ISO 42001 vs 27001 vs 9001: welke standaarden combineren?

Ja, uitstekend. ISO 42001 en ISO 27001 gebruiken dezelfde Harmonized Structure (vroeger Annex SL genoemd): Clauses 4 tot en met 10 met identieke hoofdstructuur. Dit maakt integratie in een gemeenschappelijk management-systeem praktisch haalbaar. Gedeelde onderdelen: context-analyse, leiderschap, risico-management-methodologie, documented information-discipline, interne audit, management review, continuous improvement. Annex A-controls verschillen (27001 heeft 93 controls in 4 themes, 42001 heeft 38 controls in 9 categories) maar kunnen in dezelfde Statement of Applicability worden beheerd. Voor organisaties met ISO 27001 is uitbreiding naar 42001 minder werk dan wanneer ISO 42001 solo wordt gebouwd. Annex D van ISO 42001 bevat expliciete integratie-guidance met andere management-systeem-standaarden.

Hangt af van je drivers. Voor puur AI-governance: ISO 42001 is de directe standaard. Voor AI in de context van klantdata en cybersecurity: combinatie ISO 27001 + ISO 42001. Voor organisaties met al ISO 9001 of 27001 die AI serieus willen beheersen: uitbreiden naar 42001. Voor MKB-deployers van minimal-risk AI zonder specifieke commerciele drivers: geen ISO certificering nodig; lichtgewicht interne governance volstaat. Voor AI-aanbieders die aan enterprise of rijksoverheid verkopen: verwacht ISO 42001 in aanbestedingen vanaf 2025-2027, eventueel in combinatie met ISO 27001. De standaarden stapelen op elkaar: 9001 is kwaliteit-basis, 27001 voegt informatiebeveiliging toe, 42001 voegt AI-management toe.

Alle drie zijn management-systeem-standaarden met dezelfde Harmonized Structure maar verschillend domein-focus. ISO 9001:2015 (Quality management system): richt zich op consistente productkwaliteit en klanttevredenheid via proces-aanpak. Wereldwijd meest geadopteerd, miljoen-plus certificeringen. Proces-georienteerde eisen, zonder Annex A met controls. ISO 27001:2022 (Information security management system): richt zich op vertrouwelijkheid, integriteit en beschikbaarheid van informatie. Annex A met 93 controls in 4 themes (organisatorisch, people, fysiek, technologisch). Statement of Applicability verplicht. ISO 42001:2023 (AI management system): richt zich specifiek op verantwoorde inzet van AI-systemen. Annex A met 38 controls in 9 categorieen. Ook Statement of Applicability. Alle drie volgen PDCA-cyclus, delen fundament, verschillen in scope.

Een Integrated Management System (IMS) combineert meerdere management-systeem-standaarden in een samenhangend geheel. Voor AI is de typische IMS: ISO 9001 (kwaliteit) + ISO 27001 (informatiebeveiliging) + ISO 42001 (AI). Vanwege de gedeelde Harmonized Structure zijn gemeenschappelijke elementen (context, leiderschap, planning, ondersteuning, operatie, evaluatie, verbetering) in een set documenten en processen te beheren. Afzonderlijke onderdelen: per standaard eigen Annex A-controls, eigen risk assessment-scope, eigen audit. Voordeel IMS: documentatie-overlap, gedeelde leiderschap-review, gecombineerde interne audits, lagere totale certificering-kosten, consistente boodschap intern. Nadeel: initieel complexer om op te zetten, vraagt ervaren consultant of intern IMS-coordinator. Voor organisaties die meerdere standaarden toch al hebben of plannen: IMS bespaart substantieel.

AI-systemen verwerken vaak grote hoeveelheden informatie, inclusief gevoelige en persoonsgegevens. Informatiebeveiliging is daarbij heel belangrijk. Specifieke AI-risico's die onder ISO 27001 vallen: prompt-data-lekken naar LLM-aanbieders, model-memorization waarbij training-data onbedoeld wordt gereproduceerd, adversarial attacks op ML-modellen, model theft en data-exfiltratie, onveilige API-integraties met AI-diensten, toegangsbeheer voor AI-ontwikkel- en productie-omgevingen. ISO 27001:2022 Annex A heeft relevante controls: A.5 organisatorische controls voor beleid en governance, A.7 fysieke controls voor data-centers en hardware, A.8 technologische controls voor cryptografie, authenticatie, monitoring. ISO 42001 verwijst in Annex A.6 en A.7 naar data-management en lifecycle waar overlap met 27001 is. Combinatie dekt beide: cyber-security rond AI plus AI-specifieke governance.

