01Harmonized Structure: das gemeinsame Gerüst
Die Harmonized Structure (HS) ist die verbindliche Vorlage für ISO-Managementsystemnormen. Sie ist in Annex SL der ISO/IEC Directives, Part 1 (Consolidated ISO Supplement) festgelegt, wurde 2012 eingeführt und trägt seit der Ausgabe 2021 den Namen „Harmonized Structure“ statt „High-Level Structure“. Sie gibt allen Managementsystemnormen dieselben zehn Klauseln vor – die Anforderungen stehen in den Klauseln 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung – ergänzt um identischen Kerntext sowie gemeinsame Begriffe und Definitionen. Kontextanalyse, Politik, Risiken und Chancen, dokumentierte Information, internes Audit und Managementbewertung sind damit in jeder Norm strukturell gleich aufgebaut – genau diese Überschneidung macht Integration technisch möglich.
02Die Normenlandschaft: 27001, 27701, 42001, 9001, 22301
Alle fünf Normen folgen der Harmonized Structure, unterscheiden sich aber im Fachteil. ISO/IEC 27001:2022 (Informationssicherheit, inkl. Amendment 1:2024 zur Berücksichtigung des Klimawandels in den Klauseln 4.1 und 4.2) bringt die Controls des Anhangs A mit. ISO/IEC 27701:2025 (Datenschutz-Managementsystem, PIMS) ist seit der zweiten Ausgabe eine eigenständige Managementsystemnorm – ein bestehendes ISO-27001-Zertifikat ist keine Voraussetzung mehr, die Integration mit dem ISMS bleibt aber der Regelfall. ISO/IEC 42001:2023 ist die erste zertifizierbare Norm für KI-Managementsysteme. ISO 9001:2015 (Qualität) ist weiterhin gültig; die Nachfolgeausgabe liegt als Final Draft (FDIS, Schlussabstimmung bis Juli 2026) vor, die Veröffentlichung wird für etwa September 2026 erwartet. ISO 22301:2019 (Business Continuity, inkl. Amendment 1:2024) bleibt aktuell; eine dritte Ausgabe befindet sich erst im Committee-Draft-Stadium.
03Gemeinsame Dokumentenlenkung
Die Anforderungen an dokumentierte Information (HS-Klausel 7.5) sind in allen fünf Normen praktisch identisch – Erstellung, Kennzeichnung, Prüfung, Freigabe, Versionierung und Zugriffsschutz lassen sich daher über einen einzigen Lenkungsprozess abbilden. Bewährt hat sich eine dreistufige Dokumentenhierarchie: eine integrierte Politik auf oberster Ebene, gemeinsame Querschnittsverfahren (Risikomanagement, Auditprogramm, Umgang mit Abweichungen, Schulung) in der Mitte und normspezifische Arbeitsanweisungen und Nachweise darunter. Eine Mapping-Matrix, die jedes Dokument den Klauseln und Controls der einzelnen Normen zuordnet, hält die Struktur für interne und externe Auditoren nachvollziehbar – ohne dass Inhalte mehrfach gepflegt werden.
04Kombinierte interne und Zertifizierungsaudits
Intern genügt ein integriertes Auditprogramm nach Klausel 9.2, das mehrere Normen in einem Audit abdeckt; methodische Leitlinien liefert ISO 19011:2026 (vierte Ausgabe, Mai 2026, ersetzt die Ausgabe 2018 und erweitert u. a. die Anleitung zu Remote- und Hybrid-Audits). Für Zertifizierungsaudits regelt IAF MD 11:2023 die Anwendung von ISO/IEC 17021-1 auf integrierte Managementsysteme, einschließlich der Berechnung der Auditzeit: Je höher der Integrationsgrad – etwa gemeinsame Managementbewertung, integrierte Dokumentation und übergreifende Prozesse –, desto stärker darf die Gesamtauditzeit gegenüber getrennten Audits reduziert werden. Voraussetzung sind ein konsolidierter Auditplan und ein Auditteam, das alle beteiligten Disziplinen kompetent abdeckt.
05Effizienzgewinne – und typische Fallstricke
Der Effizienzgewinn entsteht dort, wo Querschnittsprozesse nur einmal implementiert und für mehrere Normen angerechnet werden: Kontext- und Stakeholderanalyse, Risikomethodik, Schulung und Awareness, Lieferantensteuerung, Managementbewertung und Korrekturmaßnahmen. Hinzu kommen weniger Audittage und konsistente Aussagen gegenüber Kunden und Aufsichtsbehörden. Typische Fallstricke: unterschiedliche Risikobegriffe (Informationssicherheits- vs. Qualitäts- vs. KI-Folgenabschätzung) werden vorschnell gleichgesetzt; die Geltungsbereiche der Teilsysteme decken sich nicht; die Integration existiert nur auf dem Papier, während die Fachbereiche getrennt weiterarbeiten; Verantwortlichkeiten zwischen CISO, Datenschutz- und Qualitätsverantwortlichen bleiben unklar; und asynchrone Zertifizierungszyklen verhindern kombinierte Audits, solange sie nicht bewusst synchronisiert werden.
06Reifegradpfad: von parallel zu integriert
Integration gelingt selten als Big Bang – das ISO-Handbuch „The Integrated Use of Management System Standards“ (IUMSS) beschreibt ein schrittweises Vorgehen. In der Praxis bewährt sich ein dreistufiger Pfad: Zunächst werden getrennte Systeme über gemeinsame Begriffe, eine Mapping-Matrix und eine gemeinsame Dokumentenlenkung harmonisiert. Danach werden Querschnittsprozesse zusammengelegt – Risikomanagement, internes Auditprogramm und Managementbewertung. Am Ende steht ein integriertes System mit einer Politik, einem Kennzahlenset und kombinierten Zertifizierungsaudits mit synchronisierten Zyklen. Als Ausgangspunkt eignet sich meist das reifste vorhandene System – häufig das ISMS oder das QMS; neue Themen wie ISO/IEC 42001 oder ISO/IEC 27701 lassen sich dann als Erweiterung statt als Parallelstruktur aufsetzen.
