ISO 20000 und ITIL: Der Unterschied für Ihr Unternehmen

ISO 20000-1 ist ein Standard mit Anforderungen, gegen den sich ein Unternehmen zertifizieren lassen kann. ITIL ist eine Sammlung von Praxisempfehlungen für IT-Service-Management, für die es kein Unternehmenszertifikat gibt.

Darum steht in Ausschreibungen und Lieferantenfragebögen «ISO 20000» und nicht «ITIL-konform». Die beiden Begriffe werden oft in einem Atemzug genannt, beantworten aber unterschiedliche Fragen. Dieser Artikel zeigt, wo die Grenze verläuft, wie sich beide ergänzen und welchen Nachweis Sie für welchen Zweck brauchen.

Was ist der Kernunterschied zwischen ISO 20000 und ITIL?

ISO 20000-1 legt fest, was ein IT-Dienstleister in seinem Service-Management-System nachweisbar regeln muss. ITIL beschreibt, wie man IT-Services in der Praxis gestalten, betreiben und verbessern kann.

Der Standard ist eine Prüfgrundlage. Er enthält Anforderungen, die erfüllt oder nicht erfüllt sind. ITIL ist ein Werkzeugkasten. Sie nehmen daraus, was zu Ihrem Betrieb passt, und lassen weg, was nicht passt. Niemand prüft, ob Sie ITIL «richtig» umgesetzt haben.

Was verlangt ISO 20000-1:2018?

Die Norm heisst vollständig ISO/IEC 20000-1:2018 und behandelt das Service-Management-System (SMS) eines Anbieters. Sie folgt der High Level Structure, die auch ISO 9001 und ISO 27001 verwenden. Die Kapitel 4 bis 10 sind deshalb bekannt:

• Kapitel 4 Kontext der Organisation: Wer sind Ihre Kunden und interessierten Parteien, was gehört zum Geltungsbereich?
• Kapitel 5 Führung: Die Geschäftsleitung setzt Politik und Verantwortlichkeiten fest.
• Kapitel 6 Planung: Risiken, Chancen und Ziele für den Servicebetrieb.
• Kapitel 7 Unterstützung: Ressourcen, Kompetenzen, Kommunikation, dokumentierte Information.
• Kapitel 8 Betrieb: Hier liegt das IT-spezifische Herzstück, etwa Servicekatalog, Vereinbarungen mit Kunden und Lieferanten, Changes, Incidents, Probleme und Servicekontinuität.
• Kapitel 9 Bewertung der Leistung: interne Audits, Management-Review, Überwachung der Kennzahlen.
• Kapitel 10 Verbesserung: Korrekturmassnahmen und laufende Weiterentwicklung.

Die Norm schreibt keine bestimmte Toolsuite und kein bestimmtes Prozessmodell vor. Sie will sehen, dass Sie Ihre Services planen, steuern, messen und verbessern, und dass Sie das belegen können.

Was ist ITIL?

ITIL ist ein Framework mit Praxisempfehlungen, das aus der britischen Verwaltung stammt und über Jahrzehnte weiterentwickelt wurde. Die aktuelle Version ist ITIL 4. Sie beschreibt ein Service Value System, vier Dimensionen (Organisation und Mitarbeitende, Information und Technologie, Partner und Lieferanten, Wertströme und Prozesse) und eine Reihe von Practices, zum Beispiel Incident Management, Change Enablement oder Service Level Management.

Zertifiziert werden bei ITIL Personen, nicht Organisationen. Wer die Prüfung zum ITIL Foundation besteht, hat Kenntnisse im Framework nachgewiesen. Das sagt nichts darüber aus, ob das Unternehmen, bei dem diese Person arbeitet, seinen Servicebetrieb nach festen Anforderungen führt.

ISO 20000 und ITIL im direkten Vergleich

Die Tabelle erklärt auch, warum ein Einkaufsverantwortlicher mit einem ITIL-Foundation-Zertifikat Ihres Teamleiters wenig anfangen kann, wenn er ein Unternehmenszertifikat für die Lieferantenbewertung braucht.

Wie spielen ISO 20000 und ITIL zusammen?

Sie schliessen sich nicht aus. Viele IT-Abteilungen arbeiten mit ITIL-Begriffen und -Abläufen und dokumentieren diese so, dass sie die Anforderungen der Norm abdecken. Der Prozess für Incidents, den Sie nach ITIL aufgebaut haben, kann zum Beleg werden, dass Sie die entsprechende Anforderung in Kapitel 8 erfüllen.

Umgekehrt gilt: Wer ISO 20000-1 erfüllen will, muss nicht ITIL einführen. Die Norm lässt offen, welches Modell Sie wählen. Ein kleiner Managed-Service-Provider mit fünf Mitarbeitenden kann ein schlankes System mit eigenen Begriffen betreiben und trotzdem alle Anforderungen belegen.

Ein praktischer Weg für kleinere Anbieter: zuerst die Norm lesen, dann prüfen, welche Teile Sie schon abdecken, und ITIL gezielt dort als Vorlage nutzen, wo Lücken sind. Für Firmen dieser Grösse haben wir im Leitfaden zu ISO-Zertifizierung für KMU zusammengefasst, wie sich der Aufwand sinnvoll begrenzen lässt.

