ISO 9001-Zertifizierung,
verständlich erklärt

ISO 9001 ist die internationale Norm für Qualitätsmanagement. Sie zertifiziert nicht, dass ein Produkt gut oder eine Dienstleistung schnell ist. Sie zertifiziert, dass Ihre Organisation ein funktionierendes Qualitätsmanagementsystem (QMS) betreibt: einen definierten Weg, um zu verstehen, was Kunden und Regulatoren verlangen, Prozesse zu gestalten, die das liefern, zu messen, ob sie es getan haben, und zu beheben, was nicht gelungen ist, immer wieder.

Diese Unterscheidung ist wichtiger, als sie klingt. Ein Auditor beurteilt nicht Ihr Produkt. Er fragt, ob Sie ihm das System zeigen können, mit dem Sie es konsistent richtig machen, und die Nachweise, dass dieses System läuft. ISO 9001 ist ausserdem mit grossem Abstand das weltweit am häufigsten erteilte Managementsystem-Zertifikat, weshalb es in Ausschreibungen und Lieferantenfragebögen in jeder Branche auftaucht, nicht nur in der Fertigung.

Die aktuelle Ausgabe ist ISO 9001:2026, veröffentlicht am 16. September 2026. Sie ersetzt ISO 9001:2015, und Zertifikate nach der Ausgabe 2015 bleiben gültig, bis der Übergang am 30. September 2029 endet. Die Anforderung aus Amendment 1:2024, zu prüfen, ob der Klimawandel ein relevantes Thema für die Organisation und ihre interessierten Parteien ist, steht jetzt im Normtext selbst.

ISO 9001 beruht auf sieben Grundsätzen, die ISO zusammen mit der Norm veröffentlicht: Kundenorientierung, Führung, Einbeziehung von Personen, prozessorientierter Ansatz, Verbesserung, faktengestützte Entscheidungsfindung und Beziehungsmanagement. Keiner davon wird direkt auditiert. Sie sind die Begründung hinter den Anforderungen, und wer sie zuerst liest, findet die Clauses deutlich weniger rätselhaft.

Zwei davon prägen die ganze Norm. Der prozessorientierte Ansatz verlangt, Ihre Organisation als Geflecht zusammenhängender Prozesse mit Eingaben, Ergebnissen, Verantwortlichen und Kennzahlen zu sehen, nicht als Sammlung von Abteilungen. Faktengestützte Entscheidungsfindung verlangt, diese Prozesse auf Basis von Daten zu steuern: Kundenfeedback, Fehlerquoten, Lieferperformance, Auditfeststellungen. Der Plan-Do-Check-Act-Zyklus, der sich durch jede Clause zieht, ist schlicht die Anwendung dieser beiden Grundsätze in einer Schleife.

Die Anforderungen von ISO 9001 sind in sieben Clauses gegliedert, die der harmonisierten Struktur folgen, die ISO für alle ihre Managementsystem-Normen verwendet. Clause 4 ist der Kontext: wer Ihre interessierten Parteien sind, was sie verlangen, welche dieser Anforderungen das QMS aufgreift und was Ihr QMS abdeckt. Clause 5 ist Führung: Die oberste Leitung verantwortet die Qualitätspolitik, die Ziele und die Kundenorientierung, fördert eine Qualitätskultur und ethisches Verhalten und kann diese Verantwortung nicht delegieren. Clause 6 ist Planung, wo Risiken und Chancen getrennt behandelt, Qualitätsziele festgelegt und Änderungen am QMS geplant werden.

Clause 7 ist Unterstützung: die Personen, Infrastruktur, Kompetenz, das Bewusstsein, die Kommunikation und die dokumentierte Information, die das System braucht. Clause 8 ist der Betrieb und die längste Clause: wie Sie Kundenanforderungen ermitteln, Produkte und Dienstleistungen entwickeln, das steuern, was Sie von Lieferanten beziehen, Produktion oder Dienstleistungserbringung betreiben, Ergebnisse freigeben und mit nichtkonformen umgehen. Clause 9 ist die Bewertung der Leistung: Überwachung, Kundenzufriedenheit, internes Audit und Managementbewertung. Clause 10 ist Verbesserung: Nichtkonformität, Korrekturmassnahmen und fortlaufende Verbesserung.

Weil es keinen Anhang mit Controls gibt, sind die Clauses die ganze Norm. Jede Anforderung ist ein «muss» darin, und ein Auditor arbeitet sie eine nach der anderen durch und fragt, wie Ihre Prozesse jede erfüllen und welche Nachweise das belegen.

