ISMS und ISO 9001: Synergien zwischen Qualitäts- und Informationssicherheitsmanagement

Zwei Normen, ein Grundgerüst

Wenn du in einem Unternehmen arbeitest, das bereits nach ISO 9001 zertifiziert ist und jetzt ein ISMS nach ISO 27001 aufbauen soll, hast du einen erheblichen Startvorteil. Beide Normen gehören zur ISO-Familie und folgen seit der Revision 2015 (ISO 9001) bzw. 2022 (ISO 27001) der sogenannten High Level Structure (HLS), auch bekannt als Harmonized Structure. Das ist kein Zufall, sondern eine bewusste Entscheidung der ISO, um die Integration verschiedener Managementsysteme zu erleichtern.

Die HLS gibt eine einheitliche Gliederung in zehn Kapitel vor, mit identischen Kernanforderungen in den Bereichen Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Die fachspezifischen Anforderungen, bei ISO 9001 die Qualitätslenkung und bei ISO 27001 die Informationssicherheits-Controls, ergänzen dieses Grundgerüst.

Das bedeutet konkret: Wenn du ein funktionierendes QMS hast, hast du bereits einen erheblichen Teil der ISMS-Anforderungen erfüllt. Nicht inhaltlich beim Thema Informationssicherheit, aber strukturell bei den Managementsystem-Anforderungen. Und diese strukturellen Anforderungen sind es, die beim ISMS-Aufbau oft den meisten Aufwand verursachen.

Die gemeinsamen Anforderungen im Detail

Kapitel 4: Kontext der Organisation

Beide Normen verlangen, dass du den Kontext deiner Organisation verstehst: interne und externe Themen, die das Managementsystem beeinflussen, und die Anforderungen der interessierten Parteien.

Synergien: Die Kontextanalyse ist weitgehend identisch. Kunden, Lieferanten, Regulatoren, Mitarbeiter und Gesellschaft sind für beide Systeme relevante Stakeholder. Du brauchst keine zwei separaten Kontextanalysen, sondern eine gemeinsame, die sowohl Qualitäts- als auch Sicherheitsaspekte berücksichtigt.

Unterschiede: Die interessierten Parteien können sich unterscheiden. Für das QMS sind Kunden und ihre Qualitätsanforderungen zentral. Für das ISMS kommen Regulatoren (BSI, Datenschutzaufsicht), Versicherer und möglicherweise Bedrohungsakteure als relevante Parteien hinzu.

Praxistipp: Erweitere deine bestehende Kontextanalyse um die ISMS-spezifischen Aspekte, statt eine neue zu erstellen. Ergänze die Stakeholder-Liste um die informationssicherheitsspezifischen Parteien und ihre Anforderungen.

Kapitel 5: Führung

Beide Normen fordern das Commitment der obersten Leitung: Ressourcen bereitstellen, Rollen definieren, Politik formulieren und kommunizieren.

Synergien: Die Geschäftsführung muss sich bereits im QMS zu Qualitätszielen und -politik bekennen. Dieses Commitment lässt sich auf Informationssicherheit ausweiten. Die Managementstruktur (wer berichtet an wen, wer hat welche Befugnisse) ist bereits definiert und kann für das ISMS genutzt werden.

Unterschiede: Die Informationssicherheitsleitlinie ist ein eigenständiges Dokument neben der Qualitätspolitik. Die Rolle des ISB hat kein direktes Pendant im QMS (der QMB ist seit ISO 9001:2015 keine Pflichtrolle mehr, wird aber in vielen Unternehmen trotzdem besetzt).

Praxistipp: Wenn du sowohl einen QMB als auch einen ISB hast, stelle sicher, dass beide eng zusammenarbeiten und ihre Berichtswege an die Geschäftsführung koordiniert sind. In kleineren Unternehmen kann eine Person beide Rollen übernehmen, sofern die Kompetenz vorhanden ist.

Kapitel 6: Planung

Beide Normen verlangen eine risikobasierte Planung: Risiken und Chancen identifizieren und Maßnahmen planen, um sie zu adressieren.

Synergien: Der Planungsprozess ist identisch: Risiken identifizieren, bewerten, Maßnahmen ableiten, Ziele setzen. Wenn du im QMS bereits einen risikobasierten Ansatz implementiert hast (was ISO 9001 seit 2015 fordert), kannst du Methodik und Prozess für das ISMS übernehmen.

Unterschiede: Der Risikobegriff ist unterschiedlich. Im QMS bezieht sich Risiko auf die Fähigkeit, Qualitätsanforderungen zu erfüllen (Prozessrisiken, Produktrisiken). Im ISMS bezieht sich Risiko auf die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Außerdem ist die Risikobewertung im ISMS deutlich formaler: ISO 27001 fordert explizit eine Risikobewertungsmethodik, ein Risikoakzeptanzkriterium und eine Risikobewertungsdokumentation. ISO 9001 ist hier weniger spezifisch.

