Kapitel 4
Normkapitel 4 enthält eine Einführung in ISO/IEC 20000-1, die High Level Structure (HLS) von MS-Standards (MSS) sowie Überlegungen zu ihrer Integration.

ISO 20000-1
Zur Vorstellung von ISO 20000-1 sei auf den zugehörigen Kurzhinweis verwiesen (s. Kap. 07301), dort insbesondere auf die Abbildung 1, die ein SMS gemäß ISO 20000-1 darstellt. Zum Nachweis der Konformität mit ISO 20000-1 muss eine Organisation sämtliche Anforderungen des Standards abdecken. Ausschlüsse sind nicht zulässig.

Als nützliche Unterstützung enthält ISO 20000-10 (vgl. Kap. 07309) im Normkapitel 3 eine strukturierte Darstellung von Begriffen und Definitionen. Es wird unterschieden in:

High Level Structure
Die High Level Structure (HLS) für MS-Standards (MSS) ist beschrieben in den ISO/IEC Directives, Part 1, HLS for MSS. Sie enthält u. a. eine Mindestkapitelstruktur, die allen MSS gemein sein muss, aber themenspezifisch weiter ergänzt werden kann.

Nachfolgend wird diese Grundstruktur zusammen mit den kursiv gesetzten Ergänzungen der ISO 20000-1 dargestellt. In den Überschriften der Grundstruktur wird das konkrete Managementsystem mit „XXX” verallgemeinert.

IMS
Die gemeinsame HLS-Grundstruktur ermöglicht es Organisationen, mehrere MSS in einem Integrierten Managementsystem (IMS) zu einheitlichen Prozessen zusammenzufassen und effizienter zu betreiben.

Unabhängig von der expliziten Ergänzung weiterer Themen können auch bei Elementen der HLS-Grundstruktur inhaltlich kleinere Varianzen von einem MSS zum anderen bestehen, die jedoch typischerweise in einheitlichen Prozessbeschreibungen berücksichtigt werden können.

Ebenso sollten bei der Integration inhaltliche Gemeinsamkeiten, die sich jedoch in unterschiedlichen Teilen der MSS befinden, analysiert und berücksichtigt werden. Beispiele dafür sind etwa das Thema Wissen in ISO/IEC 20000-1 und ISO 9001 sowie das Change Management in ISO/IEC 20000-1 und ISO/IEC 27001. Dazu sind insbesondere die Anhänge dieses Standards sehr hilfreich.

Ein IMS sollte daher immer klar herausstellen, welche Anforderungen aus welchen Standards an welcher Stelle der IMS-Struktur berücksichtigt wurden.

Kapitel 5
Normkapitel 5 enthält

ISO 9001
ISO 9001 spezifiziert Anforderungen an ein QMS (s. o.), mit dem eine Organisation

Die Implementierung eines QMS erfordert einen prozess- und risikoorientierten Ansatz auf der Basis des Plan-Do-Check-Act-Zyklus (PDCA) auf allen Organisationsebenen.

QM-Prinzipien
Als wichtige QM-Prinzipien werden genannt:

Vergleich der Anforderungen
Ein SMS nach ISO 20000-1 fokussiert auf das Management von Services und gewährleistet, dass diese vereinbarte Serviceanforderungen einhalten und somit einen Mehrwert für den Kunden liefern. Ein QMS nach ISO 9001 fokussiert auf die Erfüllung von Kundenanforderungen und die Maximierung der Kundenzufriedenheit.

Daher enthält ISO 20000-1 eine Reihe zusätzlicher Anforderungen (vgl.Anhang B) zur Gewährleistung eines vollständigen Servicelebenszyklus, die in ISO 9001 nicht vorhanden sind.

Service Design und Transition
Im Bereich Service Design und Transition bestehen Ähnlichkeiten zwischen den Normkapiteln 8.3 der ISO 9001 und 8.5 der ISO 20000-1. Die ISO 9001 betrachtet jedoch nicht nur Services wie ISO 20000-1, sondern immer Produkte und Services, da sie ursprünglich zur Gewährleistung einer definierten Produktqualität entstanden ist.

Dieser und weitere Aspekte sollten bei der Definition eines einheitlichen Design- und Entwicklungsprozesses für beide Standards sorgfältig beachtet werden.

Externe Lieferanten
Beim Management externer Lieferanten sind sich beide Standards einig, dass es dokumentierter Kriterien zu Auswahl, Bewertung, und Überwachung bedarf.