Die Ausgabe 2015 ersetzte die alte Anforderung an Vorbeugungsmassnahmen durch risikobasiertes Denken, und die Ausgabe 2026 schärft es. Clause 6 verlangt, die Risiken und Chancen zu bestimmen, zu analysieren und zu bewerten, die Ihre Fähigkeit beeinträchtigen könnten, konforme Produkte und Dienstleistungen zu liefern und Kunden zufriedenzustellen, dann Massnahmen für Risiken und getrennt davon für Chancen zu planen und zu bewerten, ob diese Massnahmen gewirkt haben. Es ist eine Denkweise, die das ganze System durchzieht, kein separates Verfahren.

Anders als ISO 27001 schreibt ISO 9001 keine formale Risikobewertungsmethodik und kein Risikoregister vor. Sie dürfen eines führen, und Organisationen, die auch ISO 27001 betreiben, tun das in der Regel, aber die Norm verlangt nur, dass Risiken und Chancen berücksichtigt werden, dass diese Berücksichtigung im Verhältnis zu ihrer möglichen Auswirkung steht und dass Sie einem Auditor zeigen können, wo sie stattgefunden hat. Prozessreviews, Projekt-Kick-offs und Protokolle der Managementbewertung sind allesamt akzeptable Orte dafür.

ISO 9001 hat «Dokumente und Aufzeichnungen» durch einen einzigen Begriff ersetzt, dokumentierte Information, und unterscheidet zwei Arten. Information, die Sie aufrechterhalten, beschreibt das System und muss aktuell gehalten werden: der Anwendungsbereich des QMS, die Qualitätspolitik, die Qualitätsziele und die Verfahren, die Ihre Prozesse nach Ihrer Entscheidung brauchen. Information, die Sie aufbewahren, ist der Nachweis, dass das System gelaufen ist: Auditergebnisse, Ergebnisse der Managementbewertung, Aufzeichnungen zu Nichtkonformitäten und Korrekturmassnahmen, Kompetenznachweise, Kalibrier- und Überwachungsergebnisse sowie die Aufzeichnungen, die ein Produkt oder eine Dienstleistung durch den Betrieb nachverfolgbar machen.

Zum Format schweigt die Norm bewusst. Sie verlangt kein Qualitätshandbuch mehr, schreibt keine Verfahren vor und akzeptiert ein gut organisiertes Wiki ebenso wie einen Ordner. Was sie verlangt, ist Lenkung: dokumentierte Information muss gekennzeichnet, versioniert, freigegeben, dort verfügbar sein, wo sie gebraucht wird, und vor unbeabsichtigter Änderung geschützt werden. In der Praxis entscheidet sich hier zwischen den Audits, ob ein QMS lebt oder stirbt. Ein Verfahren, das eines sagt, während die Aufzeichnungen etwas anderes zeigen, ist die Feststellung, die Auditoren am häufigsten erheben.

Die Änderungen sind gezielt: Die Struktur der Clauses bleibt, und die meisten Anforderungen gelten inhaltlich unverändert weiter. Die neuen Pflichten betreffen die Kultur: Die oberste Leitung muss eine Qualitätskultur und ethisches Verhalten fördern, alle Personen, die unter der Aufsicht der Organisation arbeiten, müssen sich beider bewusst sein, und die Umgebung für den Betrieb der Prozesse schliesst sie jetzt ausdrücklich ein. Risiken und Chancen werden in Clause 6 in drei Teile getrennt: sie bestimmen, analysieren und bewerten, Massnahmen für Risiken planen und Massnahmen für Chancen planen, jeweils in Ihre Prozesse eingebaut und auf Wirksamkeit geprüft.

Clause 4 verlangt jetzt zu entscheiden, welche Anforderungen interessierter Parteien das QMS aufgreift, und die Planung von Änderungen verlangt zusätzlich zu berücksichtigen, wie eine Änderung kommuniziert, wie ihre Wirkung überwacht und wann ihr Ergebnis überprüft wird. Die Managementbewertung erhält eine Eingabe zu Änderungen in den Bedürfnissen und Erwartungen interessierter Parteien, betrachtet Massnahmen zu Risiken und zu Chancen getrennt und weist ihre Ergebnisse ausdrücklich als solche aus. Die bisherigen Clauses zu allgemeiner und fortlaufender Verbesserung werden zu einer zusammengeführt, die Sätze zum Klimawandel aus Amendment 1:2024 stehen jetzt im Normtext, und der informative Anhang A wurde neu geschrieben.

