ISO 9001: die Norm für Qualitätsmanagementsysteme

Stand: Oktober 2026

Wenn Ausschreibungen, Großkunden oder Konzernrichtlinien ein „ISO-9001-Zertifikat“ verlangen, steht dahinter eine Norm mit einem überraschend knappen Kern: Sie sagt, was ein Qualitätsmanagementsystem leisten muss, aber nicht, wie Sie es im Detail bauen. Diese Offenheit macht sie für Handwerksbetriebe ebenso nutzbar wie für Konzerne.

Diese Seite erklärt Aufbau, Grundsätze und Anforderungen der Norm, beschreibt den Weg zum Zertifikat und ordnet den Aufwand ein. Außerdem finden Sie Hinweise zur Neufassung der Norm, die im September 2026 erschienen ist. Normtext wird nicht zitiert, maßgeblich ist immer die Originalfassung, die Sie beim DIN-Medienangebot oder bei den nationalen Normungsorganisationen erhalten.

Was ist ISO 9001?

ISO 9001 stammt von der Internationalen Organisation für Normung (ISO) und erschien erstmals 1987. Sie wurde seither mehrfach überarbeitet. In Deutschland wird sie als DIN EN ISO 9001 übernommen. Die Norm richtet sich an jede Organisation, die dauerhaft Produkte oder Dienstleistungen liefern will, die Kunden- und gesetzliche Anforderungen erfüllen, und die ihre Kundenzufriedenheit steigern möchte.

Wichtig ist die Unterscheidung zwischen Norm und Zertifikat. Die Norm ist ein Regelwerk. Das Zertifikat ist die Bestätigung einer Zertifizierungsstelle, dass Ihr System die Normanforderungen erfüllt. Sie können ein System nach ISO 9001 aufbauen und betreiben, ohne sich zertifizieren zu lassen. Mehr zur Einordnung auf der Seite Qualitätsmanagement.

Neufassung ISO 9001:2026: was Sie wissen sollten

Nach Angaben von Zertifizierungsunternehmen wurde die Neufassung der Norm am 16. September 2026 veröffentlicht und löst die Ausgabe von 2015 ab. Für bestehende Zertifikate gilt eine Übergangszeit von drei Jahren. Der genaue Stichtag und die Umstellungsmodalitäten werden von Ihrer Zertifizierungsstelle und den Vorgaben der Akkreditierung bestimmt, fragen Sie deshalb dort nach. Eine Umstellung ist nach Angaben der Zertifizierer in der Regel beim Rezertifizierungsaudit oder beim Überwachungsaudit möglich.

Als inhaltliche Schwerpunkte nennen die Anbieter unter anderem:

• Ausdrückliche Berücksichtigung von Qualitätskultur und ethischem Verhalten durch die oberste Leitung.
• Klimawandel als Thema bei der Bestimmung des Kontexts und der Erwartungen interessierter Parteien.
• Klarere Trennung von Risiken und Chancen bei der Planung.
• Strengere Anforderungen an die Planung von Änderungen am System.
• Überarbeiteter Leitfaden im Anhang der Norm ohne neue Pflichten.

Die Grundstruktur mit Prozessansatz, PDCA und risikobasiertem Denken bleibt erhalten. Wer ein funktionierendes System nach der Ausgabe von 2015 betreibt, muss es nicht neu aufbauen, sondern gleicht es mit den Änderungen ab. Prüfen Sie Details immer anhand der veröffentlichten Norm.

Aufbau der Norm: die High Level Structure

Seit 2015 folgt ISO 9001 der sogenannten High Level Structure (auch Harmonized Structure, Anhang SL der ISO-Direktiven). Das ist ein einheitliches Gerüst aus zehn Abschnitten, das alle neueren Managementsystemnormen nutzen, darunter ISO 14001, ISO 45001 und ISO 27001. Der Vorteil: Wer eine Norm umgesetzt hat, findet in den anderen vertraute Strukturen und kann sie leichter zu einem integrierten Managementsystem verbinden.

Die Abschnitte 1 bis 3 enthalten Anwendungsbereich, normative Verweisungen sowie Begriffe. Die auditierbaren Anforderungen stehen in den Abschnitten 4 bis 10.

Die Schreibweise der Norm ist bewusst allgemein. Statt von Abteilungen spricht sie von Prozessen, statt von Produkten von „Produkten und Dienstleistungen“, statt von Kunden gelegentlich von „relevanten interessierten Parteien“. Dadurch lässt sich die Norm auf eine Zahnarztpraxis, ein Bauunternehmen oder eine Software-Firma gleichermaßen anwenden. Welche Anforderungen nicht zutreffen, etwa zur Entwicklung, begründen Sie im Anwendungsbereich.

