ISO und Softwareentwicklung: Was eine Norm wirklich zertifiziert – und was nicht

„Wir liefern ISO-zertifizierte Software.“ Der Satz taucht in Ausschreibungen und auf Anbieterseiten regelmäßig auf – und ist in fast allen Fällen unpräzise. Wer versteht, worauf sich die einschlägigen Normen tatsächlich beziehen, formuliert nicht nur korrekter, sondern auch überzeugender.

1. Das Missverständnis

„ISO“ ist keine einzelne Norm, sondern eine Normungsorganisation mit tausenden Normen. Die im Softwarekontext relevanten zerfallen in zwei Gruppen mit sehr unterschiedlicher Bedeutung: Managementsystem-Normen, gegen die Organisationen zertifiziert werden können, und fachliche Normen, die Begriffe, Modelle oder Prozesse beschreiben, ohne dass es dafür eine Produktzertifizierung gäbe.

Aus dieser Vermischung entsteht der verbreitete Fehlschluss: Weil ein Haus nach ISO 9001 zertifiziert ist, gilt die dort entstandene Software als „zertifiziert“. Tatsächlich ist das Managementsystem zertifiziert – nicht das Produkt.

2. Was ISO ist und was zertifiziert wird

Zertifiziert wird durch akkreditierte Zertifizierungsstellen, nicht durch ISO selbst. Gegenstand ist ein System mit definiertem Geltungsbereich – etwa „Entwicklung und Betrieb von Individualsoftware am Standort X“. Ein Zertifikat sagt damit: Diese Organisation hat für diesen Bereich ein Managementsystem, das die Anforderungen der Norm erfüllt und regelmäßig überprüft wird.

Was es nicht sagt: dass ein bestimmtes Produkt fehlerfrei, sicher oder für einen bestimmten Zweck geeignet ist.

3. Die relevanten Normen im Überblick

4. ISO 9001 und der Entwicklungsprozess

ISO 9001 verlangt keine bestimmte Entwicklungsmethodik. Sie verlangt, dass Prozesse festgelegt, gesteuert, überwacht und verbessert werden – und dass die Wirksamkeit belegt ist. Für Softwareentwicklung heißt das praktisch: definierte Abläufe für Anforderungen, Entwicklung, Prüfung und Freigabe, dokumentierte Verantwortlichkeiten und aufbewahrte Nachweise.

Bemerkenswert: Das deckt sich fast vollständig mit dem, was ein Team ohnehin braucht, um KI-gestützte Entwicklung beherrschbar zu halten. Wer Quality Gates und Traceability sauber aufgesetzt hat, erfüllt einen erheblichen Teil dieser Anforderungen ohne Zusatzarbeit.

5. ISO/IEC 27001 und Informationssicherheit

Für Softwarehäuser oft die relevantere Norm, weil sie in Ausschreibungen häufiger gefordert wird. Sie betrifft den Umgang mit Informationen – einschließlich Kundencode, Zugangsdaten und Entwicklungsumgebungen. Genau hier berührt sie den KI-Einsatz unmittelbar: Welche Inhalte verlassen das Unternehmen, an welchen Dienstleister, mit welcher vertraglichen Grundlage?

Eine Datenklassifikation, wie sie der Deep Dive AI Coding Governance beschreibt, ist deshalb keine Zusatzaufgabe, sondern ein Baustein, der in beiden Kontexten zählt.

6. ISO/IEC 42001 und KI

ISO/IEC 42001 beschreibt ein Managementsystem für den verantwortlichen Umgang mit KI in einer Organisation: Rollen, Risikobetrachtung, Lebenszyklus, Überwachung. Auch hier gilt die Grundregel: Zertifiziert wird die Organisation, nicht ein KI-Produkt und nicht die mit KI erstellte Software.

Für die meisten Softwarehäuser ist die Norm derzeit weniger ein Zertifizierungsziel als eine brauchbare Gliederung: Sie zeigt, welche Fragen eine KI-Richtlinie beantworten sollte. Eine Zertifizierung lohnt sich vor allem dann, wenn Kunden sie verlangen.

7. Produktbezogene Normen

Produktnahe Anforderungen kommen im Softwareumfeld meist nicht aus der ISO-9001- Familie, sondern aus branchenspezifischen Regelwerken: IEC 62304 für Medizinproduktesoftware, ISO 26262 für Straßenfahrzeuge, EN 50128 für Bahnanwendungen. Dort gibt es tatsächlich produktbezogene Nachweispflichten – aber auch dort wird das System in seinem Einsatzkontext bewertet, nicht ein Framework oder eine Plattform „an sich“.

8. Formulierungen in Angeboten

Der praktische Vorteil der rechten Spalte: Sie ist überprüfbar und hält jeder Rückfrage stand. Die linke Spalte fällt spätestens im technischen Gespräch auf.

Checkliste: ISO korrekt referenzieren

Fazit

Normen sind kein Marketinginstrument, sondern ein Werkzeug zur Strukturierung. Wer sie präzise referenziert, gewinnt doppelt: Die Aussage hält der Prüfung stand, und das Gegenüber erkennt, dass man den Unterschied zwischen Managementsystem, Prozess und Produkt kennt.

Für CodamAI gilt dieselbe Regel wie für jeden Anbieter: Eine Plattform kann ISO-orientierte Qualitätsprozesse unterstützen. Zertifiziert wird sie dadurch nicht – und die damit gebaute Software ebenso wenig.