ISO 27001 und ISO 9001: was Sie wiederverwenden können, was neu ist und wie Sie ein integriertes Managementsystem betreiben

ISO 9001 und ISO 27001 teilen die Harmonisierte Struktur, Abschnitte 4 bis 10, daher betreibt ein zertifiziertes Qualitätsmanagementsystem bereits den größten Teil der Mechanik, die ISO 27001 braucht: Dokumentenlenkung, internes Audit, Managementbewertung, Korrekturmaßnahmen. Neu sind die Beurteilung und Behandlung von Informationssicherheitsrisiken, die Erklärung zur Anwendbarkeit und 93 Controls aus Anhang A. Integrierte Audits sparen höchstens 20 % der Auditzeit.

Dieser Leitfaden behandelt die gemeinsame Struktur, was Sie wiederverwenden können, was neu ist, die Risikofalle, integrierte Audits und Auditzeit, ISO 9001:2026, die technische Realität und eine Checkliste.

Abschnitt	Was ISO 9001 Ihnen bereits gibt	Was ISO 27001 ergänzt	Wiederverwendung
4 Kontext	Themen, interessierte Parteien, Anwendungsbereich	Eine Sicherheitssicht auf dieselbe Analyse	Größtenteils
5 Führung	Verpflichtung, Politik, Rollen	Sicherheitspolitik und Sicherheitsrollen	Größtenteils
6 Planung	Risiken und Chancen, Ziele	Risikobeurteilung (6.1.2), Behandlung und SoA (6.1.3)	Wenig
7 Unterstützung	Kompetenz, Bewusstsein, Dokumentenlenkung	Sicherheitsbewusstsein als weiterer Strang	Größtenteils
8 Betrieb	Herstellung von Produkten und Erbringung von Dienstleistungen	Durchführung von Risikobeurteilung (8.2) und Risikobehandlung (8.3)	Wenig
9 Bewertung der Leistung	Überwachung, internes Audit, Managementbewertung	Sicherheitskennzahlen, neuer Auditumfang	Größtenteils
10 Verbesserung	Nichtkonformität und Korrekturmaßnahmen	Nichts Neues	Vollständig
Anhang A	Keine Entsprechung	93 Controls, jedes einzeln betrachtet	Keine

Wie passen ISO 9001 und ISO 27001 zusammen?

Beide folgen der Harmonisierten Struktur, der Vorlage, die ISO für Managementsystemnormen mit Anforderungen vorschreibt. Sie steht in Anhang SL der ISO/IEC-Direktiven, Teil 1, und legt identische Abschnittsnummern, Titel, Kerntexte und Kerndefinitionen fest. Sie wurde 2012 als High Level Structure eingeführt und 2021 überarbeitet.

Das ist keine Ähnlichkeit fürs Marketing. Der Kerntext der Abschnitte 4 bis 10 ist nahezu identisch und unterscheidet sich vor allem darin, ob es um Qualität oder um Informationssicherheit geht. Erfüllen Sie ihn für die eine Norm, erfüllt dieselbe Mechanik ihn auch für die andere. Jede Norm ergänzt eigene Anforderungen. Abschnitt 8 der ISO 9001 behandelt die Herstellung von Produkten und die Erbringung von Dienstleistungen; in ISO 27001 geht es dort um die Durchführung von Risikobeurteilung und Risikobehandlung.

ISO/IEC 27001:2022 folgt bereits der Struktur von 2021. ISO 9001:2015 wurde auf Basis der Version von 2012 geschrieben, und ISO 9001:2026 übernimmt die neueste, sodass beide Normen nun enger übereinstimmen.

Was können Sie aus ISO 9001 für ISO 27001 wiederverwenden?

In unseren Assessments lassen sich diese Elemente nahezu unverändert übernehmen:

• Lenkung von Dokumenten und Aufzeichnungen (7.5). Ihr System für Versionierung, Freigabe und Aufbewahrung funktioniert unverändert. Sicherheitsrichtlinien fügen sich darin ein.
• Das interne Auditprogramm (9.2). Dasselbe Programm, neuer Umfang, dieselben Auditoren, sofern sie in Informationssicherheit kompetent sind. Siehe internes Audit und Managementbewertung.
• Managementbewertung (9.3). Die Eingaben unterscheiden sich im Inhalt, nicht in der Struktur. Eine Sitzung kann beide Systeme bewerten, wenn die Agenda beide Eingabelisten abdeckt.
• Nichtkonformität und Korrekturmaßnahmen (10.2). Derselbe Prozess. Sie betreiben ihn bereits.
• Kompetenz und Bewusstsein (7.2, 7.3). Einarbeitung, Schulungsnachweise und eine Kompetenzmatrix sind vorhanden. Sicherheitsbewusstsein wird ein weiterer Strang.
• Führung und Politik (Abschnitt 5). Die Verpflichtung der obersten Leitung und ein Freigabeweg sind vorhanden.
• Kontext und interessierte Parteien (4.1, 4.2). Die Analyse existiert und braucht einen Blick aus Sicherheitssicht. Beide Normen wurden 2024 geändert und fragen nun, ob der Klimawandel ein relevantes Thema ist; eine Antwort dient beiden.
• Die Beziehung zur Zertifizierungsstelle. Sie wissen, wie ein Audit abläuft, wie Abweichungen eingestuft werden und wie man sich vorbereitet. Das ist mehr wert, als es klingt.

Diese Ausgangslage wird von denen, die Angebote für die Arbeit erstellen, regelmäßig unterschätzt. Sie haben bereits bewiesen, dass Sie ein auditiertes System betreiben können, und genau das fällt vielen Unternehmen am schwersten.

Was verlangt ISO 27001, das ISO 9001 nicht kennt?

Abschnitt 6.1.1, die allgemeine Pflicht, sich mit Risiken und Chancen zu befassen, ist gemeinsamer Text. Darunter ergänzt ISO 27001 drei Dinge. Sie sind die eigentliche Arbeit.

Beurteilung von Informationssicherheitsrisiken (6.1.2)

Ein festgelegter Prozess, der Risikokriterien einschließlich Akzeptanzkriterien festlegt und bei Wiederholung konsistente, gültige und vergleichbare Ergebnisse liefert. Er identifiziert Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen im Anwendungsbereich, benennt für jedes einen Eigentümer, beurteilt Folgen und realistische Wahrscheinlichkeit und priorisiert die Ergebnisse anhand Ihrer Kriterien. Abschnitt 8.2 wiederholt ihn in geplanten Abständen und bei erheblichen Änderungen. Eine Methode über Assets, Bedrohungen und Schwachstellen ist nicht vorgeschrieben; sie ist ein Ansatz unter mehreren. Was die Aufzeichnung enthalten muss, steht in dem Risikoregister, das ein Audit übersteht.

Risikobehandlung und Anhang A (6.1.3)

Sie wählen Behandlungsoptionen, bestimmen die erforderlichen Controls und gleichen sie mit den 93 Controls aus Anhang A ab, damit kein notwendiges Control fehlt. Risikoeigentümer geben den Behandlungsplan frei und akzeptieren das Restrisiko, und Abschnitt 8.3 verlangt, dass Sie ihn umsetzen. Nichts in einem Qualitätsmanagementsystem bereitet Sie darauf vor. Es dauert Monate, weil viele Controls technische Fähigkeiten beschreiben, die Sie vielleicht noch nicht haben.

Die Erklärung zur Anwendbarkeit

Ein Dokument, das die notwendigen Controls auflistet, mit der Begründung für jede Aufnahme, dem Umsetzungsstand und der Begründung für jeden Ausschluss eines Controls aus Anhang A. ISO 9001 kennt keine Entsprechung. In der Praxis ist sie meist das erste Dokument, das ein ISO-27001-Auditor öffnet, und sie prägt den Rest des Audits. Siehe Anwendungsbereich und Erklärung zur Anwendbarkeit.

Deckt Ihr Risikoprozess nach ISO 9001 auch ISO 27001 ab?

Nein. Nach unserer Erfahrung ist das die teuerste Annahme überhaupt, und sie fällt meist in Stufe 1 auf.

Ein Qualitätsmanager schließt nachvollziehbar, dass der Prozess, der Abschnitt 6.1 der ISO 9001 erfüllt, damit auch ISO 27001 erfüllt. Das tut er nicht. ISO 9001:2015 stellt in Anhang A.4 fest, dass es keine Anforderung an formelle Methoden für das Risikomanagement oder an einen dokumentierten Risikomanagementprozess gibt. ISO 27001 schreibt die Elemente vor: Kriterien, einen wiederholbaren Prozess, Risikoeigentümer, einen Behandlungsplan, eine dokumentierte Akzeptanz des Restrisikos. Eine Risikotabelle aus dem Qualitätsmanagement wird dafür nicht akzeptiert.

In der Praxis kostet diese Erkenntnis in Stufe 1 etwa einen Monat. In Stufe 2 kann daraus eine Hauptabweichung werden. Behandeln Sie die Arbeit an den Informationssicherheitsrisiken vom ersten Tag an als eigenständigen Aufbau, dann verschwindet das Problem.

Können ISO 9001 und ISO 27001 zusammen auditiert werden?

Ja, ohne zwei parallele Verfahren. IAF MD 11, die Akkreditierungsregel für Audits integrierter Managementsysteme, deckt Audits nach zwei oder mehr Normen gleichzeitig ab und nennt ISO/IEC 27001 unter ihren Beispielen. Berichte können integriert oder getrennt sein, aber jede Feststellung muss ihrer Norm zuzuordnen sein.

In der Praxis zählen zwei Bedingungen:

1. Die Stelle muss für ISO/IEC 27001 akkreditiert sein, nicht nur für ISO 9001. Die Akkreditierung gilt je Zertifizierungsprogramm. Prüfen Sie das Verzeichnis der Akkreditierungsstelle.
2. Die Auditoren brauchen Kompetenz in beiden Normen. Sonst wächst das Team, und die Einsparung schrumpft.

Bei Ihrer ISO-9001-Zertifizierungsstelle zu bleiben lohnt sich meist, wenn sie die ISMS-Akkreditierung besitzt. Eine sinnvolle Reihenfolge: ISO 27001 zusammen mit einem 9001-Überwachungsaudit zertifizieren und beide Zyklen bei der nächsten Rezertifizierung angleichen.

Wie viel Auditzeit spart ein integriertes Audit?

Weniger als erhofft. Nach IAF MD 11 berechnet die Stelle die Auditzeit für jede Norm getrennt, nach IAF MD 5 für ISO 9001 und nach ISO/IEC 27006-1 für ISO 27001, und addiert sie zu einem Ausgangswert. Diesen passt sie daran an, wie integriert Ihr System ist, wie gut Ihre Mitarbeitenden mit beiden Normen umgehen und wie kompetent das Auditteam in beiden ist. Eine Reduzierung darf 20 % des Ausgangswerts nicht überschreiten, und die Regel weist darauf hin, dass ein integriertes Audit auch zu mehr Zeit führen kann.

Ein Beispiel für 40 Personen im Anwendungsbereich, beide in der Erstzertifizierung:

Norm	Audittage
ISO 9001 (IAF MD 5, 26 bis 45 Personen)	4
ISO 27001 (ISO/IEC 27006-1, 26 bis 45 Personen)	8,5
Ausgangswert	12,5
Integriert, maximal 20 % Reduzierung	nicht weniger als 10

Beide Werte gelten vor weiteren Anpassungen. Selbst ohne die Obergrenze könnte die Einsparung nicht annähernd die Hälfte erreichen, weil nur die Abschnitte 4 bis 10 zusammengelegt werden. Die Risikobeurteilung, die Erklärung zur Anwendbarkeit und Anhang A, der Großteil eines ISO-27001-Audits, lassen sich nicht zusammenlegen. Lassen Sie sich die Zahl der Audittage schriftlich geben; den Rest des Budgets finden Sie unter Kosten der ISO-27001-Zertifizierung.