Drie standaarden, drie benaderingen. ISO 9001:2015 heeft geen Annex A met controls; het is proces-gebaseerd met eisen in Clauses 4-10. Specifieke processen zoals customer focus, risk-based thinking en continuous improvement. ISO 27001:2022 Annex A heeft 93 controls (verlaagd van 114 in 2013-versie) in 4 themes: A.5 Organisatorische controls (37 controls), A.6 People controls (8), A.7 Fysieke controls (14), A.8 Technologische controls (34). ISO 42001:2023 Annex A heeft 38 controls in 9 categorieen. Dat zijn A.2 AI-beleid (2), A.3 Interne organisatie (3), A.4 Middelen (6), A.5 Impact assessments (5) en A.6 Lifecycle (6). Verder zijn dat A.7 Data (4), A.8 Informatie stakeholders (4), A.9 Use (4) en A.10 Derde-partij (4). Per standaard geldt een Statement of Applicability-benadering: je documenteert per control waarom je hem wel of niet toepast.

Per standaard en per combinatie varieert. ISO 9001 alleen voor MKB: 15.000-40.000 euro implementatie, 5.000-12.000 euro certificerings-audit. ISO 27001 alleen voor MKB: 30.000-80.000 euro implementatie, 10.000-25.000 audit. ISO 42001 alleen voor MKB: 40.000-80.000 euro implementatie, 8.000-20.000 audit. Gecombineerd 27001 + 42001 (meest voorkomend voor AI-aanbieders): 70.000-150.000 euro implementatie, 15.000-35.000 gecombineerde audit. IMS met 9001 + 27001 + 42001: 100.000-200.000 euro implementatie, 25.000-50.000 audit. Voor mid-market verdubbel tot verdriedubbel. Plus jaarlijkse surveillance-audits (3.000-15.000 per standaard per jaar). Re-certificatie elke drie jaar.

Nee, er is geen volgorde-vereiste. Elke standaard is zelfstandig certificeerbaar. Veel organisaties beginnen met ISO 27001 voor informatiebeveiliging (vaak commercieel noodzakelijk) en voegen later ISO 9001 of 42001 toe. Voor AI-gerichte organisaties is combinatie 27001 + 42001 gebruikelijker dan 9001 + 42001. ISO 9001 is echter een sterke fundament-keuze voor organisaties die kwaliteit-management nog niet formeel hebben ingericht; de discipline maakt toevoeging van 27001 of 42001 later eenvoudiger. Praktisch voor MKB: start met de standaard die commerciele of regulatorische driver heeft. Bouw vanuit daar. Gedeelde Harmonized Structure zorgt dat later-toevoegen niet dubbel werk is.

Ja. ISO heeft een Harmonized Structure (vroeger Annex SL, nu vastgelegd in de ISO/IEC Directives) die alle moderne management-system-standaarden gebruiken. Hetzelfde raamwerk: Clause 4 Context of the organization, Clause 5 Leadership, Clause 6 Planning, Clause 7 Support, Clause 8 Operation, Clause 9 Performance evaluation, Clause 10 Improvement. Identieke subsectie-nummering waar mogelijk. Dit maakt integratie van standaarden relatief eenvoudig: context-analyse in Clause 4 kan een document zijn dat voor 9001, 27001 en 42001 tegelijk dient. Verschillen zitten in Annex A (per standaard eigen controls), in domein-specifieke eisen binnen elke clause, en in certification body-focus. Voor nieuwe ISO-standaarden werkt dezelfde structuur.

Voor MKB (5-50 FTE) met bestaande ISO 27001 die 42001 toevoegt: zes tot negen maanden. Voor organisatie zonder bestaande ISO die 27001 + 42001 wil: twaalf tot achttien maanden gecombineerd. Voor IMS met alle drie tegelijk vanaf nul: achttien tot vierentwintig maanden. Fasering is slim: eerst fundament (Clauses 4-7 voor alle standaarden), dan operatie (Clause 8), dan evaluatie (Clause 9) en verbetering (Clause 10), tegelijk met control-implementatie per Annex A. Certification-audit komt aan einde. Voor mid-market duurt dit langer. Organisaties met al ISO 9001 (process-discipline aanwezig) besparen substantieel; management-discipline en documentatie-structuur zijn er al. Kritieke succesfactor: ervaren IMS-coordinator of externe consultant die standaarden door elkaar kent.