ISO 9001 erklärt: Was jedes Normkapitel verlangt und wie Sie es nachweisen

Die Anforderungen der ISO 9001 stehen in sieben Kapiteln, Kapitel 4 bis 10. Sie folgen dem Regelkreis Planen, Umsetzen, Prüfen, Verbessern: Kontext und Führung (4, 5), Planung (6), Unterstützung und Betrieb (7, 8), Bewertung (9) und Verbesserung (10). Pflicht sind wenige Dokumente und rund 20 Arten von Nachweisen. Die Ausgabe ISO 9001:2026 behält diese Struktur bei.

Dieser Beitrag ist ein Nachschlagewerk. Jedes Kapitel ist gleich aufgebaut: was die Norm verlangt, welche Nachweise ein Auditor typischerweise sehen will, wo im Audit die häufigsten Abweichungen entstehen und was sich mit der Ausgabe 2026 ändert.

Wer zum ersten Mal mit der Norm zu tun hat, startet besser mit ISO 9001 einfach erklärt. Dort geht es darum, was die Norm ist, wer sie braucht und was die Zertifizierung kostet.

Stand: 29. Oktober 2026. Grundlage sind die Anforderungen der ISO 9001:2015 einschließlich Amendment 1:2024 und die veröffentlichten Änderungen der Ausgabe 2026.

Die ISO 9001 folgt der Harmonized Structure, dem gemeinsamen Aufbau aller ISO-Managementsystemnormen. Deshalb tragen die Kapitel in ISO 14001, ISO 45001 und ISO 27001 dieselben Nummern und Überschriften. Wer ein Kapitel einmal verstanden hat, findet sich in den anderen Normen schnell zurecht.

Kapitel 0 bis 3: lesen, aber nicht auditieren

Die ersten vier Kapitel enthalten keine Anforderungen. Kapitel 0 erklärt die Grundsätze, den prozessorientierten Ansatz, den PDCA-Zyklus und das risikobasierte Denken. Kapitel 1 beschreibt den Anwendungsbereich der Norm, Kapitel 2 und 3 verweisen für Begriffe auf die ISO 9000. Gegen diese Kapitel schreibt kein Auditor eine Abweichung. Lesen lohnt sich trotzdem, weil sie erklären, wie die Anforderungen gemeint sind.

Die Normlandkarte der Kapitel 4 bis 10

Muss, sollte, darf, kann

Die Norm unterscheidet sprachlich genau. „Muss“ ist eine Anforderung, nur sie ist auditierbar. „Sollte“ ist eine Empfehlung, „darf“ eine Erlaubnis, „kann“ eine Möglichkeit. Wer eine Feststellung im Audit diskutiert, sollte zuerst prüfen, ob die zitierte Stelle überhaupt ein „muss“ enthält.

Was die Norm verlangt

Das Unternehmen bestimmt die internen und externen Themen, die für seinen Zweck und seine strategische Ausrichtung wichtig sind (4.1). Es bestimmt die interessierten Parteien und deren Anforderungen, soweit sie für das QMS relevant sind (4.2). Daraus legt es fest, was das System umfasst, mit Standorten, Produkten und Dienstleistungen (4.3). Und es bestimmt die Prozesse des QMS: Eingaben, Ergebnisse, Abfolge, Kriterien, Ressourcen, Verantwortliche, Risiken und Chancen (4.4).

Anforderungen, die nicht zutreffen, dürfen ausgeschlossen werden. Aber nur mit Begründung und nur, wenn der Ausschluss die Fähigkeit nicht berührt, konforme Produkte und Dienstleistungen zu liefern.

Typische Nachweise

• Kontextanalyse, etwa als SWOT oder als einfache Liste interner und externer Themen
• Übersicht der interessierten Parteien mit ihren Anforderungen
• Dokumentierter Anwendungsbereich mit Begründung für nicht zutreffende Anforderungen
• Prozesslandkarte und Prozessbeschreibungen, zum Beispiel als Prozesssteckbriefe

Häufige Abweichung im Audit

Die Kontextanalyse wurde einmal für die Erstzertifizierung erstellt und seitdem nicht mehr angefasst. Der Auditor fragt dann nach einem neuen Großkunden oder einer Preissteigerung beim Material, und beides taucht nirgends auf.

