Projektmanagement & ITIL

ISO/IEC 20000

Overview

ISO/IEC 20000 ist eine Normenreihe von ISO und IEC für Service-Management. Der zentrale Teil ISO/IEC 20000-1 legt fest, welche Anforderungen ein Service-Management-System (SMS) erfüllen muss, damit eine Organisation Services planen, entwerfen, überführen, erbringen und verbessern kann. Nur dieser Teil ist zertifizierbar, die übrigen Teile liefern Leitfäden, Begriffe und Zuordnungen zu anderen Rahmenwerken.

Aktueller Stand: ISO/IEC 20000-1:2018 (3. Ausgabe, September 2018) ist gültig und wurde laut ISO 2023 im Rahmen der systematischen Überprüfung bestätigt. Im Februar 2024 erschien die Änderung ISO/IEC 20000-1:2018/Amd 1:2024 (Climate action changes), die wie bei anderen Managementsystem-Normen den Klimawandel als Kontextthema ergänzt. Ein Revisionsprojekt für Teil 1 führt ISO derzeit nicht. Die Reihe geht auf den britischen Standard BS 15000 zurück, erste ISO-Ausgabe war 2005, danach folgten 2011 und 2018.

Typische Anwender sind IT-Dienstleister, Rechenzentren, Managed Service Provider und interne IT-Abteilungen, die ihren Kunden oder der Geschäftsleitung einen geprüften Nachweis über geregelte Abläufe liefern wollen, etwa in Ausschreibungen.

Abgrenzung: ITIL ist ein Rahmenwerk mit bewährten Praktiken und beschreibt, wie Du arbeiten kannst, ISO/IEC 20000-1 legt fest, was nachweisbar vorhanden sein muss. ISO 27001 regelt das Informationssicherheits-Managementsystem, NIS2 ist eine gesetzliche Pflicht. COBIT setzt eine Ebene höher bei der IT-Governance an. Service Level Management, Change Management und Incident Management sind Prozesse, die ISO/IEC 20000-1 fordert.

How it works

ISO/IEC 20000-1:2018 folgt der High Level Structure aus Annex SL, die auch ISO 27001 und ISO 9001 nutzen. Dadurch lassen sich mehrere Managementsysteme kombinieren. Die Norm gliedert sich in zehn Kapitel:

  1. Kapitel 1 bis 3: Anwendungsbereich, normative Verweise, Begriffe (ausführlich in ISO/IEC 20000-10).
  2. Kapitel 4 bis 7: Kontext der Organisation, Führung, Planung und Unterstützung, also Geltungsbereich, Verantwortung der Leitung, Risiken und Chancen, Ressourcen, Kompetenz und dokumentierte Information.
  3. Kapitel 8 Betrieb: die eigentlichen Service-Management-Anforderungen, gruppiert in Service-Portfolio, Beziehungen und Vereinbarungen, Angebot und Nachfrage, Design, Build und Transition (u. a. Change Management und Release), Resolution and Fulfilment (Incident Management, Service Requests, Problem Management) sowie Service Assurance (u. a. Verfügbarkeit, Kontinuität, Informationssicherheit).
  4. Kapitel 9 und 10: Bewertung der Leistung mit internem Audit und Managementbewertung sowie Verbesserung.

Ergänzende Teile: ISO/IEC 20000-2 (Anwendungsleitfaden), ISO/IEC 20000-3 (Geltungsbereich und Anwendbarkeit), ISO/IEC TR 20000-7 (Integration mit ISO 9001 und ISO/IEC 27001), ISO/IEC TS 20000-11 (Bezug zu ITIL 4) sowie neuere Teile zu SIAM, Agile und DevOps und Nachhaltigkeit. Die Zertifizierung läuft über eine Zertifizierungsstelle mit Audit des SMS gegen Teil 1 und regelmäßigen Überwachungsaudits.

Benefits

  • Unabhängiger Nachweis: Ein Zertifikat zeigt Kunden und Auftraggebern, dass Service-Prozesse im Alltag gelebt und von einer Zertifizierungsstelle auditiert wurden.
  • Kombinierbar mit ISO 27001: Durch die gemeinsame Annex-SL-Struktur teilen sich beide Systeme Managementbewertung, interne Audits, Dokumentenlenkung und Risikobetrachtung, das spart doppelten Aufwand.
  • Klare Mindestanforderungen: Statt ITIL in voller Breite einzuführen, siehst Du an der Norm, welche Prozesse mindestens geregelt sein müssen.
  • Messbarkeit: Die Norm verlangt Ziele, Leistungsbewertung und Verbesserung, dadurch werden SLA-Erfüllung und Prozessqualität regelmäßig ausgewertet.

Practical example

Ein Rechenzentrumsbetreiber in Baden-Württemberg mit 120 Mitarbeitenden betreibt Housing und Managed Services für Industriekunden. Mehrere Ausschreibungen verlangen einen zertifizierten Service-Management-Nachweis, ein ISMS nach ISO 27001 existiert bereits. Das Team erweitert den vorhandenen Geltungsbereich, nutzt Managementbewertung und interne Audits gemeinsam und ergänzt Service-Katalog, Kapazitäts- und Change-Prozesse nach Kapitel 8. Nach dem Zertifizierungsaudit kann der Betreiber beide Zertifikate in Angeboten vorlegen und beantwortet Kundenaudits mit Verweis auf die Auditberichte.

Things to keep in mind

  • Lege den Geltungsbereich eng und konkret fest (welche Services, welche Standorte, welche Kunden), ein zu breiter Scope treibt den Auditaufwand ohne Nutzen nach oben.
  • Dokumentiere nur, was die Norm fordert und was im Alltag genutzt wird. Auditoren fragen nach gelebten Nachweisen wie Tickets, Change-Protokollen und SLA-Berichten.
  • Binde Lieferanten und Cloud-Anbieter ein, denn Teil 1 verlangt die Steuerung anderer beteiligter Parteien. Microsoft 365 oder Hyperscaler gehören dazu, wenn Deine Services darauf aufbauen.
  • Plane die Amd 1:2024 ein: Die Klimawandel-Ergänzung betrifft Kontextanalyse und interessierte Parteien und gehört seit 2024 zu den Normanforderungen, also auch zum Auditumfang.

Licensing & availability

ISO/IEC 20000-1 ist ein Normdokument von ISO und IEC und wird über den ISO-Store oder nationale Normungsorganisationen bezogen, die Änderung Amd 1:2024 stellt ISO kostenfrei bereit. Organisationen lassen sich von Zertifizierungsstellen zertifizieren, Beispiele sind BSI Group (Großbritannien) und Quality Austria. Personenqualifikationen zu ISO/IEC 20000 bieten unter anderem EXIN, APMG-International, PECB und PeopleCert an. Laut ISO Survey 2024 gab es weltweit 27.332 Zertifikate, davon 24.056 in China. Stand: Oktober 2026.

Conclusion

ISO/IEC 20000-1 ist die einzige international zertifizierbare Norm für IT-Service-Management und lohnt sich vor allem für Dienstleister, die Nachweise in Ausschreibungen brauchen. Wenn Du bereits ein ISMS nach ISO 27001 betreibst, ist der Schritt dank gleicher Struktur deutlich kleiner.

Further reading

Related articles