Diese Fallstudie beginnt mit einer Offenlegung, weil sie ohne diese Offenlegung nichts wert wäre: Ich bin CEO der Eucerta AG und Gründer von Netgen. Netgen Switzerland war damit unser eigenes Testfeld – das erste Unternehmen, das den gesamten Weg durch unsere Plattform gegangen ist, mit allen Reibungen, die dabei auffielen.
Wer daraus schliesst, dass diese Fallstudie kein unabhängiger Kundenbericht ist, hat recht. Sie ist etwas anderes: die Dokumentation dessen, was passiert, wenn man vier Normen gleichzeitig als ein System aufbaut, statt sie nacheinander abzuarbeiten. Die Prüfung selbst lief nach denselben Regeln wie bei jedem anderen Verfahren – dieselbe Norm, derselbe Massstab, dieselbe Zahl an Audittagen. Wie wir Unabhängigkeit organisieren, steht auf der Seite Unabhängig zertifiziert.
„Wir wollten wissen, ob unser eigenes Versprechen hält. Also haben wir es zuerst an uns selbst geprüft – und zwar mit vier Normen gleichzeitig, weil genau das der schwierigste Fall ist.“ – Christian Paredes, CEO Eucerta AG
Das Unternehmen und der Geltungsbereich
Netgen Switzerland ist eine Web- und Digitalagentur mit Sitz in Zürich, tätig im Bereich Technology und Software. Der Geltungsbereich im Zertifikat lautet: „Massgeschneiderte Weblösungen für optimale Customer Experiences im digitalen Marketing“.
Das ist ein typischer Fall für eine Dienstleistungsorganisation mit vier relevanten Themen gleichzeitig: Projektqualität gegenüber Kunden, Informationssicherheit, weil Kundendaten und Zugänge verarbeitet werden, Umweltaspekte eines Bürobetriebs mit IT-Infrastruktur, und der Einsatz von KI in der Leistungserbringung. Genau daraus ergaben sich die vier Normen: ISO 9001, ISO 14001, ISO 27001 und ISO 42001.
Die Fakten zum Verfahren
Die überprüfbaren Daten zuerst, weil sie den Rahmen setzen:
- Vier Normen als ein integriertes Managementsystem: ISO 9001, ISO 14001, ISO 27001, ISO 42001
- Zertifiziert am 8. Mai 2026, gültig bis 7. Mai 2029
- Zertifikatsnummern: eca-20260630-001 für Qualitätsmanagement sowie eca-20260818-001 für Umwelt-, Informationssicherheits- und KI-Management
- Erstes Projekt in der Plattform im Februar 2026 angelegt, weitere im März und April, alle vier im Mai 2026 zertifiziert
- 164 Aufgaben über die Normkapitel hinweg, 54 Dokumente im System
Jedes dieser Zertifikate ist im öffentlichen Register unter eucerta.org über die Zertifikatsnummer prüfbar. Eine Fallstudie, deren Zertifikate man nicht nachschlagen kann, ist eine Behauptung.
Rund drei Monate vom ersten Projekt bis zur Zertifizierung aller vier Normen – das ist die Zahl aus der Überschrift, und sie hat eine Bedingung: Das Unternehmen arbeitete vorher schon strukturiert. Die Normen haben vorhandene Praxis geordnet, nicht fehlende ersetzt.
Was die Zahl 164 über die Arbeitsweise sagt
164 Aufgaben klingen nach viel, sind aber der eigentliche Grund, warum vier Normen gemeinsam schneller gehen als einzeln. Die vier Normen folgen seit der gemeinsamen Grundstruktur demselben Aufbau: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung, Verbesserung – in derselben Reihenfolge, mit weitgehend demselben Inhalt.
Wer sie getrennt einführt, schreibt diese Kapitel viermal, führt vier interne Auditprogramme, hält vier Managementbewertungen ab und lässt sich viermal auditieren. Der inhaltliche Mehrwert dieser Vervierfachung ist null – und der Aufwand geht auf Kosten der Themen, die wirklich Aufmerksamkeit brauchen. Für eine Agentur, die Kundendaten und Zugänge verarbeitet, ist das vor allem die Informationssicherheit: Der Lagebericht des BSI zur IT-Sicherheit in Deutschland 2025 benennt das konsequente Management der eigenen Angriffsflächen als entscheidenden Hebel und weist rund 80 Prozent der angezeigten Angriffe kleinen und mittleren Unternehmen zu. Im integrierten System entstehen die gemeinsamen Kapitel einmal, und normspezifisch bleiben genau die Teile, die tatsächlich unterschiedlich sind: die Umweltaspekte und das Rechtskataster für ISO 14001, die Risikobewertung und die 93 Massnahmen des Anhang A für ISO 27001, die KI-Systemübersicht mit ihren Auswirkungsbetrachtungen für ISO 42001.
Die 54 Dokumente sind in diesem Licht die aussagekräftigere Zahl. Vier getrennte Systeme hätten für dieselbe Substanz deutlich mehr Dokumente produziert – mit dem bekannten Folgeproblem, dass vier Versionen derselben Regel irgendwann auseinanderlaufen.
`[PRÜFEN: Falls die Plattform die Zahl der Dokumente eines vergleichbaren Einzelnorm-Projekts hergibt, wäre hier ein belegter Vergleich stark, z. B. „54 Dokumente statt X bei vier getrennten Systemen“. Ohne belegte Vergleichszahl bleibt die Aussage qualitativ, so wie sie jetzt steht.]`
Was ISO 42001 im Fall einer Agentur konkret bedeutete
Der interessanteste Teil war die KI-Norm, weil hier am wenigsten Routine existiert. Für eine Agentur, die KI in der Leistungserbringung einsetzt, verlangt ISO 42001 unter anderem eine Übersicht der eingesetzten KI-Systeme, eine Bewertung ihrer Auswirkungen, klare Zuständigkeiten und Regeln für den Umgang mit Ergebnissen – einschliesslich der Frage, wo ein Mensch entscheidet und nicht das System.
Für den Betrieb heisst das weniger Technik als erwartet und mehr Organisation: Welche Werkzeuge sind freigegeben? Welche Kundendaten dürfen hinein und welche nicht? Wer prüft Ergebnisse, bevor sie an Kunden gehen? Wie wird das dokumentiert?
Diese Fragen sind auch der Grund, warum ISO 42001 und der EU AI Act zusammen gedacht werden sollten: Die Norm strukturiert, wie KI verantwortungsvoll betrieben wird, die Verordnung regelt, was erlaubt ist. Sie ist seit dem 1. August 2024 in Kraft, die Pflichten für allgemeine KI-Modelle gelten seit dem 2. August 2025, weitere Stufen folgen 2026 und 2027. Für den Einsatz von KI im Produkt erzeugt das erfahrungsgemäss dieselben Grundlagen – Systemübersicht, Risikobewertung, Verantwortlichkeiten, Dokumentation. Details dazu stehen auf unseren Seiten zu ISO 42001 und zum EU AI Act.
`[PRÜFEN: Hier wäre ein konkretes, freigegebenes Beispiel aus dem Netgen-Verfahren wertvoll – etwa eine Regel zum Umgang mit Kundendaten in KI-Werkzeugen, die aus dem Aufbau des AIMS entstanden ist. Bitte nur mit Freigabe von Netgen, da es den Betrieb beschreibt.]`
Was zwischen den Audits passiert
Der Teil, der in Fallstudien meistens fehlt, ist der wichtigste: Ein Zertifikat gilt drei Jahre ab dem Auditdatum – bei Netgen also bis zum 7. Mai 2029. In diesen drei Jahren entscheidet sich, ob das System lebt oder im Ordner verstaubt.
Vorgesehen ist dafür die laufende Pflege in der Plattform statt der Wiederbelebung vor dem nächsten Audit: Aufgaben mit Fälligkeiten, Dokumente mit Verantwortlichen, ein internes Auditprogramm über alle vier Normen und eine Managementbewertung, die eine Entscheidungsgrundlage für die Geschäftsleitung ist und nicht ein Protokoll für den Auditor. Wer diese Pflege nicht selbst leisten will, arbeitet mit einem Partner aus unserem Partnernetzwerk als internem Auditor – bei uns „Kümmerer“ genannt.
`[PRÜFEN: Stand der Überwachungsphase bei Netgen zum Erscheinungsdatum (11.11.2026) – wurden bereits interne Audits oder eine Managementbewertung im neuen Zyklus durchgeführt? Vorschlag: einen Satz mit dem tatsächlichen Stand ergänzen, das macht den Abschnitt belastbar statt programmatisch.]`
Was wir daraus für andere Projekte mitgenommen haben
Drei Beobachtungen haben sich seither in anderen Verfahren bestätigt:
- Der Geltungsbereich ist die teuerste Entscheidung am Anfang. Er bestimmt bei vier Normen den Aufwand vierfach.
- Die Reihenfolge schlägt das Tempo. Erst die gemeinsamen Kapitel, dann die normspezifischen Teile – umgekehrt entsteht doppelte Arbeit.
- Vorhandenes zählt mehr als Neues. Der Zeitgewinn entstand beim Ordnen bestehender Praxis, nicht beim Erfinden neuer Prozesse.
`[PRÜFEN: Falls es konkrete Erfahrungswerte zur Zeitersparnis gegenüber vier Einzelverfahren gibt (Audittage, Personentage), bitte hier belegt ergänzen. Ich habe bewusst keine Prozentzahl geschrieben, weil sie nicht belegt ist.]`
Fazit
Vier Normen in einem System und rund drei Monate bis zur Zertifizierung – das ist möglich, aber es ist kein Versprechen für jeden Betrieb. Die Voraussetzung war ein Unternehmen, das bereits strukturiert arbeitete, und eine Entscheidung, die vier Normen von Anfang an gemeinsam zu denken.
Was sich verallgemeinern lässt, ist die Logik dahinter: Die gemeinsame Grundstruktur der Normen ist nicht Theorie, sondern ein realer Hebel. Wer sie nutzt, zahlt die Grundlagenarbeit einmal statt viermal. Und wer sein eigenes Unternehmen als Testfeld nimmt, sollte das offenlegen – deshalb steht die Offenlegung in diesem Beitrag oben und nicht im Kleingedruckten.
Ihr nächster Schritt: Rechnen Sie im Kostenrechner den Bündelpreis für Ihre Normen durch – ab der zweiten Norm 149 statt 179 Euro im Monat – oder sehen Sie sich an, wie ein integriertes Managementsystem aufgebaut ist.
Weiterführend:
