Qualitätsmanagement trifft Informationssicherheit: Der Weg zu integrierten Managementsystemen

Die Verknüpfung von Qualitätsmanagement (QM) und Informationssicherheit gewährleistet nicht nur die Qualität von Produkten und Dienstleistungen, sondern schützt gleichzeitig sensible Daten. Verstöße in beiden Bereichen können schwerwiegende rechtliche und finanzielle Folgen haben. Dennoch wird die Integration in vielen Unternehmen noch vernachlässigt. 

Die Eingliederung der Informationssicherheit in das Qualitätsmanagement ist erforderlich, um die Einhaltung regulatorischer Vorgaben sicherzustellen. Folgende Schutzziele sind dabei von großer Bedeutung: 

• Vertraulichkeit: Sensible QM-Dokumente müssen vor unbefugtem Zugriff geschützt werden.  

• Integrität: Es muss sichergestellt sein, dass QM-Daten nicht manipuliert oder versehentlich verändert werden. 

• Verfügbarkeit: QM-Dokumente müssen stets verfügbar sein, wenn sie benötigt werden, auch über lange Zeiträume hinweg. 

• Nachvollziehbarkeit (Audit-Trails): Alle Änderungen an QM-Dokumenten sollten lückenlos dokumentiert und nachvollziehbar sein. 

• Risikomanagement: Informationssicherheitsrisiken müssen in das bestehende Risikomanagement des QM-Systems integriert werden. 

Das Qualitätsmanagement und die Informationssicherheit verfolgen beide das Ziel, die Qualität und Verlässlichkeit von Produkten, Prozessen und Informationen zu gewährleisten, die Integration dieser beiden Welten ineinander ist nur die logische Schlussfolgerung. „Im Qualitätsmanagement spielt die Dokumentation eine zentrale Rolle, um die Einhaltung aller Vorgaben sicherzustellen und nachzuweisen“, erklärt Michael Will. Wenn die Integrität nicht gewährleistet sei, bestehe die Gefahr, dass Dokumente verfälscht oder unzugänglich würden, was die Produktqualität und -konformität direkt gefährde. 

Unternehmen sollten Qualitätsmanagement und Informationssicherheit miteinander verknüpfen, sobald sensible Daten verarbeitet werden. Dazu zählen etwa Produktionsdesigns, Spezifikationen oder FMEAs (Fehlermöglichkeit und Einflussanalyse). Ein weiterer maßgeblicher Grund für die Einbeziehung seien hohe regulatorische Standards und Compliance-Vorgaben, wie sie etwa durch ISO-Normen festgelegt werden. 

Angesichts des steigenden Risikos durch Cyber-Bedrohungen empfiehlt der Experte, alle Geschäftsbereiche – einschließlich des Qualitätsmanagements – konsequent auf Informationssicherheit auszurichten. Andernfalls drohten schwerwiegende Folgen. Datenmanipulation oder der Verlust von QM-Dokumentationen könnten unbemerkt bleiben und Qualitätsmängel verursachen. Nicht-konforme Produkte könnten auf den Markt gelangen und rechtliche sowie finanzielle Schäden nach sich ziehen, warnt Michael Will.   

Im Automotive-Sektor nimmt die FMEA beispielsweise eine Schlüsselrolle ein, da sie zulassungsrelevant ist – ohne FMEA gibt es keine Zulassung für ein Fahrzeug. „Dieses Dokument muss 30 Jahre aufbewahrt werden“, betont der Experte. „Die drei Schutzziele Integrität, Verfügbarkeit und Nachvollziehbarkeit müssen dabei unbedingt gewährleistet sein, um bei Problemen, wie etwa einem Fahrzeugrückruf aufgrund von Brandgefahr, Nachweise erbringen zu können.“ Sollte der Hersteller oder Zulieferer nicht nachweisen können, dass das Risiko einer Brandgefahr behandelt wurde, könne dies erhebliche rechtliche Folgen haben. Die Regelungen zur Dokumentenaufbewahrung sind in der Automobilbranche im VDA Band 1 festgelegt und ergeben sich aus speziellen Kundenanforderungen. Ähnliche Beispiele existieren aber auch in zahllosen anderen Industrien. „Früher wurden diese Informationen auf großen Papierdokumenten festgehalten, heute kommen dafür digitale Tools zum Einsatz.“ 

