Die ISO 45001 ist die internationale Norm für Arbeitsschutzmanagementsysteme. Sie verlangt, dass ein Unternehmen Gefährdungen systematisch ermittelt, Risiken nach einer festen Maßnahmenhierarchie reduziert, seine Beschäftigten beteiligt und die Wirksamkeit des Arbeitsschutzes fortlaufend verbessert. Ein Zertifikat bestätigt das nach externem Audit für drei Jahre — es ergänzt die deutschen Arbeitsschutzpflichten, ersetzt sie aber nicht.
Ein schwerer Arbeitsunfall verändert alles: für den Betroffenen, für das Team — und für die Geschäftsführung, die im Ernstfall beweisen muss, dass der Arbeitsschutz organisiert war. Gleichzeitig verlangen immer mehr Industrie- und Bauauftraggeber von ihren Nachunternehmern einen systematischen Arbeitsschutznachweis. An beiden Stellen fällt derselbe Normname: ISO 45001.
Dieser Artikel erklärt, was hinter der Norm steckt: wie ein Arbeitsschutzmanagementsystem funktioniert, was die ISO 45001 konkret verlangt, wie sie sich zu den deutschen Rechtspflichten aus Arbeitsschutzgesetz und DGUV-Regelwerk verhält und wann sich die Zertifizierung lohnt — mit ehrlichen Zahlen zu Kosten und Aufwand und einer klaren Abgrenzung zum SCC-Regelwerk der Bau- und Industriebranche.
Was ist ISO 45001? Herkunft und Grundidee
Die ISO 45001:2018 ist die internationale Norm für Managementsysteme für Sicherheit und Gesundheit bei der Arbeit. Sie erschien im März 2018 als erste weltweite ISO-Norm für dieses Thema und löste den britischen Standard OHSAS 18001 ab, dessen Zertifikate nach einer Übergangsfrist im September 2021 ausliefen. Laut ISO Survey bestehen weltweit mehrere Hunderttausend gültige Zertifikate — die ISO 45001 gehört damit neben ISO 9001, 14001 und 27001 zu den meistzertifizierten Managementnormen.
Die Grundidee: Arbeitsschutz soll kein Zufallsprodukt engagierter Einzelpersonen sein, sondern ein gesteuertes System. Das Unternehmen ermittelt systematisch, wo Beschäftigte gefährdet sind, bewertet die Risiken, leitet Maßnahmen nach einer festen Rangfolge ab und prüft deren Wirksamkeit — eingebettet in den PDCA-Zyklus aus Planen, Umsetzen, Prüfen und Verbessern, der allen modernen ISO-Managementnormen zugrunde liegt.
Wichtig zur Einordnung: Die Norm schreibt keine konkreten Schutzmaßnahmen vor — keine Helmpflicht, keine Grenzwerte. Sie verlangt das System, mit dem der Betrieb seine eigenen Gefährdungen findet und beherrscht. Die inhaltlichen Anforderungen an Sicherheit liefert weiterhin das staatliche und berufsgenossenschaftliche Regelwerk.
Warum systematischer Arbeitsschutz? Die Zahlen und die Haftung
Drei Gründe treiben Unternehmen zur ISO 45001 — und keiner davon ist Imagepflege:
- Das reale Risiko: Die Unfallversicherungsträger registrieren in Deutschland Jahr für Jahr weit über 700.000 meldepflichtige Arbeitsunfälle. Jeder einzelne kostet Ausfalltage, Ersatzorganisation und im schweren Fall Menschen ihre Gesundheit. Betriebe mit systematischem Arbeitsschutz haben nachweislich weniger und leichtere Unfälle — das ist der eigentliche Zweck des Systems.
- Die persönliche Haftung: Arbeitsschutz ist Pflicht der Geschäftsführung. Ist er nicht organisiert — keine aktuellen Gefährdungsbeurteilungen, keine wirksame Pflichtenübertragung, keine Kontrolle — droht bei einem Unfall der Vorwurf des Organisationsverschuldens: Bußgelder, Regressforderungen der Unfallversicherung und im Extremfall strafrechtliche Verantwortung. Ein gelebtes Managementsystem ist der beste verfügbare Nachweis organisierter Sorgfalt.
- Der Marktdruck: Industrie- und Bauauftraggeber prüfen die Arbeitsschutzorganisation ihrer Nachunternehmer, bevor diese aufs Werksgelände dürfen. Ein anerkannter Systemnachweis — ISO 45001 oder branchenspezifisch SCC — ist zunehmend Voraussetzung für die Präqualifikation.
