Normy ISO i standardy branżowe różnią się nie tylko wymaganiami, ale też tym, skąd bierze się potrzeba wdrożenia. Część wynika z prawa, część z wymagań odbiorców, a resztę firma wybiera sama. Zestawienie obejmuje 19 pozycji z 16 obszarów opisanych w serwisie, podaje źródło każdej klasyfikacji i odsyła do szczegółowych porównań par norm.
Opublikowano: · Zaktualizowano: · Przygotował: Ireneusz Kozera, audytor wiodący ISO
Pierwszy poziom to przepisy. HACCP w zakładzie spożywczym, środki bezpieczeństwa z ustawy o krajowym systemie cyberbezpieczeństwa, ochrona danych osobowych czy obowiązki z rozporządzeń PPWR i EUDR wynikają z przepisów i dotyczą firmy niezależnie od tego, czy ma jakikolwiek certyfikat. Weryfikuje je organ państwa w kontroli albo nadzorze, a nie jednostka certyfikująca.
Drugi poziom to wymagania odbiorców. Sieci handlowe wpisują do umów standardy uznane przez GFSI, producenci pojazdów oczekują IATF 16949 i oceny TISAX, a zamawiający w przetargach mogą żądać certyfikatu systemu zarządzania. Prawo tego nie nakazuje, ale bez certyfikatu firma nie wchodzi do łańcucha dostaw takiego odbiorcy.
Trzeci poziom to decyzja samej firmy: system zarządzania jakością, środowiskowy albo energetyczny wdrożony po to, żeby uporządkować procesy, zanim zapyta o niego klient. Poziomy się nie zastępują. Certyfikat dobrowolnej normy nie zwalnia z obowiązku prawnego, a spełnienie przepisów nie daje certyfikatu.
Kolumna „Wynik" odróżnia certyfikat od innych form potwierdzenia. Przy przepisach takich jak ustawa o KSC, PPWR czy EUDR certyfikatu w ogóle nie ma: firma dokonuje wpisów i składa oświadczenia, prowadzi dokumentację i poddaje się audytom albo kontroli. Certyfikaty norm ISO wydają akredytowane jednostki certyfikujące, a certyfikat IATF 16949 wyłącznie jednostka uznana przez IATF. Doradca przygotowuje firmę do audytu, ale certyfikatu nie wydaje.
| Norma lub regulacja | Status | Kto wymaga | Wynik | Cykl |
|---|---|---|---|---|
| ISO 9001 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 14001 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 45001 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 27001 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 22000 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 50001 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 42001 | norma dobrowolna | klienci, przetargi | certyfikat akredytowanej jednostki certyfikującej | 3 lata, audyt nadzoru co roku |
| ISO 13485 | norma dobrowolna | klienci; MDR wymaga od wytwórcy systemu zarządzania jakością (art. 10 ust. 9) | certyfikat; EN ISO 13485:2016 ze zmianą A11:2021 jest normą zharmonizowaną z MDR | 3 lata, audyt nadzoru co roku |
| IATF 16949 | wymóg klienta lub rynku | producenci pojazdów (OEM) | certyfikat jednostki uznanej przez IATF | 3 lata, audyt nadzoru co 12 miesięcy |
| TISAX | wymóg klienta lub rynku | producenci pojazdów i ich dostawcy | etykieta TISAX wymieniana przez platformę ENX (ocena na poziomie AL2 albo AL3) | etykieta ważna 3 lata |
| FSSC 22000 | wymóg klienta lub rynku | sieci handlowe, przemysł (schemat uznany przez GFSI) | certyfikat | 3 lata, audyt nadzoru co roku, co najmniej jeden audyt niezapowiedziany w cyklu |