Ein weiteres wichtiges Thema sei die Integrität der Daten. „Die Risikoanalyse darf z. B. nachträglich nicht verändert werden – höchstens mit Revisionsnummern“, betont der Experte. Eine lückenlose Historie müsse jederzeit verfügbar sein, sodass auch alte Versionen vorliegen. Diese Anforderungen gingen klassisch vom QM aus und basierten auf Managementsystemen und der Produkthaftung. Besonders bei einem potenziellen Produkthaftungsfall sei es ausschlaggebend, dass diese Kriterien erfüllt werden. 

Die IT-Abteilung müsse vom Qualitätsmanagement daher klare Anforderungen erhalten, um sicherzustellen, dass die Integrität und Verfügbarkeit von Dokumenten über einen Zeitraum von 30 Jahren gewährleistet ist. „Das bedeutet auch, dass ich ein Dokument von vor 30 Jahren heute noch mit aktuellen Mitteln öffnen können muss“, gibt der Experte zu bedenken. Ein anschauliches Beispiel ist die Entwicklung von Speichermedien. „Vor 30 Jahren wurde häufig mit Tonbandspulen gearbeitet. Die IT hätte daher einen Plan haben müssen, um die Daten rechtzeitig auf moderne Medien zu übertragen. Dies ist ebenfalls entscheidend, um sowohl die Informationssicherheit als auch die Verfügbarkeit der Dokumente langfristig zu garantieren.“ 

Die Zusammenführung von Qualitätsmanagement und Informationssicherheit bietet zahlreiche Vorteile. Bedrohungen lassen sich in beiden Bereichen reduzieren, was eine ganzheitliche Risikobewältigung ermöglicht. Der Hauptvorteil liegt jedoch in der gesteigerten Effizienz, indem Redundanzen unterbunden werden. Auch der Schutz von Datenverlusten sowie die Vertraulichkeit und Integrität von QM-Daten lassen sich effektiver und zuverlässiger gewährleisten.  

Standardisierte Prozesse spielen eine zentrale Rolle: Verantwortlichkeiten können klar zugeordnet und doppelte Arbeitsschritte vermieden werden. Automatisierte Sicherheitsmaßnahmen wie z. B. Verschlüsselungen schützen QM-Dokumente wirksam. Darüber hinaus trägt die effizientere Umsetzung regulatorischer Standards dazu bei, das Risiko von Strafen und rechtlichen Problemen zu minimieren.    

Michael Will weiß aus praktischer Erfahrung, dass die Digitalisierung von Industrie und Fertigung mehr Produktivität und Effizienz zur Folge hat. „Früher brauchte man eine Mappe mit Zeichnungen und musste die entsprechenden Maschinenparameter manuell einstellen. Heute ist das alles durch IT-Systeme automatisiert“, erklärt der Experte. Umso wichtiger sei aber die IT-Sicherheit, wenn es um den Schutz von Maschinensteuerung gehe. „Dieses Beispiel zeigt, dass Informationssicherheit aktiv gestaltet werden muss. Wenn das System manipuliert wird, und das ist oft das Ziel von Angreifern, können die Auswirkungen verheerend sein“, warnt der Experte. Ein manipuliertes IT-System, das fehlerhafte Produkte produziert, könne im schlimmsten Fall zum Bankrott eines Unternehmens führen. „In Deutschland gab es einen Stahlhersteller, bei dem die Sicherheitsmaßnahmen eines Hochofens manipuliert wurden. Der Ofen brannte ab und es entstanden Milliardenschäden“, so ein eindrückliches Beispiel aus der Industrie. Diese Fälle verdeutlichen, wie wichtig es ist, sowohl QM- als auch IT-Prozesse abzusichern. 