Praxistipp: Nutze die gleiche Risikobewertungsmethodik für beide Systeme, aber mit getrennten Risikokatalogen. Die Methodik (Skalen, Bewertungskriterien, Akzeptanzschwellen) kann und sollte identisch sein. Die Risiken selbst sind unterschiedlich und gehören in getrennte Register.

Kapitel 7: Unterstützung

Beide Normen fordern Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information.

Synergien: Hier liegt eine der größten Synergien. Wenn dein QMS ein funktionierendes Dokumentenlenkungssystem hat (Erstellung, Prüfung, Freigabe, Verteilung, Archivierung), kann das ISMS genau dasselbe System nutzen. Schulungs- und Kompetenzmanagement funktioniert nach den gleichen Prinzipien. Kommunikationswege sind bereits definiert.

Unterschiede: Die ISMS-spezifischen Inhalte (Sicherheitsrichtlinien, Risikoberichte, Vorfallsdokumentationen) müssen als Dokumententypen ins bestehende System integriert werden. Und die Awareness-Anforderungen des ISMS gehen über die des QMS hinaus: Alle Mitarbeiter müssen die Sicherheitspolitik kennen, verstehen, was sie zur Informationssicherheit beitragen und welche Konsequenzen Verstöße haben.

Praxistipp: Nutze das bestehende Dokumentenlenkungssystem für ISMS-Dokumente. Erweitere den Schulungsplan um Informationssicherheits-Themen. Integriere Sicherheitsinhalte in bestehende Onboarding-Programme.

Kapitel 8: Betrieb

Hier divergieren die Normen am stärksten, denn der operative Kern ist fachspezifisch.

QMS (Kapitel 8): Planung und Steuerung der betrieblichen Prozesse, Produktentwicklung, Beschaffung, Produktion, Freigabe, Lenkung fehlerhafter Ergebnisse.

ISMS (Kapitel 8): Durchführung der Risikobewertung und Risikobehandlung, Umsetzung der Controls aus dem Statement of Applicability.

Synergien trotzdem vorhanden: Die Lieferantenbewertung ist in beiden Systemen relevant. Im QMS bewertest du Lieferanten nach Qualitätskriterien, im ISMS nach Sicherheitskriterien. Beides kann in einem integrierten Lieferantenbewertungsprozess zusammengeführt werden. Ebenso kann das Änderungsmanagement (Change Management) beide Aspekte abdecken.

Kapitel 9: Leistungsbewertung

Beide Normen fordern Monitoring, Messung, Analyse, internes Audit und Management Review.

Synergien: Das ist der zweite große Synergiebereich neben der Dokumentation. Interne Audits können integriert durchgeführt werden: Ein Auditor prüft in einem Audit sowohl QMS- als auch ISMS-Anforderungen. Das spart Audit-Tage und reduziert die Belastung der auditierten Bereiche. Das Management Review kann als gemeinsame Sitzung stattfinden, in der sowohl Qualitäts- als auch Sicherheitsthemen behandelt werden.

Unterschiede: Die Kennzahlen und Audit-Kriterien sind fachspezifisch. Ein QMS-Audit prüft Prozesskonformität, Kundenzufriedenheit und Produktqualität. Ein ISMS-Audit prüft Risikobehandlung, Wirksamkeit von Controls und Vorfallsmanagement.

Praxistipp: Erstelle einen integrierten Audit-Jahresplan, der QMS- und ISMS-Audits koordiniert. Wenn ein Bereich in beiden Systemen relevant ist (z. B. Lieferantenmanagement), prüfe ihn in einem Audit statt in zweien. Führe das Management Review als gemeinsame Sitzung durch, mit einem Tagesordnungspunkt für Qualität und einem für Informationssicherheit.

Kapitel 10: Verbesserung

Beide Normen fordern den Umgang mit Nichtkonformitäten, Korrekturmaßnahmen und kontinuierliche Verbesserung.

Synergien: Der Prozess für Nichtkonformitäten und Korrekturmaßnahmen ist identisch: Abweichung feststellen, Ursache analysieren, Korrekturmaßnahme definieren, umsetzen und Wirksamkeit prüfen. Wenn du im QMS einen funktionierenden CAPA-Prozess (Corrective and Preventive Action) hast, nutze ihn auch für ISMS-Abweichungen.

Praxistipp: Führe ein gemeinsames Maßnahmenregister für Korrekturmaßnahmen aus beiden Systemen. So hast du einen Gesamtüberblick und kannst Zusammenhänge erkennen (z. B. wenn eine Qualitätsabweichung auf ein Sicherheitsproblem zurückgeht).

