Die ISO-Direktiven veröffentlichen kostenlos das Klauselgerüst, von dem ISO 9001:2015 und ISO/IEC 27001:2022 beide abgeleitet sind; hier steht es Klausel für Klausel, samt der Grenze zwischen einer gemeinsamen Aufgabenliste und einem gemeinsamen Audit.
Die ISO-Direktiven veröffentlichen kostenlos das Klauselgerüst, von dem ISO 9001:2015 und ISO/IEC 27001:2022 beide abgeleitet sind; hier steht es Klausel für Klausel, samt der Grenze zwischen einer gemeinsamen Aufgabenliste und einem gemeinsamen Audit.
Wer ein ISO-9001-Zertifikat hält und ISO/IEC 27001 übernimmt, oder umgekehrt, bekommt auf die Frage «wie viel davon ist neue Arbeit» meist die Antwort, die beiden Normen teilten sich eine Struktur. Das stimmt, und es klärt nichts darüber, wie viel des zweiten Programms Arbeit ist, die die Organisation bereits leistet. ISO veröffentlicht diese Antwort kostenlos. Die ISO/IEC Directives, Part 1, Consolidated ISO Supplement legen in Annex SL, Klausel SL.8.2, fest: "Type A MSS shall apply the harmonized structure detailed in Appendix 2." Sinngemäss: Managementsystemnormen des Typs A müssen die in Appendix 2 beschriebene harmonisierte Struktur anwenden. Die Direktiven, die Harmonized Structure selbst (harmonisierte Struktur, kurz HS), NIST SP 1347 und die ISO-Katalogseiten liegen nur auf Englisch vor; Zitate stehen in diesem Beitrag deshalb im Original, jeweils mit einer solchen sinngemässen Wiedergabe. Diese Struktur besteht aus den Klauseln 4 bis 10 einer Managementsystemnorm, und ISO 9001:2015 wie ISO/IEC 27001:2022 leiten ihre Managementsystem-Klauseln daraus ab. Was die beiden nicht teilen, ist der Ort, an dem das Audit stattfindet.
Das heute online stehende Supplement ist die Ausgabe 2024 (V01/2024). Annex SL, Klausel SL.8.1, sagt, für wen die Harmonized Structure gedacht ist: "It will be particularly useful for those organizations that choose to operate a single (sometimes called “integrated”) management system that can meet the requirements of two or more MSS simultaneously." Sinngemäss: Besonders nützlich ist sie für Organisationen, die ein einziges (manchmal «integriert» genanntes) Managementsystem betreiben wollen, das die Anforderungen von zwei oder mehr Managementsystemnormen gleichzeitig erfüllen kann. Dann SL.8.2:
Type A MSS shall apply the harmonized structure detailed in Appendix 2.
Sinngemäss, wie oben: Managementsystemnormen des Typs A müssen die in Appendix 2 beschriebene harmonisierte Struktur anwenden.
Type A ist in SL.2.5 definiert:
Type A MSS — MSS (SL.2.2) providing requirements. EXAMPLE Management system requirements standards (specifications); management system sector-specific requirements standards.
Sinngemäss: Type A MSS: eine Managementsystemnorm (SL.2.2), die Anforderungen enthält. Beispiel: Normen mit Anforderungen an Managementsysteme (Spezifikationen); sektorspezifische Anforderungsnormen für Managementsysteme.
Nichts in den Direktiven bezeichnet ISO 9001 oder ISO/IEC 27001 als Managementsystemnorm des Typs A; der Schritt zu ihnen ist also eine Schlussfolgerung. ISOs Katalog führt ISO 9001:2015 als Quality management systems — Requirements (fünfte Ausgabe, September 2015; sinngemäss: Qualitätsmanagementsysteme – Anforderungen) und ISO/IEC 27001:2022 als Information security, cybersecurity and privacy protection — Information security management systems — Requirements (dritte Ausgabe, Oktober 2022; sinngemäss: Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheits-Managementsysteme – Anforderungen). Beide sind Anforderungsnormen; die Direktiven definieren eine Norm des Typs A als eine, die Anforderungen enthält; Normen des Typs A müssen die harmonisierte Struktur anwenden.