Ehrlich gesagt gilt auch die Umkehrung: Ein Bürodienstleister mit zehn Bildschirmarbeitsplätzen hat wenig von einem zertifizierten Arbeitsschutzmanagementsystem. Die Norm entfaltet ihren Wert dort, wo reale Gefährdungen bestehen — Werkstatt, Baustelle, Produktion, Logistik, Instandhaltung.
Was die ISO 45001 verlangt: Die Normkapitel im Überblick
Wie alle modernen ISO-Managementnormen folgt die 45001 der High Level Structure mit den Kapiteln 4 bis 10:
| Kapitel | Titel | Kernanforderung im Arbeitsschutz |
|---|---|---|
| 4 | Kontext der Organisation | Umfeld, interessierte Parteien (auch Beschäftigte und Behörden) und Anwendungsbereich bestimmen |
| 5 | Führung und Beteiligung | Verantwortung der obersten Leitung, Arbeitsschutzpolitik, Konsultation und Beteiligung der Beschäftigten |
| 6 | Planung | Gefährdungen ermitteln, Risiken und Chancen bewerten, rechtliche Verpflichtungen erfassen, messbare Ziele festlegen |
| 7 | Unterstützung | Ressourcen, Kompetenz und Unterweisung, Bewusstsein, Kommunikation, dokumentierte Information |
| 8 | Betrieb | Maßnahmenhierarchie anwenden, Änderungen steuern, Beschaffung und Fremdfirmen einbinden, Notfallvorsorge |
| 9 | Bewertung der Leistung | Kennzahlen und Rechtskonformität überwachen, interne Audits, Managementbewertung |
| 10 | Verbesserung | Vorfälle untersuchen, Korrekturmaßnahmen umsetzen, fortlaufend verbessern |
Das fachliche Fundament liegt in Kapitel 6: Die systematische Ermittlung von Gefährdungen entspricht im deutschen Kontext der Gefährdungsbeurteilung nach Arbeitsschutzgesetz — wer diese vollständig und aktuell führt, hat das Herzstück der Norm bereits in der Hand.
Die Besonderheiten: Was ISO 45001 von anderen Normen unterscheidet
Vier Anforderungen prägen die ISO 45001 stärker als jede andere Managementnorm:
- Konsultation und Beteiligung der Beschäftigten: Die Norm verlangt ausdrücklich, dass Beschäftigte — und wo vorhanden ihre Vertretungen — an der Entwicklung des Systems beteiligt werden: bei der Gefährdungsermittlung, der Festlegung von Maßnahmen, der Untersuchung von Vorfällen. Ein von oben verordnetes System ohne Einbindung der Belegschaft fällt im Audit durch, und zwar zu Recht: Die Menschen an der Maschine kennen die Gefährdungen am besten.
- Die Maßnahmenhierarchie: Bei der Risikominderung schreibt die Norm eine feste Rangfolge vor — Gefährdung beseitigen, durch Ungefährlicheres ersetzen, technische Maßnahmen, organisatorische Maßnahmen, zuletzt persönliche Schutzausrüstung. Das entspricht dem im deutschen Arbeitsschutz etablierten STOP-Prinzip. Wer im Audit jede Gefährdung mit Schutzbrille und Unterweisung beantwortet, muss erklären, warum technische Lösungen nicht geprüft wurden.
- Vorfalluntersuchung inklusive Beinaheunfällen: Nicht nur Unfälle, auch Beinaheunfälle und unsichere Zustände sollen gemeldet, untersucht und in Verbesserungen übersetzt werden — ein Frühwarnsystem, das Unfälle verhindert, bevor sie passieren.
- Fremdfirmen und Beschaffung: Das System endet nicht an der eigenen Belegschaft. Auftragnehmer auf dem Gelände, Leiharbeitskräfte und beschaffte Maschinen und Stoffe müssen in die Arbeitsschutzsteuerung einbezogen werden — in der Praxis über Fremdfirmenkoordination, Einweisungen und Beschaffungsregeln.
