ISO 9001 und ISO 27001: Was ist gleich, was ist unterschiedlich?

Ein Unternehmen hat bereits ein Qualitätsmanagementsystem nach ISO 9001. Die Prozesse sind beschrieben, es gibt Interne Audits, eine Managementbewertung und sogar ein hübsches Zertifikat im Eingangsbereich. Nun verlangt ein wichtiger Kunde zusätzlich ISO 27001.

Die verständliche Reaktion lautet häufig:

„Wieso denn noch eine Norm? Wir sind doch schon ISO-zertifiziert.“

Das klingt ein wenig so, als würde jemand sagen: „Unser Auto hat den TÜV bestanden. Warum braucht das Bürogebäude jetzt noch eine Brandmeldeanlage?“

Beides hat mit Sicherheit und Verlässlichkeit zu tun. Dasselbe ist es trotzdem nicht.

Die kurze Antwort

ISO 27001 und ISO 9001 sind beides Managementsystemnormen. Deshalb folgen sie einer ähnlichen Grundlogik: Das Unternehmen muss seinen Kontext verstehen, Verantwortlichkeiten festlegen, Ziele planen, Prozesse steuern, Ergebnisse bewerten und sich verbessern.

Der große Unterschied liegt im Zweck:

• ISO 9001 soll dafür sorgen, dass ein Unternehmen dauerhaft Produkte und Dienstleistungen liefert, die Anforderungen erfüllen und Kunden zufriedenstellen.
• ISO 27001 soll dafür sorgen, dass Informationen angemessen geschützt werden – insbesondere hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit.

Oder sehr kurz:

ISO 9001 fragt: „Bekommen Ihre Kunden zuverlässig das, was Sie ihnen versprochen haben?“

ISO 27001 fragt: „Bleiben die dafür benötigten Informationen sicher, richtig und verfügbar?“

Ein Unternehmen kann die eine Norm erfüllen und bei der anderen trotzdem erhebliche Lücken haben.

Was ist ISO 9001?

ISO 9001 ist eine Norm für Qualitätsmanagementsysteme, kurz QMS. Qualität bedeutet dabei nicht automatisch, dass jedes Produkt besonders edel, teuer oder luxuriös sein muss.

Qualität bedeutet zunächst: Das Ergebnis erfüllt die festgelegten Anforderungen (und wenn es besonders gut ist, auch die mehr oder impliziten Erwartungen).

Wenn ein Kunde einen einfachen schwarzen Kugelschreiber bestellt, muss das Unternehmen keinen handgedrechselten Füllfederhalter mit Goldfeder liefern. Es muss aber verlässlich einen schwarzen Kugelschreiber liefern – in der vereinbarten Menge, zur vereinbarten Zeit und in einer Qualität, mit der er tatsächlich schreiben kann.

Dafür betrachtet ISO 9001 unter anderem:

• Kundenanforderungen und Kundenzufriedenheit;
• die Planung und Steuerung von Prozessen;
• Verantwortlichkeiten und Kompetenzen;
• die Entwicklung und Erbringung von Produkten und Dienstleistungen;
• den Umgang mit Fehlern und Beschwerden;
• die Bewertung von Lieferanten;
• Ziele, Kennzahlen und Verbesserungen.

ISO 9001 hilft einem Unternehmen also dabei, seine Leistung wiederholbar zu beherrschen. Nicht nur der eine besonders erfahrene Mitarbeiter soll wissen, wie ein gutes Ergebnis entsteht. Das Unternehmen als Ganzes soll dazu in der Lage sein.

Was ist ISO 27001?

ISO 27001 ist eine Norm für Informationssicherheitsmanagementsysteme, kurz ISMS. Sie betrachtet Informationen in allen Formen: digital, auf Papier, im Kopf von Mitarbeitern oder als Gespräch, das besser nicht im voll besetzten Zug geführt werden sollte.

Im Zentrum stehen drei Schutzziele:

• Vertraulichkeit: Nur Berechtigte erhalten Zugriff auf Informationen.
• Integrität: Informationen bleiben richtig, vollständig und vor unbemerkter Veränderung geschützt.
• Verfügbarkeit: Informationen und die dafür nötigen Systeme stehen rechtzeitig zur Verfügung.

ISO 27001 verlangt dafür ein systematisches Informationssicherheits-Risikomanagement. Das Unternehmen muss verstehen, welche Informationen und Prozesse wichtig sind, was ihnen passieren könnte und welche Risiken es behandeln muss.

Hinzu kommt Anhang A mit 93 möglichen Informationssicherheitsmaßnahmen. Welche davon benötigt werden, muss das Unternehmen in der Anwendbarkeitserklärung – der Statement of Applicability oder SoA – nachvollziehbar festhalten. Was in diese Anwendbarkeitserklärung gehört, haben wir in einem eigenen Artikel erklärt.

