ISO 9001 für IT-Systemhäuser: Realistische Vorbereitung

ISO 9001 hat in IT-Systemhäusern einen zwiespältigen Ruf. Für die einen ist sie ein Verkaufsargument gegenüber Konzernkunden, für die anderen ein Berg aus Aktenordnern, Verfahrensanweisungen und jährlichen Audit-Rechnungen. Beide Bilder stimmen — und beide sind vermeidbar, wenn Sie die Norm als das lesen, was sie ist: ein Rahmen für Prozesse, keine Vorschrift für Bürokratie.

Dieser Artikel beschreibt, wie ein IT-Systemhaus mit 10 bis 20 Mitarbeitenden ISO 9001:2015 realistisch vorbereitet, was Sie dokumentieren müssen, was Sie ruhig weglassen können, welche Kosten anfallen und wie sich der Arbeitsalltag danach tatsächlich verändert.

Prozesse statt Verfahrensanweisungen

Der häufigste Fehler in kleinen QM-Projekten: Man versucht, jede Tätigkeit in eine Verfahrensanweisung zu gießen. Das Ergebnis sind PDFs, die nach dem Audit nie wieder jemand liest. ISO 9001:2015 fordert seit der Novelle explizit prozessorientiertes Denken, nicht Prozeduren-Sammlungen. Konkret heißt das: Sie beschreiben, wie Wertschöpfung durch Ihr Unternehmen fließt, nicht wie jemand einen Drucker installiert.

Für ein IT-Systemhaus reichen typischerweise sechs bis acht Kernprozesse:

Prozess	Owner	Dokumentationstiefe
Angebot & Vertrieb	Vertrieb / GF	Ablauf, Freigabegrenzen
Projektabwicklung	PM / Technik	Phasen, Übergabe an Betrieb
Incident & Service Desk	Support-Lead	SLA-Klassen, Eskalation
Change Management	Technik-Lead	RfC-Flow, Rückrollplan
Beschaffung & Lieferantenbewertung	Einkauf	Kriterien, Reviewzyklus
Personal & Onboarding	GF / HR	Rollen, Kompetenzmatrix
Interne Audits & Management-Review	QMB	Rhythmus, Berichtsform
Verbesserungswesen (CAPA)	QMB	Meldeweg, Bearbeitungsfristen

Für jeden Prozess brauchen Sie einen Owner, ein Ziel, messbare Kennzahlen und eine Beschreibung der Schnittstellen. Das passt bei uns pro Prozess auf ein bis zwei DIN-A4-Seiten. Alles darüber hinaus ist meist Wunschdenken der Zertifizierungsberater.

Was Sie wirklich dokumentieren müssen — und was nicht

Die Norm verlangt an konkreten Dokumenten weniger, als viele annehmen. Pflicht sind unter anderem:

• Geltungsbereich des Qualitätsmanagementsystems (typisch: “IT-Dienstleistungen einschließlich Planung, Lieferung, Integration und Betrieb”)
• Qualitätspolitik und Qualitätsziele (messbar, mit Termin)
• Risiken und Chancen je Kernprozess
• Nachweise über Ressourcen, Kompetenz, Kalibrierung von Messmitteln (bei uns: Netzwerk-Analyzer, Server-Testumgebungen)
• Nachweise über Auditergebnisse, Korrekturmaßnahmen, Management-Reviews

Nicht Pflicht sind: Handbücher im klassischen Sinn, Detail-Anweisungen für jeden Handgriff, ausführliche Organigramme. Wenn Ihr Auditor auf einem “QM-Handbuch” besteht, ist das eine Auslegung, keine Normforderung. Ein sauber gepflegtes Wiki mit den oben genannten Inhalten reicht seit der 2015er-Fassung völlig aus.

Bei uns läuft die gesamte QM-Dokumentation in einem versionierten Wiki mit Zugriffskontrolle und automatischer Änderungshistorie. Alternativen sind SharePoint, Confluence oder ein simples Git-Repository mit Markdown — die Zertifizierer akzeptieren alles, was Änderungen nachvollziehbar macht und den aktuellen Stand eindeutig zeigt.

Kosten realistisch: Was Zertifizierung 2026 kostet

Die harte Frage. Für ein Haus mit 15 Mitarbeitenden an einem Standort sehen wir 2026 folgende Bandbreiten:

Kostenpunkt	Realistischer Rahmen
Externe Vorbereitung / Beratung	6.000 bis 15.000 EUR einmalig
Zertifizierungsaudit Stufe 1 + 2	5.000 bis 8.000 EUR einmalig
Überwachungsaudit Jahr 1 und 2	je 2.500 bis 4.000 EUR
Re-Zertifizierung nach 3 Jahren	4.000 bis 6.000 EUR
Interner Aufwand Vorbereitung	15 bis 30 Personentage
Interner Aufwand laufend	3 bis 6 Personentage pro Jahr

Die Bandbreite bei der Beratung ist so groß, weil manche Anbieter mit Templates und Wochenend-Workshops arbeiten, andere mit Vor-Ort-Terminen und komplett neuen Dokumentenstrukturen. Unsere Empfehlung: Suchen Sie einen Berater, der Ihre bestehenden Prozesse dokumentiert und nicht neue erfindet. Wer Ihnen ein 200-Seiten-Handbuch verkauft, verkauft Ihnen Ihr Problem.

Bei der Zertifizierungsstelle lohnt der Vergleich. Akkreditiert sind in Deutschland unter anderem TÜV Süd, TÜV Rheinland, DEKRA, DQS und mehrere kleinere Häuser. Für ein KMU macht die Reputation der Stelle bei den meisten Endkunden keinen Unterschied — das Zertifikat ist überall gleichwertig, solange die Akkreditierung durch die DAkkS gedeckt ist.

Interner Audit-Rhythmus: Was funktioniert

Die Norm fordert interne Audits “in geplanten Abständen”. Das bedeutet nicht, dass Sie jeden Prozess jedes Jahr auditieren müssen — Sie brauchen einen Auditplan, der über den Zertifikatszyklus (drei Jahre) alle Prozesse abdeckt.

Bei uns läuft das nach diesem Muster:

Auditplan 3-Jahres-Zyklus (Beispiel):

Q1 Jahr 1: Vertrieb, Angebot, Projektabwicklung
Q3 Jahr 1: Incident, Change, Service Desk
Q1 Jahr 2: Beschaffung, Lieferantenbewertung
Q3 Jahr 2: Personal, Onboarding, Kompetenz
Q1 Jahr 3: Verbesserungswesen, CAPA, Reklamationen
Q3 Jahr 3: Cross-Check aller Kernprozesse

Ein internes Audit dauert bei uns pro Prozess zwei bis vier Stunden inklusive Bericht. Wichtig ist, dass der Auditor nicht der Prozess-Owner ist — ein Kollege aus einem anderen Bereich stellt die naiven Fragen, die den Prozessverantwortlichen aus der Betriebsblindheit holen.

Wir kombinieren das mit einem monatlichen QM-Jour-fixe von 60 Minuten, in dem alle offenen Punkte aus Reklamationen, Beinahe-Vorfällen und internen Meldungen besprochen werden. Das ersetzt keine formalen Audits, aber es hält das System zwischen den Terminen am Leben.

Wie sich der Arbeitsalltag wirklich verändert

Nach der Zertifizierung ändert sich weniger, als viele befürchten — und mehr, als viele hoffen. Was tatsächlich passiert:

• Onboarding wird strukturierter. Neue Kolleginnen und Kollegen bekommen einen dokumentierten Ablauf, statt sich Wissen zusammenzusuchen. Das ist unabhängig von ISO 9001 sinnvoll, aber die Norm zwingt Sie dazu.
• Reklamationen bekommen einen Prozess. Vor der Zertifizierung landen Kundenbeschwerden oft direkt bei der Geschäftsführung und verpuffen. Danach gibt es eine Meldung, eine Ursachenanalyse und eine Korrekturmaßnahme mit Termin. Das ist echte Verbesserung.
• Lieferantenauswahl wird transparenter. Wir bewerten unsere Hardware-, Software- und Cloud-Zulieferer jährlich nach Qualität, Termintreue und Support. Bei TrueNAS- und Proxmox-Umgebungen hat das mehrfach geholfen, langfristige Entscheidungen datenbasiert zu treffen statt nach Bauchgefühl.
• Change Management bekommt Rückgrat. Ungeplante Changes sind seltener, weil der Prozess sichtbar macht, wer wann was warum ändert — wichtig bei Firewall- und Netzwerk-Umbauten, etwa mit OPNsense.
• Datensicherung wird auditiert, nicht nur betrieben. Ein QMS zwingt zu regelmäßigen Restore-Tests und dokumentierten Ergebnissen. Das ist bei Backup-Strategien der Punkt, an dem die Norm am direktesten in die Technik hineinreicht.

Was sich nicht ändert: die Kreativität in Projekten, die Geschwindigkeit im Tagesgeschäft, die persönliche Beziehung zu Kunden. Wenn ein QMS diese Dinge kaputtmacht, ist es falsch aufgesetzt — nicht die Norm ist schuld.

Die drei häufigsten Fallstricke

1. Beraterabhängigkeit. Wer die gesamte Dokumentation extern schreiben lässt, hat nach dem Zertifikat ein System, das niemand im Haus versteht. Lassen Sie sich moderieren, aber schreiben Sie selbst.
2. Zu viele Kennzahlen. Fünf gut messbare KPIs pro Prozess sind besser als fünfzehn, die nie erhoben werden. Der Auditor will sehen, dass Sie messen und reagieren — nicht, dass Sie messen um des Messens willen.
3. Audits ohne Konsequenz. Wenn interne Audit-Feststellungen im Nirwana verschwinden, merkt das der externe Auditor spätestens im zweiten Überwachungsjahr. Jede Feststellung braucht Verantwortlichen, Termin und Wirksamkeitskontrolle.

Fazit

ISO 9001 ist für ein IT-Systemhaus mit 10 bis 20 Mitarbeitenden mit vertretbarem Aufwand machbar, wenn Sie die Norm als Rahmen für schlanke, gelebte Prozesse verstehen und nicht als Aufforderung zur Verwaltungsverdopplung. Rechnen Sie im ersten Jahr mit 15 bis 30 internen Personentagen plus 11.000 bis 23.000 EUR externen Kosten, danach mit einem laufenden Aufwand von wenigen Tagen im Jahr. Der eigentliche Nutzen liegt nicht im Zertifikat, sondern in der Klarheit, die ein durchdachtes Prozess-Setup Ihrem Team gibt.

DATAZONE unterstützt IT-Systemhäuser und mittelständische IT-Abteilungen bei der Vorbereitung auf ISO 9001 und beim Aufbau schlanker QM-Systeme, die zu Technik-Organisationen passen — inklusive Prozessdokumentation, interner Audits und Werkzeug-Auswahl. Wenn Sie den Schritt in die Zertifizierung strukturiert angehen wollen, sprechen Sie uns an.