-24 nicht veröffentlicht; geltende Norm ist ISO 9001:2015. ISO 9000:2026 ist seit Mai 2026 die gültige Grundlagen- und Begriffsnorm der Familie. Die hier beschriebene Abgrenzung hängt an keinem dieser Termine.

Typische Fehler

1. Ein QM-Risikoregister wird umetikettiert und als ISMS-Risikobeurteilung ausgegeben, ohne gegen die Originalnorm geprüft zu haben, ob es deren verbindliche Anforderungen abdeckt.
2. Ein gemeinsames Risikoregister wird ohne Trennung der Bewertungslogiken geführt; die Informationssicherheitssicht kann darin an Eigenständigkeit und Begründungstiefe verlieren.
3. Aus der Ähnlichkeit der Begriffe wird inhaltliche Deckung geschlossen; intern prüft niemand beide Anforderungssätze gegeneinander.
4. Die Rollen von Qualitätsmanagementbeauftragten und CISO bleiben ungeklärt; für Informationsrisiken fühlt sich niemand fachlich zuständig.
5. Die Prozesslandkarte des QMS wird ignoriert und der ISMS-Scope ohne Prozessbezug neu erfunden.
6. Interne Audits und Managementbewertungen laufen in zwei unkoordinierten Takten nebeneinander.

Risiken und Trade-offs

Enge Integration spart Aufwand, birgt aber Nivellierungsgefahr: Wenn ein Register beide Welten bedienen soll, kann nach Praxiserfahrung eine der beiden Bewertungslogiken die andere überlagern, und die Informationssicherheitssicht verliert an Substanz. Das kann intern lange unbemerkt bleiben, solange weder ein Vorfall noch ein Audit die Begründungslage abfragt.

Strikte Trennung ist fachlich sauber, kostet aber Doppelaufwand und erzeugt Reibung, wenn dieselben Prozesse zweimal unterschiedlich bewertet werden. Der Mittelweg, gemeinsame Takte bei getrennten Bewertungslogiken, verlangt Governance-Disziplin.

Der Integrationsgrad ändert nichts an der Konformitätsbewertung je Norm. Wer den ISMS-Aufbau auf „das haben wir doch schon im QM" stützt, ohne die Prüfung gegen die Originalnorm zu führen, trägt das Risiko unerkannter Lücken in der Risikodisziplin.

Entscheidungspunkte

• Führen wir ein integriertes Managementsystem oder zwei kombinierte Systeme, und wer entscheidet den Integrationsgrad?
• Welche QMS-Elemente (Prozesslandkarte, Audittakt, Managementbewertung) nutzt das ISMS mit, welche gestaltet es eigenständig?
• Wer verantwortet die Ausgestaltung des ISMS-Risikomanagements entlang der Originalnorm, und wie ist diese Rolle vom Qualitätsmanagement abgegrenzt?
• Wie verzahnen wir QM-Prozessrisiken und Informationssicherheitssicht, ohne die Bewertungslogiken zu vermischen?
• Wie stellen wir organisatorisch sicher, dass die Konformität je Norm getrennt betrachtet und verantwortet wird?

Praktische Empfehlungen

1. Trennen Sie die Begriffe von Anfang an: Behandeln Sie risikobasiertes Denken (QM) und ISMS-Risikomanagement nicht als Synonyme; unterstellen Sie keine inhaltliche Deckung, sondern prüfen Sie sie gegen die Originalnormen.
2. Entscheiden Sie Konformitätsfragen ausschließlich an der Originalnorm: Prüfen Sie vorhandene QM-Risikoinstrumente gegen ISO/IEC 27001, statt aus Bezeichnungen Abdeckung abzuleiten.
3. Nutzen Sie die Prozesslandkarte des QMS als möglichen Startpunkt für die ISMS-Scope-Diskussion; verlassen Sie sich für die Risikobeurteilung nicht auf sie.
4. Klären Sie die Rollenteilung zwischen Qualitätsmanagementbeauftragten und CISO und verankern Sie sie in gemeinsamen Gremien mit getrennten Bewertungslogiken.
5. Synchronisieren Sie die PDCA-Takte beider Systeme, wo es fachlich sinnvoll ist.
6. Entscheiden und dokumentieren Sie den Integrationsgrad bewusst; die Konformitätsbewertung je Norm bleibt davon unberührt.

Relevante Normreferenzen

• ISO 9001:2015: geltende QMS-Anforderungsnorm, Typ A mit harmonisierter Struktur; sechste Ausgabe für September 2026 angekündigt, Stand 2026-07-24 nicht veröffentlicht (Referenz).
• ISO 9000:2026: gültige Grundlagen- und Begriffsnorm der ISO-9000-Familie (publiziert Mai 2026), definiert die sieben Qualitätsmanagement-Grundsätze (Referenz).
• ISO/IEC 27001:2022: gültige ISMS-Anforderungsnorm, Typ A mit harmonisierter Struktur; verbindliche Anforderungen an das ISMS-Risikomanagement ausschließlich dort (Referenz).
• IAF MD 11:2023: Rahmen für Audits integrierter Managementsysteme, historisch von IAF herausgegeben und heute über das Global-ACI-Repositorium bereitgestellt (IAF hat den Betrieb zum 1. Januar 2026 eingestellt; die Funktionen liegen bei Global ACI); Konformitätsbewertung je Norm gegen getrennte Kriteriensätze (Referenz).