Der Weg zum integrierten Managementsystem

Was ein IMS ist und was nicht

Ein integriertes Managementsystem (IMS) ist keine dritte Norm und kein zusätzlicher Standard. Es ist die bewusste Entscheidung, gemeinsame Prozesse zusammenzuführen und fachspezifische Anforderungen als Module in ein gemeinsames Framework einzubetten.

Das Ergebnis ist nicht weniger Aufwand für jedes einzelne System, sondern weniger Gesamtaufwand. Anstatt zwei parallele Dokumentationssysteme, zwei Audit-Prozesse und zwei Management Reviews zu betreiben, gibt es jeweils eines mit fachspezifischen Ergänzungen.

Integrationsgrad wählen

Es gibt verschiedene Stufen der Integration:

Stufe 1: Koordiniert. Beide Systeme existieren separat, werden aber aufeinander abgestimmt. Gemeinsamer Audit-Kalender, gemeinsames Management Review, abgestimmte Richtlinien. Der Aufwand für Integration ist gering, die Synergie ebenfalls.

Stufe 2: Teilweise integriert. Gemeinsame Prozesse (Dokumentenlenkung, Audit, Management Review, Korrekturmaßnahmen) werden zusammengeführt. Fachspezifische Prozesse bleiben getrennt. Das ist die häufigste und pragmatischste Form.

Stufe 3: Vollständig integriert. Ein einziges Managementsystem, das alle Anforderungen beider Normen erfüllt. Eine gemeinsame Politik, ein gemeinsames Handbuch, ein integrierter Auditprozess. Diese Stufe erfordert den höchsten Integrationsaufwand, bietet aber langfristig die größten Synergien.

Für die meisten Unternehmen ist Stufe 2 der richtige Einstieg. Sie bietet spürbare Synergien bei überschaubarem Integrationsaufwand und lässt sich schrittweise zu Stufe 3 weiterentwickeln.

Integrationsfahrplan

Wenn du ein bestehendes QMS hast und ein ISMS aufbaust, empfehle ich folgenden Fahrplan:

Schritt 1: Bestandsaufnahme der QMS-Strukturen. Welche Prozesse, Dokumente und Werkzeuge gibt es? Was funktioniert gut? Was muss angepasst werden? Wichtig: Diese Analyse sollte gemeinsam mit dem QMB stattfinden, nicht am QMB vorbei.

Schritt 2: Gemeinsame Prozesse identifizieren. Gehe die HLS-Kapitel durch und identifiziere für jedes, ob der bestehende QMS-Prozess für das ISMS genutzt werden kann (eventuell mit Erweiterungen) oder ob ein separater ISMS-Prozess nötig ist.

Schritt 3: Erweiterung der gemeinsamen Prozesse. Dokumentenlenkung um ISMS-Dokumenttypen erweitern. Audit-Prozess um ISMS-Kriterien erweitern. Management Review um ISMS-Tagesordnungspunkte erweitern. Schulungsprogramm um Awareness-Inhalte erweitern.

Schritt 4: ISMS-spezifische Prozesse aufbauen. Risikobewertung und Risikobehandlung, Statement of Applicability, Incident Management, Controls-Umsetzung. Diese Prozesse sind ISMS-spezifisch und haben kein QMS-Pendant.

Schritt 5: Integriertes Handbuch erstellen. Ein Dokument, das die gesamte Managementsystem-Architektur beschreibt: gemeinsame Prozesse, QMS-spezifische Prozesse, ISMS-spezifische Prozesse und ihre Verknüpfungen.

Integrierte Audits planen

Vorteile integrierter Audits

Ein integrierter Audit prüft in einem Durchgang die Anforderungen beider Normen. Das bietet erhebliche Vorteile:

• Zeitersparnis: Gemeinsame Anforderungen (Kontext, Führung, Dokumentation, Kompetenz) werden nur einmal geprüft, nicht zweimal in separaten Audits.
• Weniger Belastung: Die auditierten Bereiche müssen nur einmal zur Verfügung stehen, nicht zweimal.
• Bessere Ergebnisse: Der Auditor sieht das Gesamtbild und erkennt Zusammenhänge, die bei separaten Audits unsichtbar bleiben.
• Kostenreduktion: Weniger Audittage bedeuten geringere Kosten, sowohl für interne Audits als auch für Zertifizierungsaudits.

