Was kostet eine ISO 20000 Zertifizierung?

Bei ISO 20000-1 liegt das Geld nicht in der Dokumentation, sondern im Nachweis. Prozesse für Incident, Change und Problem beschreiben die meisten IT-Dienstleister in wenigen Wochen. Der Aufwand entsteht danach: Der Auditor will einen definierten Servicekatalog sehen, vereinbarte Service Level, Messwerte gegen diese Level, eine Kapazitätsplanung mit Zahlen, einen erprobten Wiederanlaufplan und eine nachvollziehbare Zuordnung von Kosten zu Services. Vieles davon existiert in gewachsenen IT-Organisationen als Praxis, aber nicht als Beleg.

Der zweite große Posten ist der Geltungsbereich. Die Norm verlangt, dass Sie auch die Prozesse steuern, die andere für Sie betreiben. Für einen Managed Service Provider, der eine fremde Cloud-Plattform weiterverkauft, ist das die entscheidende Frage des ganzen Projekts. Können Sie Steuerung und Überwachung dieses Anteils belegen, bleibt der Service im Zertifikat. Können Sie es nicht, muss er raus — und mit ihm häufig das Argument, mit dem das Projekt begründet wurde.

Bevor die Kalkulation beginnt, gehört ein Missverständnis aus dem Weg: ITIL und ISO 20000-1 sind nicht dasselbe. ITIL ist ein Rahmenwerk, seine Zertifikate erwerben Personen. ISO 20000-1 zertifiziert die Organisation. Ein Team mit lauter ITIL-Zertifikaten hat gute Voraussetzungen, aber keine einzige erfüllte Anforderung. Wer das Schulungsbudget als Vorleistung verbucht, kalkuliert zu niedrig.

Der dritte Punkt betrifft die Zeit. Ein Service-Management-System lässt sich nicht kurz vor dem Audit aufsetzen. Die Norm fragt nach Messwerten, Trends und Verbesserungen über einen Zeitraum, nach durchgeführten internen Audits und nach einer Managementbewertung, die auf echten Daten beruht. Wer ein Zertifikat für eine Ausschreibung mit fester Abgabefrist braucht, rechnet deshalb vom Audittermin rückwärts. Der Zeitpuffer ist bei dieser Norm der teuerste Posten, wenn er fehlt.

Die Kostenblöcke im Einzelnen

1. Servicekatalog und Service Level. Der Ausgangspunkt und bei den meisten Anbietern der unangenehmste Teil. Welche Services erbringen Sie eigentlich, für wen, mit welchen zugesagten Werten? In der Praxis stehen die Zusagen in Kundenverträgen mit unterschiedlichem Wortlaut und ohne einheitliche Messgrundlage. Diese Landschaft zu ordnen, ist Projektarbeit — und sie hat einen angenehmen Nebeneffekt, weil dabei regelmäßig Leistungen auffallen, die nie berechnet wurden.

2. Das Werkzeug als Nachweisquelle. Die Norm schreibt kein Ticketsystem vor, aber sie verlangt Belege, die praktisch nur daraus kommen. Wenn Ihr System keine sauberen Kategorien, Prioritäten und Zeitstempel führt, ist das Reporting nicht auditfähig. Eine Nachkonfiguration oder ein Werkzeugwechsel ist dann der größte Einzelposten im Projekt — und der einzige, der auch ohne Zertifizierung Nutzen bringt.

3. Die Planungsprozesse. Kapazitäts-, Verfügbarkeits- und Kontinuitätsmanagement sowie die Budgetierung und Kostenzuordnung je Service. Diese vier Themen sind der Teil, an dem die meisten Projekte hängen. Sie verlangen Zahlen aus Betrieb und Buchhaltung, und sie erfordern eine Abstimmung zwischen IT-Leitung und kaufmännischer Seite, die es vorher oft nicht gab.

4. Lieferanten- und Partnersteuerung. Verträge, Überwachung, Eskalationswege und Berichte für alle Leistungen, die Sie einkaufen und weiterreichen. Wo bisher eine Vertrauensbeziehung genügte, braucht es Kennzahlen und dokumentierte Bewertungen.

5. Das Zertifizierungsaudit. Die Zertifizierungsstellen arbeiten hier nach dem eigenen Regelwerk für Service-Management-Systeme. Der Aufwand richtet sich nicht nur nach der Mitarbeiterzahl wie in der Audittage-Systematik, sondern auch nach der Zahl der Services, der Zahl der Kunden und dem Erbringungsmodell. Ein Anbieter mit drei standardisierten Services und dreißig Beschäftigten liegt niedriger als einer mit derselben Belegschaft und zwanzig individuell zugeschnittenen Kundenumgebungen.

6. Der laufende Betrieb. Interne Audits, Managementbewertung, Serviceberichte, Überwachungsaudits im Zyklus. Wie sich das über drei Jahre verteilt, beschreibt der Beitrag dazu, warum das Erstaudit nur ein Drittel der Rechnung ist.

Der Block, der in keiner Aufstellung steht, ist die Bindung des Betriebspersonals. Die Menschen, die Servicekatalog, Kapazitätsplanung und Kontinuitätstests erarbeiten sollen, sind dieselben, die Störungen beheben. In Teams ohne Puffer verschiebt jede größere Störung das Projekt. Das ist der häufigste Grund, warum Zertifizierungsprojekte im IT-Betrieb später fertig werden als geplant — und warum die Beratungsstunden am Ende doch aufgebraucht sind.

