Direct antwoord
ISO 27001 en ISO 9001 zijn beide certificeerbare managementsysteemnormen met dezelfde hoofdstukstructuur, maar met een ander doel: ISO 27001 beschermt informatie (beschikbaarheid, integriteit, vertrouwelijkheid), ISO 9001 borgt kwaliteit (waarmaken van klanteisen en continu verbeteren). Ze zijn goed te combineren in één managementsysteem, wat tot circa 30 procent overlap in documentatie scheelt.
ISO 27001 en ISO 9001 zijn de twee populairste ISO-normen, maar ze hebben een verschillend doel: ISO 27001 beschermt informatie, ISO 9001 borgt kwaliteit. Beide zijn certificeerbare managementsysteemnormen met dezelfde hoofdstukindeling, waardoor ze uitstekend te combineren zijn in één managementsysteem.
De verschillen op een rij
| ISO 27001 | ISO 9001 | |
|---|---|---|
| Doel | Informatiebeveiliging: beschikbaarheid, integriteit, vertrouwelijkheid | Kwaliteit: klanteisen waarmaken en continu verbeteren |
| Kernonderdeel | Risicoanalyse + 93 Annex A-maatregelen + Verklaring van Toepasselijkheid | Procesbeheersing van klantvraag tot levering |
| Typische aanleiding | Klanteis van IT-inkopers, beveiligingswetgeving, datarisico’s | Tendereis, professionalisering, foutreductie |
| Typische doelgroep | IT, software, dienstverleners met datatoegang | Alle branches, van bouw tot advies |
| Verplichte analyses | Risicoanalyse informatiebeveiliging | Contextanalyse, risico’s en kansen |
De overeenkomsten
Beide normen volgen de High Level Structure: hoofdstuk 4 (context) tot en met hoofdstuk 10 (verbetering). Dat betekent dat scope, beleid, competentiebeheer, interne audits, directiebeoordeling en verbetermanagement in beide normen vrijwel identiek werken. Ook de trajectfasen zijn gelijk: nulmeting, inrichten, implementeren, intern toetsen, certificeren. En beide certificaten zijn drie jaar geldig met jaarlijkse controle-audits.
Combineren: één systeem, twee certificaten
Wie beide normen wil, doet er verstandig aan één geïntegreerd managementsysteem te bouwen in plaats van twee losse. De gedeelde onderdelen (documentbeheer, audits, directiebeoordeling, verbeterproces) stel je dan maar één keer op. Certificerende instellingen bieden gecombineerde audits aan, wat auditdagen en dus kosten scheelt.
Welke norm past bij jou?
Kies op basis van de druk van buiten: eist een klant of tender een specifieke norm, dan is de keuze gemaakt. Werk je veel met vertrouwelijke data of voor de overheid, dan ligt ISO 27001 voor de hand. Wil je vooral grip op processen en foutreductie, begin dan met ISO 9001.
Zo werkt dit in Control One
In de portal beheer je meerdere normen in één omgeving; overlappende onderdelen stel je maar één keer op.
Veelgestelde vragen
Kun je ISO 27001 en ISO 9001 tegelijk implementeren?
Ja. Omdat beide normen dezelfde hoofdstukstructuur delen, kun je context, beleid, interne audits en directiebeoordeling combineren. Veel organisaties certificeren beide normen in één gecombineerde audit.
Welke norm moet je eerst doen?
Begin met de norm waar de meeste druk op staat, meestal een klanteis of tender. Is er geen externe druk, dan is ISO 9001 vaak de logische basis omdat kwaliteitsprocessen elk bedrijf raken.
Hoeveel overlap zit er tussen beide normen?
De managementsysteem-eisen (hoofdstukken 4 tot en met 10) overlappen grotendeels. In de praktijk scheelt combineren circa 30 procent werk aan documentatie, audits en beoordelingen.