Beide Normtexte stehen hinter einer Bezahlschranke; die Katalogseiten liefern nur Titel und Ausgabejahr, und nichts in diesem Beitrag zitiert eine der beiden Normen. «Abgeleitet aus» ist so weit, wie ich gehe, denn die Direktiven erlauben einem Komitee, disziplinspezifischen Text hinzuzufügen und in Ausnahmefällen abzuweichen; «identisch» ist also eine Behauptung, die ich nicht prüfen kann. ISOs Katalog führt eine überarbeitete ISO 9001 als für September 2026 erwartet; alles hier zitiert die Ausgabe von 2015.
Appendix 2 von Annex SL ist ein Link auf ein eigenes Dokument, ISO/IEC Harmonized structure for MSS with guidance for use (sinngemäss: harmonisierte Struktur für Managementsystemnormen mit Anleitung zur Anwendung), genehmigt am 30. Juli 2025 mit TMB-Resolution 74/2025.
Die Disziplin ist ein Platzhalter, definiert auf Seite 1: "XXX = a Management System Standard (MSS) discipline specific qualifier (e.g. energy, road traffic safety, IT security, food safety, environment, quality) that needs to be inserted". Sinngemäss: XXX = ein disziplinspezifischer Qualifikator der Managementsystemnorm (z. B. Energie, Strassenverkehrssicherheit, IT-Sicherheit, Lebensmittelsicherheit, Umwelt, Qualität), der einzusetzen ist. Die Hauptklauseln sind 4 Context of the organization, 5 Leadership, 6 Planning, 7 Support, 8 Operation, 9 Performance evaluation und 10 Improvement (Nummerierung normalisiert; sinngemäss: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung).
Die Unterklauseln, die die Existenz eines Artefakts verlangen, verwenden eine von zwei Formeln, und die informative Anleitungsspalte des Dokuments schlüsselt sie in der allgemeinen Anleitung g) auf: "… shall be available …" bedeutet "the documented information is available for use"; "… shall be available as evidence of …" bedeutet, sie "is to provide evidence of conformity". Sinngemäss: «… muss verfügbar sein …» heisst, die dokumentierte Information steht zur Verwendung bereit; «… muss als Nachweis für … verfügbar sein» heisst, sie soll die Konformität belegen. Über den normativen Text hinweg kommt "shall be available as documented information" dreimal vor und "shall be available as evidence of" fünfmal. Hier sind sie, mit 8.1 gesondert, weil es die erste Art ist.
| Klausel | Titel (wie gedruckt) | Pflicht (wörtliches Fragment) |
|---|---|---|
| 4.3 | Determining the scope of the XXX management system | "The scope shall be available as documented information." |
| 5.2 | XXX Policy | "The XXX policy shall: — be available as documented information; …" |
| 6.2 | XXX objectives and planning to achieve them | "The XXX objectives shall: … g) be available as documented information." |
| 7.2 | Competence | "Appropriate documented information shall be available as evidence of competence." |
| 8.1 | Operational planning and control | "Documented information shall be available to the extent necessary to have confidence that the processes have been carried out as planned." |
| 9.1 | Monitoring, measurement, analysis, and evaluation | "Documented information shall be available as evidence of the results." |
| 9.2.2 | Internal audit programme | "… shall be available as evidence of the implementation of the audit programme(s) and the audit results." |
| 9.3.3 | Management review results | "… shall be available as evidence of the results of management reviews." |
| 10.2 | Nonconformity and corrective action | "… shall be available as evidence of: — the nature of the nonconformities and any subsequent actions taken; — the results of any corrective action." |
Quelle: normative Spalte der HS, Seiten 14 bis 29; Aufzählungszeichen als Gedankenstriche wiedergegeben. Titel und Fragmente stehen im englischen Original. Sinngemäss, in meinen Worten und nicht in der Terminologie deutschsprachiger ISO-Ausgaben: 4.3 Festlegung des Anwendungsbereichs des XXX-Managementsystems, 5.2 XXX-Politik, 6.2 XXX-Ziele und Planung zu deren Erreichung, 7.2 Kompetenz, 8.1 Betriebliche Planung und Steuerung, 9.1 Überwachung, Messung, Analyse und Bewertung, 9.2.2 Internes Auditprogramm, 9.3.3 Ergebnisse der Managementbewertung, 10.2 Nichtkonformität und Korrekturmassnahmen; die Pflichtspalte variiert die beiden oben wiedergegebenen Formeln, und 8.1 verlangt dokumentierte Information in dem Umfang, der nötig ist, um darauf vertrauen zu können, dass die Prozesse wie geplant durchgeführt wurden.
Die HS benennt jedes dieser Artefakte genau einmal, und der Platzhalter ist das Einzige, was sich ändert, wenn der Qualifikator Qualität oder IT-Sicherheit lautet. Ob die Zeilen dieser Tabelle in einer Organisation einmal oder zweimal existieren, ist die Entscheidung dieser Organisation, und nichts im Text verlangt zweimal.
Den Raum für Abweichungen halten die Direktiven selbst frei. SL.8.3(e):
A committee may add or insert discipline-specific text within Appendix 2. Examples of additions include: … 4) additional text that enhances the existing requirements in Appendix 2.
Sinngemäss: Ein Komitee darf disziplinspezifischen Text in Appendix 2 hinzufügen oder einfügen. Beispiele für Ergänzungen sind: … 4) zusätzlicher Text, der die bestehenden Anforderungen in Appendix 2 erweitert.
Und SL.8.3(i):
If, due to exceptional discipline-specific circumstances, text from the harmonized structure cannot be applied in the management system standard, then the committee may amend the text and introduce a deviation.
Sinngemäss: Kann Text aus der harmonisierten Struktur wegen aussergewöhnlicher disziplinspezifischer Umstände in der Managementsystemnorm nicht angewendet werden, darf das Komitee den Text ändern und eine Abweichung einführen.
Wohin die Ergänzungen gehen, ist in der HS sichtbar. Klausel 8 ist dort eine einzige Unterklausel, 8.1 Operational planning and control (sinngemäss: betriebliche Planung und Steuerung). Die Anleitungsspalte, die sich an die Verfasser von Normen richtet, sagt daneben: "Clause 8 is typically the area of the HS where MSS writers add the most discipline-specific requirements. For this reason, in many MSS, Clause 8 is often longer than other clauses." Sinngemäss: Klausel 8 ist typischerweise der Bereich der HS, in dem die Verfasser von Managementsystemnormen die meisten disziplinspezifischen Anforderungen hinzufügen; deshalb ist Klausel 8 in vielen Managementsystemnormen oft länger als andere Klauseln. ISO 9001, so diese Anleitung, "includes requirements for determining customer requirements, design and development, externally provided processes, products, and services, control of production and service provision, release of product and service delivery, and control of nonconforming output" (sinngemäss: enthält Anforderungen zur Ermittlung von Kundenanforderungen, zu Design und Entwicklung, zu extern bereitgestellten Prozessen, Produkten und Dienstleistungen, zur Steuerung von Produktion und Dienstleistungserbringung, zur Freigabe von Produkten und Dienstleistungen sowie zur Steuerung nichtkonformer Ergebnisse). ISO/IEC 27001 "includes operational requirements for information security risk assessment and treatment" (sinngemäss: enthält betriebliche Anforderungen an die Beurteilung und Behandlung von Informationssicherheitsrisiken). ISO/IEC 27001 trägt ausserdem einen Anhang mit Controls, Annex A, den keine der freien Quellen hier benennt; ich führe ihn als strukturelle Tatsache an und zitiere nichts daraus.