Was versteht die Zertifizierungsstelle unter „integriert“?

IAF MD 11 beurteilt die Integration anhand von sieben Merkmalen. Die rechte Spalte ist eine praktische Lesart, nicht der Wortlaut der Regel:

SELBSTCHECK INTEGRATION ISO 9001 + ISO 27001
(Merkmale aus IAF MD 11, Anhang 1)

Merkmal                    In der Praxis integriert, wenn            J/N
-------------------------  ----------------------------------------  ---
Dokumentation              Ein Dokumentensatz, ein Lenkungsprozess,
                           Arbeitsanweisungen decken beide ab
Managementbewertung        Eine Bewertung deckt beide Eingabelisten
                           und die Gesamtstrategie des Unternehmens
                           ab
Internes Audit             Ein Programm, Auditoren mit Kompetenz in
                           beiden Normen
Politik und Ziele          In einem Prozess festgelegt, freigegeben
                           und verfolgt
Systemprozesse             Gemeinsame Prozesse, z. B. Lieferanten,
                           Änderungen, Kompetenz
Verbesserungsmechanismen   Ein Prozess für Korrekturmaßnahmen und
                           ein gemeinsames Register
Unterstützung und          Ein Rollensatz, eine oberste Leitung,
Verantwortung der Leitung  die für beide verantwortlich ist

Was ändert ISO 9001:2026 für ein integriertes Managementsystem?

ISO hat ISO 9001:2026 am 16. September 2026 veröffentlicht. Sie übernimmt die neueste Harmonisierte Struktur, legt mehr Gewicht auf Führung, Qualitätskultur und ethisches Verhalten und trennt den Umgang mit Risiken deutlicher von der Nutzung von Chancen. Global ACI, seit dem 1. Januar 2026 Nachfolger des IAF, hat eine dreijährige Übergangsfrist festgelegt: Zertifikate nach ISO 9001:2015 müssen bis zum 30. September 2029 umgestellt sein, und ab dem 31. März 2028 werden neue akkreditierte Zertifizierungen nur noch nach der Ausgabe 2026 erteilt.

Der Zeitpunkt hilft. Sie überarbeiten den Qualitätsprozess für Risiken und Chancen ohnehin. Sinnvoll ist, das zu tun, während Sie die Risikomethode für ISO 27001 aufbauen, beide getrennt zu halten und die Stelle zu bitten, beide Audits in dieselben Besuche einzuplanen.

Warum verlangen Kunden von ISO-9001-zertifizierten Unternehmen ISO 27001?

Eine Wand voller ISO-Zertifikate ohne ISO 27001 sagt dem Sicherheitsprüfer eines Kunden zweierlei. Sie können ein auditiertes System dauerhaft betreiben, womit Sie vielen Lieferanten voraus sind. Und Informationssicherheit ist die einzige Disziplin, die Sie keiner externen Prüfung unterzogen haben, genau die falsche Lücke, wenn es in der Ausschreibung um Sicherheit geht. Die Anforderung kommt also vom Einkauf, mit einem Termin. Gleichen Sie diesen mit wie lange ISO 27001 wirklich dauert ab.

