ISO 9001:2026 is op 16 september 2026 gepubliceerd. Wat er precies is veranderd en welke overgangstermijn geldt, staat in ISO 9001:2026 is gepubliceerd: wat vaststaat en wat niet. Deze pagina behandelt één vraag: wat betekent die editie als je al een ISO 27001-ISMS in bedrijf hebt?
Het korte antwoord is dat je voorsprong groter is dan je denkt op de werkwijze, en kleiner dan je hoopt op het bewijs.
Deel werkprocessen, maar houd de scopes zichtbaar
Eén reviewoverleg kan beide systemen bespreken, maar de besluiten moeten de doelen van elk systeem apart blijven behandelen. Een beveiligingsrisicoregister wordt niet vanzelf een volledige kwaliteitsanalyse door de titel te veranderen. Houd in de notulen zichtbaar welk besluit bij welk systeem hoort; dat is precies wat een auditor nakijkt bij een gecombineerd managementsysteem.
Waar je ISMS je werk al heeft gedaan
De richting van de 2026-herziening loopt gelijk met wat ISO 27001 al vraagt. Op deze punten hoef je geen nieuw proces te bouwen, alleen de reikwijdte te verbreden van informatiebeveiliging naar kwaliteit.
| Verschuiving in 9001:2026 | Wat je ISMS al levert |
|---|---|
| Risico’s en kansen afzonderlijk beoordelen | Een risicomethode met criteria, weging en behandelbesluiten. |
| Veranderingsbeheer als expliciete eis | Beheerste doorvoering van wijzigingen, inclusief terugvalscenario. |
| Competenties aantoonbaar maken | Bewustwordings- en bekwaamheidsdossiers per rol. |
| Leveranciers structureel volgen | Leveranciersbeoordeling en afspraken over prestaties. |
| Klimaatverandering in de context | Dezelfde bepaling kwam in 2024 in beide normen tegelijk. |
| Documentbeheer en interne audit | Eén auditprogramma en één documentbeheersing volstaan. |
Waar je ISMS je geen bewijs oplevert
Hier houdt de overlap op. Deze onderwerpen zitten niet in een ISMS, hoe volwassen dat ook is, omdat ze over de klant en het product gaan in plaats van over informatie.
- Klanttevredenheid. Je ISMS meet incidenten en beschikbaarheid, geen klantoordeel. De 2026-editie verbreedt bovendien waar dat oordeel vandaan mag komen.
- Activiteiten na levering. Onderhoud, hergebruik en afvoer van wat je levert, met de verantwoordelijkheid die daarbij hoort.
- Kwaliteitscultuur en ethisch handelen. Benoemd als directieverantwoordelijkheid en gekoppeld aan je strategie. Dit is voor vrijwel iedereen nieuw werk.
- Uitvoering en productrealisatie. Het hele hoofdstuk 8 kent in een ISMS geen tegenhanger.
De valkuil: dezelfde werkwijze is niet hetzelfde bewijs
Een bestaand ISMS is een bruikbaar vertrekpunt voor de methode en geen bewijs dat aan de kwaliteitsmanagementeisen is voldaan. De doelen en de scope verschillen. Verwijs in je kwaliteitssysteem dus naar het ISMS-proces waar dat klopt, maar neem de kwaliteitsdoelstelling apart op en toon apart aan dat je die haalt.
Wat je als eerste oppakt
- Markeer per gewijzigde eis of je ISMS hem afdekt, gedeeltelijk afdekt of niet raakt.
- Werk de “niet geraakt”-rijen eerst uit; daar zit je echte werk.
- Controleer of je gedeelde processen de kwaliteitsdoelen ook echt benoemen en niet alleen de beveiligingsdoelen.
- Splits je directiebeoordeling in agendapunten per systeem, ook als het één overleg blijft.
De projectaanpak voor de overgang zelf, inclusief volgorde en vergelijkingsregister, staat in ISO 9001:2026: wat je nu al kunt doen.