Warum sehen sich ISO 9001 und ISO 27001 so ähnlich?

Beide Normen gehören zur Familie der ISO-Managementsystemnormen. ISO verwendet dafür eine harmonisierte Grundstruktur. Das ist ausgesprochen praktisch: Unternehmen sollen nicht für jedes Thema ein völlig neues Paralleluniversum mit eigenen Sitzungen, eigenen Freigaben und eigenen Ordnerfriedhöfen erschaffen müssen.

In beiden Managementsystemen begegnen Ihnen deshalb ähnliche Themen:

• Kontext der Organisation;
• interessierte Parteien und deren relevante Anforderungen;
• Anwendungsbereich des Managementsystems;
• Führung und Verantwortung der obersten Leitung;
• Rollen und Zuständigkeiten;
• Risiken und Chancen;
• Ziele und Planung;
• Ressourcen, Kompetenz, Bewusstsein und Kommunikation;
• dokumentierte Information;
• betriebliche Planung und Steuerung;
• Überwachung und Bewertung;
• Interne Audits;
• Managementbewertung;
• Nichtkonformitäten und fortlaufende Verbesserung.

Das ist keine zufällige Ähnlichkeit. Die Managementlogik ist in beiden Fällen dieselbe: planen, umsetzen, prüfen und verbessern.

Auch die Frage, welche Dokumente man wirklich benötigt, lässt sich deshalb nicht durch das Zählen von Richtlinien beantworten. Ein Managementsystem besteht nicht aus möglichst viel Papier. Es besteht aus beherrschten Abläufen, klaren Entscheidungen und den dokumentierten Informationen, die das Unternehmen dafür tatsächlich braucht.

Die wichtigsten Unterschiede zwischen ISO 9001 und ISO 27001

Die gemeinsame Struktur darf nicht darüber hinwegtäuschen, dass beide Normen unterschiedliche fachliche Ziele verfolgen.

Unterschied 1: Qualität ist nicht Informationssicherheit

Ein Prozess kann qualitativ hervorragend funktionieren und trotzdem unsicher sein.

Ein Softwareunternehmen kann beispielsweise zuverlässig zum vereinbarten Termin neue Funktionen ausliefern. Die Kunden sind zufrieden, Reklamationen werden schnell bearbeitet und die Software erfüllt ihre fachlichen Anforderungen.

Wenn die Entwickler dabei gemeinsame Administratorkonten nutzen, Quellcode unkontrolliert auf privaten Geräten speichern und Sicherheitslücken nicht systematisch behandeln, ist der Entwicklungsprozess aus Sicht der Informationssicherheit trotzdem problematisch.

Umgekehrt kann ein Unternehmen seine Informationen hervorragend schützen und dennoch miserable Qualität liefern. Die Kundendaten sind verschlüsselt, die Zugriffsrechte sauber und die Backups getestet – nur das bestellte Produkt kommt ständig zu spät und funktioniert nicht.

ISO 9001 und ISO 27001 lösen also unterschiedliche Probleme.

Unterschied 2: Das Risikomanagement ist nicht dasselbe

ISO 9001 verlangt einen risikobasierten Umgang mit Risiken und Chancen, die das Qualitätsmanagementsystem und seine gewünschten Ergebnisse beeinflussen.

ISO 27001 geht beim Informationssicherheits-Risikomanagement deutlich konkreter vor. Das Unternehmen braucht nachvollziehbare Kriterien, muss Risiken identifizieren, analysieren und bewerten, eine Risikobehandlung planen und Restrisiken akzeptieren lassen.

Hier sollte man nicht aus Bequemlichkeit behaupten, das vorhandene Qualitätsrisikomanagement werde schon irgendwie reichen. Man kann gemeinsame Werkzeuge, Zuständigkeiten und Bewertungslogiken nutzen. Die fachliche Betrachtung der Informationssicherheitsrisiken bleibt aber eine völlig eigene Aufgabe.

Unterschied 3: Nur ISO 27001 hat Anhang A und die Anwendbarkeitserklärung

ISO 27001 bringt mit Anhang A einen Referenzsatz möglicher Informationssicherheitsmaßnahmen mit. Dazu gehören beispielsweise Zugriffssteuerung, Lieferantensicherheit, physische Sicherheit, sichere Entwicklung, Protokollierung, Backup und der Umgang mit Sicherheitsvorfällen.

Das Unternehmen muss die notwendigen Maßnahmen bestimmen, sie mit Anhang A vergleichen und seine Auswahl in der Anwendbarkeitserklärung begründen.

