Beide Normen beschreiben ein Managementsystem, und beide sind nach demselben Kapitelschema aufgebaut. Der Unterschied liegt im Gegenstand: ISO 9001 sorgt dafür, dass Kundenanforderungen zuverlässig erfüllt werden, ISO/IEC 27001 dafür, dass Informationen geschützt sind – gesteuert über bewertete Risiken und einen Katalog von 93 Maßnahmen im Anhang A. Die eine ersetzt die andere nicht, aber wer eine davon betreibt, hat für die zweite bereits ein Drittel der Arbeit erledigt.
Das Wichtigste in Kürze
- ISO 9001 zielt auf Prozessqualität, ISO/IEC 27001 auf Informationssicherheit. Beide fordern einen Verbesserungszyklus, aber mit unterschiedlichem Maßstab für Erfolg.
- Aktuelle Fassungen: ISO 9001:2015 und ISO/IEC 27001:2022. Für ISO 9001 läuft seit 2024 eine Überarbeitung.
- Beide folgen der harmonisierten Struktur mit den Kapiteln 4 bis 10. Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung, Verbesserung stehen an derselben Stelle.
- Der zentrale Unterschied im Aufbau ist der Anhang A der ISO 27001: 93 Maßnahmen, zu denen jeweils begründet werden muss, ob sie anwendbar sind. ISO 9001 hat kein Gegenstück dazu.
- ISO 27001 verlangt eine dokumentierte Risikobewertung mit Kriterien und Akzeptanzschwellen. ISO 9001 verlangt, Risiken zu berücksichtigen, schreibt aber keine Methode vor.
- Wiederverwendbar sind Dokumentenlenkung, internes Audit, Management-Review, Korrekturmaßnahmen und Schulungsnachweise – das spart bei der zweiten Zertifizierung erfahrungsgemäß ein Drittel des Aufwands.
- Beide Zertifikate laufen drei Jahre mit jährlichen Überwachungsaudits. Ein kombiniertes Audit ist möglich und kürzt die Auditzeit.
Die Unterschiede im Überblick
| Merkmal | ISO 9001:2015 | ISO/IEC 27001:2022 |
|---|---|---|
| Gegenstand | Qualität von Prozessen, Produkten und Leistungen | Vertraulichkeit, Integrität und Verfügbarkeit von Informationen |
| Maßstab für Erfolg | Erfüllte Kundenanforderungen, weniger Fehler und Nacharbeit | Risiken auf ein festgelegtes Maß gebracht und dort gehalten |
| Umgang mit Risiken | Risikobasiertes Denken, ohne vorgeschriebene Methode | Dokumentierte Bewertung mit Kriterien, Akzeptanzschwellen und Behandlungsplan |
| Maßnahmenkatalog | Keiner | Anhang A mit 93 Maßnahmen; Auswahl und Begründung in der Erklärung zur Anwendbarkeit |
| Rollen | Prozessverantwortliche, Qualitätsmanagement | Informationssicherheitsbeauftragte, Verantwortliche für Informationswerte, Risikoeigner |
| Typischer Auslöser | Kundenanforderung, Ausschreibung, Lieferantenqualifikation | Kundenanforderung, NIS2, Vorfall, Anforderung eines Versicherers |
| Aufwand für die Einführung | Abhängig davon, wie gut Prozesse beschrieben sind | Abhängig vom Geltungsbereich und vom Abstand zwischen Ist und Soll |
Was beide Normen teilen
Seit die ISO ihre Managementsystemnormen auf eine gemeinsame Gliederung umgestellt hat, stimmen Kapitelnummern und Grundanforderungen überein. Das ist kein formaler Nebeneffekt, sondern der Grund, warum sich Aufwand einsparen lässt.
