In Erstgesprächen höre ich diesen Satz regelmäßig: „ISO 9001 schaffen wir vielleicht. Aber 27001 noch dazu? Nicht mit unserer Mannschaft.“ Die Sorge ist verständlich und beruht doch auf einer falschen Rechnung. Zwei Normen bedeuten nicht die doppelte Arbeit. Bei sauberer Planung bedeuten sie etwa ein Drittel mehr als eine Norm allein.
Der Grund liegt in der Bauweise der Normen selbst. Dieser Beitrag beschreibt, wie Sie das praktisch nutzen: welche Teile Sie nur einmal bauen, in welcher Reihenfolge Sie vorgehen, wie das Audit abläuft und woran integrierte Projekte scheitern, wenn sie scheitern. Es geht hier um das Wie. Warum sich ein integriertes System auch nach dem Zertifikat auszahlt, ist ein eigenes Thema.
„Wer zwei Normen getrennt einführt, schreibt die Hälfte zweimal und lässt sie sich zweimal prüfen. Der inhaltliche Gewinn dieser Doppelung ist null.“ – Thomas Werner, CCO Eucerta AG und Lead Auditor
Die gemeinsame Grundstruktur ist der ganze Trick
ISO hat vor Jahren festgelegt, dass alle Managementsystem-Normen nach demselben Muster geschrieben werden. Dieses Muster heißt heute Harmonized Structure, früher war es als Annex SL bekannt. Es schreibt die Kapitelfolge, große Teile des Kerntexts und die gemeinsamen Begriffe vor.
Folge: ISO 9001, ISO 14001, ISO 27001 und ISO 42001 haben denselben Aufbau. Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung — in dieser Reihenfolge, in jeder dieser Normen, mit weitgehend identischem Anforderungstext. Eine Übersicht über die Harmonized Structure zeigt das im Detail.
Das ist kein Formalismus, sondern Ihr Hebel. Ein Managementsystem, das die Kapitel 4 bis 10 einmal ordentlich erfüllt, erfüllt sie für alle beteiligten Normen. Was übrig bleibt, ist der fachliche Kern jeder Norm — und der ist deutlich kleiner als das Drumherum.
Was Sie genau einmal bauen
Die Teile, die Sie nur einmal brauchen, sind ausgerechnet die aufwendigsten. Aus der Auditpraxis sind es diese:
- Die Kontextanalyse: welche internen und externen Themen Ihr Unternehmen beeinflussen.
- Die Betrachtung der interessierten Parteien: wer etwas von Ihnen erwartet und was genau.
- Die Methodik für Risiken und Chancen: Bewertungsmaßstäbe, Zuständigkeiten, Überprüfungszyklus.
- Die Lenkung dokumentierter Information: wie Dokumente entstehen, freigegeben, versioniert und archiviert werden.
- Das interne Auditprogramm: ein Jahresplan, der alle Normen abdeckt.
- Die Managementbewertung: ein Termin mit der Geschäftsleitung, eine Entscheidungsgrundlage.
- Der Umgang mit Abweichungen und Korrekturmaßnahmen: ein Verfahren, eine Liste.
Normspezifisch bleibt der fachliche Kern. ISO 9001 will Prozesse, Kundenzufriedenheit und Qualitätskultur. ISO 27001 verlangt eine Risikobehandlung samt Erklärung zur Anwendbarkeit der Maßnahmen aus Anhang A. ISO 14001 braucht die Betrachtung der Umweltaspekte und bindende Verpflichtungen. ISO 42001 braucht das Verzeichnis der KI-Systeme und die Folgenabschätzung. Diese Module hängen Sie an das gemeinsame Fundament — sie ersetzen es nicht.
Die Reihenfolge, die in der Praxis funktioniert
Es gibt keine allgemein richtige Startnorm, sondern nur die, die zu Ihrem Anlass passt. Meine Empfehlung nach vielen Projekten:
- Klären Sie den Anlass. Verlangt ein Kunde ein Zertifikat, oder drängt eine Versicherung? Beginnen Sie mit der Norm, die diesen Druck auflöst.
- Legen Sie den Geltungsbereich für alle Normen gleichzeitig fest. Ein später erweiterter Geltungsbereich erzeugt Nacharbeit in jedem Dokument.
- Bauen Sie die gemeinsamen Kapitel vollständig, bevor Sie in die Fachmodule gehen. Wer mit Anhang A anfängt, sortiert später alles um.
- Ergänzen Sie die Fachmodule Norm für Norm. Hier arbeiten die jeweiligen Fachbereiche, nicht mehr die Geschäftsleitung allein.
- Führen Sie ein internes Audit über das gesamte System durch, nicht drei kleine.
- Halten Sie eine Managementbewertung ab, die alle Normen abdeckt.
Ein Detail, das Projekte rettet: Benennen Sie eine Person, die das System verantwortet, auch wenn sie nicht alles selbst erarbeitet. Wo drei Abteilungen drei Normen „parallel“ betreuen, entstehen wieder drei Systeme — nur diesmal in einem Ordner.
Was beim Audit anders läuft
Ein Audit über mehrere Normen ist ein integriertes Audit und folgt eigenen Regeln. Der Rahmen dafür steht im Dokument MD 11 des Akkreditierungs-Dachverbands Global ACI (bis Ende 2025 IAF) des International Accreditation Forum, das die Anwendung von ISO/IEC 17021 für solche Audits regelt.
Zwei Punkte daraus sind für Sie praktisch relevant. Erstens: Die Auditzeit wird nicht einfach addiert. Sie wird aus der längsten Einzelauditzeit plus einem Anteil für jede weitere Norm berechnet. Zweitens: Die zulässige Reduktion ist begrenzt und darf 20 Prozent der Gesamtauditzeit nicht überschreiten. Wer Ihnen eine Halbierung der Audittage verspricht, verspricht etwas, das die Regeln nicht zulassen.
Trotzdem sparen Sie real: eine Eröffnungsbesprechung, eine Abschlussbesprechung, ein Auditbericht, ein Termin in Ihrem Kalender statt mehrerer Auditwochen im Jahr. Bei uns läuft das Audit digital, und jedes ausgestellte Zertifikat ist im öffentlichen Register über seine Nummer prüfbar. Zertifikate gelten drei Jahre ab dem Auditdatum, dazwischen überwachen wir über die Plattform.
Woran integrierte Projekte scheitern
Drei Fehler sehe ich immer wieder. Der erste ist der zu große Wurf: vier Normen auf einmal in einem Unternehmen, in dem noch nie ein internes Audit stattgefunden hat. Zwei sind dann der bessere Start, die dritte folgt mit dem nächsten Überwachungsaudit.
Der zweite Fehler ist ein Dokumentenberg als Selbstzweck. Ein integriertes System soll Dokumente zusammenführen, nicht vervielfachen. Wenn nach dem Zusammenlegen mehr Dateien existieren als vorher, ist etwas schiefgelaufen.
Der dritte ist der Rückfall nach dem Zertifikat. Ein System, das niemand pflegt, fällt bis zum Überwachungsaudit auseinander — bei mehreren Normen schneller, weil mehr Beweise laufend entstehen müssen. Deshalb arbeiten wir mit Kümmerern: unabhängige Partner als interne Auditoren, die das System zwischen den Audits am Leben halten. Wen es in Ihrer Region gibt, zeigt unser Partnernetzwerk.
Zur Kalkulation: Die erste Norm kostet bei uns 179 Euro im Monat, jede weitere 149 Euro, Laufzeit 36 Monate, Festpreis bis 30 Mitarbeitende. Wie sich das bei Ihrer Normenauswahl zusammensetzt, zeigt die Seite Integriertes Managementsystem.
Fazit
Mehrere Normen gleichzeitig sind kein Konzernthema. Sie sind für kleine und mittlere Unternehmen sogar der günstigere Weg, weil das teure Fundament nur einmal entsteht. Die Bedingung ist Disziplin in der Reihenfolge: erst der Geltungsbereich, dann die gemeinsamen Kapitel, dann die Fachmodule, dann ein Audit über alles.
Wer stattdessen Norm für Norm nachträglich anflickt, zahlt die Integration später — und zwar teurer, weil dann umgebaut statt gebaut wird.
Ihr nächster Schritt: Rechnen Sie Ihre Normenkombination im Kostenrechner durch, oder lassen Sie über die Express-Zertifizierung prüfen, wie weit Ihr System schon ist.
Weiterführend:
