Was ist ISO? ISO-Normen, Zer­ti­fi­zie­rung und IT-Bedeutung erklärt

Hinter ISO steht die In­ter­na­tio­na­le Or­ga­ni­sa­ti­on für Normung. Der Verein für die Ent­wick­lung in­ter­na­tio­na­ler Standards umfasst die Nor­mungs­or­ga­ni­sa­tio­nen, die ISO-Standards entwerfen und ver­ab­schie­den. Die Zer­ti­fi­zie­rung einer ISO-Norm ga­ran­tiert zum einen, dass An­for­de­run­gen an Qualität und Si­cher­heit ein­ge­hal­ten werden, und zum anderen, dass Un­ter­neh­men, Behörden und In­sti­tu­tio­nen weltweit ein­heit­li­che Standards verwenden.

Was bedeutet ISO?

Die In­ter­na­tio­na­le Or­ga­ni­sa­ti­on für Normung (ISO) ist eine 1947 ge­grün­de­te un­ab­hän­gi­ge Nicht­re­gie­rungs­or­ga­ni­sa­ti­on (NGO) nach schwei­ze­ri­schem Recht. Die ISO besteht aus mehreren Nor­mungs­or­ga­ni­sa­tio­nen, die sich um die Ent­wick­lung und Ver­öf­fent­li­chung der in­ter­na­tio­nal an­er­kann­ten ISO-Normen kümmern. Dabei handelt es sich um In­dus­trie­stan­dards, Richt­li­ni­en, Regeln und An­for­de­run­gen zur Wahrung von Qualität, Si­cher­heit und Ein­heit­lich­keit.

Für elek­tro­tech­ni­sche Normung ist vor allem die In­ter­na­tio­na­le Elek­tro­tech­ni­sche Kom­mis­si­on (IEC) und für Te­le­kom­mu­ni­ka­ti­on die In­ter­na­tio­na­le Fern­mel­de­uni­on (ITU) zuständig. In Über­schnei­dungs­be­rei­chen arbeiten die Or­ga­ni­sa­tio­nen zusammen. Deshalb tragen gemeinsam ver­öf­fent­lich­te IT-Normen Be­zeich­nun­gen wie ISO/IEC 27001. ISO, IEC und ITU ko­ope­rie­ren zudem in der World Standards Co­ope­ra­ti­on (WSC).

ISO-Norm im Detail erklärt

ISO-Normen werden von der ISO ent­wi­ckelt, um weltweit gültige Si­cher­heits-, Qualitäts- und Ein­heit­lich­keits­stan­dards fest­zu­le­gen. Mit diesen soll die in­ter­na­tio­na­le Pro­duk­ti­on, Her­stel­lung, Kom­mu­ni­ka­ti­on und Zu­sam­men­ar­beit zwischen Ländern, Un­ter­neh­men und In­sti­tu­tio­nen in Feldern wie Wirt­schaft, Wis­sen­schaft und tech­ni­scher Ent­wick­lung optimiert werden.

Eine ISO-Norm legt je nach Ge­gen­stand An­for­de­run­gen, Spe­zi­fi­ka­tio­nen oder Leit­li­ni­en fest. Neue oder re­vi­dier­te Standards ver­öf­fent­licht die ISO fort­lau­fend; laufende Nor­mungs­pro­jek­te und Ver­öf­fent­li­chun­gen werden re­gel­mä­ßig ak­tua­li­siert. Erkennbar sind ISO-Standards am Kürzel der je­wei­li­gen Or­ga­ni­sa­ti­on für Normung und einer Zahl von 1 bis 99999.

Was ist der Un­ter­schied zwischen ISO-Norm und ISO-Datei?

Im IT-Kontext kann „ISO“ auch eine .iso-Datei be­zeich­nen. Eine solche Datei ist ein Da­ten­trä­ger­ab­bild, das die Struktur und Inhalte eines optischen Da­ten­trä­gers in einer einzelnen Datei speichert. Die Be­zeich­nung geht auf das stan­dar­di­sier­te Da­tei­sys­tem ISO 9660 für optische Da­ten­trä­ger zurück. ISO-Images kommen unter anderem bei Be­triebs­sys­tem­in­stal­la­tio­nen, vir­tu­el­len Maschinen und boot­fä­hi­gen In­stal­la­ti­ons­me­di­en zum Einsatz.

ISO-Standards: Welche Normen gibt es?

Die ISO normiert in fast allen Le­bens­be­rei­chen und Ge­schäfts­fel­dern und umfasst eine lange Liste an Standards und tech­ni­schen Spe­zi­fi­ka­tio­nen. Die be­kann­tes­ten und wich­tigs­ten Normen finden sich in Bereichen wie Qua­li­täts­ma­nage­ment­sys­te­men, Umwelt, Ar­beits­schutz, Medizin, Pro­duk­ti­on oder Le­bens­mit­tel­si­cher­heit. Auch im Ge­sund­heits­schutz, in der Daten- und In­for­ma­ti­ons­si­cher­heit und in der Com­pli­ance finden sich bekannte Normen.

