Hoe combineer ik ISO 27001 met ISO 9001?

Veel organisaties werken al met ISO 9001 voor kwaliteitsmanagement of willen ISO 27001 voor informatiebeveiliging toevoegen aan hun bestaande systeem. De vraag die dan snel opkomt: moet je twee aparte managementsystemen opzetten, of kun je ze combineren? Het antwoord is: je kunt ze vrijwel altijd combineren, en dat is ook verstandig. Een geïntegreerd managementsysteem voor ISO 27001 en ISO 9001 bespaart tijd, vermindert dubbel werk en maakt de organisatie als geheel sterker.

In deze stap-voor-stap handleiding lees je hoe je ISO 27001 combineert met ISO 9001, van de voorbereiding tot de gecombineerde externe audit. Volg de stappen in volgorde voor het meest efficiënte resultaat.

Wat je nodig hebt vóór de integratie

Voordat je begint met het samenvoegen van beide normen, is het belangrijk dat je een helder beeld hebt van je huidige situatie. Ga je vanuit een bestaande ISO 9001-certificering werken, of start je met beide normen tegelijk? Dat bepaalt je vertrekpunt en de benodigde inzet.

Zorg dat je de volgende zaken op orde hebt voordat je verdergaat:

• Een actueel overzicht van je huidige documentatie en processen (bestaand kwaliteitshandboek, procedures, werkinstructies)
• Toegang tot de volledige tekst van zowel ISO 27001 als ISO 9001
• Een aangewezen projectverantwoordelijke of proceseigenaar die het integratietraject trekt
• Betrokkenheid van het management, inclusief een formeel besluit om te integreren
• Een globale tijdlijn en budget voor het traject

Controleer ook of er binnen jouw sector aanvullende normen of wettelijke verplichtingen gelden, zoals NEN-7510 in de zorg of NIS2-vereisten. Die kunnen van invloed zijn op de scope van je managementsysteem. Met deze basis op orde ben je klaar voor de volgende stap.

Breng de overlap tussen beide normen in kaart

ISO 27001 en ISO 9001 delen een gemeenschappelijke structuur: de High Level Structure (HLS). Deze gedeelde opbouw maakt integratie aanzienlijk eenvoudiger, omdat beide normen dezelfde hoofdstukindeling hanteren voor onderwerpen als context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering.

Voer een gestructureerde overlap-analyse uit:

1. Leg de twee normen naast elkaar op hoofdstukniveau en markeer de identieke of sterk vergelijkbare eisen.
2. Identificeer welke documenten, processen en procedures al bestaan en onder beide normen vallen, zoals beleidsdocumenten, risicobeoordelingen en interne auditprocedures.
3. Breng de normspecifieke eisen in kaart die niet overlappen, zoals de informatiebeveiligingsdoelstellingen en het Statement of Applicability (SoA) voor ISO 27001, of de klanttevredenheidsprocessen voor ISO 9001.
4. Stel op basis hiervan een integratiematrix op: een overzicht van wat je kunt samenvoegen, wat je kunt hergebruiken en wat je nieuw moet opzetten.

Na deze analyse weet je precies waar de synergie zit en waar extra werk nodig is. Dat voorkomt dat je later dubbele documentatie aanmaakt of eisen over het hoofd ziet. Bekijk ook de overzichtspagina van normen voor meer context over de eisen per norm.

Stel een geïntegreerd managementsysteem op

Met de overlap-analyse in hand kun je beginnen met het bouwen van je geïntegreerd managementsysteem. Het doel is één samenhangend systeem dat aan beide normen voldoet, zonder onnodige overlap in documentatie of processen.

Combineer beleid en doelstellingen

Stel één overkoepelend beleidsdocument op dat zowel kwaliteits- als informatiebeveiligingsdoelstellingen omvat. Dit hoeft geen enkel document te zijn, maar de documenten moeten wel consistent zijn en naar elkaar verwijzen. Zorg dat het management beide beleidslijnen formeel heeft goedgekeurd.

Integreer risicomanagement

Beide normen vereisen een risicogebaseerde aanpak, maar de focus verschilt. ISO 9001 richt zich op risico’s die de kwaliteit van producten en diensten beïnvloeden; ISO 27001 richt zich op risico’s voor de vertrouwelijkheid, integriteit en beschikbaarheid van informatie. Combineer deze in één risicoregister, maar behoud de normspecifieke categorisering zodat je bij een audit kunt aantonen dat je aan beide eisen voldoet.

1. Gebruik één risicoregister met een kolom die aangeeft of het risico betrekking heeft op kwaliteit, informatiebeveiliging of beide.
2. Koppel beheersmaatregelen aan de juiste norm-eis, inclusief de Annex A-maatregelen van ISO 27001.
3. Stel een gezamenlijke risicobeoordelingsprocedure op die voor beide normen geldig is.

Stroomlijn de documentatiestructuur

Maak een documentatiestructuur waarbij gedeelde documenten (zoals de context van de organisatie, stakeholderanalyse en interne communicatieprocedures) centraal staan en normspecifieke documenten, zoals het SoA voor ISO 27001, als aanvulling zijn opgenomen. Zo voorkom je dat dezelfde informatie op meerdere plekken wordt bijgehouden en bijgewerkt moet worden.

Verifieer na deze fase dat elk ISO 27001-vereiste en elk ISO 9001-vereiste aantoonbaar is gedekt in je systeem. Een eenvoudige kruisreferentietabel per norm helpt je dit te controleren en is ook waardevol tijdens de externe audit.

Plan interne audits en managementbeoordelingen gecombineerd

Een van de grootste voordelen van een gecombineerd systeem is dat je interne audits en managementbeoordelingen kunt samenvoegen. Dat bespaart significant veel tijd voor zowel de auditoren als de betrokken medewerkers.

Stel een gecombineerd auditprogramma op:

1. Maak een jaarlijks auditschema dat alle processen en afdelingen dekt die relevant zijn voor beide normen.
2. Train interne auditoren op beide normen, zodat zij in één auditgesprek eisen van ISO 27001 én ISO 9001 kunnen toetsen.
3. Gebruik gecombineerde auditchecklists die per proces de relevante eisen uit beide normen bundelen.
4. Leg bevindingen vast in één rapportageformat, met een duidelijke verwijzing naar de norm-eis waarop de bevinding betrekking heeft.

Combineer ook de managementbeoordeling. Beide normen vereisen dat het management periodiek het managementsysteem beoordeelt. Door dit in één sessie te doen, met een agenda die alle verplichte inputs van beide normen dekt, voldoe je efficiënt aan beide eisen. Leg de uitkomsten, beslissingen en verbeteracties vast in één verslag. Meer informatie over hoe interne audits bijdragen aan je systeem vind je op de auditpagina.

Controleer na elke interne auditcyclus of alle bevindingen zijn opgevolgd en of verbeteracties zijn doorgevoerd. Dat is ook wat een externe auditor als eerste wil zien.

Bereid de gecombineerde externe certificeringsaudit voor

Met een werkend geïntegreerd managementsysteem en minimaal één succesvolle interne auditcyclus achter de rug ben je klaar voor de externe certificeringsaudit. Veel certificerende instellingen bieden gecombineerde audits aan voor ISO 27001 en ISO 9001, wat opnieuw tijd bespaart ten opzichte van twee aparte trajecten. Hoeveel tijd en middelen een gecombineerde audit precies vergt, verschilt per organisatie en hangt af van factoren zoals de omvang van de organisatie, het aantal betrokken processen en de complexiteit van de informatieomgeving.

Bereid de externe audit als volgt voor:

1. Selecteer een geaccrediteerde certificerende instelling die gecombineerde audits voor beide normen uitvoert en vraag een offerte aan voor een gecombineerde audit.
2. Stel een auditdossier samen: alle verplichte documenten, het risicoregister, het SoA, interne auditrapportages, managementbeoordelingsverslagen en bewijs van verbeteracties.
3. Voer een pre-audit of nulmeting uit om te controleren of er nog open punten zijn die voor de externe audit moeten worden opgelost.
4. Brief betrokken medewerkers over het auditproces: wie wordt gesproken, welke vragen kunnen worden gesteld en hoe zij hun eigen werkpraktijk kunnen toelichten.
5. Zorg dat alle documentatie actueel en volledig is, inclusief de meest recente versies van beleidslijnen en procedures.

Na de stage 1-audit (documentbeoordeling) ontvangt u feedback van de externe auditor over eventuele tekortkomingen. Verwerk die feedback zorgvuldig voordat de stage 2-audit (implementatiebeoordeling) plaatsvindt. Wanneer beide auditfasen succesvol zijn doorlopen, ontvangt u de gecombineerde certificaten voor ISO 27001 en ISO 9001. Die zijn doorgaans drie jaar geldig, mits u jaarlijkse surveillanceaudits succesvol doorloopt.

Hoe wij helpen bij gecombineerde ISO-certificering

Het combineren van ISO 27001 met ISO 9001 is goed te doen als je een heldere aanpak volgt, maar het vergt wel de nodige kennis van beide normen en ervaring met het opzetten van een geïntegreerd managementsysteem. Kwinzo begeleidt organisaties in zorg, ICT en onderwijs bij precies dit soort trajecten, van de eerste nulmeting tot en met de externe certificeringsaudit.

Wat wij bieden bij een gecombineerd certificeringstraject:

• Nulmeting en GAP-analyse voor beide normen tegelijk, zodat je direct weet wat er al staat en wat er nog moet worden opgezet
• Implementatiebegeleiding op maat, waarbij de Kwinzo-methode slimme standaardisering combineert met persoonlijke aanpak
• Gecombineerde interne audits uitgevoerd door ervaren auditoren die beide normen beheersen
• Eigen ISMS-tool voor efficiënt beheer van je managementsysteem, risicoregister en documentatie
• Maandelijkse workshops voor Security Officers die hun kennis van ISO 27001 en aanverwante normen willen verdiepen
• Begeleiding bij de voorbereiding op de externe certificeringsaudit

Wil je weten wat een gecombineerd ISO 27001- en ISO 9001-traject voor jouw organisatie betekent in tijd en benodigde inzet? De totale inspanning hangt af van factoren zoals de huidige volwassenheid van je systemen, de omvang van je organisatie en de complexiteit van je processen. Neem contact op voor een vrijblijvend adviesgesprek waarin we dit samen in kaart brengen.