Die technische Realität: Ein Qualitätsmanagementsystem belegt Prozesse, nicht Abwehr

Ihr Qualitätszertifikat belegt, dass Sie einen Prozess festlegen, befolgen, auditieren und korrigieren können, wenn er abdriftet. Diese Kompetenz ist echt, und sie lässt sich übertragen. Sie sagt Ihnen nicht, ob das Administratorkonto einer Person, die im März ausgeschieden ist, noch funktioniert, ob ein aus dem Internet erreichbarer Dienst mit Patches im Rückstand ist, ob Ihre Backups jemals wiederhergestellt wurden oder ob ein Lieferant noch Netzwerkzugang hat, auf Grundlage eines Vertrags, der letztes Jahr ausgelaufen ist.

ISO 27001 wird von Ihnen verlangen, zu erklären, dass diese Dinge gesteuert werden. Allein sagt sie Ihnen nicht, ob das in dieser Woche zutrifft. Diese Controls leben im Identitätsanbieter, in den Endpoint-Tools und in den Cloud-Konten, und sie driften zwischen den Audits ab. Das ist die Lücke zwischen einem auditierten und einem belastbaren System.

Um sie zu schließen, müssen diese Nachweise laufend aus den Systemen erhoben werden, und ein Mensch prüft die Ausnahmen. So arbeitet die CloudSoul-Plattform, als automatisierte Plattform mit Human-in-the-Loop-Expertise. Ein Sicherheitsaudit misst die Lücke gegenüber dem, was Sie bereits zertifiziert haben, und der vollständige Weg steht auf der ISO-27001-Seite.

Checkliste für die Integration von ISO 27001 und ISO 9001

• Ordnen Sie Ihre Qualitätsverfahren den Abschnitten 4 bis 10 der ISO 27001 zu und markieren Sie, was sich übertragen lässt.
• Bauen Sie die Methode zur Beurteilung von Informationssicherheitsrisiken separat auf: Kriterien, Akzeptanzniveau, Eigentümer.
• Führen Sie die Risikobehandlung im Abgleich mit Anhang A durch und erstellen Sie die Erklärung zur Anwendbarkeit.
• Erweitern Sie Auditprogramm und Agenda der Managementbewertung auf beide Normen.
• Bestätigen Sie, dass die Stelle für ISO/IEC 27001 akkreditiert ist; lassen Sie sich die Zahl der Audittage für das integrierte Audit schriftlich geben.
• Planen Sie die Umstellung auf ISO 9001:2026, fällig bis zum 30. September 2029, zusammen mit dem ISO-27001-Audit.
• Testen Sie technische Controls vor Stufe 2 in den Systemen, nicht nur in den Dokumenten.

Quellen

• ISO/IEC 27001:2022, Abschnitte 4 bis 10, 6.1.2, 6.1.3, 8.2, 8.3 und Anhang A, ISO.
• ISO/IEC 27001:2022/Amd 1:2024, Änderungen zum Klimaschutz, ISO.
• ISO 9001:2015, Abschnitt 6.1 und Anhang A.4, sowie ISO 9001:2015/Amd 1:2024, ISO.
• ISO 9001:2026, veröffentlicht am 16. September 2026, ISO, und Pressemitteilung der ISO, ISO.
• ISO/IEC-Direktiven, Teil 1, Konsolidierte ISO-Ergänzung, Anhang SL, Anlage 2 (Harmonisierte Struktur für Managementsystemnormen), ISO, und ISO-Managementsystemnormen, ISO.
• IAF MD 11:2023, Anwendung der ISO/IEC 17021-1 bei Audits integrierter Managementsysteme, Abschnitte 2.1 und 2.4 sowie Anhang 1, IAF.
• IAF MD 5:2023, Auditzeit für Qualitäts-, Umwelt- und Arbeitsschutzmanagementsysteme, Tabelle QMS 1, IAF.
• ISO/IEC 27006-1:2024, Anforderungen an Stellen, die Informationssicherheits-Managementsysteme zertifizieren, ISO.
• Global ACI, Übergangsanforderungen für ISO 9001:2026, 16. September 2026, Global ACI, und Start am 1. Januar 2026, Global ACI.

Häufige Fragen