Nicht zuletzt lässt sich eine erhöhte Compliance erreichen, indem regulatorische Anforderungen in beiden Sektoren effizienter und umfassender umgesetzt werden, was das Risiko von Strafen und rechtlichen Problemen verringert.  

Die Verknüpfung von Qualitätsmanagement (QM) und Informationssicherheit folgt dem Prinzip vieler anderer Managementsysteme und orientiert sich an bewährten Schritten:  

1. Bestandsaufnahme der bestehenden QM- und Informationssicherheitsprozesse 
2. Risikoanalyse für beide Bereiche, um Überschneidungen und Lücken zu identifizieren 
3. Prozessintegration: Gemeinsame Prozesse definieren, z. B. im Dokumentations- und Risikomanagement 
4. Schulungen und Sensibilisierung für beide Managementsysteme 
5. Monitoring und Audits: Gemeinsame Überwachung der Wirksamkeit beider Systeme 
6. Technische Maßnahmen: Implementierung von Sicherheitstechnologien (z. B. Verschlüsselung, Zugriffskontrollen) im QM-System 

Insbesondere bei jungen Firmen stellt sich jedoch die Frage nach der Reihenfolge: Was kommt zuerst – das Informationssicherheits- oder das Qualitätsmanagementsystem? Michael Will hält mehrere Ansätze für möglich. „In einem neuen Unternehmen kann es sinnvoll sein, beide Systeme parallel aufzubauen, da sie oft eng miteinander verknüpft sind und Synergien nutzen können. Es gibt aber auch den Ansatz, zuerst ein solides QM-System als Grundlage zu etablieren und darauf aufbauend ein ISMS zu entwickeln.“ 

Letztendlich hänge die Entscheidung von den spezifischen Unternehmensstrukturen und verfügbaren Ressourcen ab. Wichtig ist laut Experten, immer eine komplementäre Vorgehensweise, bei der beide Systeme ineinandergreifen. Es ist nicht möglich, das eine System durch das andere zu ersetzen, vielmehr sollten sie sich gegenseitig ergänzen. 

Die Frage, ob Qualitätsmanagement ohne Informationssicherheit in der Zukunft noch denkbar ist, lässt sich klar mit Nein beantworten. Besonders die Dokumentensicherheit verdeutliche die Notwendigkeit für eine enge Verbindung beider Bereiche. „Die Sicherheit von QM-Dokumenten ist für ein Unternehmen existenziell“, betont der Experte. Sie stellt nicht nur die Qualität ihrer Produkte und Dienstleistungen sicher, sondern auch den Schutz sensibler Informationen. Informationssicherheit in Verbindung mit Qualitätsmanagement bildet somit eine wichtige Basis für eine robuste Unternehmensstruktur, die Wertschöpfung ermöglicht. In der zunehmend digitalisierten und vernetzten Welt ist das von vorrangiger Bedeutung, da Verstöße gegen Qualitäts- oder Sicherheitsstandards schwerwiegende rechtliche und finanzielle Konsequenzen haben können. 

„Das Qualitätsmanagement muss zudem die IT-Abteilung als internen Dienstleister betrachten und regelmäßig in Auditprozesse einbeziehen“, führt der Experte weiter aus. Dies stelle sicher, dass die IT-Dienstleistungen sowohl den Qualitätsnormen entsprächen als auch die Informationssicherheitsvorgaben einhielten. Künftige Audits sollten daher nicht nur die Qualität, sondern obendrein die Prozesssicherheit, Datenintegrität und Verfügbarkeit der IT-Systeme überprüfen. Diese Faktoren seien entscheidend für die Erreichung der übergeordneten QM-Ziele. 

Für den Experten Michael Will hat die Verankerung von Informationssicherheit im Qualitätsmanagement weitreichende positive Effekte. „Eine solche systematische Überprüfung stärkt nicht nur das Vertrauen in die IT-Services, sondern trägt auch zur Einhaltung gesetzlicher Vorgaben bei.“ Neben der ganzheitlichen Überwachung der Sicherheit und Qualität wird auch das Vertrauen in die Produkte und Dienstleistungen eines Unternehmens erhöht. Ein Gewinn für sämtliche Stakeholder:innen.