Die Abschnitte 4 bis 10 im Überblick

Die Kapitel 4 bis 7 beschreiben im Wesentlichen das Planen, 8 das Durchführen, 9 das Prüfen und 10 das Handeln. So bildet die Norm den PDCA-Zyklus ab. Ob die Neufassung von 2026 die Nummerierung exakt beibehält, prüfen Sie bitte im Normtext.

Die sieben Grundsätze hinter der Norm

Die Norm stützt sich auf Grundsätze des Qualitätsmanagements, die in der ISO 9000 beschrieben sind: Kundenorientierung, Führung, Einbeziehung von Personen, prozessorientierter Ansatz, Verbesserung, faktengestützte Entscheidungsfindung und Beziehungsmanagement. Sie sind kein auditierbarer Teil, prägen aber die Auslegung. Ein Auditor wird weniger fragen, ob ein Dokument vorliegt, sondern ob es der Kundenorientierung dient und ob die Beteiligten es verstehen.

Ausführlicher steht das auf der Seite Qualitätsmanagement.

Dokumentation: was muss vorhanden sein?

Die Norm spricht von „dokumentierter Information“ und lässt der Organisation Spielraum. Verlangt wird nur, was die Norm ausdrücklich nennt oder was die Organisation für die Wirksamkeit ihres Systems braucht. Sinngemäß betrifft das:

• Anwendungsbereich des Systems und Qualitätspolitik
• Qualitätsziele
• Nachweise zu Kompetenz, Überwachungs- und Messmitteln, Produkt- und Dienstleistungsanforderungen
• Ergebnisse von Prüfungen, Bewertungen und Freigaben
• Umgang mit nichtkonformen Ergebnissen und Korrekturmaßnahmen
• Programm und Ergebnisse interner Audits sowie Ergebnisse der Managementbewertung

Ein Handbuch ist nicht vorgeschrieben. Prozessbeschreibungen und Arbeitsanweisungen sind nur in dem Umfang nötig, in dem sie für eine zuverlässige Durchführung gebraucht werden. Wer schlank dokumentiert, gewinnt Akzeptanz und Pflegbarkeit.

Der Weg zum Zertifikat: Ablauf der Zertifizierung

Das Zertifizierungsverfahren für Managementsysteme folgt den Vorgaben der ISO/IEC 17021-1, nach der Zertifizierungsstellen akkreditiert werden. Es dauert einen Zyklus von drei Jahren:

1. Angebot und Vertrag: Die Zertifizierungsstelle klärt Umfang, Standorte, Mitarbeitendenzahl und Auditzeit.
2. Stufe 1 (Audit der Systemdokumentation und Bereitschaft): Die Stelle prüft, ob das System aufgebaut ist und für Stufe 2 reif ist, und bestimmt Schwerpunkte.
3. Stufe 2 (Hauptaudit): Vor Ort wird die Umsetzung und Wirksamkeit geprüft. Abweichungen müssen behoben werden.
4. Zertifizierungsentscheidung: Eine von den Auditoren unabhängige Person der Zertifizierungsstelle entscheidet über die Erteilung. Das Zertifikat gilt für drei Jahre.
5. Überwachungsaudits: In der Regel jährlich, kleinerer Umfang, Stichproben und ausgewählte Themen.
6. Rezertifizierungsaudit: Vor Ablauf der drei Jahre wird das System umfassend neu bewertet, danach beginnt ein neuer Zyklus.

Den Ablauf mit Praxistipps beschreibt der Ratgeber ISO 9001 Zertifizierung: Ablauf, die Nachfolgeaudits der Ratgeber Überwachungsaudit und Rezertifizierung.

Zur Vorbereitung auf Stufe 2 bewährt sich ein Probedurchlauf: Mindestens ein vollständiges internes Audit aller Prozesse und Normabschnitte sowie eine dokumentierte Managementbewertung sollten vorliegen. Zertifizierungsstellen erwarten diese Nachweise zum Hauptaudit, und fehlende Nachweise gehören zu den häufigsten Ursachen für Verzögerungen.