Ebenfalls häufig: Kapitel 8.3 Entwicklung ist ausgeschlossen, obwohl das Unternehmen Sonderlösungen für Kunden konstruiert. Dann passt der Anwendungsbereich nicht zur Wirklichkeit.

Und die Prozesslandkarte zeigt Abläufe, die so niemand kennt. Ein Auditor prüft das schnell: Er fragt einen Mitarbeitenden, wie ein Auftrag durch das Haus läuft, und legt die Antwort neben die Landkarte.

Neu in 2026

Die Bewertung, ob der Klimawandel für das QMS relevant ist, steht in der Ausgabe 2026 im Normtext von 4.1 und 4.2. Neu ist die Anforderung nicht: Sie gilt seit dem Amendment 1:2024 und wird bereits auditiert. Details dazu stehen in unserem Vergleich ISO 9001:2015 und ISO 9001:2026.

Was die Norm verlangt

Die oberste Leitung übernimmt die Rechenschaft für die Wirksamkeit des QMS (5.1.1). Sie sorgt dafür, dass Qualitätspolitik und Qualitätsziele zur strategischen Ausrichtung passen, dass die Anforderungen des QMS in die Geschäftsprozesse eingebunden sind und dass Ressourcen bereitstehen. Kundenorientierung ist ein eigener Punkt (5.1.2): Kundenanforderungen und gesetzliche Anforderungen werden bestimmt und erfüllt, Risiken für die Kundenzufriedenheit werden behandelt.

Die Qualitätspolitik wird festgelegt, als dokumentierte Information verfügbar gehalten, im Unternehmen vermittelt und interessierten Parteien bei Bedarf zugänglich gemacht (5.2). Rollen, Verantwortlichkeiten und Befugnisse werden zugewiesen und bekannt gemacht (5.3).

Typische Nachweise

• Qualitätspolitik, unterschrieben und an den Arbeitsplätzen bekannt
• Organigramm und Verantwortungsmatrix
• Protokolle von Leitungsrunden, in denen Qualitätsthemen tatsächlich besprochen und entschieden werden
• Managementbewertung mit Entscheidungen der Geschäftsführung

Häufige Abweichung im Audit

Die Geschäftsführung hat das QMS komplett an eine Person delegiert und kann im Auditgespräch weder die Qualitätsziele noch die größten Reklamationen des Jahres nennen. Die Norm kennt seit 2015 keine Pflicht zu einem Beauftragten der obersten Leitung. Die Verantwortung für die Wirksamkeit lässt sich nicht delegieren.

Ebenfalls häufig: Die Qualitätspolitik ist so allgemein formuliert, dass sie auf jedes Unternehmen passt. Und niemand in der Fertigung weiß, was darin steht. Aus Sicht der Zertifizierungsstelle ist das kein Dokumentenproblem, sondern ein Führungsthema.

Neu in 2026

Kapitel 5.1 bekommt einen zusätzlichen Punkt: Die oberste Leitung fördert eine Qualitätskultur und ethisches Verhalten und muss das belegen können. Belege sind beobachtbare Dinge wie Führungskommunikation, ein Fehlermeldeprozess ohne Sanktionen und Zielsysteme, die Qualität nicht gegen reine Stückzahlen ausspielen. Wie Auditoren das prüfen, steht im Beitrag zur ISO 9001:2026 Revision.

Was die Norm verlangt

Aus Kontext und interessierten Parteien bestimmt das Unternehmen die Risiken und Chancen, die es behandeln muss. Es plant Maßnahmen dazu, bindet sie in die Prozesse ein und bewertet ihre Wirksamkeit (6.1). Eine bestimmte Methode schreibt die Norm nicht vor.

Qualitätsziele werden für relevante Funktionen und Prozesse festgelegt. Sie müssen messbar sein, überwacht, vermittelt und bei Bedarf aktualisiert werden. Zu jedem Ziel gehört ein Plan: was getan wird, mit welchen Ressourcen, wer verantwortlich ist, bis wann und wie das Ergebnis bewertet wird (6.2).

