Print

COBIT 7: Was sich gegenüber COBIT 2019 ändert

ISACA hat COBIT 7 für den 27. Oktober 2026 angekündigt. Die neue Version ersetzt COBIT 2019 nicht grundlegend, sondern entwickelt es weiter. Das Kernmodell mit seinen Governance- und Managementzielen bleibt weitgehend stabil. Die Neuerungen betreffen vor allem die Bereitstellung des Frameworks, das Tailoring des Governance-Systems und die Bewertung seiner Leistungsfähigkeit.

Warum COBIT weiterentwickelt wird

Die Anforderungen an die Governance von Information und Technologie (I&T) sind in den vergangenen Jahren deutlich gestiegen. ISACA nennt fünf Treiber für die Weiterentwicklung:

Die fünf wesentlichen Neuerungen

1. Digitale Bereitstellung

COBIT 7 wird über eine Website bereitgestellt und nicht mehr in erster Linie als Sammlung einzelner Publikationen. Das hat praktische Vorteile:

Damit wird COBIT vom statischen Referenzdokument zu einem laufend gepflegten Arbeitsinstrument.

2. Neue Design Faktoren

Mit den Design Faktoren wird das Governance-System auf das jeweilige Unternehmen zugeschnitten. COBIT 7 ergänzt hier neue Faktoren. So können aktuelle Entwicklungen in der Ausgestaltung des Governance-Systems berücksichtigt werden.

3. KI-Risikoszenarien

Im Vorfeld wurde diskutiert, ob COBIT 7 ein eigenes Governance-Ziel für den ethischen Einsatz von KI einführt, etwa ein „EDM06“, oder die Zielkaskade anpasst. Beides ist nicht der Fall. Das Kernmodell bleibt unverändert.

Dahinter steht folgende Überlegung: KI-Systeme durchlaufen denselben Lebenszyklus wie andere I&T-Lösungen, von Design und Entwicklung über Einführung und Betrieb bis zum Monitoring. Sie werfen jedoch eigene Kontrollfragen auf, etwa zu Ethik, Verantwortlichkeit, Transparenz und Compliance. Dass COBIT diese Fragen mit seinem lebenszyklusorientierten Ansatz abdecken kann, hat ISACA bereits 2025 im Whitepaper Leveraging COBIT for Effective AI System Governance gezeigt. Ein Beispiel ist die EDM-Domäne: Dort legt die Leitungsebene die Risikobereitschaft für den Einsatz von KI fest.

COBIT 7 verankert KI deshalb im Tailoring:

 

4. Erweiterte Prozessaktivitäten

Am Kernmodell gibt es nur kleinere Anpassungen. Die Mappings zu anderen Rahmenwerken und Standards wurden aktualisiert, zum Beispiel zu ITIL 5. Organisationsstrukturen werden je Rolle statt je Praktik dargestellt.

Die wichtigste Änderung betrifft die Prozessaktivitäten. COBIT 7 ergänzt neue Aktivitäten auf allen Fähigkeitsstufen. Ein Beispiel ist die Praktik APO03.05 „Bereitstellen von Unternehmensarchitekturservices“. In COBIT 2019 umfasste sie fünf Aktivitäten, die alle den Fähigkeitsstufen 3 bis 5 zugeordnet waren. Diese bleiben unverändert. COBIT 7 ergänzt:

Damit lässt sich die Komponente Prozess erstmals durchgängig über alle Fähigkeitsstufen bewerten. 

5. Erweitertes Assessment-Modul

Die aus meiner Sicht wichtigste Neuerung ist das deutlich erweiterte Performance Management. Es soll Unternehmen helfen, mehr Wert aus ihren Governance-Initiativen zu ziehen. Das Assessment-Modul umfasst:

Die drei Ebenen bauen aufeinander auf.

Das Board Level Assessment richtet sich an das Leitungsorgan. Es bewertet das IT-Governance-System des Unternehmens als Ganzes. Ziel ist ein vollständiges und ausreichend genaues Bild vom Stand der IT-Governance und vom Wertbeitrag der IT.

Das High Level Assessment betrachtet einzelne Governance- und Managementziele des COBIT-Kernmodells. Es soll ein handlungsorientiertes und ausreichend genaues Bild davon liefern, wie gut diese Ziele erreicht werden.

Das Detailed Level Assessment setzt bei den einzelnen Komponenten des Governance-Systems an. Es gibt den Verantwortlichen eine fundierte Grundlage, um Verbesserungen gezielt zu planen. Außerdem liefert es genauere Informationen, wenn die übergeordneten Assessments auf mögliche Schwächen hinweisen. Dafür stehen acht Excel-Tools zur Verfügung: eines je Komponente und zwei für Organisationsstrukturen.

Auf jeder Ebene werden sowohl die erwarteten Ergebnisse als auch die gelebten Good Practices bewertet. Jede Ebene zeigt außerdem, wo eine tiefere Analyse nötig ist oder wo Verbesserungen ansetzen sollten.

Einordnung

In der Praxis wird COBIT in Deutschland bislang vor allem als Rahmen für Prüfung, internes Kontrollsystem und Compliance genutzt, besonders bei Banken, Versicherungen und ihren IT-Dienstleistern. Als ausdrücklich benanntes Steuerungsmodell kommt es seltener zum Einsatz. Mit dem erweiterten Assessment-Modul und den durchgängig beschriebenen Fähigkeitsstufen bietet COBIT 7 die Grundlage, Governance messbar zu machen und damit auch aktiv zu steuern.

Der Übergang von COBIT 2019 zu COBIT 7

Wer COBIT 2019 eingeführt hat, muss nicht neu beginnen. Ein strukturierter Übergang lässt sich in fünf Schritten gestalten:

  1. Bestand bewerten: das aktuelle Governance-System prüfen, Lücken und Stärken erkennen und dabei, wo sinnvoll, den Assessment-Leitfaden von COBIT 7 nutzen.
  2. Governance-Design aktualisieren: Ziele, Risikoprofil und Design Factors überprüfen und die neuen Design Factors sowie KI-bezogene Risiken berücksichtigen.
  3. Änderungsbedarf bestimmen: COBIT 2019 auf COBIT 7 abbilden, zu aktualisierende Praktiken, Rollen, Richtlinien und Kennzahlen festlegen und nach Geschäftswert und Risiko priorisieren.
  4. Aktualisieren und umsetzen: die bestehende Governance-Roadmap fortschreiben und die Änderungen in laufende Initiativen integrieren, ohne die Implementierung neu zu starten.
  5. Messen und verstetigen: die Leistung erneut bewerten, Verbesserungsmaßnahmen nachverfolgen und das Governance-System bei weiteren Entwicklungen von COBIT regelmäßig überprüfen.

Fazit

COBIT 7 ist eine Weiterentwicklung und kein Bruch mit der bisherigen Version. Das Kernmodell bleibt stabil. Die Neuerungen machen das Framework zugänglicher, verankern aktuelle Themen wie KI gezielt im Tailoring und stärken vor allem die Bewertung der Governance. Wer mit COBIT 2019 gut aufgestellt ist, kann direkt auf dem Bestehenden aufbauen.