BRANCHENFOKUS · IT & SOFTWARE · BASIS: ISO/FDIS 9001
Was sich für IT- und Softwareunternehmen konkret ändert
Vier Themen der Revision zählen für IT-Unternehmen wirklich: die Klimabewertung mit Blick auf Rechenzentrums-Energie und Green-IT-Anforderungen, die nachweisbare Qualitätskultur in einer Branche, die Code-Reviews und Retrospektiven längst lebt, die eigenständige Chancenbetrachtung mit ausdrücklich genannten aufkommenden Technologien und der Wirksamkeitsnachweis in der Entwicklungsdokumentation. Die vollständige Delta-Tabelle aller Klauseln finden Sie auf der Hauptseite — hier lesen Sie, was davon in Ihrem Entwicklungs- und Betriebsalltag tatsächlich ankommt.
KLAUSEL 4.1 / 4.2 · KONTEXT & KLIMA
Klimabewertung: Rechenzentrum und Green-IT-AnforderungenAufwand: gering
Für die meisten IT- und Softwareunternehmen ist die Klimabewertung (Klausel 4.1) schnell erledigt — pauschal „nicht relevant“ abhaken sollten Sie sie trotzdem nicht. Typischerweise relevant sind zwei Punkte: die Energieabhängigkeit Ihres Betriebs, wenn Sie eigene Server oder Rechenzentrums-Kapazität vorhalten, und klimabezogene Anforderungen Ihrer interessierten Parteien (4.2). Größere Auftraggeber fragen in Ausschreibungen zunehmend Nachhaltigkeitsangaben ihrer Software- und Dienstleistungslieferanten ab, und auch die Wahl des Cloud-Providers ist in der Praxis eine Entscheidung mit Klimabezug.
Gefordert ist keine CO₂-Bilanz und kein Klimaschutzprogramm. Eine kurze, dokumentierte Kontextnotiz genügt in der Regel: Welche klimabezogenen Themen betreffen uns — Energiebezug, Hardware-Lebenszyklen, Kundenanforderungen an Green IT — und was folgt daraus? Ein einseitiger Vermerk, der im Managementreview aktualisiert wird, erfüllt die Anforderung.
AUDIT-BEISPIEL · „Zeigen Sie mir, wo Sie bewertet haben, ob der Klimawandel für Ihr Unternehmen relevant ist — und welche Klima-Anforderungen Ihre Kunden an Sie herantragen.“
KLAUSEL 5.1 · FÜHRUNG & QUALITÄTSKULTUR
Reviews und Retros als nachweisbare QualitätskulturAufwand: mittel
Hier hat die IT-Branche einen echten Vorsprung: Code-Reviews, Pair Programming, Retrospektiven und Blameless Post-Mortems nach Incidents sind gelebte Qualitätskultur — genau das, was die 2026er-Fassung in Klausel 5.1 von der obersten Leitung einfordert. Neu ist nicht die Praxis, sondern der Nachweis: Die Leitung muss sichtbar fördern, dass Qualität, Integrität und offener Umgang mit Fehlern gelebt werden — und das belegen können.
In der Praxis heißt das: Post-Mortems ohne Schuldzuweisung werden dokumentiert und ihre Maßnahmen verfolgt; die Geschäftsführung nimmt regelmäßig an Reviews teil und entscheidet nachvollziehbar, wenn Qualität und Release-Termin kollidieren; Verbesserungen aus Retrospektiven werden nicht nur besprochen, sondern umgesetzt. Wer das strukturiert, muss für 5.1 kaum Neues bauen — es muss nur auffindbar sein.
AUDIT-BEISPIEL · Der Auditor fragt einen Entwickler, was nach dem letzten größeren Incident passiert ist — und ob jemand dafür zur Verantwortung gezogen wurde.
KLAUSEL 6.1 / 10.1 · RISIKEN & CHANCEN
KI und Automatisierung als dokumentierte ChanceAufwand: mittel
Die 2026er-Fassung trennt Risiken und Chancen in zwei Unterabschnitte — und nennt in Klausel 10.1 erstmals ausdrücklich aufkommende Technologien als Verbesserungsquelle. Für IT-Unternehmen ist das eine direkte Einladung: Wer KI-gestützte Entwicklung, Testautomatisierung oder die Automatisierung wiederkehrender Dienstleistungen ohnehin auf der Roadmap hat, dokumentiert sie künftig als Chance mit Maßnahme und Verantwortlichem — Normerfüllung und Strategiearbeit fallen zusammen.
Auf der Risikoseite stehen typischerweise die Abhängigkeit von Schlüsselentwicklern und wenigen Großkunden, Sicherheitsvorfälle und Datenpannen, Ausfallzeiten beim SaaS-Betrieb sowie schnell veraltende Technologiestacks. Wichtig ist die neue Logik: Chancen brauchen eigene Einträge und Aktionen — „KI-Assistenten in der Entwicklung pilotieren“ ist eine Chance, das umgedrehte Risiko „Rückstand bei der Automatisierung“ ist keine.
AUDIT-BEISPIEL · „Zeigen Sie eine Chance, die Sie im letzten Jahr aktiv genutzt haben — mit Maßnahme und Verantwortlichem.“
KLAUSEL 7.5 · DOKUMENTIERTE INFORMATION
Wirksamkeit statt Papier: Tickets, Reviews, Release-HistorieAufwand: gering
Der verschärfte Fokus auf Wirksamkeitsnachweise spielt der IT-Branche in die Karten: Ihre Entwicklungs- und Betriebswerkzeuge erzeugen die dokumentierte Information quasi nebenbei. Ticket-Historien, Merge-Request-Protokolle, Definition of Done, Release-Notes und Incident-Reports belegen, dass Ihre Prozesse funktionieren — sofern sie gepflegt und ausgewertet werden. Wer neben dem Ticketsystem noch ein paralleles QM-Regelwerk in Word führt, das niemand liest, hat genau das Problem, das die neue Fassung sanktioniert.
Prüfen Sie zwei Punkte: Erstens die Verfügbarkeit — dokumentierte Information muss künftig einheitlich „verfügbar“ sein, was Cloud-basierte Werkzeuge typischerweise gut erfüllen. Zweitens die Auswertung: Aus Bug- und Incident-Statistiken sollten erkennbare Konsequenzen folgen, etwa angepasste Review-Kriterien oder ergänzte automatisierte Tests.
AUDIT-BEISPIEL · „Woran haben Sie erkannt, dass Ihr Review-Prozess wirksam ist — und wo ist das dokumentiert?“
ALLE KLAUSELN IM ÜBERBLICK · DELTA-TABELLE 2015 → 2026 AUF DER HAUPTSEITE