ISO 45001 und deutsches Recht: Ergänzung, kein Ersatz
Das Wichtigste zuerst: Die ISO 45001 ist freiwillig, das deutsche Arbeitsschutzrecht nicht. Arbeitsschutzgesetz, Verordnungen wie Betriebssicherheits-, Gefahrstoff- und Arbeitsstättenverordnung sowie das DGUV-Regelwerk gelten für jeden Betrieb ab der ersten Beschäftigten — mit oder ohne Zertifikat. Die Gefährdungsbeurteilung nach § 5 ArbSchG, die Unterweisungspflichten, die sicherheitstechnische und betriebsärztliche Betreuung nach ASiG und DGUV Vorschrift 2: All das muss ohnehin erfüllt sein.
Der Zusammenhang ist deshalb ein anderer: Die ISO 45001 liefert die Organisationsstruktur, in der diese Rechtspflichten zuverlässig erfüllt werden. Die Gefährdungsbeurteilung wird zum systematischen Planungsinstrument statt zur Pflichtübung im Ordner, Unterweisungen bekommen Termine und Wirksamkeitskontrolle, Zuständigkeiten werden schriftlich übertragen, die Rechtskonformität wird regelmäßig bewertet. Für Betriebe, die ihre Pflichten bislang lückenhaft erfüllen, ist die Normeinführung faktisch ein Compliance-Aufholprogramm — das ist Aufwand, aber er reduziert reale Risiken.
Erwähnenswert ist auch die Alternative unterhalb der Zertifizierung: Die staatliche Gemeinschaftsinitiative bietet mit dem Nationalen Leitfaden für Arbeitsschutzmanagementsysteme und Programmen der Länder und Unfallversicherungsträger anerkannte Wege, den Arbeitsschutz systematisch zu organisieren, ohne ein Zertifikat zu erwerben. Wer keinen Nachweis für Kunden braucht, kann damit denselben Sicherheitsgewinn erzielen.
ISO 45001 oder SCC? Und was kostet die Zertifizierung?
In der Bau- und Industriedienstleistung konkurriert die ISO 45001 mit dem SCC-Regelwerk (Sicherheits Certifikat Contraktoren), das viele Auftraggeber aus Chemie, Energie und Anlagenbau traditionell verlangen. Die Faustregel: SCC ist ein branchenspezifisches Prüfschema mit festen Pflichten bis hin zu Personalzertifikaten, die ISO 45001 ein flexibles Managementsystem mit internationaler Anerkennung. Welcher Nachweis der richtige ist, entscheidet nicht der Betrieb, sondern der Auftraggeber — fragen Sie vor der Beauftragung schriftlich nach, was verlangt wird. Zunehmend akzeptieren Auftraggeber beide Nachweise.
Zu den Kosten: Bei akkreditierten Zertifizierungsstellen kostet der Drei-Jahres-Zyklus für kleine und mittlere Unternehmen typischerweise 7.000 bis 14.000 Euro, abhängig von Mitarbeiterzahl und Gefährdungsprofil. Nicht akkreditierte Festpreisanbieter liegen deutlich darunter — bei KCERT etwa 1.950 Euro netto pro Jahr bis 5 Mitarbeitende beziehungsweise 2.950 Euro bis 25 Mitarbeitende, Überwachungsaudits inklusive. Dazu kommt in beiden Fällen der interne Aufwand für Systemaufbau und Pflege.
Der ehrliche Hinweis dazu: Ein nicht akkreditiertes Zertifikat entsteht im gleichen zweistufigen Auditverfahren, wird aber von Konzern-Präqualifikationssystemen, SCC-orientierten Auftraggebern und in öffentlichen Ausschreibungen häufig nicht anerkannt. Gerade im Arbeitsschutz, wo der Nachweis meist für Auftraggeber erbracht wird, sollte die Anerkennungsfrage vor der Anbieterwahl geklärt sein. Wer das Zertifikat primär als internes Steuerungs- und Haftungsvorsorge-Instrument nutzt, fährt mit dem günstigen Weg dagegen solide.
Ablauf der Zertifizierung: Von der Vorbereitung zum Zertifikat
Der Weg zum ISO-45001-Zertifikat folgt dem üblichen Muster der Managementsystem-Zertifizierung:
- Bestandsaufnahme: Abgleich der bestehenden Arbeitsschutzorganisation mit den Normanforderungen — vorhandene Gefährdungsbeurteilungen, Unterweisungen, Betreuung, Vorfallbearbeitung. Hier zeigt sich, wie groß die Lücke wirklich ist.
- Systemaufbau: Fehlende Elemente ergänzen: Arbeitsschutzpolitik und Ziele, Beteiligungsprozesse, Fremdfirmensteuerung, Notfallvorsorge, Kennzahlen. Je nach Ausgangslage dauert diese Phase drei bis neun Monate; Betriebe mit gelebtem Arbeitsschutz und bestehendem ISO-9001-System sind deutlich schneller.
- Internes Audit und Managementbewertung: Beides muss vor dem Zertifizierungsaudit nachweisbar stattgefunden haben.
- Stufe-1- und Stufe-2-Audit: Erst die Dokumentationsprüfung, dann die Prüfung der gelebten Praxis vor Ort — mit Betriebsrundgang, Blick auf Maschinen, Gefahrstoffe und PSA sowie Gesprächen mit Beschäftigten, deren Beteiligung die Norm ja ausdrücklich verlangt.
- Zertifikat und Zyklus: Drei Jahre Gültigkeit, jährliche Überwachungsaudits, Rezertifizierung im vierten Jahr.
Das Verfahren selbst dauert bei guter Vorbereitung vier bis sechs Wochen. Sinnvoll ist die Kombination mit ISO 9001 oder ISO 14001 im integrierten Managementsystem: Die gemeinsamen Systemteile — Dokumentenlenkung, Audits, Managementbewertung — werden nur einmal aufgebaut und nur einmal auditiert.
Häufige Fragen
Die ISO 45001 ist die internationale Norm für Arbeitsschutzmanagementsysteme. Sie verlangt, dass ein Betrieb Gefährdungen für seine Beschäftigten systematisch ermittelt, Risiken nach einer festen Rangfolge reduziert — erst beseitigen und technisch lösen, zuletzt Schutzausrüstung —, seine Beschäftigten dabei beteiligt und die Wirksamkeit laufend überprüft. Ein externes Audit bestätigt das mit einem drei Jahre gültigen Zertifikat.
Nein, die Zertifizierung ist freiwillig. Verpflichtend sind die deutschen Arbeitsschutzvorschriften — Arbeitsschutzgesetz mit Gefährdungsbeurteilung und Unterweisungen, die Verordnungen und das DGUV-Regelwerk —, und zwar ab der ersten Beschäftigten, mit oder ohne Zertifikat. Faktisch wird die ISO 45001 aber zunehmend zur Marktanforderung, wenn Industrie- oder Bauauftraggeber einen Systemnachweis für die Präqualifikation verlangen.
Die ISO 45001 erschien im März 2018 als erste internationale ISO-Norm für Arbeitsschutzmanagement und löste den britischen Standard OHSAS 18001 ab. Nach einer Übergangsfrist verloren OHSAS-Zertifikate im September 2021 ihre Gültigkeit. Wesentliche Neuerungen waren die einheitliche High Level Structure, die stärkere Verantwortung der obersten Leitung und die ausdrückliche Pflicht zur Konsultation und Beteiligung der Beschäftigten.
Bei akkreditierten Zertifizierungsstellen kostet der Drei-Jahres-Zyklus für kleine und mittlere Unternehmen typischerweise 7.000 bis 14.000 Euro. Nicht akkreditierte Festpreisanbieter wie KCERT liegen bei 1.950 Euro netto pro Jahr bis 5 Mitarbeitende beziehungsweise 2.950 Euro bis 25 Mitarbeitende, Überwachungsaudits inklusive. Achtung: Für Präqualifikationen und Ausschreibungen wird häufig ein akkreditiertes Zertifikat verlangt — vorher klären.
SCC ist ein branchenspezifisches Regelwerk für Kontraktoren in Chemie, Energie und Anlagenbau mit festen Prüfpflichten und Personalzertifikaten, die ISO 45001 ein international anerkanntes, flexibles Managementsystem für jede Branche und Größe. Welcher Nachweis nötig ist, bestimmt der Auftraggeber: Klassische SCC-Branchen verlangen oft weiterhin SCC, viele Auftraggeber akzeptieren inzwischen beide Nachweise.
Nein — sie setzt sie voraus. Die Gefährdungsbeurteilung nach § 5 Arbeitsschutzgesetz ist für jeden deutschen Betrieb Pflicht und bildet zugleich das fachliche Herzstück des Managementsystems: Die Norm verlangt genau diese systematische Ermittlung und Bewertung von Gefährdungen, ergänzt um Beteiligung der Beschäftigten, Maßnahmenverfolgung und Wirksamkeitskontrolle. Wer seine Gefährdungsbeurteilungen vollständig und aktuell führt, hat den größten Teil von Normkapitel 6 bereits erfüllt.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT