ISO 9001:2026: Fünf Stellen, an denen Ihr QMS nachziehen muss

Ein ehemaliger Kunde schrieb mich an. Ob es stimme, dass es jetzt eine ISO 9001:2026 gebe. Und ob es stimme, dass sich damit alles ändere.

Dann kam die eigentliche Bitte: „Sag mir bitte kurz, was wir jetzt machen müssen.“

Das ist eine sympathisch direkte Frage. Nur wäre eine Liste mit drölfzig hektisch abzuhakenden Punkten die falsche Antwort. Die neue Ausgabe ist keine Normrevolution. Wer ein funktionierendes Qualitätsmanagementsystem (QMS) nach ISO 9001:2015 betreibt, muss nicht bei null anfangen, keine neue Prozesslandschaft malen und auch nicht sämtliche Dokumente neu schreiben.

Aber: An fünf Stellen setzt ISO 9001:2026 einen sichtbar anderen Akzent. Dort genügt es künftig weniger, eine vernünftige Absicht zu haben. Sie müssen zeigen können, wie diese Absicht im QMS praktisch funktioniert.

Die kurze Antwort

Die ISO 9001:2026 behält die vertraute Struktur mit den Abschnitten 4 bis 10 bei. Prozessansatz, Kundenorientierung, Lieferantensteuerung, Interne Audits, Managementbewertung und Korrekturmaßnahmen bleiben die bekannten Bausteine. Die ISO selbst beschreibt die Ausgabe als gezielte Aktualisierung für mehr Klarheit und bessere Anwendbarkeit, nicht als vollständigen Neuanfang; das bestätigt auch ihre offizielle Mitteilung zur Veröffentlichung.

Neu oder materiell geschärft sind vor allem:

1. Klimawandel als mögliches Kontextthema;
2. Qualitätskultur und ethisches Verhalten;
3. die getrennte Behandlung von Risiken und Chancen;
4. die wirksame Steuerung von Änderungen;
5. Wissen, das nicht nur abgelegt, sondern angewendet und geteilt wird.

Die Kernbotschaft lautet: Die ISO 9001:2026 baut kein neues QMS – sie verlangt aber, dass Sie bei Klima, Kultur, Chancen, Änderungen und Wissen aus guten Absichten nachvollziehbare Praxis machen.

Für Unternehmen, die bereits ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 betreiben oder aufbauen, ist das erfreulich anschlussfähig. Viele dieser Themen kennen Sie bereits aus Kontext, Risikomanagement, Change Management und Dokumentation. Wie sich ISO 9001 und ISO 27001 sinnvoll integrieren lassen, zeigen wir in unserem Artikel zur Integration eines ISO 27001-ISMS in ein bestehendes ISO 9001-QMS.

1. Klimawandel: Nicht zwingend Ihr Hauptthema, aber zwingend Ihre Frage

In Abschnitt 4.1 muss die Organisation bestimmen, ob Klimawandel für ihren Kontext ein relevantes Thema ist. Das ist keine Aufforderung, jedem QMS einen grünen Ordner hinzuzufügen oder plötzlich Klimabilanzen zu erfinden.

Die Anforderung lautet auch nicht: Klimawandel ist immer relevant. Sie lautet: Prüfen Sie es nachvollziehbar.

Bei einem Hersteller kann die Antwort etwa Lieferketten, Materialverfügbarkeit, Energiepreise, Produktionsstandorte oder Kundenanforderungen betreffen. Bei einem Dienstleister können Reiseabhängigkeiten, Standortbedingungen, regulatorische Erwartungen oder Anforderungen großer Kunden relevant sein. Und bei manchem Unternehmen wird die begründete Antwort lauten: Für den Scope dieses QMS derzeit nicht wesentlich.

Entscheidend ist, dass diese Antwort nicht aus einem Schulterzucken besteht. Der Kontextprozess braucht eine Stelle, an der die Frage auftaucht, bewertet und bei Veränderungen erneut betrachtet wird.

Eine wichtige Einordnung: Der Klimapunkt fiel nicht völlig überraschend vom Himmel. Er wurde bereits durch die Ergänzung ISO 9001:2015/Amd 1:2024 in die Kontextanforderungen eingeführt. Die Ausgabe 2026 übernimmt ihn nun vollständig. Wer das Amendment sauber verarbeitet hat, hat hier keinen großen Neubau vor sich.

2. Qualitätskultur und ethisches Verhalten: Jetzt nicht mehr nur schöne Folie

Die oberste Leitung soll Qualitätskultur und ethisches Verhalten fördern. Außerdem tauchen beide Themen bei der Prozessumgebung und beim Bewusstsein der Mitarbeiter wieder auf.

Das klingt erst einmal weich. Es wird aber sehr konkret, sobald man sich fragt: Was geschieht bei uns, wenn Qualität unbequem wird?

Wird ein Liefertermin versprochen, obwohl die Prüfung noch nicht abgeschlossen ist? Darf ein Mitarbeiter einen Mangel melden, ohne dass ihm jemand erklärt, er solle doch bitte „lösungsorientierter“ sein? Werden Kennzahlen schön gerechnet, weil die Monatsrunde bevorsteht? Kann ein Mitarbeiter eine Freigabe verweigern, wenn die Voraussetzungen nicht vorliegen?

Genau dort wohnt Qualitätskultur. Nicht in einem Poster mit Worten wie „Exzellenzinitiative“ und „Respekt, Toleranz und Diversity“, sondern in den wiederkehrenden kleinen Entscheidungen. Ein Unternehmen muss dafür keine Ethikkommission gründen. Es sollte aber zeigen können, welche Erwartungen es an Führung und Mitarbeiter stellt, wie diese vermittelt werden und was passiert, wenn sie verletzt werden.

Das lässt sich gut an bestehende Prozesse anbinden: Führungskräftekommunikation, Schulungen, Umgang mit Fehlern, Meldewege, Lieferantenbeziehungen und die Behandlung von Nichtkonformitäten. Ein QMS ist schließlich kein Sprachkunstwerk. Es muss Verhalten im Alltag beeinflussen. Warum Prozesse dafür mehr sein müssen als gut klingende Texte, erläutern wir in Warum sind Prozesse wichtig?.

3. Risiken und Chancen: Bitte nicht mehr in einen Topf werfen

ISO 9001:2015 verlangte bereits, Risiken und Chancen zu bestimmen und Maßnahmen zu planen. In der Praxis landeten beide jedoch gern in derselben Tabelle. Links stand eine Bedrohung, rechts irgendwo eine „Chance“, und am Ende war nicht immer klar, ob die Chance tatsächlich bearbeitet oder nur positiv formuliert worden war.

Die ISO 9001:2026 trennt beides deutlicher:

• Risiken mit möglichen unerwünschten Auswirkungen sind zu bestimmen, zu analysieren, zu bewerten und mit verhältnismäßigen Maßnahmen zu behandeln.
• Chancen mit gewünschten Auswirkungen sind ebenfalls zu bestimmen, zu analysieren, zu bewerten und mit passenden Maßnahmen zu verfolgen.

Auch die Wirksamkeit wird getrennt sichtbar: Datenanalyse und Managementbewertung sollen nicht nur fragen, ob Risiken ausreichend behandelt wurden, sondern auch, ob die geplanten Chancen tatsächlich etwas gebracht haben.

Das bedeutet nicht zwingend zwei neue Software-Module und zwei neue Gremien. Eine gemeinsame Methodik darf bleiben. Aber im Ergebnis muss erkennbar sein: Was wollen wir vermeiden? Was wollen wir bewusst erreichen? Welche Maßnahme gehört wohin? Und woran erkennen wir, ob sie funktioniert?

Chancen dürfen Sie dabei ruhig kreativ als Möglichkeiten zur fortlaufenden Verbesserung verstehen. Dafür gibt es im QMS ja bereits einen passenden Ort: den Verbesserungsprozess. Eine Idee aus einer Reklamation, ein wiederkehrendes Problem im Projektgeschäft, eine neue Kundenerwartung oder ein sinnvoller technischer Schritt muss nicht künstlich zum „positiven Risiko“ umetikettiert werden. Sie kann als Verbesserungschance erfasst, bewertet, mit einer Maßnahme versehen und später auf ihren Nutzen geprüft werden.

