ISO-20000-Zertifizierung: Anforderungen, Ablauf und Bezug zu ITIL

Die ISO-20000-Zertifizierung bestätigt, dass eine Organisation ihr IT-Service-Management nach der internationalen Norm ISO/IEC 20000-1:2018 aufgebaut hat und wirksam betreibt. Eine akkreditierte Zertifizierungsstelle prüft dazu das Service-Management-System in einem zweistufigen Audit. Das Zertifikat gilt drei Jahre und wird durch jährliche Überwachungsaudits aufrechterhalten.

Was ist ISO 20000?

ISO 20000 ist ein internationaler Standard für das IT-Service-Management (ITSM). Die Norm legt Anforderungen an ein Service-Management-System (SMS) fest, mit dem eine Organisation ihre IT-Services plant, erbringt, überwacht und kontinuierlich verbessert. Sie richtet sich an interne IT-Abteilungen ebenso wie an externe IT-Dienstleister. Berücksichtigt werden in diesem Zusammenhang auch die Anforderungen, die sich aus der Geschäftstätigkeit der Kunden ergeben.

Ziel der ISO 20000 ist ein integrierter Prozessansatz: Services sollen kontrolliert und im Einklang mit den Anforderungen der Kunden erbracht werden.

ISO 20000 und ITIL 4: Was ist der Unterschied?

ISO/IEC 20000-1 und ITIL werden oft in einem Atemzug genannt, erfüllen aber unterschiedliche Aufgaben. Die Norm legt fest, was ein Service-Management-System leisten muss. ITIL 4 beschreibt als Best-Practice-Framework, wie sich IT-Services in der Praxis gestalten lassen.

Beide ergänzen sich: Wer seine Prozesse nach ITIL gestaltet, erfüllt bereits viele Anforderungen der Norm. ITIL ist damit oft der praktische Einstieg, die Zertifizierung nach ISO/IEC 20000-1 der formale Nachweis gegenüber Kunden und Auftraggebern. Wie ITIL-4-Praktiken den Abschnitten der ISO/IEC 20000-1 entsprechen, zeigt die technische Spezifikation ISO/IEC TS 20000-11:2021. Mehr zur Abgrenzung lesen Sie im Beitrag ITSM vs. ITIL. Die Informationssicherheit regelt dagegen eine eigene Norm, die ISO 27001.

Vorteile der ISO-20000-Zertifizierung für IT-Dienstleister

Die ISO-Norm ist auf das IT-Service-Management (ITSM) ausgerichtet. Sie bietet Anbietern von IT-Dienstleistungen mehrere Vorteile. Die Zertifizierung nach der aktuellen Fassung ISO/IEC 20000-1:2018 verleiht IT-Unternehmen mehr Glaubwürdigkeit. Auf diese Weise weist das Unternehmen nach, dass es Organisationen verlässliche IT-Services bietet und ein wirksames Service-Management-System betreibt. Das ist ein eindeutiger Wettbewerbsvorteil.

Die ISO-20000-Zertifizierung kann zudem die Tür zu internationalen Märkten öffnen. Sie kann außerdem neue Geschäftsmöglichkeiten eröffnen, etwa bei Ausschreibungen, die einen Nachweis über das IT-Service-Management verlangen.

So läuft die ISO-20000-Zertifizierung ab

Für die Einführung von ISO 20000 orientiert man sich wie bei anderen Managementsystemen am besten am PDCA-Prinzip: Plan (planen), Do (umsetzen), Check (prüfen) und Act (handeln). Ein wichtiger Faktor, der den Erfolg des Projektes beeinflusst, ist die Kompetenz der Mitarbeiter. Diese müssen zunächst intensiv geschult werden, damit sie die Anforderungen an die Service-Management-Prozesse verstehen. Es ist wichtig, für jeden Prozess eine verantwortliche Person (Process Owner) zu bestimmen und alle Aktivitäten zu dokumentieren. Interne Audits und Managementbewertungen sorgen anschließend für eine kontinuierliche Verbesserung.

Sind die Vorbereitungen abgeschlossen, kann man bei einer dafür akkreditierten Zertifizierungsstelle (z. B. DEKRA, TÜV NORD oder TÜV SÜD) die Zertifizierung beantragen. Davon zu unterscheiden sind Personenzertifikate: Fachleute können ihr Wissen über die Norm in Schulungen mit Prüfung nachweisen. Nach ISO/IEC 20000-1 zertifiziert wird jedoch immer die Organisation.

Ablauf der Zertifizierung nach ISO/IEC 20000-1 in sechs Schritten

1. Geltungsbereich festlegen: Bestimmen Sie, welche Services, Standorte und Organisationseinheiten das Service-Management-System (SMS) umfassen soll.
2. Gap-Analyse durchführen: Gleichen Sie die bestehenden Prozesse mit den Anforderungen der Norm ab, etwa für Incident-, Change- und Service-Level-Management.
3. SMS aufbauen: Erstellen Sie Richtlinie, Ziele, Prozessbeschreibungen und Nachweise, benennen Sie Verantwortliche und schulen Sie die Beteiligten.
4. Intern prüfen: Interne Audits und eine Managementbewertung zeigen, ob das SMS wirksam ist und wo nachgebessert werden muss.
5. Zertifizierungsaudit: Im Stufe-1-Audit prüft die Zertifizierungsstelle die Dokumentation und die Bereitschaft für Stufe 2. Im Stufe-2-Audit kontrollieren die Auditoren, ob das SMS in der Praxis funktioniert. Vor der Erteilung des Zertifikats müssen schwerwiegende Abweichungen behoben sein; für geringfügige Abweichungen genügt in der Regel ein von der Zertifizierungsstelle akzeptierter Maßnahmenplan.
6. Zertifikat aufrechterhalten: Das Zertifikat gilt grundsätzlich drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, vor Ablauf folgt die Rezertifizierung (TÜV NORD CERT).

Wie lange der Weg zum Zertifikat dauert und was er kostet, hängt vor allem vom Geltungsbereich und vom Reifegrad der vorhandenen Prozesse ab.

ISO-20000-Zertifizierung und kontinuierliche Verbesserung

Hat man die ISO-20000-Zertifizierung einmal erhalten, bedeutet das nicht, dass die Arbeit abgeschlossen ist. Ein herausragendes IT-Management setzt voraus, dass es kontinuierlich verbessert wird.

Das ISO-20000-Zertifikat ist drei Jahre gültig. In dieser Zeit finden jährliche Überwachungsaudits statt; werden die Anforderungen nicht mehr erfüllt, kann das Zertifikat ausgesetzt oder entzogen werden. Deshalb sollten Sie regelmäßig interne Audits einplanen, um sicherzustellen, dass alle Abläufe mit den bestehenden Normen konform sind, und um gegebenenfalls Verbesserungspotenzial zu bestimmen. Es ist wichtig, auch die Qualifikation der Mitarbeiter kontinuierlich zu verbessern, damit diese die aktuellen Änderungen der Norm und der Best Practices genau verstehen. Führen Sie immer wieder Leistungsüberprüfungen durch, um auf diese Weise die Prozesse zu bewerten, die strategische Planung zu optimieren und sicherzustellen, dass die IT-Management-Services mit dem technologischen Fortschritt mithalten.

IT-Management mit ISO 20000 optimieren

Die Zertifizierung nach ISO 20000 kann die digitale Transformation unterstützen und ist für Unternehmen verschiedenster Branchen ein anerkannter Nachweis für professionelles IT-Service-Management. IT-Dienstleister können mit ihr verlässliche und hochwertige Dienstleistungen anbieten. Ist das ISO-20000-Zertifikat einmal erteilt, besteht die größte Herausforderung darin, das erreichte Niveau zu halten. ISO 20000 ist eine von sechs wichtigen Zertifizierungen für Informationssysteme, über die wir in anderen Artikeln sprechen.