Q1 Wie man die Norm liest

Für: V, IA, EA
Quelle: Vorworte, Einleitungen und Anhang-Überschriften der PDFs im Ordner. Die Verbformen stehen in der Einleitung der jeweiligen Norm, soweit sie sie festlegt.

Eine Anforderung ist der Satz mit „shall“ oder, in der deutschen Fassung von ISO 45001 und in ISO/IEC 17021-1, der Satz mit „muss“. Eine Empfehlung ist „should“ oder „sollte“. Eine Erlaubnis ist „may“ oder „dürfen“. Eine Möglichkeit ist „can“ oder „können“. Deutsches „soll“ ist in diesen Texten kein Ersatz für „shall“. In der deutschen ISO 45001 steht „soll“ in der Einleitung und an manchen Stellen des Anhangs für den englischen Zweck-Satz „is intended to“ oder für „needs to“. Das ist in 45001-01 und 45001-17 am jeweiligen Satz festgehalten.

Beispiele sind Beispiele. „Such as“, „e.g.“, „for example“ und „can include“ eröffnen keine zweite Prüfliste. Eine Anmerkung erläutert den zugehörigen Satz. Sie wird hier als Hinweis gekennzeichnet. Zwei Grenzen stehen in den PDFs selbst.

ISO 45001, 0.5, sagt, Anmerkungen zum Begriff in Abschnitt 3 könnten Anforderungen an den Gebrauch einer Benennung enthalten. ISO/IEC 42001:2023, Anmerkung 2 zu 3.26, verwendet „shall“: alle ermittelten Risiken und die zu ihrer Behandlung festgelegten Maßnahmen müssen sich in der Erklärung zur Anwendbarkeit widerspiegeln. Das ist eine Anforderung in einer Anmerkung, erläutert in 42001-05. „May“ in den Anmerkungen zu 3.21 und 3.26 ist daneben keine zusätzliche Pflicht.

Ein Anhang enthält Forderungen nur, soweit seine Überschrift ihn als normativ ausweist oder ein Satz in ihm selbst „shall“ setzt. Die vorliegenden Ausgaben:

• ISO 9001:2026. Anhang A ist informativ. A.1 sagt, die Erläuterungen seien mit den Anforderungen vereinbar und ergänzten sie nicht, strichen nichts und veränderten sie nicht. Diese Ausgabe hat keinen Anhang B. Der Leseschlüssel in A.2 ist ein anderer als der in ISO 14001. „Consider“ heißt dort, das Thema zu bedenken, um zu bestimmen, ob es in die Entscheidung eingeht. „Take into account“ heißt, es zu bedenken und einzubeziehen. „Appropriate“ und „applicable“ sind nicht austauschbar. „Ensure“ ist die Verantwortung für das Ergebnis. Tätigkeiten können übertragen werden. Der Schlüssel steht in 9001-25.
• ISO 14001:2026. Anhang A ist informativ. A.1 sagt, die Information sei nicht dazu bestimmt, die Anforderungen zu ergänzen, zu schmälern oder zu ändern. Einen Anhang B hat das Inhaltsverzeichnis dieser Ausgabe nicht. A.3 setzt die Wörter anders als ISO 9001, A.2. „Consider“ heißt, das Thema zu bedenken, es kann danach ausgeschlossen werden. „Take into account“ heißt, es zu bedenken, und es kann nicht ausgeschlossen werden. „Applicable“ impliziert: Wenn es getan werden kann, muss es getan werden. „Ensure“ heißt, die Verantwortung kann übertragen werden, die Rechenschaft nicht. Der Schlüssel steht in 14001-19.
• ISO 45001:2018, deutsche Fassung DIN EN ISO 45001:2023-12. Anhang A ist informativ. A.1 sagt, die Erläuterungen seien nicht dazu bestimmt, die Anforderungen zu ergänzen, zu schmälern oder zu ändern. Im deutschen Anhang steht an mehreren Stellen „muss“, wo der englische Anhang „needs to“ sagt. A.1 bleibt maßgeblich. A.3 setzt „berücksichtigen“ für „consider“ und „Rechnung tragen“ für „take into account“. Der Schlüssel steht in 45001-17. Das nationale Vorwort ist DIN-Text. Es sagt, der Text sei mithilfe der Grundstruktur erarbeitet, die in Anhang SL der ISO/IEC-Direktiven angegeben ist. Das ist keine Anforderung von ISO 45001:2018.
• ISO/IEC 27001:2022. Anhang A ist normativ. Die Maßnahmen sind im Zusammenhang mit 6.1.3 zu verwenden. Eine fehlende Zeile ist für sich keine Nichtkonformität. Ob eine Maßnahme notwendig ist, ergibt die Risikobehandlung. Das steht in 27001-05. Die Tabelle wird hier nicht abgeschrieben. Einen Leseschlüssel in der Art von ISO 9001, A.2, enthält diese PDF nicht.
• ISO/IEC 42001:2023. Anhang A und Anhang B sind normativ. Anhang C und Anhang D sind informativ. Tabelle A.1 gilt mit „shall“, soweit die Maßnahme nach 6.1.3 notwendig ist. Die Kästen in Anhang B formulieren dieselben Maßnahmen überwiegend mit „should“. Die Anforderung bleibt der Wortlaut in Tabelle A.1. Eine Ausnahme im Kasten von B.7.6 behält „shall“. Das steht in 42001-21.
• ISO/IEC 17021-1:2015. Die auditierbaren Anforderungen stehen in den Abschnitten 5 bis 10 und im normativen Anhang A. Die Anhänge B bis E sind informativ. Abschnitt 4 beschreibt Grundsätze. Die Einleitung und 4.1.1 sagen, Grundsätze seien keine Anforderungen. Das steht in 17021-02. Die Einleitung dieser Norm legt „müssen“, „sollten“, „dürfen“ und „können“ fest.
• ISO/IEC 27005:2018. Leitfaden. In den Abschnitten 1 bis 12 steht kein „shall“ als Anforderung an das Risikomanagement. „Should“ bleibt Empfehlung. Die Anhänge A bis F sind informativ. Einen Anhang G gibt es in dieser Ausgabe nicht. Das steht in den Erläuterungen zu ISO/IEC 27005:2018.
• ISO/IEC 27006:2015. Die Einleitung setzt „shall“ für verbindliche Bestimmungen und „should“ für Empfehlungen. Anhang A ist informativ. Anhang B ist normativ. Anhang C ist informativ. Anhang D ist informativ und in der Überschrift auf Anhang A von ISO/IEC 27001:2013 beschränkt. D.1 wiederholt ein „shall“: die Umsetzung der Maßnahmen, die der Kunde als nötig bestimmt hat, muss geprüft werden. Der Satz verweist auf 9.3.1.2.2 g). Er erzeugt keine Prüfliste für Anhang A von ISO/IEC 27001:2022. Das steht in 27006-07.

Nicht in diesem Text: eine gemeinsame Wortliste für alle Normen, der Inhalt der fehlenden Begriffsnormen, und die Tabellen der Anhänge. ISO/IEC 27002:2022 liegt nicht vor. Die Ausgabe 2017 wird hier nicht als Umsetzungshilfe gelesen.