Änderungen am QMS werden geplant durchgeführt, mit Blick auf Zweck, Folgen, Ressourcen und Verantwortlichkeiten (6.3).

Typische Nachweise

• Liste der Risiken und Chancen mit Maßnahmen, Verantwortlichen und Wirksamkeitsbewertung
• Zielübersicht mit Kennzahl, Ausgangswert, Zielwert, Verantwortlichem und Termin
• Planung größerer Änderungen, etwa bei einer neuen ERP-Software, einem Umzug oder einem neuen Produktbereich

Häufige Abweichung im Audit

Die Risikoliste steht für sich. Sie hat keinen Bezug zur Kontextanalyse, die Maßnahmen haben kein Datum, und ob sie gewirkt haben, wurde nie bewertet.

Bei den Zielen sind es oft Formulierungen wie „Kundenzufriedenheit verbessern“. Ohne Kennzahl und Zielwert lässt sich nicht messen, ob das Ziel erreicht ist. Damit ist die Anforderung an Messbarkeit nicht erfüllt.

Bei 6.3 fällt im Audit regelmäßig auf: Ein neues System wurde eingeführt, aber niemand hat geplant, was mit den alten Formularen, Freigaben und Zuständigkeiten passiert.

Neu in 2026

Risiken und Chancen werden in Kapitel 6.1 in zwei eigenen Unterabschnitten behandelt. Eine Pflicht zu einer formalen Risikomatrix entsteht dadurch nicht. Die bestehende Risikobewertung bleibt nutzbar, Chancen bekommen einen eigenen Platz.

Was die Norm verlangt

Kapitel 7 deckt alles ab, was der Betrieb braucht, um zu funktionieren:

• Ressourcen (7.1): Personen, Infrastruktur und eine geeignete Prozessumgebung. Mess- und Prüfmittel müssen für ihren Zweck geeignet sein. Wo Messergebnisse rückführbar sein müssen, werden die Mittel kalibriert oder verifiziert, gekennzeichnet und geschützt. Dazu kommt das Wissen der Organisation (7.1.6): Was muss das Unternehmen wissen, und wie bleibt dieses Wissen verfügbar?
• Kompetenz (7.2): Die nötige Kompetenz wird bestimmt, sichergestellt und bei Bedarf aufgebaut. Die Wirksamkeit von Maßnahmen wird bewertet.
• Bewusstsein (7.3): Mitarbeitende kennen die Qualitätspolitik, die für sie relevanten Ziele, ihren Beitrag und die Folgen, wenn Anforderungen nicht erfüllt werden.
• Kommunikation (7.4): Festgelegt ist, worüber, wann, mit wem, wie und durch wen kommuniziert wird.
• Dokumentierte Information (7.5): Dokumente werden gekennzeichnet, geprüft und freigegeben, sind dort verfügbar, wo sie gebraucht werden, und sind gegen Verlust und unbeabsichtigte Änderung geschützt. Externe Dokumente wie Kundenzeichnungen oder Normen werden ebenfalls gelenkt.

Typische Nachweise

• Wartungspläne für Maschinen und Infrastruktur
• Prüfmittelliste mit Kalibrierstatus und nächstem Termin
• Qualifikationsmatrix und Schulungsnachweise mit Wirksamkeitsbewertung
• Regelung zur Wissenssicherung, etwa Einarbeitungspläne und Stellvertretungen
• Dokumentenlenkung mit Version, Freigabe und Zugriffsrechten

Häufige Abweichung im Audit

Ein Klassiker: Der Messschieber an der Werkbank hat eine abgelaufene Prüfplakette. Dann folgt die Frage, die die Norm ausdrücklich verlangt: Was bedeutet das für die Messungen, die seit dem Ablauf damit gemacht wurden?

Ebenfalls häufig: Schulungen sind belegt, ihre Wirksamkeit nicht. Und am Arbeitsplatz hängt eine Arbeitsanweisung in einer älteren Version als im System. Hier hilft eine digitale Dokumentenlenkung, bei der jeder am Arbeitsplatz automatisch die gültige Fassung sieht, etwa über das Verinorm Cloud-System.