Welchen Nachweis verlangen Kunden und Ausschreibungen?

In Lieferantenfragebögen, Ausschreibungen und Kundenaudits taucht ISO 20000 auf, weil sich ein Zertifikat prüfen und ablegen lässt. Der Einkauf will eine Zeile im Formular ausfüllen können: Zertifikat vorhanden, gültig bis, Aussteller, Geltungsbereich. ITIL liefert diese Zeile nicht.

Das ITIL-Wissen Ihrer Mitarbeitenden kann trotzdem zählen, etwa wenn ein Kunde in der Ausschreibung nach Qualifikationen des Servicemanagers fragt. Dann legen Sie die Personenzertifikate bei. Beide Nachweise beantworten verschiedene Fragen und ersetzen sich nicht.

Checkliste: Welcher Weg passt zu Ihrer Situation?

• Verlangt ein Kunde oder eine Ausschreibung ausdrücklich ISO 20000-1? Dann brauchen Sie ein Unternehmenszertifikat, ITIL allein genügt nicht.
• Ist der Servicebetrieb heute undokumentiert oder personenabhängig? Dann hilft ITIL als Vorlage, um Abläufe zu strukturieren.
• Haben Sie Incidents, Changes und Kundenvereinbarungen schriftlich geregelt und nachvollziehbar abgelegt?
• Ist der Geltungsbereich klar: welche Services, welche Standorte, welche Kunden?
• Gibt es eine verantwortliche Person aus der Geschäftsleitung für das Service-Management-System?
• Finden interne Audits und ein jährliches Management-Review statt oder sind sie zumindest geplant?
• Messen Sie Servicequalität, zum Beispiel Reaktionszeiten oder Verfügbarkeit, und halten Sie Verbesserungen fest?
• Brauchen Sie den Nachweis kurzfristig für ein Angebot oder eine Offerte?

Sind die ersten beiden Punkte mit Ja beantwortet, lohnt sich der Blick auf die Norm. Fehlen bei den mittleren Punkten Antworten, ist das die Arbeitsliste für die nächsten Wochen.

Wie passt Zertify dazu?

Zertify stellt Zertifikate nach ISO 20000-1:2018 IT-Service-Management auf Basis einer Online-Selbstbewertung aus. Sie beantworten die Fragen zu Ihrem Servicebetrieb und legen die geforderten Angaben vor. Ein Vor-Ort-Audit findet nicht statt. Jede Bewertung prüft ein Mitglied des SICE Certification Board. Das Zertifikat stellt die G6 Agency AG in Lizenz des Swiss Institute of Certification and Education (SICE) aus, und zwar innerhalb von 4 Stunden nach bestandener Bewertung und Zahlung.

Auf dem PDF finden Sie einen QR-Code, der zur öffentlichen Verifizierungsseite führt. Ihr Kunde oder der Einkauf kann dort Gültigkeit und Aussteller selbst prüfen. Das Zertifikat gilt drei Jahre und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt. Dafür gibt es ein Jahresabonnement. Die Konditionen finden Sie auf der Seite Preise.

Wer den klassischen Weg mit einem Vor-Ort-Audit durch eine Zertifizierungsstelle kennt, findet in der Übersicht zur Zertifizierung ohne Audit eine nüchterne Gegenüberstellung der beiden Wege. Welcher besser zu Ihnen passt, hängt davon ab, was Ihr Kunde als Nachweis verlangt.

Wenn Sie wissen wollen, wo Ihr Servicebetrieb heute steht, können Sie die Bewertung starten. Sie sehen bei den Fragen, welche Anforderungen der Norm Sie bereits belegen und wo noch Dokumente fehlen.

Häufige Missverständnisse

«Wir arbeiten nach ITIL, also sind wir ISO-20000-konform.» Das stimmt nicht automatisch. ITIL deckt viele Themen der Norm ab, aber nicht alle Anforderungen in der geforderten Form. Management-Review, Geltungsbereich und dokumentierte Information sind Beispiele, die in der Praxis oft fehlen.

«ISO 20000 verlangt, dass wir ITIL einführen.» Auch das ist falsch. Die Norm nennt ITIL nicht als Voraussetzung. Sie verlangt Ergebnisse, nicht ein bestimmtes Modell.

«Ein ITIL-Zertifikat ersetzt das ISO-Zertifikat.» Die beiden Zertifikate beziehen sich auf unterschiedliche Gegenstände: das eine auf eine Person, das andere auf das Managementsystem einer Organisation.

Wo Sie anfangen sollten

Wenn ein konkreter Auftrag oder eine Ausschreibung wartet, beginnen Sie bei der Norm. Klären Sie den Geltungsbereich, sammeln Sie die vorhandenen Prozessbeschreibungen und prüfen Sie, welche Anforderungen aus den Kapiteln 4 bis 10 schon belegt sind. Wenn Ihr Team noch an der Grundstruktur arbeitet, ist ITIL ein guter Einstieg, um Begriffe und Abläufe zu vereinheitlichen. Die Norm kommt dann als zweiter Schritt hinzu.