Die Zertifizierung führt eine akkreditierte Zertifizierungsstelle in zwei Stufen durch. Stage 1 ist eine Bereitschaftsprüfung: Der Auditor prüft, ob das QMS als dokumentierte Information existiert, ob der Anwendungsbereich definiert ist, ob interne Audits und eine Managementbewertung geplant oder durchgeführt wurden und ob die Organisation bereit für die Bewertung ist. Meist ergibt sich daraus eine Liste von Lücken, die vor dem nächsten Schritt zu schliessen sind.

Stage 2 ist das eigentliche Zertifizierungsaudit. Der Auditor prüft Ihre Prozesse stichprobenweise gegen jede Clause, geht durch den Betrieb, befragt die Personen, die ihn führen, und testet, ob das System so funktioniert wie beschrieben, nicht nur, ob es aufgeschrieben ist. Vor Stage 2 erwartet die Norm, dass Sie mindestens einen vollständigen internen Auditzyklus und eine Managementbewertung selbst durchgeführt haben.

Ab einem ernsthaften Start erreichen die meisten kleinen und mittleren Organisationen Stage 2 in sechs bis zwölf Monaten, vor allem abhängig davon, wie viel Prozessdisziplin bereits vorhanden und wie viel davon aufgezeichnet ist. Das Zertifikat ist ein Kontrollpunkt für ein System, das Sie weiter betreiben, nicht das Ende eines Projekts.

Ein ISO 9001-Zertifikat ist drei Jahre gültig, und die Zertifizierungsstelle lässt Sie dazwischen nicht in Ruhe. Ein Überwachungsaudit in Jahr eins und zwei prüft, ob das QMS noch funktioniert, ob interne Audits und Managementbewertungen stattgefunden haben, ob Nichtkonformitäten geschlossen werden und ob sich das System verbessert. Ein vollständiges Rezertifizierungsaudit in Jahr drei verlängert das Zertifikat um einen weiteren Zyklus.

Das ist der Teil, den Organisationen unterschätzen. Die Arbeit, die das erste Zertifikat eingebracht hat, das interne Auditprogramm zu betreiben, Managementbewertungen mit den Eingaben abzuhalten, die die Norm auflistet, Korrekturmassnahmen mit Wirksamkeitsnachweis zu schliessen, dokumentierte Information aktuell zu halten, ist dieselbe Arbeit, die Sie durch jedes folgende Überwachungsaudit trägt. Teams, die die Zertifizierung als einmaliges Projekt behandeln, bauen die Nachweise vor jedem Besuch neu auf; Teams, die das QMS in ihre bestehende Arbeitsweise einbauen, nicht.

Es gibt keinen einheitlichen Preis für ISO 9001, weil der grösste Teil der Kosten Ihr eigener Aufwand ist und kein Posten auf einer Rechnung. Die Zertifizierungsstelle verrechnet die Stage-1- und Stage-2-Audits sowie jedes Überwachungsaudit, skaliert nach der Zahl der Personen, Standorte und Prozesse im Anwendungsbereich. Diese Gebühr ist meist der kleinere Teil.

Der grössere Teil ist der Aufbau und Betrieb des QMS: Prozesse abbilden, festlegen, welche dokumentierte Information sie brauchen, interne Audits durchführen, Managementbewertungen abhalten, Korrekturmassnahmen bis zum Abschluss verfolgen und all das durch jedes Audit hindurch aktuell halten. Organisationen, die das in Tabellen und geteilten Laufwerken führen, bezahlen vor jedem Überwachungsaudit erneut dafür, mit der Zeit, die es braucht, Aufzeichnungen zu rekonstruieren, die nie an einem Ort aufbewahrt wurden.

Zwei Hebel bewegen die Gesamtkosten stärker als die Gebühr der Zertifizierungsstelle. Der erste ist der Anwendungsbereich: die Standorte und Prozesse zertifizieren, nach denen Ihre Kunden tatsächlich fragen, statt alles auf einmal. Der zweite ist Integration: Wenn Sie auch ISO 27001 betreiben, lässt ein integriertes Managementsystem ein Auditprogramm, eine Managementbewertung und einen Korrekturmassnahmenprozess beiden Zertifikaten dienen, und viele Zertifizierungsstellen auditieren beide gemeinsam.