Zu den besonders bekannten ISO-Normen zählen:

Gül­tig­keit von ISO-Zer­ti­fi­ka­ten

Die Gül­tig­keit eines er­wor­be­nen ISO-Zer­ti­fi­kats beträgt bei zer­ti­fi­zier­ba­ren Ma­nage­ment­sys­tem­nor­men in der Regel drei Jahre. Bei ISO 9001 finden nach der Erst­zer­ti­fi­zie­rung üb­li­cher­wei­se Über­wa­chungs­au­dits in den beiden Fol­ge­jah­ren statt. Vor Ablauf des Zer­ti­fi­zie­rungs­zy­klus ist für die Ver­län­ge­rung eine Re-Zer­ti­fi­zie­rung er­for­der­lich.

Wie lange eine Erst­zer­ti­fi­zie­rung dauert, hängt unter anderem von der je­wei­li­gen Norm, der Un­ter­neh­mens­grö­ße, dem Reifegrad des Ma­nage­ment­sys­tems und der Zer­ti­fi­zie­rungs­stel­le ab. Eine all­ge­mein­gül­ti­ge Dauer lässt sich daher nicht angeben.

So werden ISO-Normen ent­wi­ckelt

Die Ent­wick­lung von ISO-Normen über­neh­men nationale und in­ter­na­tio­na­le Ar­beits­grup­pen für Normung. Normen werden in re­gel­mä­ßi­gen Abständen von ISO-Mit­glie­dern ent­wi­ckelt, geprüft, genehmigt und als in­ter­na­tio­na­le Standards ver­öf­fent­licht. Der Prozess von Ent­wick­lung bis Ver­öf­fent­li­chung umfasst sechs Stufen:

1. Vorschlag/Vorstufe (NP – New Work Item Proposal): Neue Nor­mungs­plä­ne werden von Komitees für Normung gesammelt, aus­ge­wer­tet und ein­ge­stuft.
2. Be­ar­bei­tung (WD – Working Draft): Experten-Ar­beits­grup­pen ent­wi­ckeln grund­le­gen­de Entwürfe.
3. Komitee-Entwurf (CD – Committee Draft): Nationale Re­prä­sen­tan­ten arbeiten einen ersten Norm-Entwurf aus.
4. Umfrage (DIS – Draft In­ter­na­tio­nal Standard): Ein Norm-Entwurf zur Umfrage wird ver­öf­fent­licht, um darüber ab­zu­stim­men oder Kom­men­ta­re zu geben. Ein DIS ist an­ge­nom­men, wenn min­des­tens zwei Drittel der ab­stim­men­den P-Mit­glie­der zustimmen und höchstens ein Viertel aller ab­ge­ge­be­nen Stimmen negativ ist. Wird diese Schwelle nicht erreicht, wird der Entwurf wei­ter­be­ar­bei­tet.
5. Annahme (FDIS – Final Draft In­ter­na­tio­nal Standard): Der Schluss­ent­wurf wird zur Kom­men­tie­rung, zur Umfrage und zur Ab­stim­mung ver­öf­fent­licht. Bei einer Mit­glie­der­mehr­heit von min­des­tens zwei Dritteln geht der FDIS in die Ver­öf­fent­li­chungs­pha­se. Wird der DIS an­ge­nom­men und werden an­schlie­ßend keine tech­ni­schen Än­de­run­gen vor­ge­nom­men, kann der Entwurf direkt in die Ver­öf­fent­li­chungs­pha­se gehen. Bei tech­ni­schen Än­de­run­gen ist die FDIS-Phase ver­pflich­tend.
6. Ver­öf­fent­li­chung (ISO-Norm): Der neue ISO-Standard wird bei­spiels­wei­se im ISO Bulletin und im Standard Handbook ver­öf­fent­licht.

Eine weitere Phase ist die Revision. Da eine ISO-Norm nur sinnvoll ist, wenn sie auf dem aktuellen tech­ni­schen und ge­sell­schaft­li­chen Stand bleibt, wird sie spä­tes­tens nach fünf Jahren auf ihre Gül­tig­keit, Kor­rekt­heit und Ak­tua­li­tät hin überprüft. Als Ergebnis der Über­prü­fung kann die Norm bestätigt, revidiert oder zu­rück­ge­zo­gen werden. Eine Zu­rück­zie­hung bedeutet nicht zwingend, dass un­mit­tel­bar eine Nach­fol­ge­norm erscheint.