| Baustein | Wiederverwendbar? | Was anzupassen ist |
|---|---|---|
| Dokumentenlenkung | Vollständig | Nichts – Freigabe, Versionierung und Ablage gelten für beide |
| Internes Audit | Vollständig | Auditprogramm um die Themen der Informationssicherheit ergänzen |
| Management-Review | Vollständig | Zusätzliche Eingaben: Risikolage, Vorfälle, Wirksamkeit der Maßnahmen |
| Korrekturmaßnahmen | Vollständig | Nichts – derselbe Ablauf, andere Auslöser |
| Kontext und interessierte Parteien | Teilweise | Aufsichtsbehörden und Anforderungen aus Verträgen ergänzen |
| Schulung und Bewusstsein | Teilweise | Eigene Inhalte, gleiche Nachweisführung |
| Risikobewertung | Nein | Neu aufzubauen: Methodik, Kriterien, Bewertung je Informationswert |
Der Ablauf einer Zertifizierung
Auch hier stimmen beide Normen überein, und das erklärt, warum ein kombiniertes Audit möglich ist. Der Ablauf besteht aus zwei Stufen und einem Zyklus über drei Jahre.
| Schritt | Was geprüft wird | Zeitpunkt |
|---|---|---|
| Stufe 1 | Dokumentenprüfung und Bereitschaft: Geltungsbereich, Leitlinie, Verfahren, bei ISO 27001 zusätzlich Risikomethodik und Erklärung zur Anwendbarkeit | 4 bis 12 Wochen vor Stufe 2 |
| Stufe 2 | Umsetzung vor Ort: Stichproben, Gespräche, Aufzeichnungen aus internem Audit und Management-Review | Erstzertifizierung |
| Überwachungsaudit | Ausschnitt des Systems, Korrekturmaßnahmen aus dem Vorjahr, Veränderungen im Geltungsbereich | Jahr 1 und Jahr 2 |
| Rezertifizierung | Vollständige Prüfung wie Stufe 2, mit Blick auf die Entwicklung über den Zyklus | Jahr 3 |
Ein Unterschied bleibt trotz gleichem Ablauf: Bei ISO 27001 hängt die Zahl der Audittage an der Personenzahl im Geltungsbereich und folgt einer festen Bemessungsregel der Akkreditierungsstellen. Bei ISO 9001 spielt zusätzlich die Zahl und Art der Prozesse eine Rolle. Wer Angebote vergleicht, sollte deshalb nicht den Preis, sondern die angesetzten Audittage nebeneinanderlegen – Abweichungen nach unten sind kein günstigeres Angebot, sondern ein Hinweis auf einen anders geschnittenen Geltungsbereich.
Welche Norm zuerst?
Die Reihenfolge entscheidet sich am Auslöser, nicht an der Norm. Wer ISO 9001 hat und ISO 27001 ergänzen will, baut auf; wer beides neu einführen soll, sollte nicht parallel starten.
- ISO 9001 vorhanden, ISO 27001 gefordert: Der übliche Fall. Die gemeinsamen Kapitel bleiben, hinzu kommen Risikobewertung, Erklärung zur Anwendbarkeit und die Maßnahmen aus dem Anhang A. Der Ablauf dafür steht unter ISMS einführen.
- Beides neu: Mit der Norm beginnen, deren Auslöser konkreter ist – meist ISO 27001, weil sie über Kundenanforderungen und NIS2 mit Terminen kommt. Die zweite folgt nach dem ersten vollständigen Zyklus.
- Weder noch gefordert: Dann ist ein Managementsystem ohne Zertifizierung die günstigere Antwort. Ob ein Zertifikat überhaupt gebraucht wird, ist unter ISO 27001 Zertifikat abgewogen.
Begriffe, die verwechselt werden
Ein Teil der Verwirrung entsteht nicht zwischen den Normen, sondern bei drei Begriffspaaren, die in Ausschreibungen und Kundenfragebögen durcheinandergehen.
- ISO 27001 und ISO 27002. Zertifiziert wird nach 27001. Die 27002 ist ein Leitfaden, der die Maßnahmen aus dem Anhang A erläutert – nach ihr kann man nicht zertifiziert werden, sie ist aber die nützlichere Lektüre bei der Umsetzung.