Was jede Norm unter Klausel 8 stellt und was 27001 in ihrem Anhang hinzufügt, ist nach der Anlage der Direktiven selbst disziplinspezifisch, und es ist das, was ein Auditor für diese Disziplin prüfen kommt. «Wir haben die Managementsystem-Arbeit erledigt» ist ein wahrer Satz über die Klauseln 4 bis 7, 9 und 10, und er sagt noch nichts über den Rest.
Das Nächste, wonach ein zweites Programm greift, ist ein Mapping: Diese 9001-Klausel entspricht jener 27001-Klausel. Das Vokabular dafür, was ein Mapping behaupten kann, existiert bereits, in NIST SP 1347, dem Quick-Start-Leitfaden vom August 2026 zu informativen Referenzen für das US-amerikanische Cybersecurity Framework 2.0, hier für seine Definitionen herangezogen und nicht als Framework zur Übernahme. Sein Eröffnungssatz zum Thema: "Informative references identify relationships between elements of different source documents" (sinngemäss: Informative Referenzen benennen Beziehungen zwischen Elementen verschiedener Quelldokumente). Das Glossar unterscheidet dann Arten. Ein Crosswalk "indicates relationships between pairs of elements without additional characterization of those relationships" (sinngemäss: zeigt Beziehungen zwischen Elementpaaren an, ohne diese Beziehungen näher zu charakterisieren). Abgeleitete Mappings (derived relationship mappings) "are non-authoritative and represent a starting point when comparing reference documents" (sinngemäss: sind nicht massgeblich und stellen einen Ausgangspunkt für den Vergleich von Referenzdokumenten dar). NIST sagt ausserdem, es "does not conduct correctness testing on non-NIST submitted mappings" (sinngemäss: führe keine Korrektheitsprüfung an Mappings durch, die nicht von NIST eingereicht wurden).
Der Leitfaden zitiert ausserdem aus NIST IR 8278r1 ein Szenario, das ich als Ihres lese: "The organization needs to comply with a new standard, so it is necessary to determine which of its requirements are already met, which are not currently met, and which potentially conflict with other requirements." Sinngemäss: Die Organisation muss eine neue Norm einhalten; also ist zu ermitteln, welche ihrer Anforderungen bereits erfüllt sind, welche derzeit nicht erfüllt sind und welche möglicherweise mit anderen Anforderungen in Konflikt stehen. Der Leitfaden erwähnt ISO 9001 nirgends; die Passung ist meine Lesart.
Die Regel, die ich anwenden würde, mit jedem Werkzeug, ist diese. Die gemeinsamen Klauseln sind eine Aufgabenliste, gelesen aus zwei Blickwinkeln: eine Managementbewertung, ein internes Auditprogramm, ein Kompetenznachweis, eine Disziplin für dokumentierte Information, jeweils für beide Qualifikatoren zugleich. Eine Verknüpfung zwischen einer 9001-Klausel und einer 27001-Klausel wird als Beziehung einer benannten Art erfasst, mindestens als blosser Crosswalk, und nie als Äquivalenz: Sie sagt, wo nachzusehen ist, und sie sagt nie, dass eine Anforderung zweimal erfüllt wurde. Die disziplinspezifischen Anforderungen, die Klausel 8 der 9001 und die Risikobehandlung und Controls der 27001, werden nach ihren eigenen Massstäben geprüft; «erledigt» auf den gemeinsamen Klauseln lässt sie also offen.
devguards Katalog enthält beide Normen, also hier, was seine Zahl bedeutet. ISO 9001:2015 steht im Katalog mit den Klauseln 4 bis 10 und ihren Unterklauseln sowie mit einem geführten Pfad in zwanzig Schritten und sechs Phasen; jeder Schritt trägt Anweisungen dazu, was die Klausel verlangt, wie er abzuschliessen ist und welche Nachweise aufzubewahren sind. Ihre Managementsystem-Klauseln sind ihren Gegenstücken in ISO/IEC 27001:2022 zugeordnet und ihre Klauseln zu externen Anbietern den Lieferanten-Controls der ISO/IEC 27002:2022. Jede Zuordnung ist als teilweise Entsprechung erfasst, keine als vollständige, und die Ziele sind die Klauseln der 27001, nicht ihr Anhang. Von der Klausel 8 der 9001 tragen nur die Unterklauseln zu externen Anbietern eine Zuordnung; bei der betrieblichen Klausel endet das Mapping.