Eine entsprechende Konstruktion gibt es in ISO 9001 nicht. Dort existiert keine SoA, in der ein Unternehmen einen festgelegten Maßnahmenkatalog einzeln abarbeitet.

Unterschied 4: Die Anwendungsbereiche können verschieden sein

Ein Qualitätsmanagementsystem und ein Informationssicherheitsmanagementsystem müssen nicht zwingend denselben Anwendungsbereich haben.

Vielleicht umfasst das QMS das gesamte Unternehmen. Das ISMS wird dagegen zunächst nur für den Betrieb einer bestimmten Softwareplattform eingerichtet, weil genau für diese Dienstleistung Kunden ein ISO 27001-Zertifikat verlangen.

Das ist grundsätzlich möglich, solange die Abgrenzung nachvollziehbar ist und keine relevanten Abhängigkeiten kreativ aus dem Bild geschoben werden. Gerade bei ISO 27001 ist ein klar und sinnvoll abgegrenzter Anwendungsbereich ein wichtiger Hebel für Aufwand und Projektdauer.

Unterschied 5: Die operative Facharbeit ist eine andere

Die gemeinsame Managementhülle kann täuschen. Unterhalb dieser Hülle werden unterschiedliche Fachthemen bearbeitet.

Im QMS geht es beispielsweise um:

• Kundenanforderungen;
• Produkt- und Dienstleistungsentwicklung;
• Qualitätsprüfungen;
• Freigaben;
• Fehler und Reklamationen;
• die verlässliche Leistungserbringung.

Im ISMS geht es beispielsweise um:

• Informationswerte und Schutzbedarf;
• Informationssicherheitsrisiken;
• Berechtigungen und Zugänge;
• technische Schwachstellen;
• Sicherheitsvorfälle;
• Kryptografie;
• physische und personelle Sicherheit;
• sichere IT- und Entwicklungsprozesse.

Beide Systeme sprechen über Prozesse. Sie schauen dabei aber mit einer anderen fachlichen Brille auf das Unternehmen.

Ersetzt ein ISO 9001-Zertifikat die ISO 27001?

Nein.

Ein ISO 9001-Zertifikat bestätigt nicht, dass ein Unternehmen ein Informationssicherheitsmanagementsystem betreibt. Es bestätigt auch nicht, dass Informationssicherheitsrisiken nach ISO 27001 behandelt werden oder dass die Maßnahmen aus Anhang A angemessen ausgewählt wurden.

Wenn ein Kunde ausdrücklich ein ISO 27001-Zertifikat verlangt, wird er sich daher nicht mit ISO 9001 zufriedengeben.

Umgekehrt ersetzt ISO 27001 auch keine ISO 9001. Ein ISMS-Zertifikat sagt nicht aus, dass das Unternehmen sämtliche Anforderungen an ein Qualitätsmanagementsystem erfüllt.

Der Satz „Wir haben doch schon ein ISO-Zertifikat“ hilft dabei ungefähr so viel wie „Wir haben doch schon einen Mofa-Führerschein“, wenn gerade ein Bootsführerschein verlangt wird.

Hilft ISO 9001 bei der Einführung von ISO 27001?

Absolut – wenn das QMS tatsächlich funktioniert und nicht nur aus einem jährlich abgestaubten Zertifikatsordner besteht, der anno dunnemals für 19,50 EUR irgendwo runtergeladen wurde.

Ein gelebtes Qualitätsmanagementsystem bringt viel mit, das sich weiterverwenden lässt:

• eine bekannte Managementsystemlogik;
• geregelte Dokumentenlenkung;
• Erfahrungen mit Internen Audits;
• eine etablierte Managementbewertung;
• Ziel- und Kennzahlenprozesse;
• geregelte Kompetenzen und Schulungen;
• den Umgang mit Nichtkonformitäten und Verbesserungen;
• häufig bereits gut beschriebene Kerngeschäftsprozesse.

Das spart Arbeit. Man muss nicht zwei Verfahren für Dokumentenfreigaben, zwei Auditprogramme und zwei vollkommen getrennte Managementbewertungen erfinden, wenn eine gemeinsame Lösung sinnvoll funktioniert.

Wie man ein vorhandenes QMS praktisch nutzt, erklären wir ausführlicher im Artikel ISO 27001 ISMS mit bestehendem ISO 9001 QMS integrieren.

Aber auch hier gilt: Wiederverwenden ist nicht Weglassen. Ein vorhandener Prozess für Lieferantenbewertungen kann erweitert werden. Die informationssicherheitsbezogenen Anforderungen an Cloudanbieter, Rechenzentren oder Entwicklungsdienstleister müssen trotzdem fachlich betrachtet werden.

Kann man ISO 9001 und ISO 27001 gemeinsam einführen?

Ja. Für manche Unternehmen ist das sogar ausgesprochen sinnvoll.

Beide Vorhaben können in einem integrierten Managementsystem geplant werden. Gemeinsame Themen werden einmal sauber aufgebaut, die fachlichen Besonderheiten getrennt ergänzt. Das betrifft beispielsweise:

• eine gemeinsame Kontextanalyse;
• abgestimmte Anwendungsbereiche;
• gemeinsame Regeln für dokumentierte Informationen;
• ein integriertes Auditprogramm;
• eine gemeinsame oder aufeinander abgestimmte Managementbewertung;
• gemeinsame Prozesse für Kompetenzen, Ziele, Korrekturmaßnahmen und Verbesserungen.

Wichtig ist ein belastbarer Projektplan. Es muss erkennbar sein, welche Arbeitspakete gemeinsam erledigt werden können, welche voneinander abhängen und wo eigene Facharbeit für Qualität beziehungsweise Informationssicherheit nötig ist.

Ein Managementsystem ist schließlich kein Haufen von 18 Tätigkeiten, die irgendwann jemand erledigt. Es ist ein Projekt mit Reihenfolgen, Verantwortlichkeiten, Aufwand und einer Deadline. Wie der Weg zur ISO 27001-Zertifizierung grundsätzlich aussieht, haben wir separat beschrieben.

Welche Norm braucht Ihr Unternehmen?

Das hängt nicht davon ab, welche Zahl hübscher klingt. Entscheidend sind Ihr Geschäft, Ihre Kunden und das Problem, das Sie lösen möchten.

ISO 9001 liegt näher, wenn Kunden vor allem wissen wollen, ob Sie:

• Anforderungen zuverlässig verstehen und erfüllen;
• Ihre Leistungserbringung beherrschen;
• gleichbleibende Qualität liefern;
• Fehler systematisch behandeln;
• Kundenzufriedenheit beobachten und verbessern.

ISO 27001 liegt näher, wenn Kunden vor allem wissen wollen, ob Sie:

• deren Informationen angemessen schützen;
• Informationssicherheitsrisiken systematisch steuern;
• Vertraulichkeit, Integrität und Verfügbarkeit sicherstellen;
• Sicherheitsmaßnahmen nachvollziehbar auswählen;
• Sicherheitsvorfälle, Lieferanten und technische Risiken beherrschen.

Viele Unternehmen brauchen irgendwann beides. Ein Softwareanbieter muss seine Dienstleistung zuverlässig erbringen und gleichzeitig Kundendaten, Quellcode und Systeme schützen. Qualität und Informationssicherheit laufen dort nicht nebeneinander her. Sie treffen sich im selben Geschäftsprozess.

Was will der Auditor sehen?

Ein Auditor will bei beiden Normen erkennen, dass das Managementsystem zum Unternehmen passt, wirksam betrieben wird und nicht nur für den Audittag dekoriert wurde.

Bei ISO 9001 schaut er mit der Qualitätsbrille: Was ist für das Unternehmen „Qualität“? Werden Kundenanforderungen verstanden? Sind Prozesse beherrscht? Werden Fehler erkannt und behandelt? Erreicht das Unternehmen die beabsichtigten Ergebnisse?

Bei ISO 27001 schaut er mit der Informationssicherheitsbrille: Sind die relevanten Risiken verstanden? Sind Maßnahmen angemessen? Funktionieren die vorgesehenen Kontrollen? Kann das Unternehmen seine Sicherheitsentscheidungen nachvollziehbar erklären?

Wenn beide Systeme integriert sind, darf die gemeinsame Struktur sichtbar sein. Es muss aber ebenso sichtbar bleiben, wo unterschiedliche Anforderungen fachlich unterschiedlich behandelt werden.

Und: gerade wenn es um die (aus der ISO 27001 kommenden) Verfügbarkeiten von für den Kunden kritischen Geschäftsprozessen geht, ist man tief in der Schnittmenge zum Qualitätsmanagement, denn dass die gebuchten Leistungen abrufbar sind, ist natürlich ein ureigenstes ISO 9001-Thema.

Interesse geweckt?

Wenn Sie überlegen, ob ISO 9001, ISO 27001 oder eine gemeinsame Einführung zu Ihrem Unternehmen passt, schauen wir uns mit Ihnen an, was Ihre Kunden tatsächlich verlangen, welche Strukturen bereits vorhanden sind und welche Vorgehensweise wirtschaftlich sinnvoll ist.

Dabei bauen wir keine zwei Normenwelten nebeneinander, wenn ein gemeinsames Managementsystem die bessere Lösung ist. Wir tun aber auch nicht so, als verschwänden die fachlichen Unterschiede durch eine besonders farbenfrohe Prozesslandkarte.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.