Neu in 2026

Laut DIN Media taucht der Gedanke der Qualitätskultur auch in Kapitel 7.3 auf: Mitarbeitende sollen sich dieser Kultur bewusst sein. Die Anforderungen an die dokumentierte Information in 7.5 bleiben unverändert. Ein QM-Handbuch ist weiterhin nicht vorgeschrieben.

Kapitel 8 ist das umfangreichste der Norm und das, in dem der Auditor die meiste Zeit verbringt. Hier geht es um die eigentliche Leistung: vom Angebot über die Entwicklung und den Einkauf bis zur Auslieferung.

Was die Norm verlangt

• 8.1 Betriebliche Planung und Steuerung: Kriterien für Prozesse und für die Annahme von Produkten festlegen, Ressourcen planen, Nachweise führen, soweit nötig.
• 8.2 Anforderungen an Produkte und Dienstleistungen: Kommunikation mit Kunden, Anforderungen bestimmen und vor der Zusage prüfen, ob das Unternehmen sie erfüllen kann. Änderungen werden nachgezogen.
• 8.3 Entwicklung: Planung, Eingaben, Bewertungen, Verifizierung und Validierung, Ergebnisse und Änderungen der Entwicklung.
• 8.4 Externe Anbieter: Kriterien für Auswahl, Bewertung, Leistungsüberwachung und Neubewertung von Lieferanten und Dienstleistern, auch für ausgelagerte Prozesse.
• 8.5 Produktion und Dienstleistungserbringung: beherrschte Bedingungen, Kennzeichnung und Rückverfolgbarkeit, Umgang mit Kundeneigentum, Erhaltung, Tätigkeiten nach der Lieferung und Überwachung von Änderungen in der Produktion.
• 8.6 Freigabe: Produkte und Dienstleistungen werden erst freigegeben, wenn die geplanten Prüfungen bestanden sind. Wer freigegeben hat, ist nachvollziehbar.
• 8.7 Nichtkonforme Ergebnisse: Fehlerhafte Ergebnisse werden gekennzeichnet und gesteuert, damit sie nicht unbeabsichtigt beim Kunden landen.

Typische Nachweise

• Auftragsprüfung: Angebot, Auftragsbestätigung und dokumentierte Klärung offener Punkte
• Entwicklungsplanung mit Freigaben, Prüf- und Testergebnissen
• Lieferantenbewertung mit Kriterien, Ergebnis und Konsequenzen
• Arbeits- und Prüfanweisungen, Prüfpläne, Rückverfolgbarkeit über Chargen oder Auftragsnummern
• Freigabeprotokolle mit Name der freigebenden Person
• Sperrbereich oder Kennzeichnung für fehlerhafte Teile, Protokolle zu Sonderfreigaben

Häufige Abweichung im Audit

Bei 8.2 fehlt der Nachweis, dass eine telefonisch vereinbarte Änderung beim Kunden geprüft und intern weitergegeben wurde. Die Fertigung arbeitet dann nach dem alten Stand.

Bei 8.4 wird die Lieferantenbewertung einmal im Jahr als Formular ausgefüllt. Ein Lieferant mit schlechter Liefertreue bekommt trotzdem jedes Jahr die gleiche Note, und Konsequenzen gibt es keine.

Bei 8.6 und 8.7 fällt auf, dass Ware ohne nachvollziehbare Freigabe ausgeliefert wird oder Sonderfreigaben mündlich erteilt wurden. Gerade hier zieht ein Auditor gern Stichproben aus konkreten Aufträgen.

Neu in 2026

Keine der Kernänderungen der Ausgabe 2026 betrifft Kapitel 8. Die Ausgabe präzisiert Formulierungen, die Struktur der Unterabschnitte bleibt.

Was die Norm verlangt

Das Unternehmen legt fest, was überwacht und gemessen wird, mit welchen Methoden, wann und wann die Ergebnisse ausgewertet werden (9.1.1). Die Kundenzufriedenheit wird erfasst, also wie Kunden die Erfüllung ihrer Anforderungen wahrnehmen (9.1.2). Die Daten werden analysiert, unter anderem zu Produktkonformität, Prozessleistung, Lieferanten und Wirksamkeit der Maßnahmen zu Risiken und Chancen (9.1.3).

Interne Audits finden in geplanten Abständen statt. Das Auditprogramm berücksichtigt die Bedeutung der Prozesse, Änderungen und frühere Ergebnisse. Auditoren werden so ausgewählt, dass Objektivität und Unparteilichkeit gewahrt sind (9.2).

Die oberste Leitung bewertet das System in geplanten Abständen. Die Norm gibt die Eingaben vor, von Kundenrückmeldungen über Zielerreichung und Auditergebnisse bis zur Lieferantenleistung. Ergebnis sind Entscheidungen zu Verbesserungen, Änderungen und Ressourcen (9.3).

Typische Nachweise

• Kennzahlenübersicht mit Auswertung und Interpretation, nicht nur mit Zahlen
• Auswertung der Kundenzufriedenheit, etwa aus Befragungen, Reklamationen oder Lieferantenbewertungen der Kunden
• Auditprogramm, Auditpläne und Auditberichte
• Protokoll der Managementbewertung mit allen geforderten Eingaben und konkreten Entscheidungen

Häufige Abweichung im Audit

Das Auditprogramm deckt nicht alle Prozesse ab, oder der interne Auditor hat seinen eigenen Bereich geprüft. Beides gefährdet die Unparteilichkeit, die 9.2 verlangt.

Die Managementbewertung ist eine Vorlage, die jedes Jahr mit neuem Datum gespeichert wird. Die Eingaben sind aufgelistet, Entscheidungen fehlen. Aus Sicht eines Auditors ist das der deutlichste Hinweis darauf, dass das System neben dem Betrieb herläuft.

Und Kennzahlen werden gesammelt, aber nicht analysiert. Eine Tabelle mit Reklamationszahlen ohne Bewertung beantwortet nicht die Frage, ob das System wirkt.

Neu in 2026

Keine der Kernänderungen der Ausgabe 2026 betrifft Kapitel 9. Wer die Umstellung plant, behandelt die neuen Anforderungen aus 4.1, 4.2, 5.1 und 6.1 aber sinnvollerweise im nächsten internen Audit und in der nächsten Managementbewertung.

Was die Norm verlangt

Wenn etwas nicht passt, reagiert das Unternehmen in zwei Stufen (10.2). Erst die Korrektur: den Fehler eindämmen und die Folgen behandeln. Dann die Korrekturmaßnahme: die Ursache ermitteln, prüfen, ob ähnliche Fehler an anderer Stelle auftreten können, Maßnahmen umsetzen und ihre Wirksamkeit bewerten. Wenn nötig, werden Risiken und Chancen aktualisiert und das QMS angepasst.

Darüber hinaus verbessert das Unternehmen Eignung, Angemessenheit und Wirksamkeit des Systems fortlaufend (10.3).

Typische Nachweise

• Fehler- und Reklamationsliste mit Ursache, Maßnahme, Verantwortlichem und Termin
• Ursachenanalysen, etwa mit 5-Why oder Ishikawa, bei Kundenreklamationen oft als 8D-Bericht
• Dokumentierte Wirksamkeitsprüfung: Ist der Fehler seitdem wieder aufgetreten?
• Verbesserungsvorschläge und was daraus geworden ist

Häufige Abweichung im Audit

Die häufigste Schwäche ist die Verwechslung von Korrektur und Korrekturmaßnahme. Das fehlerhafte Teil wurde nachgearbeitet, die Reklamation ist geschlossen. Warum der Fehler entstanden ist, hat niemand untersucht.

Ein zweites Muster: Als Ursache steht „menschliches Versagen“. Das beschreibt, wer den Fehler gemacht hat, aber nicht, warum das System ihn zugelassen hat. Ein Auditor fragt an dieser Stelle fast immer nach.

Und die Wirksamkeit wird nicht geprüft, sondern angenommen. Die Maßnahme ist umgesetzt, also gilt sie als wirksam. Die Norm verlangt aber eine Bewertung.