| BRCGS Food | wymóg klienta lub rynku | sieci handlowe (standard uznany przez GFSI) | certyfikat z oceną | audyt co 12 miesięcy, przy ocenie C lub D co 6 miesięcy |
| IFS Food | wymóg klienta lub rynku | sieci handlowe (standard uznany przez GFSI) | certyfikat z wynikiem | audyt co 12 miesięcy |
| GMP+ FSA | wymóg klienta lub rynku | odbiorcy pasz | certyfikat | cykl certyfikacji do 3 lat, audyty nadzoru według zasad schematu GMP+ |
| HACCP, GHP i GMP | obowiązek prawny | prawo żywnościowe (rozporządzenie (WE) nr 852/2004) | kontrola urzędowa; certyfikat HACCP jest dobrowolny | bez cyklu certyfikacji |
| NIS2 i ustawa o KSC | obowiązek prawny | ustawa o krajowym systemie cyberbezpieczeństwa (podmioty kluczowe i ważne) | brak certyfikatu: wpis do wykazu, system zarządzania bezpieczeństwem informacji, nadzór organów | audyt bezpieczeństwa podmiotów kluczowych co najmniej raz na 3 lata |
| RODO | obowiązek prawny | rozporządzenie (UE) 2016/679 | brak obowiązkowego certyfikatu (certyfikacja z art. 42 jest dobrowolna); kontrola Prezesa UODO | bez cyklu certyfikacji |
| PPWR | obowiązek prawny | rozporządzenie (UE) 2025/40 | brak certyfikatu: deklaracja zgodności UE i dokumentacja techniczna opakowania | bez cyklu certyfikacji; kontrola organów nadzoru rynku |
| EUDR | obowiązek prawny | rozporządzenie (UE) 2023/1115 | brak certyfikatu: oświadczenie o należytej staranności w systemie informacyjnym UE | bez cyklu certyfikacji; kontrola właściwego organu krajowego |
Stan prawny na Opis przepisów ma charakter informacyjny i nie stanowi porady prawnej.
Dostęp do źródeł:
W branży spożywczej i paszowej obowiązek prawny i wymagania handlowe nakładają się najmocniej. Analiza zagrożeń według zasad HACCP jest wspólnym fundamentem, a kolejne standardy różnią się tym, kto ich wymaga i jak szczegółowo audytor sprawdza zakład.
HACCP · ISO 22000
HACCP wynika z prawa żywnościowego i wystarcza, gdy odbiorcy nie żądają certyfikatu. ISO 22000 wybiera zakład, który chce certyfikowanego systemu bezpieczeństwa żywności; przy wymaganiach sieci handlowych w grę wchodzą standardy uznane przez GFSI.
ISO 9001 · ISO 22000
ISO 9001 dotyczy jakości wyrobu i spełniania wymagań klienta, a ISO 22000 bezpieczeństwa żywności opartego na zasadach HACCP. Zakład, od którego odbiorcy oczekują certyfikatu bezpieczeństwa żywności, wybiera ISO 22000; obie normy mają wspólną strukturę, więc mogą działać w jednym systemie.
W bezpieczeństwie informacji jeden system zarządzania często obsługuje kilka ocen naraz: certyfikację ISO 27001, wymagania ustawy o KSC i ocenę TISAX u klienta z branży motoryzacyjnej. Różnią się zakresem, tym, kto go wyznacza, i formą wyniku.
ISO 27001 · NIS2 / KSC
Certyfikat nie zwalnia z obowiązków ustawowych. Firma z ISO 27001 ma już system zarządzania bezpieczeństwem informacji, którego wymaga ustawa, i uzupełnia przede wszystkim wpis do wykazu, zgłaszanie incydentów i odpowiedzialność kierownictwa.
TISAX · ISO 27001
O TISAX decyduje klient z branży motoryzacyjnej, który wskazuje zakres i poziom oceny. ISO 27001 firma wybiera sama; gdy potrzebne są obie oceny, jeden system bezpieczeństwa informacji obsługuje wymagania każdej z nich.
ISO 42001 · AI Act
Nie. AI Act, czyli rozporządzenie (UE) 2024/1689, nakłada obowiązki ustawowe, których certyfikat nie zastępuje. Norma pomaga za to zbudować ocenę ryzyka, dokumentację i nadzór człowieka nad AI, o które rozporządzenie pyta dostawców systemów wysokiego ryzyka.
Normy systemów zarządzania jakością, środowiskiem, energią i BHP mają wspólną strukturę rozdziałów, więc porównania dotyczą głównie kolejnych wydań, łączenia norm w jeden system, norm branżowych zbudowanych na ISO 9001 i relacji normy z obowiązkiem ustawowym.
ISO 9001:2026 · ISO 9001:2015
Firma z certyfikatem według wydania 2015 nie buduje systemu od nowa. Aktualizuje dokumenty, szkoli zespół i potwierdza zmiany na audycie przejścia w terminie ustalonym z jednostką certyfikującą.
ISO 14001:2026 · ISO 14001:2015
Struktura rozdziałów zostaje, więc przejście polega na przeglądzie rejestru aspektów, obowiązków dotyczących zgodności i zapisów przed audytem przejścia. Nowy system środowiskowy warto od początku opierać na wydaniu 2026.
ISO 9001 · ISO 14001 · ISO 45001
Wspólna struktura rozdziałów 4-10 pozwala prowadzić trzy normy w jednym systemie z jednym audytem wewnętrznym i jednym przeglądem zarządzania. Osobne systemy bronią się wtedy, gdy normy obejmują różne zakłady albo zespoły.
ISO 45001 · OHSAS 18001
Nie. Norma ISO 45001 zastąpiła OHSAS 18001, więc firma z dawnym certyfikatem BHP przechodzi pełną certyfikację według nowej normy, a nie przedłużenie starego dokumentu.
IATF 16949 · ISO 9001
To nie jest wybór jednego z dwóch: IATF 16949 stosuje się razem z ISO 9001 i wymaganiami klientów, a certyfikat wydaje jednostka uznana przez IATF. O tym, czy dostawca potrzebuje IATF, decyduje odbiorca z branży.
Niezależnie od normy firma wybiera sposób dojścia do certyfikatu i musi odróżnić audyty, które prowadzi sama, od tych, które prowadzi jednostka certyfikująca.
audyt wewnętrzny · audyt certyfikacyjny
Audyt wewnętrzny firma prowadzi sama, żeby znaleźć problemy przed oceną z zewnątrz. Certyfikacyjny prowadzi niezależna jednostka i tylko on kończy się decyzją o certyfikacie.
Z dokumentów odbiorcy: umowy, ogólnych warunków zakupu, ankiety dostawcy albo specyfikacji przetargu. Warto dopytać dział zakupów o cztery rzeczy: nazwę normy lub standardu, wydanie, zakres certyfikacji i to, czy jednostka musi mieć akredytację. Bez tych informacji łatwo wdrożyć coś, czego klient nie uzna.
Nie. Każda norma i każdy standard ma własny certyfikat albo własną formę oceny. Wspólne elementy, takie jak analiza ryzyka, audyt wewnętrzny czy przegląd zarządzania, można jednak prowadzić raz dla kilku norm, co skraca drugie i kolejne wdrożenie.
Nie. Certyfikat wydaje akredytowana jednostka certyfikująca po własnym audycie, a ta sama osoba nie może wdrażać systemu i oceniać go do certyfikatu. Doradca przygotowuje firmę do audytu, a jednostkę firma wybiera samodzielnie.
Wtedy decyduje cel firmy. Jeżeli chodzi o uporządkowanie procesów, wystarczy system zbudowany według normy, bez certyfikatu. Certyfikacja ma sens, gdy firma planuje wejść do łańcuchów dostaw, startować w przetargach albo chce zewnętrznego potwierdzenia, że system działa.
Opisz branżę i wymagania odbiorców. Odpowiem, które normy są obowiązkowe, które wynikają z umów, a które warto rozważyć, i przygotuję wycenę wdrożenia.
