ISO 45001 Arbeitsschutz-Leitfaden 2026

In Deutschland ergänzt ISO 45001 die gesetzlichen Anforderungen aus dem Arbeitsschutzgesetz (ArbSchG), der Betriebssicherheitsverordnung (BetrSichV), der Gefahrstoffverordnung (GefStoffV) und den DGUV-Vorschriften. Die Norm geht über den gesetzlichen Mindeststandard hinaus und fordert eine proaktive Arbeitsschutzkultur.

Unterschied zu OHSAS 18001

Die OHSAS 18001 war über zwei Jahrzehnte der De-facto-Standard für Arbeitsschutzmanagementsysteme. Mit der Veröffentlichung von ISO 45001 wurde sie zurückgezogen. Die wichtigsten Unterschiede auf einen Blick:

Der größte Paradigmenwechsel liegt in der proaktiven Ausrichtung: Während OHSAS 18001 vor allem auf die Vermeidung von Gefahren abzielte, verlangt ISO 45001 ausdrücklich die Identifizierung von Chancen — also Möglichkeiten, den Arbeitsschutz aktiv zu verbessern, nicht nur Schaden zu verhindern.

Ein weiterer zentraler Unterschied: Die oberste Leitung kann die Verantwortung für Arbeitsschutz nicht mehr an einen Beauftragten delegieren. Sie muss Führung und Engagement persönlich nachweisen — etwa durch Teilnahme an Sicherheitsbegehungen, Bereitstellung von Ressourcen und regelmäßige Managementbewertungen.

Klauseln-Überblick (Kapitel 4–10)

ISO 45001 ist in 10 Klauseln gegliedert, wobei die Anforderungen in den Klauseln 4 bis 10 stehen. Die Klauseln 1–3 (Anwendungsbereich, Normative Verweisungen, Begriffe) enthalten keine zertifizierungsrelevanten Anforderungen.

Klausel 4 — Kontext der Organisation

Die Organisation muss interne und externe Themen bestimmen, die sich auf das SGA auswirken. Dazu gehören rechtliche Anforderungen (ArbSchG, BetrSichV, GefStoffV), Erwartungen interessierter Parteien (Beschäftigte, Berufsgenossenschaften, Aufsichtsbehörden) und der Anwendungsbereich des Managementsystems.

Klausel 5 — Führung und Beteiligung der Beschäftigten

Die oberste Leitung muss Führung und Verpflichtung zeigen, eine SGA-Politik festlegen, Rollen und Verantwortlichkeiten zuweisen und die Konsultation und Beteiligung der Beschäftigten sicherstellen. Besonders Klausel 5.4 fordert Mechanismen zur aktiven Einbindung aller Hierarchieebenen.

Klausel 6 — Planung

Hier werden Maßnahmen zum Umgang mit Risiken und Chancen geplant. Dies umfasst die Gefahrenidentifizierung, Risikobewertung und die Festlegung von SGA-Zielen mit messbaren Kennzahlen. Auch die Bewertung von Compliance-Verpflichtungen gehört zu Klausel 6.

Klausel 7 — Unterstützung

Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Informationen. Die Organisation muss sicherstellen, dass alle Beschäftigten über die notwendige Kompetenz verfügen und sich der SGA-Politik bewusst sind.

Klausel 8 — Betrieb

Operative Planung und Steuerung, einschließlich der Beseitigung von Gefahren und der Verringerung von SGA-Risiken (Hierarchie der Maßnahmen), Änderungsmanagement, Beschaffung und Auftragnehmersteuerung sowie Notfallplanung und -reaktion.

Klausel 9 — Bewertung der Leistung

Überwachung, Messung, Analyse und Bewertung. Interne Audits und Managementbewertungen. Wichtige Kennzahlen: LTIFR (Lost Time Injury Frequency Rate), Severity Rate, Near-Miss-Quote, Schulungsabdeckung.

Klausel 10 — Verbesserung

Vorfälle, Nichtkonformitäten und Korrekturmaßnahmen. Fortlaufende Verbesserung des SGA. Besonders wichtig: Die Ursachenanalyse bei Vorfällen muss systematisch erfolgen (z.B. 5-Why, Ishikawa, Bow-Tie).

Gefährdungsbeurteilung (GBU)

Die Gefährdungsbeurteilung ist das Herzstück jedes Arbeitsschutzmanagementsystems — sowohl nach ISO 45001 (Klausel 6.1.2) als auch nach deutschem Recht (§ 5 ArbSchG). Sie ist die systematische Ermittlung und Bewertung aller Gefährdungen, denen Beschäftigte bei der Arbeit ausgesetzt sind.

Die 7 Schritte der Gefährdungsbeurteilung

• Schritt 1 — Arbeitsbereiche festlegen: Tätigkeiten, Arbeitsplätze und Personengruppen definieren
• Schritt 2 — Gefährdungen ermitteln: Mechanische, elektrische, chemische, biologische, physikalische, psychische und organisatorische Gefährdungen identifizieren
• Schritt 3 — Risiken bewerten: Eintrittswahrscheinlichkeit × Schadensausmaß = Risikozahl (Risikomatrix)
• Schritt 4 — Maßnahmen festlegen: STOP-Prinzip (Substitution, Technische, Organisatorische, Persönliche Maßnahmen)
• Schritt 5 — Maßnahmen umsetzen: Verantwortliche, Termine und Ressourcen zuweisen
• Schritt 6 — Wirksamkeit prüfen: Nach Umsetzung erneut bewerten, ob das Restrisiko akzeptabel ist
• Schritt 7 — Dokumentation und Fortschreibung: Alle Ergebnisse dokumentieren, regelmäßig aktualisieren

Risikomatrix (5 × 5)

Bewertung: 1–4 = akzeptabel (grün), 5–9 = vertretbar mit Maßnahmen (gelb), 10–15 = erheblich, Maßnahmen erforderlich (orange), 16–25 = inakzeptabel, sofort handeln (rot).

ISO 45001 fordert ausdrücklich, dass die GBU nicht nur physische, sondern auch psychische Gefährdungen umfasst. Dazu gehören Arbeitsintensität, emotionale Anforderungen, mangelnde Handlungsspielräume, soziale Konflikte und Arbeitsplatzunsicherheit. Seit 2013 ist die psychische GBU auch nach § 5 ArbSchG explizit vorgeschrieben.

Vorfallmanagement und Ursachenanalyse

Klausel 10.2 der ISO 45001 fordert, dass Organisationen auf Vorfälle (Unfälle, Beinahe-Unfälle, Berufskrankheiten) und Nichtkonformitäten reagieren und deren Ursachen systematisch analysieren. Das Ziel: Wiederholung verhindern.

Vorfallkategorien

• Arbeitsunfall: Ereignis mit Personenschaden (meldepflichtig ab 3 Tagen Arbeitsunfähigkeit an die BG)
• Wegeunfall: Unfall auf dem direkten Weg zur/von der Arbeit
• Beinahe-Unfall (Near Miss): Ereignis ohne Personenschaden, aber mit Schadenpotenzial
• Berufskrankheit: Erkrankung durch berufliche Tätigkeit (BK-Liste der BG)
• Unsichere Handlung/Zustand: Beobachtung, die zu einem Vorfall führen könnte

Der Vorfallmanagement-Prozess

• 1. Sofortmaßnahmen: Erste Hilfe, Gefahrenbereich sichern, Notdienste alarmieren
• 2. Meldung: Interne Meldung innerhalb von 24 Stunden, bei schweren Unfällen sofort an die BG und ggf. die Arbeitsschutzbehörde
• 3. Untersuchung: Fakten sammeln (Fotos, Zeugenaussagen, Skizzen), Ursachenanalyse durchführen
• 4. Ursachenanalyse: Systematische Methoden wie 5-Why, Ishikawa-Diagramm oder Bow-Tie-Analyse einsetzen
• 5. Korrekturmaßnahmen: CAPA (Corrective and Preventive Action) definieren und umsetzen
• 6. Wirksamkeitsprüfung: Nach Umsetzung prüfen, ob die Maßnahme greift
• 7. Lessons Learned: Erkenntnisse organisationsweit teilen

Kennzahlen im Vorfallmanagement

Praxistipp: Eine hohe Near-Miss-Meldequote ist ein positives Zeichen — sie zeigt, dass Beschäftigte Vertrauen in das System haben und Beobachtungen aktiv melden. Organisationen sollten Near-Miss-Meldungen fördern, nicht bestrafen.

PSA-Management (Persönliche Schutzausrüstung)

Die Persönliche Schutzausrüstung (PSA) ist nach dem STOP-Prinzip die letzte Maßnahme in der Hierarchie der Schutzmaßnahmen. ISO 45001 (Klausel 8.1.2) fordert, dass technische und organisatorische Maßnahmen Vorrang haben. PSA kommt nur zum Einsatz, wenn das Restrisiko durch übergeordnete Maßnahmen nicht ausreichend gesenkt werden kann.

PSA-Kategorien nach PSA-Verordnung (EU) 2016/425

• Kategorie I: Schutz vor minimalen Risiken (z.B. Gartenhandschuhe, leichte Sonnenbrillen)
• Kategorie II: Schutz vor mittleren Risiken (z.B. Schutzbrillen, Sicherheitsschuhe S1–S3, Gehörschutz)
• Kategorie III: Schutz vor tödlichen oder irreversiblen Risiken (z.B. Atemschutz, Chemikalienschutz, Absturzsicherung)

Pflichten des Arbeitgebers

• PSA auf Basis der GBU auswahlen und bereitstellen (kostenlos, § 3 PSA-BV)
• CE-gekennzeichnete PSA beschaffen (EU-Konformität)
• Unterweisung in korrekter Benutzung, Pflege und Erkennung von Mängeln
• Regelmäßige Prüfung auf Funktionsfähigkeit und Hygiene
• Ersatzbeschaffung bei Verschleiß oder nach Verfallsdatum
• Dokumentation der Ausgabe (PSA-Ausgabebeleg mit Unterschrift)

PSA-Verwaltung im Überblick

Ein effizientes PSA-Management umfasst: Bestandsverwaltung (welche PSA in welcher Größe verfügbar), Ausgabe-Tracking (wer hat wann welche PSA erhalten), Prüfintervalle (insbesondere bei Kategorie III, z.B. jährliche Prüfung von Auffanggurten) und Schulungsnachweise (Unterweisung in Benutzung dokumentiert).

Häufiger Fehler: PSA wird beschafft, aber Beschäftigte werden nicht in der korrekten Benutzung unterwiesen. ISO 45001 fordert den Nachweis, dass die Unterweisung stattgefunden hat und verstanden wurde. Auch die regelmäßige Auffrischung ist Pflicht.

Gefahrstoffe und Chemikalienmanagement

Der Umgang mit Gefahrstoffen ist einer der kritischsten Bereiche im Arbeitsschutz. ISO 45001 adressiert dies unter Klausel 6.1.2 (Gefahrenidentifizierung) und Klausel 8.1.2 (Beseitigung von Gefahren). In Deutschland gelten zusätzlich die Gefahrstoffverordnung (GefStoffV) und die TRGS (Technische Regeln für Gefahrstoffe).

Gefahrstoffverzeichnis (§ 6 GefStoffV)

Jeder Arbeitgeber muss ein Verzeichnis aller im Betrieb verwendeten Gefahrstoffe führen. Dieses Verzeichnis muss mindestens enthalten:

• Bezeichnung des Gefahrstoffs
• Einstufung (GHS-Piktogramme, H- und P-Sätze)
• Mengenbereiche im Betrieb
• Arbeitsbereiche, in denen der Stoff verwendet wird
• Verweis auf das zugehörige Sicherheitsdatenblatt (SDB)

Sicherheitsdatenblätter (SDB)

Für jeden Gefahrstoff muss ein aktuelles SDB nach REACH-Verordnung (Anhang II) vorliegen. Das SDB umfasst 16 Abschnitte und enthält alle relevanten Informationen zu Gefahren, Erste-Hilfe-Maßnahmen, Brandbekämpfung, Exposition und Entsorgung. SDB müssen in der Sprache des Landes vorliegen, in dem der Stoff verwendet wird — in Deutschland also auf Deutsch.

Substitutionsprüfung

Das STOP-Prinzip verlangt: Kann ein Gefahrstoff durch einen weniger gefährlichen Stoff ersetzt werden? Die Substitutionsprüfung muss dokumentiert werden — auch wenn die Substitution technisch oder wirtschaftlich nicht machbar ist.

Betriebsanweisungen (§ 14 GefStoffV)

Für jeden Gefahrstoff oder jede Gefahrstoffgruppe muss eine Betriebsanweisung erstellt werden. Sie enthält in verständlicher Form:

• Gefahrstoffbezeichnung und Gefahren (GHS-Symbole)
• Schutzmaßnahmen und Verhaltensregeln
• Verhalten im Gefahrfall und bei Verschüttung
• Erste-Hilfe-Maßnahmen
• Sachgerechte Entsorgung

Praxistipp: Betriebsanweisungen müssen am Arbeitsplatz aushängen und regelmäßig (mindestens jährlich) aktualisiert werden. Die Unterweisung der Beschäftigten anhand der Betriebsanweisung ist vor Aufnahme der Tätigkeit und danach mindestens jährlich durchzuführen.

ASA-Sitzungen (Arbeitsschutzausschuss)

Der Arbeitsschutzausschuss (ASA) ist nach § 11 des Arbeitssicherheitsgesetzes (ASiG) für Betriebe mit mehr als 20 Beschäftigten Pflicht. Er tagt mindestens vierteljährlich und berät Anliegen des Arbeitsschutzes und der Unfallverhütung.

Teilnehmer des ASA

• Arbeitgeber oder Vertreter: Vorsitz, Entscheidungsbefugnis
• Fachkraft für Arbeitssicherheit (Sifa): Beratend, technische Expertise
• Betriebsarzt: Arbeitsmedizinische Beratung
• Sicherheitsbeauftragte: Vertreter der Beschäftigten, Praxiserfahrung
• Betriebsrat: Mitbestimmung bei Arbeitsschutzfragen (§ 87 Abs. 1 Nr. 7 BetrVG)

Typische Tagesordnungspunkte

• Auswertung der Unfallstatistik (LTIFR, Ausfalltage, Near Misses)
• Stand der offenen Maßnahmen aus vorherigen Sitzungen
• Ergebnisse von Arbeitsplatzbegehungen und internen Audits
• Neue Gefährdungsbeurteilungen oder Aktualisierungen
• Änderungen in Vorschriften und Gesetzen
• PSA-Beschwerden und Verbesserungsvorschläge
• Schulungs- und Unterweisungsplanung
• Ergebnisse der arbeitsmedizinischen Vorsorge (anonymisiert)

Dokumentation

Jede ASA-Sitzung muss protokolliert werden. Das Protokoll enthält: Datum, Teilnehmer, besprochene Themen, getroffene Entscheidungen, vereinbarte Maßnahmen mit Verantwortlichen und Terminen. ISO 45001 fordert unter Klausel 7.5 die Aufbewahrung dieser dokumentierten Informationen.

Häufiger Fehler: Der ASA wird nur als Pflichttermin abgehandelt, ohne dass Maßnahmen nachverfolgt werden. ISO 45001 fordert die Überwachung offener Maßnahmen und die Bewertung der Wirksamkeit — der ASA ist also kein Selbstzweck, sondern ein zentrales Steuerungsinstrument.

Notfallplanung und Notfallreaktion

Klausel 8.2 der ISO 45001 fordert die Einrichtung, Umsetzung und Aufrechterhaltung von Prozessen für die Notfallvorsorge und -reaktion. Die Organisation muss potenzielle Notfallsituationen identifizieren und geplante Reaktionen vorbereiten.

Typische Notfallszenarien

• Brand und Explosion
• Chemikalienfreisetzung oder Gefahrstoffunfall
• Schwerer Arbeitsunfall (z.B. Absturz, Einklemmung, Stromschlag)
• Naturereignisse (Überschwemmung, Sturm, Erdbeben)
• Technisches Versagen kritischer Anlagen
• Medizinischer Notfall (Herzinfarkt, allergischer Schock)
• Bombendrohung oder terroristischer Angriff
• Pandemie-Szenarien

Elemente eines Notfallplans

• Alarmierung: Meldewege, Notrufnummern, Alarmierungsketten
• Evakuierung: Flucht- und Rettungspläne (ASR A2.3), Sammelplätze, Räumungsbeauftragte
• Erste Hilfe: Ersthelfer-Organisation (§ 10 ArbSchG), Erste-Hilfe-Material, Sanitätsraum
• Brandschutz: Brandschutzordnung (Teile A, B, C nach DIN 14096), Brandschutzhelfer
• Kommunikation: Interne und externe Kommunikation, Krisenstab, Mediensprechregelung
• Wiederanlauf: Business Continuity, Wiederherstellung des Normalbetriebs

Notfallübungen

ISO 45001 fordert die regelmäßige Übung der geplanten Reaktionen. Die ASR A2.3 empfiehlt mindestens eine Räumungsübung pro Jahr. Die Ergebnisse der Übungen müssen ausgewertet und die Notfallpläne bei Bedarf angepasst werden.

Nach jedem realen Notfall oder jeder Übung muss eine Nachbesprechung stattfinden. Erkenntnisse fließen in die Überarbeitung der Notfallpläne und ggf. in die Aktualisierung der Gefährdungsbeurteilungen ein.

Praxistipp: Dokumentieren Sie nicht nur die Übung selbst, sondern auch die Räumungszeit, identifizierte Probleme (z.B. blockierte Fluchtwege, fehlende Kennzeichnung) und die abgeleiteten Verbesserungsmaßnahmen.

Zertifizierung nach ISO 45001

Die Zertifizierung nach ISO 45001 erfolgt durch eine akkreditierte Zertifizierungsstelle (in Deutschland akkreditiert durch die DAkkS). Der Prozess gliedert sich in mehrere Phasen:

Phasen der Zertifizierung

• Phase 0 — Vorbereitung (3–12 Monate): SGA aufbauen, dokumentieren, implementieren und intern auditieren. Alle Klauseln 4–10 müssen erfüllt sein.
• Phase 1 — Dokumentenprüfung (Stage 1 Audit): Der Auditor prüft die Dokumentation auf Vollständigkeit und Normkonformität. Typische Dauer: 1–2 Tage.
• Phase 2 — Zertifizierungsaudit (Stage 2 Audit): Vor-Ort-Audit mit Interviews, Begehungen, Dokumentenprüfung und Stichproben. Der Auditor bewertet die Wirksamkeit des SGA. Typische Dauer: 2–5 Tage (abhängig von Unternehmensgröße).
• Zertifikatserteilung: Bei positivem Ergebnis wird das Zertifikat erteilt (Gültigkeit: 3 Jahre).
• Überwachungsaudits: Jährlich in den Jahren 2 und 3 des Zyklus.
• Re-Zertifizierung: Nach 3 Jahren vollständige Neubewertung.

Häufige Nichtkonformitäten bei der Zertifizierung

Kosten und Zeitaufwand

Die Kosten für die Zertifizierung variieren je nach Unternehmensgröße, Branche und Komplexität. Als Richtwerte:

• Kleine Unternehmen (bis 50 MA): 3.000–6.000 EUR (Stage 1 + 2)
• Mittlere Unternehmen (50–250 MA): 6.000–12.000 EUR
• Große Unternehmen (250+ MA): 12.000–25.000+ EUR

Hinzu kommen die internen Kosten für den Aufbau des SGA: Beraterkosten, Mitarbeiterschulungen, Software und die Zeit der internen Verantwortlichen.

Wie CERTISCAN bei ISO 45001 hilft

CERTISCAN unterstützt Unternehmen bei der Umsetzung und Aufrechterhaltung eines Arbeitsschutzmanagementsystems nach ISO 45001 mit folgenden Funktionen:

Dokumentenmanagement (IMS)

Das integrierte Managementsystem (IMS) von CERTISCAN deckt alle 15 Klauseln der ISO 45001 ab. Dokumente durchlaufen einen definierten Lebenszyklus (Entwurf → Prüfung → Freigabe → Verteilung → Archivierung) mit lückenloser Versionierung und Änderungsverfolgung. Alle Zugriffe werden im WORM-Audit-Trail protokolliert.

Gefährdungsbeurteilungen digital

Erstellen und verwalten Sie Gefährdungsbeurteilungen direkt in CERTISCAN — mit Risikomatrix, STOP-Maßnahmen, Verantwortlichen und Terminen. Fällige Aktualisierungen werden automatisch per Erinnerung angezeigt.

Vorfallmanagement und CAPA

Vorfälle melden, kategorisieren und systematisch analysieren. Der integrierte CAPA-Prozess (Corrective and Preventive Action) stellt sicher, dass Korrekturmaßnahmen definiert, umgesetzt und auf Wirksamkeit geprüft werden. Alle Schritte sind im Audit-Trail nachvollziehbar.

Compliance-Score und Audit-Vorbereitung

Der Compliance-Score zeigt auf einen Blick, wie gut Ihre Organisation die Anforderungen der ISO 45001 erfüllt. Der KI-gestützte Auditbericht identifiziert Stärken, Lücken und gibt konkrete Empfehlungen für die Auditvorbereitung.

ASA-Sitzungen und Maßnahmenverfolgung

Planen Sie ASA-Sitzungen im Audit-Kalender, dokumentieren Sie Beschlüsse und verfolgen Sie offene Maßnahmen im Action-Tracker. Fälligkeiten werden automatisch erinnert, und der Abschluss-Status ist jederzeit einsehbar.

Schulungsmanagement

Verwalten Sie Unterweisungen, PSA-Schulungen und Erste-Hilfe-Kurse. CERTISCAN erinnert automatisch an fällige Auffrischungen und dokumentiert die Teilnahme lückenlos.

Ergebnis: Weniger manueller Aufwand, lückenlose Dokumentation und die Sicherheit, bei internen Audits und Zertifizierungsaudits jederzeit auskunftsfähig zu sein.