- Zertifizierung und Konformitätserklärung. Eine Zertifizierung stammt von einer akkreditierten Stelle. Eine Selbsterklärung ist zulässig und für viele Zwecke ausreichend, ersetzt aber kein Zertifikat, wenn ein Kunde ausdrücklich eines verlangt.
- Geltungsbereich und Unternehmen. Zertifiziert wird ein Geltungsbereich, nicht die Organisation. Ein Zertifikat für „Betrieb des Rechenzentrums am Standort X“ sagt nichts über die übrigen Standorte – der Blick in die Urkunde lohnt sich bei jeder Lieferantenprüfung.
Aus der Praxis: das integrierte System als Rechenfehler
Wenn beide Normen im Haus sind, liegt der Gedanke nahe, alles in ein Handbuch und einen Auditlauf zusammenzuziehen. Das funktioniert bei Dokumentenlenkung, Review und Korrekturmaßnahmen gut. Bei der Risikobetrachtung funktioniert es nicht.
Meine Einschätzung dazu: Ein gemeinsames Risikoregister für Qualität und Informationssicherheit klingt nach Vereinfachung und ist in der Praxis der Punkt, an dem die Informationssicherheit verwässert. Qualitätsrisiken werden auf Prozessebene betrachtet, Sicherheitsrisiken an Informationswerten – zwei verschiedene Bezugsobjekte, zwei verschiedene Bewertungsmaßstäbe. In einem gemeinsamen Register gewinnen die Einträge mit dem greifbareren Schaden, und die Sicherheitsrisiken rutschen nach unten. Gemeinsame Verwaltung ja, gemeinsame Bewertung nein.
Häufige Fragen
Kann ein Auditor beide Normen in einem Termin prüfen?
Ja, das ist ein kombiniertes Audit und bei derselben Zertifizierungsstelle üblich. Die gemeinsamen Kapitel werden einmal geprüft, wodurch sich die Gesamtzahl der Audittage gegenüber zwei getrennten Audits verringert. Voraussetzung ist, dass die Zertifizierungsstelle für beide Normen akkreditiert ist und der Geltungsbereich zusammenpasst.
Deckt ISO 9001 Anforderungen aus NIS2 ab?
Nein. Die Risikomanagementmaßnahmen nach § 30 BSIG betreffen Zugriffskontrolle, Vorfallsbehandlung, Verschlüsselung, Lieferkette und Notfallmanagement – dafür bietet ISO 9001 keine Anforderungen. Ein Qualitätsmanagementsystem hilft bei der Umsetzung, weil die Abläufe vorhanden sind, ersetzt sie aber nicht.
Braucht ISO 27001 ein eigenes Handbuch?
Ein Handbuch ist in beiden Normen seit Jahren nicht mehr vorgeschrieben. Verlangt sind dokumentierte Informationen an bestimmten Stellen – bei ISO 27001 unter anderem Geltungsbereich, Leitlinie, Risikomethodik und die Erklärung zur Anwendbarkeit. Wer ein Handbuch pflegt, kann es weiterführen; es ersetzt die einzelnen Dokumente aber nicht.
Wie viel Aufwand spart die zweite Zertifizierung?
Erfahrungsgemäß etwa ein Drittel, sofern das erste System tatsächlich gelebt wird. Der Einspareffekt liegt bei den gemeinsamen Kapiteln und bei der Routine im Umgang mit Audits. Die Risikobewertung nach ISO 27001 bleibt vollständige Zusatzarbeit – sie ist der Teil, der sich nicht übertragen lässt.
Weiterführende Seiten
- ISMS einführen – Aufwand, Dauer und Reihenfolge
- Erklärung zur Anwendbarkeit – das Dokument ohne Gegenstück in ISO 9001
- Risikobewertung – der Teil, der neu aufzubauen ist
- BSI-Grundschutz und Alternativen – wenn keine der beiden Normen passt
Stand: August 2026. Maßgeblich sind die Normtexte ISO 9001 und ISO/IEC 27001. Angaben zu Audittagen und Einsparungen sind Erfahrungswerte; verbindlich ist die Bemessung der jeweiligen Zertifizierungsstelle.