ISO-9001-Zertifizierung: Ablauf, Dauer und Voraussetzungen
ISO-9001-Zertifizierung für Fertigungs-KMU: Voraussetzungen, Ablauf in zwei Audit-Stufen, Dauer und die Rolle von internem Audit und Managementbewertung.
In diesem Artikel9
- Was bedeutet ISO 9001?
- Was versteht man unter Managementbewertung?
- Was ist ein internes Audit?
- Was kostet ein ISO 9001 Zertifikat?
- Kann ich die ISO 9001-Zertifizierung selbst machen?
- Wie lange dauert eine ISO 9001 Zertifizierung?
- Was braucht man für eine ISO 9001 Zertifizierung?
- Häufig gestellte Fragen
- Quellen
Die ISO-9001-Zertifizierung ist die Prüfung eines Qualitätsmanagementsystems (QMS) durch eine unabhängige Zertifizierungsstelle, die am Ende ein auf drei Jahre angelegtes Zertifikat ausstellt. Für Geschäftsführer eines Fertigungs-KMU heißt das: Der größere Teil der Arbeit liegt vor dem Audit, im Aufbau eines Systems, das im Alltag wirklich angewendet wird. Dieser Artikel ordnet Begriffe, Ablauf, Dauer und Voraussetzungen ein. Was eine Zertifizierung im Einzelnen kostet und was sich mit der Revision der Norm ändert, behandeln eigene Artikel.
Was bedeutet ISO 9001?
ISO 9001 ist die internationale Norm mit den Anforderungen an ein Qualitätsmanagementsystem; in Deutschland gilt sie als DIN EN ISO 9001 in deutscher und englischer Fassung. DIN Media führt die DIN EN ISO 9001:2015-11 als aktuelle Norm; geändert wurde sie durch DIN EN ISO 9001/A1:2024-11.[1] Ihre Anforderungen sind allgemein gehalten und gelten für Organisationen jeder Art und Größe, unabhängig von Produkt oder Dienstleistung. Methodisch verlangt die Norm einen prozessorientierten Ansatz nach dem Zyklus Plan-Do-Check-Act (PDCA), verbunden mit risikobasiertem Denken.
Für eine Lohnfertigung oder einen Maschinenbauer bedeutet das konkret: Die Norm schreibt nicht vor, wie ein Drehteil zu prüfen ist. Sie verlangt, dass Prozesse, Verantwortlichkeiten, Kundenanforderungen, Risiken und Ziele festgelegt, gesteuert und bewertet werden, und dass sich das belegen lässt.
Die Revision 2026
Die Norm steht vor einer neuen Ausgabe. DIN Media führt die Ausgabe 2015-11 als aktuell, aber mit dem Vermerk, dass sie durch DIN EN ISO 9001:2026-11 ersetzt wird; ein Norm-Entwurf (ISO/DIS 9001:2025) liegt seit September 2025 vor.[2] Laut Entwurf kommen unter anderem die harmonisierte Struktur für Managementsystemnormen, die Klimaaspekte aus der Änderung A1:2024 und erweiterte Anforderungen zu Risiken und Chancen hinzu. Wer jetzt ein Projekt startet, sollte mit der Zertifizierungsstelle klären, nach welcher Ausgabe auditiert wird.
Was versteht man unter Managementbewertung?
Die Managementbewertung ist die regelmäßige Bewertung des QMS durch die oberste Leitung, also in einem KMU in der Regel durch die Geschäftsführung, mit der Frage, ob das System weiterhin geeignet, angemessen und wirksam ist. ISO 9001 regelt sie im Kapitel zur Bewertung der Leistung. Eine feste Häufigkeit nennt die Norm nicht; in der Praxis ist eine jährliche Bewertung üblich, wie eine Erläuterung des Compliance-Anbieters Secjur festhält.[3]
Zu den Eingaben gehören nach dieser Erläuterung die Ergebnisse interner und externer Audits, Kundenzufriedenheit und Kundenrückmeldungen, die Leistung der wesentlichen Prozesse und der Stand früherer Maßnahmen. Ergebnisse sind Entscheidungen: zu Verbesserungen, zum Bedarf an Personal, Budget oder Infrastruktur, zu Änderungen am QMS und zu den Qualitätszielen. Die Bewertung wird mit Datum, Teilnehmern und Eingaben protokolliert, weil das Protokoll im Zertifizierungsaudit vorgelegt wird.