Gefundene Abweichungen werden üblicherweise in Haupt- und Nebenabweichungen eingeteilt. Hauptabweichungen müssen vor der Zertifikatserteilung behoben und nachgewiesen werden, Nebenabweichungen werden mit einem Maßnahmenplan geschlossen. Die Bezeichnungen können je nach Stelle variieren.

Aufwand und Dauer: womit Sie rechnen müssen

Der Aufwand hat zwei Seiten: den Aufbau des Systems und die Zertifizierung. Für den Aufbau gibt es keine allgemeingültige Angabe, denn er hängt davon ab, was bereits geregelt ist. Kleine Organisationen mit klaren Abläufen schaffen die Umsetzung in wenigen Monaten, komplexe Organisationen benötigen länger.

Für das Zertifizierungsaudit gilt eine feste Rechengrundlage: Die Auditzeit wird nach den verbindlichen Vorgaben des International Accreditation Forum (IAF MD 5) bestimmt. Sie hängt vor allem von der Zahl der Beschäftigten im Anwendungsbereich ab und wird durch Faktoren wie Komplexität, Risiko, Schichtbetrieb, Standorte und Auslagerungen erhöht oder verringert. Mit dem Auditzeit-Rechner auf dieser Seite können Sie eine erste Orientierung gewinnen. Die verbindliche Festlegung trifft immer die Zertifizierungsstelle in ihrem Angebot.

Zu den Kosten finden Sie Einflussfaktoren im Ratgeber ISO 9001 Kosten und im Kostenrechner auf der Seite Zertifizierung. Feste Preise nennen wir nicht, weil sie je nach Stelle und Unternehmen stark variieren. Holen Sie mehrere Angebote ein.

Ein Hinweis zur Planung: Der Rechner liefert eine Orientierung auf Basis der Mitarbeitendenzahl. Berücksichtigen Sie, dass Teilzeitkräfte, Saisonkräfte, Leiharbeitende und Mitarbeitende an Standorten außerhalb des Anwendungsbereichs unterschiedlich gezählt werden können. Klären Sie das mit der Stelle früh.

Wer darf nach ISO 9001 zertifizieren?

Zertifikate dürfen im Prinzip alle Zertifizierungsunternehmen ausstellen, es gibt keine gesetzliche Zulassungspflicht. Aussagekräftig sind Zertifikate jedoch vor allem dann, wenn die Stelle von einer nationalen Akkreditierungsstelle wie der DAkkS nach ISO/IEC 17021-1 akkreditiert ist. Dann wurde geprüft, ob sie kompetent, unparteilich und nach international anerkannten Regeln arbeitet. Die Zertifikate werden im internationalen Rahmen anerkannt.

Welche akkreditierten Stellen es gibt, zeigt das Verzeichnis unter der Art Zertifizierungsstellen für Managementsysteme. Hinweise zur Auswahl enthält der Ratgeber Zertifizierungsstelle auswählen. Der Zusammenhang von Akkreditierung und Zertifizierung ist auf der Seite Akkreditierung erklärt.

Typische Stolpersteine

• Dokumentenflut: Aus Angst vor Auditoren entstehen Handbücher, die niemand liest. Beschreiben Sie, was nötig ist.
• Kontext und Risiken als Pflichtübung: Die Abschnitte 4 und 6 sind keine Formalie. Sie sollen zeigen, welche Themen für Ihren Erfolg wirklich zählen.
• Schwache Führung: Wenn die Leitung das System allein dem QMB überlässt, fällt das spätestens beim Audit auf.
• Kennzahlen ohne Konsequenz: Messen allein reicht nicht, die Ergebnisse müssen in Entscheidungen und Verbesserungen münden.
• Interne Audits nur pro forma: Siehe internes Audit.
• Managementbewertung ohne Inhalt: Hinweise gibt der Ratgeber Managementbewertung nach ISO 9001.

ISO 9001 und andere Normen

ISO 9001 steht selten allein. Häufige Kombinationen sind Umwelt (ISO 14001), Arbeitsschutz (ISO 45001), Energie (ISO 50001) und Informationssicherheit (ISO 27001, im Automobilumfeld TISAX). Branchennormen wie IATF 16949 oder ISO 13485 bauen auf der Qualitätsmanagement-Logik auf, ergänzen aber branchenspezifische Anforderungen.

Wer mehrere Normen anwendet, sollte Doppelarbeit vermeiden: eine Dokumentenlenkung, ein Auditprogramm, eine Managementbewertung, ein Verfahren für Abweichungen. Das spart Aufwand und senkt Auditkosten, weil kombinierte Audits möglich sind.