Das ist bei ISO-Zer­ti­fi­zie­run­gen zu beachten

Die in­di­vi­du­el­le Zer­ti­fi­zie­rung erfolgt nicht über die ISO, sondern über externe Stellen und Dienst­leis­ten­de für ISO-Zer­ti­fi­zie­rung. Es wird seitens der ISO davon abgeraten, Begriffe wie „ISO-Zer­ti­fi­zie­rung“ oder „ISO-zer­ti­fi­ziert“ zu verwenden. Vielmehr soll der ISO-Standard mit der Ver­si­ons­num­mer benannt werden, um auf­zu­zei­gen, dass Produkte, Leis­tun­gen oder Systeme ISO-An­for­de­run­gen erfüllen.

Die Zer­ti­fi­zie­rung durch externe, un­ab­hän­gi­ge Prüf­stel­len ist nicht kostenlos. Welche Kosten zu erwarten sind, hängt von der Größe des Un­ter­neh­mens, der Branche und der Erst- oder Re-Zer­ti­fi­zie­rung ab. Obwohl die Zer­ti­fi­zie­rung einen gewissen Kosten- und Zeit­auf­wand bedeutet, bietet sie zahl­rei­che Vorteile:

• Der Nachweis in­ter­na­tio­nal gängiger Standards und Normen steht für Se­rio­si­tät und Pro­fes­sio­na­li­tät.
• Produkte und Dienst­leis­tun­gen, die ISO-Standards erfüllen, wecken Kun­den­ver­trau­en.
• Qua­li­täts­stan­dards sichern die interne und in­ter­na­tio­na­le Kon­sis­tenz, Effizienz und Si­cher­heit von Ma­nage­ment­sys­te­men in ver­schie­de­nen Ge­schäfts­be­rei­chen und In­sti­tu­tio­nen.
• Die Ein­hal­tung in­ter­na­tio­na­ler Standards er­mög­licht über Grenzen hinweg Konstanz und lü­cken­lo­se Zu­sam­men­ar­beit.

Wichtige Schritte zur ISO-Zer­ti­fi­zie­rung

Abhängig von der je­wei­li­gen Norm und der zu­stän­di­gen Stelle für Zer­ti­fi­zie­rung, umfasst der Zer­ti­fi­zie­rungs­pro­zess ver­schie­de­ne Schritte und Stufen. Wichtige Schritte sind:

• In­for­ma­tio­nen zur be­tref­fen­den ISO-Norm sammeln
• In internen Geschäfts- und Un­ter­neh­mens­be­rei­chen Struk­tu­ren und Pro­zess­ab­läu­fe iden­ti­fi­zie­ren, die mit ISO-An­for­de­run­gen nicht konform sind
• Op­ti­mie­rungs­po­ten­tia­le und -pläne do­ku­men­tie­ren
• Im­ple­men­tie­rung von ISO-Standards
• Durch interne Audits die Erfüllung der ISO-Norm prüfen
• Of­fi­zi­el­les Com­pli­ance-Audit bzw. Zer­ti­fi­zie­rung bei zu­stän­di­ger Stelle be­an­tra­gen

Wie wichtig sind ISO-Standards für IT-In­fra­struk­tur und Cloud-Si­cher­heit?

Für Server- und Cloud-In­fra­struk­tu­ren bieten ISO-Zer­ti­fi­zie­run­gen eine stan­dar­di­sier­te Grundlage, um Si­cher­heits- und Ma­nage­ment­pro­zes­se eines Anbieters ein­zu­schät­zen. Besonders relevant ist ISO/IEC 27001:2022: Die Norm definiert An­for­de­run­gen an ein In­for­ma­ti­ons­si­cher­heits-Ma­nage­ment­sys­tem, mit dem Or­ga­ni­sa­tio­nen In­for­ma­ti­ons­ri­si­ken sys­te­ma­tisch iden­ti­fi­zie­ren, behandeln und über­wa­chen.

Für den nach­hal­ti­gen Betrieb von IT-In­fra­struk­tu­ren ist ISO 50001:2018 relevant. Die Norm legt An­for­de­run­gen an En­er­gie­ma­nage­ment­sys­te­me fest und un­ter­stützt Or­ga­ni­sa­tio­nen dabei, En­er­gie­ein­satz und En­er­gie­ef­fi­zi­enz sys­te­ma­tisch zu steuern. Bei der Auswahl eines Re­chen­zen­trums kann eine ent­spre­chen­de Zer­ti­fi­zie­rung deshalb als Nachweis eta­blier­ter Ma­nage­ment­pro­zes­se dienen. Weitere Aspekte nach­hal­ti­ger IT-In­fra­struk­tu­ren fasst der Beitrag zu Green IT zusammen.