Gerade die Managementbewertung ist dafür der richtige Ort. Sie soll nicht nur freundliche Tätigkeitsberichte einsammeln, sondern Entscheidungen auf belastbare Informationen stützen. Die Logik dahinter erklären wir auch für die Managementbewertung nach ISO 27001: Inputs sammeln, bewerten, entscheiden, Maßnahmen nachhalten.

4. Änderungen: Freigeben ist nicht dasselbe wie zu Ende führen

Die 2015er Ausgabe verlangte bereits geplante Änderungen. Die 2026er Ausgabe konkretisiert jedoch, was bei einer QMS-Änderung mitgedacht werden muss. Neben Zweck, möglichen Folgen, Systemintegrität, Ressourcen sowie Rollen und Befugnissen kommen ausdrücklich hinzu:

• die Verfügbarkeit der erforderlichen Informationen;
• die Kommunikation der Änderung;
• die Überwachung und Bewertung ihrer Wirksamkeit;
• die Überprüfung der Ergebnisse.

Das trifft einen sehr verbreiteten QMS-Fehler: Jemand ändert eine Prozessbeschreibung, legt die neue PDF im Intranet ab und hält den Vorgang für erledigt. Die Menschen, die damit arbeiten sollen, erfahren es später oder zufällig. Ob die neue Regel funktioniert, fragt niemand. Drei Monate später macht jemand weiter wie vorher, weil der alte Weg für ihn praktischer war.

Ein brauchbarer Change-Prozess muss dafür nicht groß sein. Er braucht aber eine Logik: Was ändern wir, warum, wen betrifft es, welche Informationen und Ressourcen sind notwendig, wie informieren wir die Betroffenen – und wann prüfen wir, ob die Änderung das gewünschte Ergebnis liefert?

Genau hier trifft sich ISO 9001:2026 mit sauberer Dokumentenlenkung. Die jeweils gültige Information muss verfügbar sein, und alte Fassungen dürfen nicht heimlich weiterregieren. Unser Beitrag zur ISO 27001-Dokumentenlenkung beschreibt diese Mechanik unabhängig von der jeweiligen Managementsystemnorm.

5. Wissen: Nicht nur aufbewahren, sondern anwenden und teilen

Die ISO 9001:2015 sprach davon, Wissen der Organisation aufrechtzuerhalten und soweit nötig verfügbar zu machen. Die neue Ausgabe spricht deutlicher davon, Wissen zu erhalten, anzuwenden und zu teilen.

Das ist ein sinnvoller Unterschied. Wissen in einem Laufwerk, in einer Wiki-Struktur oder im Kopf eines erfahrenen Mitarbeiters erzeugt noch keinen Nutzen. Es muss dort ankommen, wo ein Prozess es braucht.

Ein paar unangenehme Selbsttests helfen:

• Können neue Mitarbeiter erkennen, welche Vorgehensweise aktuell gilt?
• Findet der Projektleiter die Erfahrung aus dem letzten ähnlichen Projekt?
• Weiß ein Vertreter, wie ein kritischer Vorgang behandelt wird, wenn der Spezialist Urlaub hat?
• Werden Erkenntnisse aus Reklamationen, Audits und Fehlern in die nächste Entscheidung übernommen?

Die Antwort darf nicht lauten: „Frau Müller weiß das.“ Sie darf auch nicht lauten: „Das steht irgendwo im SharePoint.“ Beides kann im Ernstfall dasselbe Problem sein.

Für ISO 9001 und ISO 27001 gilt gleichermaßen: Dokumentation ist dann gut, wenn die richtige Person die richtige Information zur richtigen Zeit findet und anwenden kann. Unser Vergleich ISO 9001 und ISO 27001: Was ist gleich, was ist unterschiedlich? zeigt, warum diese gemeinsame Grundlogik die Integration beider Systeme so viel einfacher macht, als zwei getrennte Bürokratiewelten zu pflegen.

Der 5-Punkte-Upgrade- und Umstellungscheck

Gehen Sie nicht mit dem Textmarker durch die gesamte neue Norm und ändern Sie nicht vorsorglich jedes Dokument. Gehen Sie strukturiert vor.

