ISO 9001 verstehen: das Qualitätsmanagementsystem und warum es den CISO betrifft

Problem in der Praxis

Informationssicherheit und Qualitätsmanagement leben oft in getrennten Welten. In der typischen Konstellation liegt das QMS beim Qualitätsmanagementbeauftragten, ist seit Jahren zertifiziert und eingespielt; das ISMS entsteht später beim CISO, oft unter Zeitdruck. Beide Seiten wissen wenig voneinander.

Die Folge ist vermeidbarer Doppelaufbau: Das ISMS-Projekt startet auf der grünen Wiese und erfindet Strukturen neu, die im Haus längst funktionieren. Die Organisation erlebt zwei Managementsysteme mit eigenen Regeln, doppelten Terminen und konkurrierenden Vorgaben; Fachbereiche verlieren die Akzeptanz für beide.

Dazu kommt ein Wahrnehmungsproblem: Für viele Sicherheitsverantwortliche ist ISO 9001 das Qualitätsthema außerhalb des eigenen Mandats. Übersehen wird, dass ISO 9001 und ISO/IEC 27001 strukturgleiche Managementsystemnormen sind und die ISO selbst den Nutzen eines einzigen integrierten Managementsystems benennt.

CISO-Einordnung

ISO 9001:2015 trägt den englischen Titel "Quality management systems, Requirements" und ist die fünfte Ausgabe, publiziert im September 2015; seit 2024 ergänzt um das Amendment Amd 1:2024 („Climate action changes"). Die deutsche Anwendungsnorm ist DIN EN ISO 9001. Die Norm beschreibt auf Managementsystemebene, wie eine Organisation die Qualität ihrer Leistungen steuert; verbindliche Anforderungen sind der Originalnorm zu entnehmen.

Das Zertifizierungsvehikel ist arbeitsteilig: Die ISO entwickelt die Norm, zertifiziert aber nicht. Zertifikate stellen unabhängige Zertifizierungsstellen aus; deren Kompetenz bestätigen Akkreditierungsstellen, in Deutschland die DAkkS, auf Grundlage der DIN EN ISO/IEC 17021-1 (hier nur als Rolle benannt). Akkreditierung ist nicht verpflichtend, aber die anerkannte Kompetenzbestätigung; akkreditierte Zertifikate sind über IAF CertSearch verifizierbar. Die Zertifizierung selbst ist freiwillig; die Norm lässt sich auch mit internen oder Kundenaudits anwenden.

Die Verbreitungszahlen verdienen Disziplin: Der Survey beruht auf freiwilligen Meldungen akkreditierter Zertifizierungsstellen und ist keine Vollerhebung; eine belastbare Deutschland-Zahl liegt öffentlich nicht vor. Unstrittig ist die Marktdurchdringung: Sektorale Adaptionen wie ISO 13485 (Medizinprodukte) und Branchenschemata Dritter wie IATF 16949 (Automobil) oder EN 9100 (Luft- und Raumfahrt) bauen auf ISO 9001 auf; abhängig von Kundenanforderung, Rolle und Branchenschema kann ein entsprechendes QMS oder Zertifikat zur Marktzugangsvoraussetzung werden.

Der Kernpunkt für den CISO liegt jenseits der Qualitätsfrage: Ein etabliertes, gelebtes QMS bringt Auditerfahrung und eingeübte Managementroutinen mit, nach Praxiserfahrung genau die Fähigkeiten, die auch ein ISMS braucht. Ein Automatismus ist das nicht; die tatsächliche Reife ist im Einzelfall zu prüfen. Beide Normen folgen der harmonisierten Struktur (vertieft in iso9001-002); die konkreten Andockpunkte, gemeinsame Dokumentenlenkung, abgestimmtes Auditprogramm, gebündelte Managementbewertung, behandelt iso9001-005.

Umsetzungsperspektive

Der erste Schritt ist eine Bestandsaufnahme: Existiert ein zertifiziertes QMS? Welcher Geltungsbereich, welche Standorte, wer betreibt es, welche Zertifizierungsstelle, wann die nächsten Audits? Das Gespräch mit dem Qualitätsmanagementbeauftragten gehört in die ersten Wochen eines CISO, nicht ans Ende des ISMS-Projekts.

Der zweite Schritt ist eine ehrliche Reifebewertung: Ein QMS, das nur als Papierlage für das Audit existiert, taugt nicht als Fundament. In Organisationen mit einem gelebten QMS kann dessen Managementsystem-Infrastruktur den ISMS-Aufbau dagegen erleichtern, weil Routinen nicht neu erlernt werden müssen.

Der dritte Schritt ist eine explizite Managemententscheidung: andocken oder bewusst getrennt aufbauen. Beides kann richtig sein; falsch ist nur, die Frage nie zu stellen.