Zertifizierungsaudits kombinieren

Die meisten Zertifizierungsgesellschaften bieten kombinierte Audits für ISO 9001 und ISO 27001 an. Ein Auditorenteam prüft beide Normen in einem Auditblock, wobei gemeinsame Anforderungen nur einmal geprüft werden. Die Zertifikate werden weiterhin separat ausgestellt, aber der Auditaufwand reduziert sich um 20 bis 30 Prozent gegenüber separaten Audits.

Voraussetzung ist, dass die Auditoren die Qualifikation für beide Normen mitbringen. Bei Zertifizierungsgesellschaften, die beide Standards im Portfolio haben, ist das in der Regel kein Problem.

Häufige Stolperfallen bei der Integration

Stolperfalle 1: QMS und ISMS als getrennte Welten behandeln

Wenn der QMB und der ISB nicht miteinander reden, entsteht Doppelarbeit. Beide erstellen separate Kontextanalysen, separate Audit-Pläne und separate Management Reviews, die sich in weiten Teilen überschneiden. Stelle von Anfang an sicher, dass QMB und ISB eng zusammenarbeiten und ihre Aktivitäten abstimmen.

Stolperfalle 2: Das QMS eins zu eins für das ISMS nutzen wollen

Ein QMS-Prozess ist nicht automatisch für das ISMS geeignet. Die Risikobewertung im QMS ist oft weniger formal als es ISO 27001 verlangt. Die Dokumentationsanforderungen für Sicherheitsrichtlinien sind andere als für Verfahrensanweisungen. Prüfe jeden QMS-Prozess kritisch, bevor du ihn für das ISMS übernimmst, und passe ihn an, wo nötig.

Stolperfalle 3: Integration auf Kosten der Fachtiefe

Die Versuchung, alles in einem Dokument zusammenzufassen, kann dazu führen, dass die fachliche Tiefe leidet. Eine Risikobewertung, die gleichzeitig Qualitäts- und Sicherheitsrisiken abdecken will, kann oberflächlich werden. Halte die fachspezifischen Inhalte getrennt und integriere nur die strukturellen Prozesse.

Stolperfalle 4: Den QMB nicht einbinden

Der QMB hat das QMS aufgebaut und gepflegt. Wenn du jetzt ein ISMS aufbaust, das in "sein" System eingreift, kann das als Bedrohung empfunden werden. Binde den QMB von Anfang an als Partner ein, nicht als Betroffenen. Erkläre die Synergien, zeige die Vorteile und mache klar, dass das IMS beiden Systemen zugute kommt.

Aufwandsschätzung: ISMS-Aufbau mit bestehendem QMS

Wie viel spart ein bestehendes QMS beim ISMS-Aufbau tatsächlich ein? Die Antwort hängt von der Reife und dem Integrationsgrad des QMS ab:

QMS vorhanden und gut gelebt: Du sparst rund 30 bis 40 Prozent des Gesamtaufwands. Dokumentenlenkung, Audit-Prozess, Management Review, Korrekturmaßnahmen und Teile der Schulung kannst du übernehmen oder erweitern. ISMS Lite unterstützt die Integration, indem gemeinsame Prozesse wie Audit und Management Review einmal abgebildet und für beide Systeme genutzt werden können. Die Risikobewertungsmethodik lässt sich anpassen. Du konzentrierst dich auf die ISMS-spezifischen Anforderungen.

QMS vorhanden, aber nur auf dem Papier: Die Synergien sind deutlich geringer, vielleicht 10 bis 15 Prozent. Wenn das QMS nicht gelebt wird, sind die vorhandenen Prozesse keine belastbare Grundlage. Du baust faktisch zwei Systeme parallel auf, wobei du das QMS gleich mit revitalisieren kannst.

QMS wird gerade erst aufgebaut: Die beste Situation für eine Integration von Anfang an. Beide Systeme von vornherein gemeinsam zu planen spart langfristig den meisten Aufwand. Der initiale Mehraufwand für die Planung eines IMS statt zweier Einzelsysteme wird durch die langfristige Effizienz mehr als kompensiert.

Die Entscheidung, ob und wie weit du integrierst, hängt letztlich von deinem Unternehmen ab: von der Größe, der Kultur, den verfügbaren Ressourcen und der Reife des bestehenden QMS. Aber eines steht fest: Wenn du die Synergien bewusst nutzt, statt sie zu ignorieren, machst du dir das Leben deutlich leichter.

Weiterführende Artikel

• ISMS aufbauen: Der komplette Leitfaden für Unternehmen mit 50 bis 500 Mitarbeitern
• Internes ISMS-Audit: Planung, Durchführung und Nachbereitung
• Management Review nach ISO 27001: Ablauf, Inhalte und Nachbereitung
• ISMS-Dokumentation im Überblick: Was du wirklich brauchst
• ISMS für Unternehmensgruppen: Konzernrichtlinien vs. lokale Umsetzung