Neu in 2026

Keine der Kernänderungen der Ausgabe 2026 betrifft Kapitel 10. Ein dokumentierter Fehlermeldeprozess ohne Sanktionierung ist allerdings einer der wichtigsten Belege für die neue Anforderung an die Qualitätskultur in 5.1.

Die ISO 9001 spricht nicht mehr von Dokumenten und Aufzeichnungen, sondern von dokumentierter Information. Sie unterscheidet zwei Arten:

→ Aufrechterhalten heißt: ein lebendes Dokument, das aktuell gehalten wird. Früher sprach man von Vorgabedokumenten.
→ Aufbewahren heißt: ein Nachweis über etwas, das stattgefunden hat. Er wird nicht mehr geändert. Früher hieß das Aufzeichnung.

Die folgende Übersicht zeigt, wo die Norm dokumentierte Information ausdrücklich verlangt.

Zwei Hinweise aus der Auditpraxis:

Die Liste ist das Minimum, nicht das Ziel. Nach 7.5.1 kommt alles dazu, was das Unternehmen selbst für die Wirksamkeit seines Systems braucht. Ein Betrieb mit komplexer Fertigung braucht mehr Arbeitsanweisungen als ein Dienstleister mit zehn Leuten.

Und dokumentierte Information muss kein Papier sein. Ein Eintrag im ERP, ein Foto vom Prüfaufbau oder ein Ticket im Reklamationssystem sind gleichwertige Nachweise, solange sie gelenkt, auffindbar und vor Änderung geschützt sind. Ein QM-Handbuch verlangt die Norm seit 2015 nicht mehr.

Die Kapitelstruktur ist die Struktur der Norm. Sie ist nicht die Struktur des Audits.

Zertifizierungsstellen auditieren prozessorientiert. Der Auditor geht durch Ihre Abläufe, etwa vom Angebot bis zur Auslieferung, und prüft dabei die Anforderungen aus mehreren Kapiteln gleichzeitig. Im Gespräch mit dem Einkauf geht es um 8.4, aber auch um Kompetenz (7.2), Kennzahlen (9.1) und den Umgang mit Lieferantenfehlern (10.2).

Aus der Perspektive der Zertifizierungsstelle fällt deshalb ein Muster auf: Manche Unternehmen bauen ihr System genau umgekehrt auf, mit einem Ordner pro Normkapitel, sauber nummeriert. Im Audit sucht dann jeder die Antwort im falschen Ordner.

Hilfreicher ist eine einfache Zuordnung von Prozessen zu Normabschnitten:

Mit so einer Tabelle beantwortet jeder Prozessverantwortliche die Fragen des Auditors aus seinem eigenen Alltag. Und das interne Audit nach 9.2 lässt sich direkt daran planen. Wie wir Unternehmen bei Aufbau und Auditvorbereitung begleiten, steht auf unserer Seite zur ISO 9001 Beratung.

Wer die ISO 9001 Kapitel für Kapitel liest, findet keinen Katalog von Formularen. Er findet einen Regelkreis: verstehen, wo man steht (4), Verantwortung übernehmen (5), planen (6), die Voraussetzungen schaffen (7), die Leistung erbringen (8), prüfen (9) und nachsteuern (10).

Die meisten Abweichungen im Audit entstehen nicht, weil ein Dokument fehlt. Sie entstehen, weil ein Dokument existiert, aber nichts mit dem Alltag zu tun hat.

Es geht nicht darum, jede Kapitelnummer zu kennen.
Es geht darum, dass jeder im Betrieb weiß, wie sein Ablauf funktioniert und was passiert, wenn etwas schiefgeht.

Die Ausgabe 2026 ändert an dieser Logik nichts. Was sich im Detail ändert, steht im Vergleich der Ausgaben 2015 und 2026. Die Norm selbst erhalten Sie bei der ISO und in deutscher Fassung über DIN Media. Auslegungshilfen zur Norm veröffentlicht das zuständige Normungsgremium ISO/TC 176/SC 2.

Wenn Sie wissen wollen, wie Ihr System gegen die einzelnen Kapitel dasteht: Sprechen Sie uns an, das Erstgespräch ist kostenlos.