ISO 20000: ISO/IEC 20000-1 ist die internationale Norm für IT-Service-Management-Systeme (ITSM), die Anforderungen an Planung, Bereitstellung, Überwachung und Verbesserung von IT-Dienstleistungen festlegt.
ISO/IEC 20000-1 richtet sich an Organisationen, die IT-Dienstleistungen erbringen, sei es intern für den eigenen Konzern oder extern für Kunden. Die Norm deckt unter anderem folgende Bereiche ab:
- Service-Level-Management und Vereinbarungen mit Kunden
- Incident- und Problem-Management
- Change- und Konfigurationsmanagement
- Kapazitäts- und Verfügbarkeitsmanagement
- Kontinuierliche Serviceverbesserung
Seit der Überarbeitung 2018 folgt ISO 20000-1 der High Level Structure (Annex SL), also der gleichen Grundgliederung wie ISO 9001, ISO 14001 oder ISO 27001. Das erleichtert die Kombination mit anderen Managementsystemen in einem gemeinsamen integrierten Managementsystem.
Der zentrale Unterschied zu ISO 27001 liegt im Fokus: ISO 20000 behandelt die Qualität und Zuverlässigkeit der IT-Servicebereitstellung selbst, etwa Reaktionszeiten und Verfügbarkeit, während ISO 27001 den Schutz von Informationen vor unautorisiertem Zugriff, Verlust oder Manipulation in den Mittelpunkt stellt. Viele Anforderungen, etwa im Bereich Incident-Management, überschneiden sich inhaltlich, werden aber aus unterschiedlicher Perspektive betrachtet.
In der Praxis wird ISO 20000 häufig von IT-Dienstleistern, Rechenzentren und internen IT-Abteilungen größerer Unternehmen genutzt, um Kunden oder der eigenen Organisation nachweisbar strukturierte IT-Serviceprozesse zu bestätigen.
Vor einer Zertifizierung muss eine Organisation den Geltungsbereich ihres IT-Service-Management-Systems klar abgrenzen, etwa welche Services, Standorte und Kundengruppen erfasst sind. Ähnlich wie bei anderen Managementsystemnormen erfolgt die Zertifizierung über ein Stufe-1-Audit zur Dokumentenprüfung und ein Stufe-2-Audit zur Prüfung der gelebten Praxis, gefolgt von jährlichen Überwachungsaudits während der gesamten Zertifikatslaufzeit.
Relevanz für die Zertifizierung
ISO 20000 und ISO 27001 schließen sich nicht aus, sondern ergänzen sich häufig: Ein Unternehmen mit ISO-27001-Zertifizierung kann zusätzlich ISO 20000 anstreben, wenn Kunden konkrete Nachweise über die Qualität der IT-Servicebereitstellung verlangen, etwa Reaktionszeiten bei Störungen oder Verfügbarkeitsgarantien. Dank der gemeinsamen High Level Structure lassen sich viele Dokumente und Prozesse, etwa das Risikomanagement oder die Managementbewertung, für beide Normen gemeinsam nutzen, was den Zusatzaufwand einer zweiten Zertifizierung reduziert.
Häufige Fragen zu ISO 20000
ISO 20000 behandelt die Qualität und Zuverlässigkeit der IT-Servicebereitstellung, etwa Reaktionszeiten, Verfügbarkeit und Änderungsmanagement. ISO 27001 fokussiert dagegen den Schutz von Informationen vor unautorisiertem Zugriff, Verlust oder Manipulation. Beide Normen folgen der gleichen High Level Structure und lassen sich gut kombinieren.
Vor allem IT-Dienstleister, Rechenzentren und interne IT-Abteilungen, die Kunden oder internen Auftraggebern nachweisbar strukturierte, verlässliche IT-Serviceprozesse bestätigen möchten. Verpflichtend ist die Zertifizierung nicht, wird aber zunehmend in Ausschreibungen und Rahmenverträgen für IT-Dienstleistungen gefordert.
Ja, das ist in der Praxis üblich. Da beide Normen der High Level Structure folgen, überschneiden sich viele Kapitel und Dokumente, etwa Risikomanagement, interne Audits und Managementbewertung, wodurch sich der Zusatzaufwand für die zweite Norm meist deutlich reduziert.