Ist ein Control einem Control in einem anderen Framework zugeordnet, das Sie bereits betreiben, und steht dieses andere Control auf Vollständig oder Teilweise, zählt das erste ebenfalls als abgedeckt, aber nur, wenn es nichts Eigenes hatte: Ein von sich aus abgedecktes Control wird nie doppelt gezählt, und eine Zuordnung hebt ein Control nie über Teilweise hinaus. Die Abdeckung wird in dem Moment berechnet, in dem Sie sie ansehen, aus den Aufgaben, Verknüpfungen und Zuordnungen hinter jedem Control; sie wird nie gespeichert und lässt sich nicht von Hand setzen. Alle nicht abgebrochenen Aufgaben erledigt ergibt den Status Vollständig; irgendeine Aufgabe in Arbeit, in Prüfung oder erledigt ergibt Teilweise; nur offene Aufgaben ergibt Keine. Ohne Aufgaben ergibt jede verknüpfte Richtlinie, jedes Asset, jedes Risiko, jeder Lieferant oder jeder Nachweis Teilweise, und nichts dahinter ergibt Unbekannt; Nicht relevant verlässt Zähler wie Nenner. Der Prozentsatz ist abgedeckt geteilt durch relevant, und abgedeckt zählt Vollständig, Teilweise und indirekt abgedeckte Controls gleichermassen. Seeding, Rollenverantwortung und Re-Planning stehen im Juli-Beitrag zur Aufgabenliste.
Erstens verweisen die geseedeten Pfade für ISO 27001 und ISO 9001 auf kein Control: Über die achtzehn geführten Pfade hinweg tragen 21 von 318 Schritten eine Control-Verknüpfung, alle davon in den Pfaden für SOC 1 und SOC 2. Wer also einen der beiden ISO-Pfade abschliesst, bewegt den Zähler «Aufgaben erledigt» der Roadmap und nie den Abdeckungsprozentsatz. Zweitens schliesst «abgedeckt» teilweisen Fortschritt ein und ist keine Konformitätsaussage: Ein einziger verknüpfter Nachweis, nie geprüft, lässt ein Control bereits auf Teilweise stehen und als abgedeckt zählen, und nichts prüft, ob der Nachweis existiert, aktuell ist oder freigegeben wurde. Drittens kann ein Control mit einer optionalen Notiz als nicht relevant markiert werden; die Änderung wird mit Wer und Wann im Audit-Log festgehalten, und das Control verlässt Zähler wie Nenner. Die Aktion ist über die API verfügbar; die App selbst hat keinen Button dafür. Der Bericht «Anwendbarkeitserklärung» (Statement of Applicability) listet neben jedem Control die verknüpften Richtlinien, Assets und Risiken auf und druckt die Notiz nie.
Die gemeinsamen Klauseln sind eine Aufgabenliste, gelesen durch zwei Qualifikatoren, und ein Mapping zwischen ihnen sagt Ihnen, wo Sie nachsehen müssen. Die Anforderungen der Klausel 8 und die Controls der 27001 werden nach ihren eigenen Massstäben geprüft, von einem Auditor, der für diese Disziplin gekommen ist, und keine Abdeckungszahl ersetzt den Besuch.
Das oben beschriebene Verhalten von Abdeckung, Mapping und geführten Pfaden lebt in devguards Tasks-Modul: devguard.ch/platform/tasks.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird — ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird — ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.