Was ist COBIT?
COBIT (Control Objectives for Information and Related Technologies) ist das Rahmenwerk der ISACA für die Steuerung der Unternehmens-IT. Es beantwortet die Frage, wie ein Unternehmen sicherstellt, dass seine IT die Unternehmensziele unterstützt, und wer darüber mit welcher Verantwortung entscheidet. Die aktuelle Fassung heißt COBIT 2019 (Stand: Oktober 2026); sie beschreibt 40 Governance- und Management-Ziele und ergänzt sie um Fokusbereiche, unter anderem zu Informationssicherheit, DevOps und Cloud.
COBIT ist ein Gestaltungsrahmen, aus dem eine Organisation ihr eigenes Governance-System ableitet. Eine Zertifizierung von Organisationen gibt es nicht; die ISACA bietet Personenzertifikate an.
Was ist IT-Governance, und wie trennt COBIT sie vom Management?
IT-Governance ist die Steuerung der IT durch das Leitungs- und Aufsichtsorgan: Es bewertet strategische Optionen, gibt die Richtung vor und überwacht die Zielerreichung. Management ist die Umsetzung: planen, aufbauen, betreiben, überwachen. COBIT ordnet die Governance-Ziele der Domäne EDM zu, die Management-Ziele den übrigen vier Domänen.
Praktisch folgt aus der Trennung: Ein Gremium, das selbst Umsetzungsentscheidungen trifft, überwacht am Ende seine eigenen Entscheidungen. Ein Management ohne klare Vorgaben priorisiert selbst, ohne dass jemand die Prioritäten an den Unternehmenszielen misst.
| Domäne | Bedeutung | Gegenstand |
|---|---|---|
| EDM | Evaluate, Direct and Monitor | Governance-Ziele: Das Leitungsorgan bewertet Optionen, gibt die Richtung vor und überwacht die Zielerreichung |
| APO | Align, Plan and Organise | Organisation, Strategie und unterstützende Aktivitäten für Informationen und Technologie |
| BAI | Build, Acquire and Implement | Definition, Beschaffung und Einführung von Lösungen und ihre Einbindung in Geschäftsprozesse |
| DSS | Deliver, Service and Support | Betrieb und Unterstützung der IT-Dienste |
| MEA | Monitor, Evaluate and Assess | Überwachung von Leistung und Konformität, fortlaufende Verbesserung |
Ziele auswählen: die Zielkaskade
COBIT ist auf Zuschnitt angelegt. Sie führen nicht alle 40 Ziele ein. Eine Zielkaskade zeigt, welche Ziele Ihr Unternehmen braucht, vom Unternehmensziel zu den Ausrichtungszielen und von dort zu den Governance- und Management-Zielen. Ein Beitrag der ISACA zur Geschäftskontinuität beschreibt diese Reihenfolge Schritt für Schritt.
Die Kaskade begründet beide Richtungen einer Entscheidung. Sie erklärt der Geschäftsleitung, welches Unternehmensziel eine Maßnahme absichert, und sie begründet, warum Sie ein anderes Ziel vorerst nicht bearbeiten.
Beispiel: Ziele für eine wiederkehrende Störung
Beispiel (fiktiv); Unternehmen und Ausgangslage sind frei gewählt, die Zielbezeichnungen stammen aus COBIT 2019. Ein Versandhändler hat zweimal im Jahr seinen Webshop über Stunden verloren. Er betreibt bereits ein ISMS nach ISO/IEC 27001.
| Stufe | Auswahl |
|---|---|
| Unternehmensziel | EG06 „Business service continuity and availability“ |
| Ausrichtungsziele | AG02 „Managed I&T-related risk“, AG07 „Security of information, processing infrastructure and applications, and privacy“ |
| Kandidaten | EDM03 „Ensured risk optimization“, APO12 „Managed risk“, APO13 „Managed security“, DSS04 „Managed continuity“, DSS05 „Managed security services“ |
| Entscheidung | zuerst DSS04 und EDM03; APO13 stützt sich auf das bestehende ISMS; APO12 und DSS05 im zweiten Schritt |
| Verantwortung | EDM03 bei der Geschäftsführung, DSS04 bei der IT-Leitung, APO13 beim Informationssicherheitsbeauftragten |
| Bericht | Ausfallzeiten und Stand der Notfallpläne in der Managementbewertung |
Die Auswahl verändert die Planung: Statt alle Ziele mit Sicherheitsbezug anzugehen, konzentriert sich der Händler auf Kontinuität, weil das bestehende ISMS die Sicherheitsseite bereits trägt. Prüfen Sie Ihre Auswahl daran, dass jedes gewählte Ziel einen Verantwortlichen, einen Bezug zu einem Unternehmensziel und eine Kennzahl im Bericht an die Leitung hat. Fehlt eine der drei Angaben, ergänzen Sie sie oder streichen Sie das Ziel aus der Auswahl.
Verhältnis zu ISO/IEC 27001, ITIL und ISO/IEC 38500
COBIT liegt auf einer anderen Ebene als diese Rahmenwerke:
| Rahmenwerk | Gegenstand | Verhältnis zu COBIT |
|---|---|---|
| ISO/IEC 27001 | Anforderungen an ein Informationssicherheits-Managementsystem, zertifizierbar | COBIT ordnet die Steuerung der gesamten Unternehmens-IT; Organisationen können es nicht zertifizieren lassen |
| ITIL | Praktiken des IT-Service-Managements | beschreibt die Betriebsebene, die COBIT steuert |
| ISO/IEC 38500 | Leitprinzipien für Mitglieder von Leitungsorganen zur wirksamen, effizienten und akzeptablen Nutzung der IT | Grundsätze für das Leitungsorgan; COBIT liefert die Ausgestaltung mit benannten Zielen |
Wer COBIT und ISO/IEC 27001 nebeneinander betreibt, gestaltet die Managementbewertung nach ISO/IEC 27001 als den Bericht, den das Leitungsorgan im Sinne der Domäne EDM braucht. Ein zweiter, getrennter Governance-Bericht erzeugt doppelten Aufwand und zwei Stände. Wie beide in ein Programm für Governance, Risiko und Compliance passen, beschreibt der Eintrag GRC.
Verlangen DORA oder die MaRisk COBIT?
Nein. Weder die Verordnung (EU) 2022/2554 (DORA) noch die MaRisk in der Fassung des Rundschreibens 06/2026 (BA) vom 30. Juni 2026 nennen COBIT. AT 7.2 der MaRisk regelt die technisch-organisatorische Ausstattung ohne Verweis auf gängige Standards. Ein Institut wählt das Rahmenwerk für seine IT-Governance selbst und muss die Anforderungen aus DORA und MaRisk damit nachweisbar abdecken.