Zum Überblick gehört der Normstand: Stand Juli 2026 gilt ISO 9001:2015 einschließlich des Amendments Amd 1:2024, einer Klimaergänzung, deren verbindlicher Inhalt der Originalnorm zu entnehmen ist. Eine sechste Ausgabe ist für September 2026 angekündigt, aber nicht veröffentlicht; eine verbindliche Übergangsfrist existiert noch nicht. Den Ausgabenwechsel behandelt iso9001-006.

Typische Fehler

1. Das ISMS wird auf der grünen Wiese geplant, ohne zu prüfen, ob ein etabliertes QMS existiert.
2. ISO 9001 wird als reines Qualitätsthema abgetan; die vorhandene Managementsystem-Erfahrung bleibt ungenutzt.
3. Die faktische Verbindlichkeit wird unterschätzt, bis eine Ausschreibung das Zertifikat verlangt.
4. Ein Zertifikat wird mit Wirksamkeit verwechselt: Es belegt ein auditiertes Managementsystem, nicht die Güte jedes Prozesses.
5. QMS und ISMS laufen dauerhaft als Parallelwelten: zwei Dokumentenwelten, zwei Auditkalender, keine Abstimmung.
6. Lieferantenzertifikate werden ungeprüft akzeptiert, ohne Akkreditierungsstatus und Gültigkeit zu verifizieren.

Risiken und Trade-offs

Das Andocken an ein schwaches QMS importiert dessen Schwächen: Sind Vorgaben und Audits dort Fassade, erbt das ISMS die Fassade, bis hinein in Audits und Kundennachweise. Der Reife-Check vor der Anschlussentscheidung ist Risikovorsorge, keine Formalie.

Hinzu kommt die fachliche Differenz: Qualitätsmanagement und Informationssicherheit verfolgen unterschiedliche Schutzziele und brauchen unterschiedliche Kompetenz. Andocken darf nicht heißen, dass Informationssicherheit im Qualitätsmanagement aufgeht; gemeinsame Infrastruktur ist das Ziel, nicht Verschmelzung der Disziplinen.

Der getrennte Aufbau kostet ebenfalls: doppelte Pflege, konkurrierende Termine, Ermüdung der Fachbereiche. Er kann vertretbar sein, etwa bei stark abweichenden Geltungsbereichen, dann als bewusste, dokumentierte Entscheidung.

Entscheidungspunkte

• Existiert in unserer Organisation ein zertifiziertes QMS, und welchen Geltungsbereich deckt es ab?
• Verlangen Kunden, Ausschreibungen oder Branchenschemata heute oder absehbar ein ISO-9001-Zertifikat?
• Wie reif ist das vorhandene QMS: gelebtes Steuerungssystem oder Papierlage für das Audit?
• Docken wir das ISMS an die vorhandene Infrastruktur an oder bauen wir bewusst getrennt auf, und wer entscheidet das?
• Wer verantwortet die Schnittstelle zwischen Qualitätsmanagementbeauftragtem und CISO, und wo werden Konflikte entschieden?

Praktische Empfehlungen

1. Suchen Sie früh das Gespräch mit dem Qualitätsmanagementbeauftragten: Geltungsbereich, Auditkalender, Zertifizierungsstelle, gelebte Routinen.
2. Prüfen Sie Zertifikate von Lieferanten auf Akkreditierung; akkreditierte Zertifikate lassen sich über IAF CertSearch verifizieren.
3. Behandeln Sie ein Zertifikat als Beleg für ein auditiertes Managementsystem, nicht als pauschale Qualitäts- oder Sicherheitsgarantie.
4. Bewerten Sie die QMS-Reife ehrlich, bevor Sie eine Anschlussentscheidung treffen; ein Papier-QMS ist kein Fundament.
5. Treffen Sie die Entscheidung zwischen Andocken und getrenntem Aufbau explizit auf Managementebene und dokumentieren Sie sie.
6. Beobachten Sie den Normstand: Stand Juli 2026 gilt ISO 9001:2015 einschließlich Amd 1:2024; Aussagen zu neuer Ausgabe und Übergangsfristen sind erst nach amtlicher Veröffentlichung belastbar.

Relevante Normreferenzen

• ISO 9001:2015: zertifizierbare Anforderungsnorm für Qualitätsmanagementsysteme, gültige Ausgabe; deutsche Anwendungsnorm DIN EN ISO 9001 (Referenz).
• ISO 9001:2015/Amd 1:2024: geltende Klimaergänzung („Climate action changes") zur ISO 9001:2015; Inhalt nur in der Originalnorm (Referenz).
• ISO 9000:2026: Grundlagen und Begriffe der ISO-9000-Familie, nicht zertifizierbar (Referenz).
• ISO 9004:2018: Leitfaden für nachhaltigen Organisationserfolg, nicht zertifizierbar (Referenz).
• ISO/IEC 27001:2022: zertifizierbares Managementsystem für Informationssicherheit, strukturgleiches Gegenstück (Referenz).
• DIN EN ISO/IEC 17021-1: Grundlage der Akkreditierung von Zertifizierungsstellen für Managementsysteme, nur als Rolle benannt (Referenz).