Der Unterschied zum internen Audit liegt in der Blickrichtung. Das Audit prüft, ob Prozesse so laufen wie festgelegt. Die Managementbewertung entscheidet, ob das, was festgelegt ist, für das Unternehmen noch richtig ist, etwa wenn ein neuer Großkunde mit eigenen Lieferantenanforderungen dazukommt.
Was ist ein internes Audit?
Ein internes Audit ist eine geplante, systematische Prüfung durch das Unternehmen selbst, ob das QMS die eigenen Festlegungen und die Anforderungen der ISO 9001 erfüllt und wirksam umgesetzt ist. Die Norm verlangt im selben Kapitel: Interne Audits finden in geplanten Abständen statt, nach einem Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichterstattung, mit festgelegten Kriterien und festgelegtem Umfang. Die Ergebnisse gehen an die zuständige Leitung, Abweichungen führen zu Korrekturen und Korrekturmaßnahmen, und beides wird als dokumentierte Information aufbewahrt.
Zwei Punkte entscheiden in der Praxis über den Nutzen:
- Objektivität: Auditorinnen und Auditoren prüfen nicht die eigene Arbeit. In einem kleineren Betrieb kann das heißen, dass die Leitung der Arbeitsvorbereitung die Wareneingangsprüfung auditiert und umgekehrt, oder dass ein externer Auditor beauftragt wird.
- Risikoorientierung: Das Programm richtet die Häufigkeit nach Bedeutung und bisherigen Ergebnissen. Ein Prozess mit wiederkehrenden Reklamationen wird öfter auditiert als die Pflege der Dokumentenvorlagen.
Für die Zertifizierung ist das interne Audit keine Formalie. Die Zertifizierungsstelle beurteilt bereits in Stufe 1, ob interne Audits und Managementbewertungen geplant und durchgeführt werden.[4]
Was kostet ein ISO 9001 Zertifikat?
Was ein ISO-9001-Zertifikat kostet, hängt vor allem von der Auditzeit ab, die die Zertifizierungsstelle ansetzt, und von den internen Aufwänden für Aufbau und Pflege des Systems; einen Pauschalpreis gibt es nicht. Die Auditzeit bestimmt die Stelle nach dem verbindlichen Dokument IAF MD 5 des International Accreditation Forum. Grundlage ist die Zahl der effektiv Beschäftigten im Geltungsbereich, angepasst um Faktoren wie Komplexität, Standorte und Schichtbetrieb. Ein Audittag umfasst laut IAF MD 5:2019 im Original „Audit Day – normally 8 hours“.[5]
| Audit im Zyklus | Auditzeit nach IAF MD 5:2019 |
|---|---|
| Erstzertifizierung (Stufe 1 und 2) | Grundwert nach Beschäftigtenzahl, angepasst um Komplexität und Standorte |
| Überwachungsaudit, Jahr 1 und 2 | etwa ein Drittel der Erstzertifizierung, in der Regel nicht unter einem Audittag |
| Rezertifizierung, Jahr 3 | etwa zwei Drittel der für den aktuellen Stand berechneten Erstzertifizierung, nicht unter einem Audittag |
Für das Budget eines KMU heißt das: Ein Angebot lässt sich nur vergleichen, wenn die Zahl der Audittage für den gesamten Dreijahreszyklus ausgewiesen ist, nicht nur für das Erstaudit. Hinzu kommen Reisekosten, gegebenenfalls Beratung und vor allem die interne Arbeitszeit. Eine Einordnung der Preisspannen für KMU behandelt ein eigener Artikel.
Kann ich die ISO 9001-Zertifizierung selbst machen?
Ein Unternehmen kann sein Qualitätsmanagementsystem selbst aufbauen, das Zertifikat ausstellen kann aber nur eine Zertifizierungsstelle. Die Norm verlangt keinen Berater. Ein KMU kann das QMS mit eigenen Leuten aufbauen, etwa mit einer oder einem Qualitätsmanagementbeauftragten als Koordination, und Unterstützung nur für Schulungen oder ein externes internes Audit einkaufen.
Bei der Wahl der Zertifizierungsstelle zählt die Akkreditierung. In Deutschland akkreditiert die Deutsche Akkreditierungsstelle (DAkkS) Zertifizierungsstellen für Managementsysteme nach DIN EN ISO/IEC 17021-1:2015.[6] Welche Akkreditierung aktuell gültig ist, weist die DAkkS in ihrer Datenbank akkreditierter Stellen aus; eine Urkunde gibt nur den Stand ihres Ausstellungsdatums wieder.[6] Der Unterschied hat praktische Folgen: TÜV NORD CERT übernimmt laut eigener Verfahrensbeschreibung (Anbieterangabe) bei einem Wechsel nur Zertifikate akkreditierter Stellen, deren Akkreditierer Unterzeichner der multilateralen Abkommen der European co-operation for Accreditation (EA) ist; Unternehmen mit Zertifikaten nicht akkreditierter Stellen werden als Neukunden behandelt.[4]
| Weg | Was Sie selbst tun | Was extern bleibt |
|---|---|---|
| Vollständig in Eigenregie | QMS-Aufbau, Dokumentation, interne Audits, Managementbewertung | Zertifizierungsaudit durch akkreditierte Stelle |
| Mit punktueller Unterstützung | Aufbau und Betrieb, Schulung oder internes Audit eingekauft | Zertifizierungsaudit |
| Beratungsprojekt | Mitarbeit, Freigaben, Betrieb nach Übergabe | Aufbau durch Beratung, Zertifizierungsaudit |
Eine Selbsterklärung ohne Zertifizierungsstelle ist kein Zertifikat. Fordert ein Kunde im Lieferantenaudit ein ISO-9001-Zertifikat, braucht es das Audit einer Zertifizierungsstelle.
Wie lange dauert eine ISO 9001 Zertifizierung?
Eine ISO-9001-Zertifizierung dauert so lange, bis das QMS eingeführt ist, nachweislich läuft und beide Audit-Stufen ohne offene Nichtkonformitäten abgeschlossen sind; die Audits selbst sind dabei der kürzere Teil. Eine feste Frist gibt die Norm nicht vor. Das Zertifizierungsverfahren besteht laut TÜV NORD CERT aus der Erstzertifizierung, der Überwachung und der Rezertifizierung[4]; die Fristen im Überblick (Anbieterangabe):
| Schritt | Was passiert | Frist |
|---|---|---|
| Stufe 1 | Bewertung der Dokumentation, des Standorts und der Bereitschaft; Prüfung, ob interne Audits und Managementbewertungen durchgeführt sind | Schwachstellen sind bis zur Stufe 2 zu beheben |
| Stufe 2 | Prüfung der Wirksamkeit vor Ort: Befragungen, Dokumente, Aufzeichnungen, Begehung | Korrekturmaßnahmen innerhalb von 6 Wochen nach dem letzten Audittag melden |
| Zertifikat | Erteilung, wenn alle Nichtkonformitäten behoben und die Zertifizierungsentscheidung gefallen ist | nach Annahme der Korrekturmaßnahmen |
| Überwachungsaudit | jährlich, außer im Jahr der Rezertifizierung | erstes spätestens 12 Monate nach der Zertifizierungsentscheidung |
| Rezertifizierung | Audit aller Normanforderungen, Methodik wie Stufe 2 | vor Ablauf des Zertifikats abgeschlossen |
Was die Gesamtdauer treibt, sind drei Dinge: wie viel des Systems schon existiert (Arbeitsanweisungen, Prüfpläne, Reklamationsprozess), wie schnell ein vollständiger Durchlauf aus internem Audit und Managementbewertung zustande kommt, und wie viele Nichtkonformitäten in Stufe 2 auftauchen. Werden die Korrekturmaßnahmen nicht fristgerecht gemeldet, gilt das Audit laut TÜV NORD CERT als nicht bestanden, und es kann kein Zertifikat erteilt werden.[4]
Was braucht man für eine ISO 9001 Zertifizierung?
Für eine ISO-9001-Zertifizierung brauchen Sie ein eingeführtes QMS mit festgelegtem Geltungsbereich, gelebten und belegten Prozessen, mindestens einem internen Audit und einer Managementbewertung sowie einen Vertrag mit einer akkreditierten Zertifizierungsstelle. Als Prüfliste vor der Anmeldung zum Erstaudit:
- Geltungsbereich: Welche Standorte, Produkte und Prozesse das QMS umfasst, schriftlich festgelegt.
- Kontext und Risiken: Interessierte Parteien, Risiken und Chancen sind bestimmt und mit Maßnahmen hinterlegt.
- Qualitätspolitik und Qualitätsziele: messbar, mit Verantwortlichen und Termin.
- Prozesse: Kernprozesse wie Angebot, Auftragsklärung, Arbeitsvorbereitung, Fertigung, Prüfung, Versand und Reklamation sind beschrieben, mit Zuständigkeiten und Kennzahlen.
- Dokumentierte Information: Vorgaben und Nachweise sind auffindbar, aktuell und gesteuert, von der Prüfmittelüberwachung bis zu Schulungsnachweisen.
- Internes Audit: ein Auditprogramm und mindestens ein vollständiger Durchlauf mit Bericht und Korrekturmaßnahmen.
- Managementbewertung: durchgeführt und protokolliert, mit Entscheidungen.
- Zertifizierungsstelle: akkreditiert, mit Angebot über den gesamten Dreijahreszyklus.
Wer bereits ein anderes Managementsystem betreibt, kann vieles übernehmen. Die Logik aus zweistufigem Erstaudit, Überwachung und Rezertifizierung ist bei einer ISO-50001-Zertifizierung dieselbe, und die Prüfmittelüberwachung knüpft direkt an Themen wie die Koordinatenmessmaschine oder Machine Vision in der Qualitätskontrolle an.
Starten Sie mit der Zertifizierung, wenn ein Kunde sie verlangt oder wenn Sie das QMS ohnehin aufbauen; planen Sie dann zuerst den ersten vollständigen Durchlauf aus internem Audit und Managementbewertung und erst danach den Audittermin. Weitere Einordnungen zu Qualitätsthemen finden Sie im Ressort Qualität und im Ressort Industrie auf GoMaschine.
Häufig gestellte Fragen
Wie lange ist ein ISO-9001-Zertifikat gültig?
Das Zertifikat ist auf einen Zyklus von drei Jahren angelegt. In den beiden Jahren dazwischen finden Überwachungsaudits statt, vor Ablauf ein Rezertifizierungsaudit.
Wer stellt ein ISO-9001-Zertifikat aus?
Eine Zertifizierungsstelle, in Deutschland in der Regel eine von der DAkkS nach ISO/IEC 17021-1 akkreditierte Stelle. Die DAkkS akkreditiert diese Stellen, stellt aber selbst keine QM-Zertifikate für Unternehmen aus.
Muss man für ISO 9001 ein Handbuch schreiben?
Die Ausgabe 2015 verlangt kein Qualitätsmanagementhandbuch als festes Dokument, sondern dokumentierte Information in dem Umfang, den das Unternehmen für wirksame Prozesse braucht. Ein Handbuch bleibt erlaubt, wenn es im Betrieb nützt.
Was passiert bei Nichtkonformitäten im Audit?
Für jede Nichtkonformität sind Ursachenanalyse und Korrekturmaßnahmen nötig. Erst wenn das Auditteam sie angenommen hat, kann das Zertifikat erteilt werden.
Quellen
Weiterlesen
Alles zu Qualität →Koordinatenmessmaschine: Bauarten, Genauigkeit und Kosten
Unabhängige Einordnung zu Bauarten, ISO-Genauigkeit und Kosten von Koordinatenmessmaschinen. Wichtige Fakten für Einkäufer und Produktionsleiter im KMU.
