Ist das Unternehmen ISO 9001-zertifiziert?

ISO 9001 versus ISO 27001: welches Zertifikat ist hier gemeint

Die Frage "Ist das Unternehmen ISO 9001-zertifiziert" bezieht sich auf Qualitätsmanagemnt, nicht auf Informationssicherheit. Dieser Unterschied ist für einen erfahrenen Ausfüller oft die erste Überprüfung: Einige Kundenportale kopieren Zertifizierungsfragen aus einer Vorlage und verwechseln ISO 9001 mit ISO 27001, oder fragen sie nacheinander in derselben Liste. Die Antwort ist per Definition eine Tatsache, keine Einschätzung: Das Unternehmen verfügt über ein gültiges ISO 9001-Zertifikat von einer anerkannten Zertifizierungsstelle, oder nicht. Es gibt keine Zwischenform — "auf dem Weg zur Zertifizierung" oder "nach der Norm arbeiten ohne Zertifikat" ist kein "ja".

Wenn das Unternehmen nicht ISO 9001-zertifiziert ist, aber ISO 27001-zertifiziert, ist das eine andere Antwort auf eine andere Frage: Diese beiden dürfen in der Kettendatei nicht zusammengefasst werden, auch wenn die Fragen in einigen Listen ähnlich erscheinen. Hat das Unternehmen keine von beiden, dann ist "nein" die richtige Antwort — eine Anschlussfrage nach internen Qualitätsverfahren ohne Zertifikat verlangt etwas anderes und verdient eine eigene Quelle. Zweifel darüber, was ein Kunde genau mit einer Zertifizierungsfrage wissen möchte, tritt häufiger bei angrenzenden Themen auf, wie bei der Frage ob das Unternehmen eine Betriebshaftpflichtversicherung hat: Auch dort ist die Antwort eine überprüfbare Tatsache mit einem Nachweis, keine qualitative Erläuterung.

Wo der Nachweis stehen muss

Für ein "Ja" gehört das Zertifikat selbst ins Kettendossier: Name der Zertifizierungsstelle, Gültigkeitsdatum und Zertifikatsnummer. Ohne diesen Nachweis kann das System kein "Ja" darstellen, auch wenn das Unternehmen bereits seit Jahren nach der Norm arbeitet. Die angegebene Quelle zu Annex A von ISO/IEC 27001 handelt von Kontrollmaßnahmen für Informationssicherheit und begründet daher keine ISO 9001-Antwort — diese Trennung der beiden Normen ist genau der Grund, warum diese Frage ein separates, eigenes Quelldokument fordert, anstatt die Wiederverwendung eines bestehenden Zertifikats zu ermöglichen. Fehlt das richtige Zertifikat, bleibt die Antwort bei "Nein", bis der Nachweis hinzugefügt wurde, vergleichbar damit, wie auch bei der Betriebsstätte des Unternehmens nur ein Quelldokument, keine Annahme, zu einem "Ja" führt.