Was den Preis nach oben treibt

Wo sich sparen lässt

Mit ISO 27001 zusammen zertifizieren. Der mit Abstand größte Hebel. Beide Normen folgen derselben Grundstruktur und teilen die gesamte Managementebene. Für Anbieter, die ohnehin ein ISMS brauchen, ist ISO 20000-1 als Zusatznorm eine der günstigsten Erweiterungen. Umgekehrt gilt dasselbe. Wie das Bündeln funktioniert, erklärt die Seite zu mehreren Normen im integrierten Audit — und die ISO 27001 Kostenseite zeigt, welcher Aufwand dort dazukommt.

Den Servicekatalog straffen, bevor Sie ihn beschreiben. Jeder Service im Geltungsbereich kostet Nachweise, dauerhaft. Varianten, die historisch entstanden sind und kaum noch verkauft werden, gehören konsolidiert und nicht dokumentiert. Das ist der Punkt, an dem eine Zertifizierung tatsächlich Geld einspart statt nur zu kosten.

Kennzahlen aus dem vorhandenen Werkzeug ziehen, nicht danebenbauen. Manuell gepflegte Tabellen sind im ersten Audit akzeptabel und im dritten Jahr eine Belastung. Wenn das Reporting aus dem System kommt, sinkt der Aufwand jedes Folgejahres.

Den Geltungsbereich am Kundenbedarf ausrichten. Prüfen Sie, welcher Kunde das Zertifikat wofür verlangt. Häufig genügt der Betrieb eines bestimmten Servicebereichs, während das Projekt anfangs die gesamte IT umfassen sollte. Was ein zu enger Schnitt allerdings später kostet, beschreibt der Beitrag zu den Folgen eines zu engen Geltungsbereichs.

Auditzeiten für den Nachtbetrieb bewusst verhandeln. Wenn Prozesse rund um die Uhr laufen, muss der Auditor das prüfen. Ob er dafür eine Nachtschicht begleitet oder Aufzeichnungen plus Interviews auswertet, macht im Angebot einen Unterschied. Die Grundlage dazu erklärt der Eintrag zum Schichtzuschlag.

Angebote mit identischer Servicezahl einholen. Ein Angebot ohne Angabe der Services im Scope ist nicht vergleichbar. Wie sich Angebote auf eine gemeinsame Grundlage bringen lassen, zeigt der Beitrag zum Vergleich von drei Angeboten.

Kontinuitätstests mit vorhandenen Wartungsfenstern verbinden. Der geforderte Nachweis, dass ein Wiederanlauf funktioniert, lässt sich häufig an ein ohnehin geplantes Wartungsfenster oder einen Umzug anhängen. Ein eigens angesetzter Test kostet Betriebszeit und Nerven, ein mitgenutztes Fenster fast nichts — und der Nachweis ist derselbe.

Verantwortung für die Nachweise im Betrieb verankern. Wenn ein Projektteam die Belege für das Audit sammelt, entsteht die Arbeit im dritten Jahr wieder von vorn. Wenn Serviceverantwortliche ihre Kennzahlen ohnehin monatlich berichten, ist das Überwachungsaudit eine Auswertung statt einer Aktion.

Was ISO 20000 gegenüber anderen Normen teurer oder günstiger macht

Gegenüber ISO 9001 ist ISO 20000-1 im Aufbau deutlich aufwendiger. ISO 9001 lässt Ihnen die Freiheit, Ihre Prozesse selbst zu definieren und deren Wirksamkeit auf eigene Weise zu belegen. ISO 20000-1 benennt konkrete Prozesse und verlangt konkrete Ergebnisse: einen Servicekatalog, Kapazitätspläne, einen erprobten Wiederanlauf, eine Kostenzuordnung. Die Norm gibt vor, was auf dem Tisch liegen muss.

Gegenüber ISO 27001 ist ISO 20000-1 als eigenständige Zertifizierung meist etwas günstiger, weil kein Maßnahmenkatalog nach Art des Anhangs A abzuarbeiten ist und keine vollständige Risikoanalyse mit Behandlungsplan gefordert wird. Dafür ist die Nachweislage aus dem Betrieb strenger. Bei ISO 27001 können Sie eine Maßnahme umsetzen und dokumentieren. Bei ISO 20000-1 müssen Sie zeigen, dass ein Prozess über Monate hinweg Zahlen produziert hat.

Der praktische Schluss daraus: Als Einzelzertifizierung lohnt sich ISO 20000-1 selten. Kaum ein Kunde verlangt sie allein, und die Aufbaukosten verteilen sich auf nur ein Zertifikat. Als zweite Norm neben einem bestehenden ISMS ist sie dagegen ein starkes Argument in Ausschreibungen, weil sie eine Frage beantwortet, die ISO 27001 offenlässt: nicht ob Ihre Daten sicher sind, sondern ob der Service verlässlich läuft. Wer beide Projekte plant, sollte sie deshalb nicht nacheinander aufsetzen, sondern von Anfang an als ein Vorhaben — der Unterschied im Gesamtpreis ist erheblich.

Ein Wort zur Erwartungshaltung im Vertrieb: ISO 20000-1 ist in deutschen Ausschreibungen seltener gefordert als ISO 27001, kommt aber im öffentlichen Bereich und bei großen Rahmenverträgen regelmäßig vor. Prüfen Sie deshalb konkret, welche Ausschreibungen Sie ohne dieses Zertifikat nicht bedienen können, und rechnen Sie den erwartbaren Auftragswert gegen die Gesamtkosten über drei Jahre. Diese Rechnung fällt in vielen mittelständischen IT-Häusern knapp aus — und sie fällt deutlich anders aus, sobald ein ISMS bereits läuft.