Ja, je kunt ISO 27001 en ISO 9001 tegelijk implementeren, en voor veel MKB-bedrijven is dat zelfs de slimste aanpak. Beide normen delen dezelfde basisstructuur (de zogenaamde High Level Structure), waardoor je processen, documentatie en audits grotendeels kunt combineren. De gecombineerde implementatie bespaart tijd en kosten, maar vraagt wel om een goede voorbereiding en heldere prioriteiten. In dit artikel beantwoorden we de meest gestelde vragen over deze aanpak.
Wat hebben ISO 27001 en ISO 9001 met elkaar gemeen?
ISO 27001 en ISO 9001 delen dezelfde onderliggende structuur: de High Level Structure (HLS). Dit betekent dat beide normen identieke hoofdstukken kennen voor onderwerpen als leiderschap, risicomanagement, interne audits en managementreview. Die gedeelde basis maakt het mogelijk om één geïntegreerd managementsysteem op te bouwen in plaats van twee aparte systemen naast elkaar te laten draaien.
Concreet betekent dit dat je voor beide normen kunt werken met:
- Één gecombineerde risicoanalyse (met aparte risicocategorieën per norm)
- Één documentatiebeheerproces voor beleidsplannen en procedures
- Één intern auditprogramma dat beide normen tegelijk beoordeelt
- Één managementreview waarin kwaliteit én informatiebeveiliging aan bod komen
Naast de structuur is er ook inhoudelijke overlap. Beide normen vragen om aantoonbaar procesdenken, continue verbetering en betrokkenheid van het management. Wie al werkt met een kwaliteitsmanagementsysteem op basis van ISO 9001, heeft daarmee al een solide fundament gelegd voor de invoering van ISO 27001.
| Afspraak maken |
Wat zijn de voordelen van een gecombineerde implementatie?
De grootste voordelen van een gecombineerde implementatie van ISO 27001 en ISO 9001 zijn tijdsbesparing, lagere kosten en minder organisatorische belasting. Omdat beide normen dezelfde structuur volgen, hoef je processen, beleidsdocumenten en auditmechanismen niet twee keer op te zetten. Dat scheelt aanzienlijk in doorlooptijd en interne uren.
Naast de efficiëntievoordelen zijn er ook strategische voordelen:
- Één gecombineerde certificeringsaudit: veel certificerende instellingen bieden gecombineerde audits aan, wat de kosten voor externe audits verlaagt
- Minder weerstand intern: medewerkers hoeven zich niet aan twee aparte trajecten te onderwerpen
- Sterkere marktpositie: twee ISO-certificeringen tegelijk laten zien dat kwaliteit en beveiliging voor jouw organisatie hand in hand gaan
- Betere samenhang: kwaliteitsrisico’s en beveiligingsrisico’s worden in één systeem beheerd, waardoor je een completer beeld krijgt
Voor MKB-bedrijven die hun ISO-certificaten willen behalen zonder een groot intern projectteam, is de gecombineerde aanpak vaak de meest realistische route.
Waar zitten de grootste verschillen tussen ISO 27001 en ISO 9001?
Het grootste verschil zit in het onderwerp: ISO 9001 richt zich op de kwaliteit van producten en diensten, terwijl ISO 27001 zich richt op de beveiliging van informatie. Dit klinkt vanzelfsprekend, maar het heeft grote gevolgen voor de inhoud van het managementsysteem. De risicoanalyse, de beheersmaatregelen en de specifieke procedures zijn per norm fundamenteel anders.
Concreet verschil in scope:
- ISO 9001 vraagt om klantgerichtheid, productkwaliteit, leveranciersbeheer en continue verbetering van dienstverlening
- ISO 27001 vraagt om een informatiebeveiligingsbeleid, een risicobehandeling op basis van vertrouwelijkheid, integriteit en beschikbaarheid, en technische en organisatorische beveiligingsmaatregelen (de zogenaamde Annex A-controls)
Een ander verschil is de technische diepgang. ISO 27001 vereist specifieke kennis van IT-beveiliging, netwerken, toegangsbeheer en incidentrespons. Dat vraagt andere expertise dan ISO 9001, waar de nadruk ligt op procesbeheersing en klanttevredenheid. Bij een gecombineerde implementatie moet je dus zorgen dat je voor beide domeinen de juiste kennis in huis hebt of inhuurt.
Hoe pak je een gecombineerde implementatie stapsgewijs aan?
Een gecombineerde implementatie van ISO 27001 en ISO 9001 start altijd met een nulmeting: breng in kaart wat er al is, wat ontbreekt en wat voor beide normen tegelijk kan worden ingericht. Daarna bouw je stap voor stap een geïntegreerd managementsysteem op, waarbij je de overlappende elementen samenvoegt en de normspecifieke onderdelen apart uitwerkt.
Een praktische aanpak in stappen:
- Nulmeting en gap-analyse: vergelijk de huidige situatie met de eisen van beide normen en identificeer de overlap en de hiaten
- Projectstructuur bepalen: stel een projectteam samen met verantwoordelijken voor kwaliteit én informatiebeveiliging
- Geïntegreerde documentatie opstellen: schrijf één beleidsdocument, één risicobeleid en één set procedures die beide normen dekt waar mogelijk
- Normspecifieke maatregelen uitwerken: werk de Annex A-controls (ISO 27001) en de kwaliteitsprocessen (ISO 9001) apart uit
- Interne audit uitvoeren: toets het systeem aan beide normen tegelijk, bij voorkeur door een gecombineerd auditteam
- Managementreview: bespreek de bevindingen met de directie en stel verbeteracties vast
- Externe certificeringsaudit: plan een gecombineerde audit bij een erkende certificerende instelling
Een partner als TCA kan hierbij ondersteunen, met name op het vlak van informatiebeveiliging. TCA werkt zelf al jaren met ISO 27001 én ISO 9001 en kent de praktische uitdagingen van gecombineerde implementaties in MKB-organisaties van binnenuit.
Wanneer is een gecombineerde implementatie niet verstandig?
Een gecombineerde implementatie is niet altijd de beste keuze. Als een organisatie nog geen van beide normen heeft ingevoerd en de interne capaciteit beperkt is, kan het gelijktijdig opstarten van twee trajecten leiden tot overbelasting en halfwerk. In dat geval is het verstandiger om eerst één norm te implementeren en daarna de tweede toe te voegen.
Situaties waarin je beter kiest voor een gefaseerde aanpak:
- Er is intern geen duidelijke eigenaar voor zowel kwaliteit als informatiebeveiliging
- De organisatie staat onder tijdsdruk voor één specifieke norm (bijvoorbeeld door een klanteis of aanbestedingseis)
- De cultuur rondom procesbeheersing is nog niet volwassen genoeg voor twee gelijktijdige veranderingstrajecten
- Het budget laat een gecombineerd extern begeleidingstraject niet toe
In die gevallen is het slim om te starten met de norm die de meeste urgentie heeft. Voor veel organisaties is dat op dit moment ISO 27001, mede omdat de Cyberbeveiligingswet in 2026 van kracht wordt en steeds meer opdrachtgevers aantoonbare informatiebeveiliging eisen als voorwaarde voor samenwerking.
| Afspraak maken |
Hoeveel tijd en budget kost een gecombineerde certificering?
De doorlooptijd voor een gecombineerde implementatie van ISO 27001 en ISO 9001 ligt gemiddeld tussen de zes en twaalf maanden, afhankelijk van de startpositie van de organisatie, de beschikbare interne capaciteit en de complexiteit van de bedrijfsprocessen. Een gecombineerd traject duurt doorgaans niet twee keer zo lang als één traject afzonderlijk, omdat de overlap in structuur en documentatie tijd bespaart.
Wat betreft kosten zijn er drie kostenposten om rekening mee te houden:
- Interne uren: het implementatietraject vraagt aanzienlijke inzet van medewerkers en management, ook zonder externe begeleiding
- Externe begeleiding of consultancy: een IT-partner of adviseur die het traject begeleidt, versnelt de implementatie en verkleint het risico op fouten in de documentatie of risicoanalyse
- Certificeringsaudit: de kosten voor een gecombineerde externe audit zijn lager dan twee afzonderlijke audits, maar variëren per certificerende instelling en organisatieomvang
Voor MKB-bedrijven geldt dat de investering in een gecombineerde certificering zichzelf terugverdient via klantvertrouwen, betere interne processen en toegang tot aanbestedingen waar certificering een vereiste is. De exacte kosten hangen sterk af van de situatie. Een goede eerste stap is een gesprek met een ervaren partner die de huidige situatie beoordeelt en een realistisch beeld geeft van wat er nodig is. Plan een afspraak met TCA om te bespreken wat een gecombineerde aanpak voor jouw organisatie betekent.
Gerelateerde artikelen
- Hoe kies je de juiste IT-partner voor NIS2-compliance als mkb?
- Wat zijn de verplichtingen van bestuurders onder de NIS2-richtlijn?
- Hoe werkt SharePoint als centrale documentenopslag voor je team?
- Hoe maak ik mijn back-upbeleid NIS2-proof?
- Hoe bescherm ik mijn bedrijf tegen ransomware als mkb-ondernemer?