1. Kontext aktualisieren: Ist Klimawandel für Zweck, Strategie, Scope, relevante interessierte Parteien oder deren Anforderungen relevant? Halten Sie die Begründung fest.
2. Kultur greifbar machen: Wo wird Qualitätskultur sichtbar gelebt – und wo wird sie gefährdet? Prüfen Sie Führung, Kommunikation, Umgang mit Fehlern und Bewusstsein der Mitarbeiter.
3. Risiken und Chancen entwirren: Kann Ihr Verfahren beides getrennt bestimmen, bewerten, behandeln und auf Wirksamkeit prüfen?
4. Change-Prozess ergänzen: Deckt er Kommunikation, Informationsverfügbarkeit, Wirksamkeitsbewertung und Ergebnisüberprüfung ab?
5. Wissensfluss testen: Prüfen Sie an einem echten Vorgang, ob relevantes Wissen auffindbar, aktuell und für Vertretungen nutzbar ist.

Danach kommt der Punkt, den viele Unternehmen zu spät ansprechen: Ihr Zertifizierer bestimmt nicht den Inhalt der ISO 9001:2026, aber er bestimmt mit seinem Verfahren, wie Ihre Umstellung geprüft wird.

Klären Sie deshalb frühzeitig und schriftlich:

• Ab wann auditiert die Zertifizierungsstelle ausschließlich nach ISO 9001:2026?
• Bis wann muss Ihr Umstellungsaudit stattgefunden haben?
• Soll die Umstellung in einem Überwachungs-, Rezertifizierungs- oder gesonderten Audit erfolgen?
• Welchen Umfang erwartet der Zertifizierer beim vorherigen Internen Audit?
• Muss das Interne Audit alle geänderten QMS-Teile abdecken und nach der überarbeiteten Dokumentation stattfinden?
• Welche Nachweise möchte der Auditor zur Umsetzung sehen?

Die von ISO/TC 176 veröffentlichte Transition Guidance nennt für bereits nach ISO 9001:2015 zertifizierte Organisationen den 30. September 2029 als Ende der Übergangsfrist. Es gibt trotzdem keine pauschale Antwort, die für jede Zertifizierungsstelle und jeden Vertrag identisch wäre. Genau deshalb sollten Sie den Auditweg nicht aus einer LinkedIn-Grafik oder einem Hörensagen ableiten. Machen Sie ihn mit Ihrer Zertifizierungsstelle fest.

Ein Internes Audit vor der Umstellung ist dabei keine lästige Formalie. Es soll zeigen, ob die neue oder angepasste Praxis tatsächlich funktioniert. Unser Artikel ISO 27001 Internes Audit: Was verlangt die Norm? erklärt die zugrundeliegende Prüfungslogik: Auditziele, Kriterien, belastbare Nachweise und daraus gezogene Schlussfolgerungen.

Was Sie nicht tun müssen

Sie müssen nicht jede Prozessbeschreibung umschreiben, nur weil eine neue Ausgabe veröffentlicht wurde. Sie müssen keine Klimarisikodatenbank erfinden, wenn Klimawandel für Ihren Scope erkennbar keine relevante Rolle spielt. Sie müssen auch nicht Kultur mit fünf Leitbildplakaten verwechseln.

Aber Sie sollten die fünf Punkte nicht als redaktionelle Fußnoten behandeln. Gerade bei einem funktionierenden QMS lassen sie sich meist ohne große Umbauarbeiten integrieren: im Kontextprozess, in der Managementbewertung, in Ihrem Risikoverfahren, in der Änderungssteuerung und in der Wissensorganisation.

Das ist die angenehme Nachricht für meinen ehemaligen Kunden: Nein, er muss nicht „kurz alles machen“. Er muss gezielt prüfen, was in seinem System schon funktioniert – und die offenen Stellen anschließend sauber schließen.

Interesse geweckt?

Sie möchten die ISO 9001:2026 nutzen, um Ihr QMS gezielt weiterzuentwickeln – ohne in hektischen Dokumentenaktionismus zu verfallen? Sprechen Sie mit uns.