Definition
Internationales Rahmenwerk für IT-Governance und IT-Management der ISACA. Aktuelle Version: COBIT 2019 mit 40 Governance- und Management-Objekten in fünf Domänen (EDM, APO, BAI, DSS, MEA). Verbindet strategische IT-Steuerung mit operativen Prozessen. Häufig in Kombination mit ITIL (Service Management) und ISO 27001 (Sicherheit) verwendet. Bevorzugtes Framework für SOX- und DORA-Compliance-Architekturen.
In der Praxis
COBIT wird am häufigsten an zwei Stellen falsch eingesetzt. Erstens als IT-internes Prozesshandbuch: Dann baut die IT-Abteilung allein an vierzig Governance-Objekten, während die Geschäftsleitung sich für unzuständig erklärt — dabei ist genau sie die Adressatin der Steuerungsdomäne. COBIT ist ein Governance-Rahmenwerk: Es verbindet Unternehmensziele mit IT-Zielen und macht die Leitung für Bewertung, Richtungsvorgabe und Überwachung verantwortlich. Zweitens als Vollsortiment-Checkliste: Wer alle Objekte gleichzeitig angeht, scheitert an der Komplexität; der Einstieg läuft über die Design-Faktoren und eine priorisierte Auswahl weniger Governance- und Management-Objekte. Die Abgrenzung zu ITIL und ISO/IEC 38500 erzähle ich im Glossar-Eintrag zu COBIT einmal vollständig — kurz: 38500 gibt der Leitung sechs Prinzipien, COBIT liefert das Prozessmodell darunter, ITIL den Service-Betrieb. Aktuell zieht der Regulierungsdruck: Finanzunternehmen müssen nach DORA einen dokumentierten IKT-Risikomanagementrahmen betreiben — COBIT ist dafür eine etablierte Referenzarchitektur, auch wenn die Verordnung kein Framework vorschreibt.
Verwandte Begriffe
Häufige Fragen zu COBIT
Wie grenzen sich COBIT, ITIL und ISO/IEC 38500 voneinander ab?
Die drei arbeiten auf verschiedenen Ebenen und werden ständig verwechselt. ISO/IEC 38500 adressiert die oberste Leitung: sechs Governance-Prinzipien und das Modell Bewerten–Steuern–Überwachen, bewusst schlank und ohne Prozessdetail — es beantwortet die Frage, wofür die Leitung bei IT verantwortlich ist. COBIT sitzt eine Ebene darunter: Es übersetzt die Governance-Aufgaben in ein umfangreiches Modell aus Governance- und Management-Objekten mit Praktiken, Zielen und Metriken — es beantwortet, wie die Steuerung organisiert wird. ITIL schließlich ist die betriebliche Ebene: konkrete Praktiken für den Betrieb von IT-Services über deren Lebenszyklus, von Störungsbehebung bis Änderungsmanagement. Merksatz: 38500 sagt der Leitung, was sie zu verantworten hat; COBIT sagt dem Management, wie es steuert; ITIL sagt dem Betrieb, wie die Arbeit getan wird. In der Praxis kombinieren viele Häuser alle drei — der Fehler ist, eines davon für die Aufgabe eines anderen einzusetzen.
Verlangt DORA von uns als Finanzdienstleister den Einsatz von COBIT?
Nein — die Verordnung (EU) 2022/2554 schreibt kein Framework vor, sie fordert das Ergebnis: Finanzunternehmen müssen über einen soliden, umfassenden und gut dokumentierten IKT-Risikomanagementrahmen verfügen, der Teil des Gesamtrisikomanagementsystems ist und Strategien, Richtlinien, Verfahren sowie Werkzeuge zum Schutz aller Informations- und IKT-Werte umfasst. Dazu gehören unter anderem die Verantwortung des Leitungsorgans, laufende Überwachung und regelmäßige Überprüfung des Rahmens. COBIT ist ein etablierter Weg, diese Anforderungen strukturiert abzudecken — etwa die Steuerungs- und Überwachungsdomänen für die Leitungsverantwortung —, aber ebenso denkbar sind Eigenkonstruktionen oder Kombinationen mit ISO/IEC 27001 und ISO/IEC 20000-1. Entscheidend im Aufsichtsverfahren ist der Nachweis: ein dokumentierter, gelebter und regelmäßig geprüfter Rahmen, nicht das Etikett eines Frameworks (Verordnung (EU) 2022/2554, Art. 6 Abs. 1).
Wie steigen wir in COBIT ein, ohne uns an den 40 Governance-Objekten zu überheben?
Der offizielle Einstiegsweg ist die Goals Cascade: Leiten Sie aus den Unternehmenszielen die relevanten Governance-Ziele ab und kommen Sie so auf eine Auswahl von vielleicht acht bis zwölf priorisierten Objekten — der Rest wartet. Zweitens die Reifegrad-Bewertung: Bewerten Sie für diese Objekte, wo Sie heute stehen und welche Stufe Sie brauchen; nicht alles muss auf Maximum. Drittens die Verankerung oben: Die Bewertungs- und Steuerungsaufgaben gehören auf die Agenda der Geschäftsleitung, nicht in den IT-Wochenbericht — sonst bleibt COBIT ein IT-Projekt, und genau das soll es nicht sein. Viertens die Kombination: Nutzen Sie vorhandene Strukturen — wer ISO/IEC 27001 oder ISO 9001 fährt, hat schon Managementbewertung, Auditprogramm und Maßnahmenverfolgung, auf die COBIT aufsetzen kann. Und fünftens: jährlich neu priorisieren, denn die Design-Faktoren ändern sich mit Strategie und Risikolage.