Projektmanagement & ITIL

COBIT

Overview

COBIT ist ein Rahmenwerk der ISACA für die Governance und das Management von Informationen und Technologie im Unternehmen. Es beschreibt, welche Ziele und Steuerungsaufgaben Leitung und IT-Management abdecken sollten, damit IT Unternehmensziele unterstützt, Risiken beherrscht werden und Ressourcen sinnvoll eingesetzt sind. Ursprünglich entstand COBIT 1996 als Sammlung von Kontrollzielen für Wirtschaftsprüfer, deshalb ist es bis heute in IT-Revision und Audit stark verbreitet.

Versionen: Auf die Ausgaben 1998, 2000, 2005 und 2007 (4.1) folgte 2012 COBIT 5. Das aktuelle COBIT 2019 erschien als erstes großes Update nach knapp sieben Jahren. ISACA hat COBIT 7 für den 27. Oktober 2026 angekündigt. Mit dem Start endet das COBIT-2019-Zertifizierungsprogramm: Prüfungen zu COBIT 2019 Foundation sind noch bis 26. April 2027 möglich, bestehende Zertifikate bleiben gültig, neue Kandidaten wechseln auf COBIT 7 Foundation.

Abgrenzung: ITIL beschreibt die operative Umsetzung von IT-Services, COBIT legt fest, was gesteuert und überwacht werden soll, und verweist dafür auf Standards wie ITIL, ISO/IEC 20000 oder ISO 27001. ISO/IEC 20000 und ISO 27001 sind zertifizierbare Normen, COBIT ist ein Rahmenwerk ohne Zertifizierung für Organisationen. Für NIS2 und das IT-Risikomanagement liefert COBIT eine Struktur, mit der die Geschäftsleitung ihre Steuerungsverantwortung belegen kann.

How it works

COBIT 2019 baut auf einem Core Model mit 40 Governance- und Management-Objectives auf, die zu fünf Bereichen gehören:

  1. EDM (Evaluate, Direct and Monitor): Governance-Ziele für Leitung und Aufsichtsgremien, z. B. Governance-Rahmen setzen, Nutzen realisieren, Risiken und Ressourcen steuern, Stakeholder einbinden.
  2. APO (Align, Plan and Organize): Strategie, Architektur, Budget, Personal, Lieferanten, Risiko und Sicherheit planen.
  3. BAI (Build, Acquire and Implement): Programme und Projekte, Anforderungen, Lösungen, Changes, Wissen und Assets.
  4. DSS (Deliver, Service and Support): Betrieb, Service Requests und Incidents, Problems, Kontinuität, Sicherheitsservices.
  5. MEA (Monitor, Evaluate and Assess): Leistungsmessung, internes Kontrollsystem, Compliance und Assurance.

Jedes Objective hat einen Zweck, verknüpfte Unternehmens- und Ausrichtungsziele sowie Praktiken und Aktivitäten. Mit Design Factors (kontextbezogen, strategisch, taktisch, z. B. Bedrohungslage, Sourcing-Modell, eingesetzte Methoden) passt Du das Governance-System an Deine Organisation an, Focus Areas wie DevOps oder Cybersecurity liefern zusätzliche Hinweise. Die früheren Enabler heißen in COBIT 2019 Components of the Governance System. Die Prozessfähigkeit wird mit einem an CMMI angelehnten Reifegradmodell bewertet.

Benefits

  • Brücke zwischen Geschäftsleitung und IT: Unternehmensziele werden über eine Zielkaskade in konkrete IT-Ziele übersetzt, dadurch lassen sich IT-Investitionen und Prioritäten begründen.
  • Prüfungsfreundlich: Wirtschaftsprüfer und interne Revision kennen die Struktur, Prüfprogramme lassen sich direkt an Objectives ausrichten.
  • Integrationsrahmen: COBIT verweist auf ITIL, ISO/IEC 20000, ISO 27001 und weitere Standards, statt sie zu ersetzen, so bekommst Du eine gemeinsame Landkarte für verschiedene Regelwerke.
  • Skalierbar: Über Design Factors wählst Du die Objectives mit hoher Priorität aus, statt alle 40 gleich tief umzusetzen.

Practical example

Ein Automobilzulieferer mit 900 Mitarbeitenden fällt unter NIS2, und der Wirtschaftsprüfer bemängelt fehlende Nachweise zur IT-Steuerung. Die IT-Leitung nutzt die Design Factors von COBIT 2019, um die relevanten Objectives zu priorisieren, darunter APO12 (Risiko), APO13 (Sicherheit), BAI06 (Changes) und DSS04 (Kontinuität). Für jedes Objective werden Verantwortliche, Kennzahlen und Berichtswege an die Geschäftsführung festgelegt. Bei der nächsten Prüfung kann die IT zu jeder Anforderung eine Kontrolle mit Nachweis zeigen, die operative Umsetzung läuft weiter über ITIL-Prozesse im Ticket-System.

Things to keep in mind

  • Starte mit wenigen priorisierten Objectives und erweitere schrittweise, eine Vollumsetzung aller 40 Objectives überfordert mittelständische IT-Teams.
  • Kläre vor einer Schulungsentscheidung den Versionswechsel: COBIT-2019-Prüfungen laufen bis 26. April 2027, danach gibt es nur noch COBIT 7.
  • Verknüpfe COBIT mit Deinem ISMS und Deinem NIS2-Maßnahmenkatalog, damit Governance-Ziele, Risiken und technische Maßnahmen dieselben Verantwortlichen haben.
  • Nutze COBIT als Steuerungsrahmen und nicht als Prozesshandbuch, die Abläufe im Alltag beschreibst Du besser mit ITIL-Practices.

Licensing & availability

COBIT ist ein proprietäres Rahmenwerk der ISACA. Publikationen und Toolkit vertreibt ISACA über ihren Store, für Mitglieder teils als Vorschau, die Einstiegspublikationen von COBIT 2019 stellte ISACA bei Veröffentlichung kostenfrei bereit. Personenzertifikate sind kostenpflichtig: COBIT 2019 Foundation und COBIT 2019 Design & Implementation. Mit dem Start von COBIT 7 am 27. Oktober 2026 endet das COBIT-2019-Programm, letzte COBIT-2019-Foundation-Prüfungen sind bis 26. April 2027 möglich, bestehende Zertifikate bleiben gültig, Nachfolger ist COBIT 7 Foundation. Eine Zertifizierung von Organisationen nach COBIT gibt es nicht. Stand: Oktober 2026.

Conclusion

COBIT ist das Werkzeug der Wahl, wenn Geschäftsleitung, Revision und IT eine gemeinsame Sprache für IT-Steuerung brauchen, etwa für NIS2. Mit COBIT 7 steht ein Versionswechsel an, beobachte daher Inhalte und Zertifizierungswege der neuen Ausgabe.

Further reading

Related articles