Im Gegensatz zu ISO 20000-1 müssen diese bei ISO 9001 kein Vertragsbestandteil sein, sondern können anderweitig kommuniziert werden. Darüber hinaus fordert die ISO 20000-1 von der Organisation die Überprüfung ihrer externen Lieferanten bzgl. der Erreichung vereinbarter Service Level inkl. einer Risikobetrachtung, während ISO 9001 dies deutlich allgemeiner formuliert.

Spezifische Anforderungen
ISO 9001 enthält folgende spezifischen Anforderungen ohne Bezug zur ISO 20000-1:

Integration von SMS und QMS
Aus den bisherigen Ausführungen sind folgende Unterschiede der beiden Standards klargeworden, die bei der Integration Fragen aufwerfen:

Daher wird im Allgemeinen nur eine teilweise Integration der gemeinsamen Prozesse von QMS und SMS praktikabel sein, auch mit unterschiedlichen Scopes. Beispielsweise kann ein QMS für die gesamte Organisation etabliert werden, während das SMS nur diejenigen Bereiche umfasst, die Services erbringen.

Die Korrelationsdarstellung in Anhang B bietet dazu eine wertvolle Hilfestellung.

Kapitel 6
Normkapitel 6 weist die gleiche Struktur wie Normkapitel 5 auf, nur diesmal bezogen auf die ISO/IEC 27001:2013.

ISO 27001
Der Standard zum Information Security Management ist an anderer Stelle beschrieben (s. Kap. 07361). Der Fokus liegt auf der Gewährleistung einer angemessenen Informationssicherheit (IS), d. h. Vertraulichkeit, Integrität und Verfügbarkeit der Informationen im betrachteten Anwendungsbereich entsprechend den an sie gestellten Anforderungen. Dies schließt alle weiteren Assets wie IT, Netze, Infrastruktur, Dienstleister und eigenes Personal mit ein, die an der Verarbeitung dieser Informationen in irgendeiner Weise beteiligt sind.

Damit beschreibt die ISO 27001 ein Informationssicherheitsmanagementsystem (ISMS) mit dem Ziel der angemessenen Behandlung von IS-Risiken.

Im Unterschied zu den beiden anderen Standards enthält die ISO 27001 neben den Hauptkapiteln 4 bis 10 in HL-Struktur noch einen normativen Anhang A mit 14 Themenbereichen und 114 zugeordneten Controls. Diese dürfen abhängig vom definierten Scope des ISMS auch teilweise ausgeschlossen werden.

ISO 27013
Weiterhin existiert mit der ISO 27013 bereits ein Standard zur integrierten Implementierung eines ISMS und SMS, allerdings aus der Perspektive der ISO/IEC 27001.

Vergleich der Anforderungen
In Normkapitel 6.2 der ISO 20000-7 werden folgende Aspekte zum Vergleich von Anforderungen beider Standards angesprochen:

ISM-spezifische Anforderungen
Der überwiegende Teil des Anhangs A der ISO 27001 besteht aus ISM-spezifischen Anforderungen ohne direkten Bezug zur ISO 20000-1. Dies betrifft vor allem die Themenbereiche A.6 bis A.11, A.13 und A.18.

Integration von SMS und ISMS
Bei Überlegungen zur Integration von SMS und ISMS spielen zunächst die beiden Scopes eine wichtige Rolle:

Die Antwort auf diese Frage hat wesentlichen Einfluss auf die Komplexität der Integration.

Des Weiteren sollte geprüft werden, inwieweit die im ISMS vorhandenen Controls des Anhangs A nicht nur die Assets im Sinne der Informationssicherheit abdecken, sondern auch alle servicebezogenen Assets.

Für eine Integration des Risikomanagements von SMS und ISMS ist in jedem Fall ein Prozess erforderlich, der die Anforderungen der ISO 27001 abdeckt.

Normkapitel 7 stellt zunächst in einer zusammenfassenden Tabelle alle in den vorherigen Kapiteln genannten Unterschiede und Gemeinsamkeiten der drei MS-Standards in „High-Level-Form” zusammen, d. h. auf der Ebene der einzelnen Abschnitte der HLS-Kapitel 4 bis 10. Einen Überblick gibt die beigefügte Arbeitshilfe.[ 07306_a.docx]

Ebenso werden anschließend die wichtigen Überlegungen zur Integration nochmals für alle drei Standards zusammengefasst. Daraus ergeben sich u. a. folgende Aspekte: