Am 15. Oktober 2025 fiel der Startschuss für ein Projekt, welches das Unternehmen EDC Datacenter GmbH nachhaltig verändern sollte – die Einführung eines integrierten Managementsystems nach ISO 27001 (Informationssicherheit) und ISO 9001 (Qualitätsmanagement). Als kleines Unternehmen mit hohem Qualitätsanspruch war es EDC sehr wichtig, dass auch nach außen belegen zu können.

Doch wer ist die EDC Datacenter GmbH? Das Unternehmen ist ein spezialisierter Partner für Rechenzentrumsinfrastrukturen in der DACH-Region mit einem starken Fokus auf Beratung, Planung und Service. EDC begleitet seine Kunden ganzheitlich – von der ersten Konzeption über die Umsetzung bis hin zum laufenden Betrieb und Support. Dabei stehen maßgeschneiderte, praxisnahe Lösungen im Mittelpunkt, die sowohl klassische Core-Rechenzentren als auch Edge-Umgebungen abdecken.

Heute, hält EDC nicht nur zwei frisch erworbene Zertifikate in den Händen, sondern auch die Gewissheit, dass ihre Prozesse nicht nur normgerecht, sondern pragmatisch, digital und zukunftsfähig gestaltet sind.

Doch der Weg dorthin war alles andere als eine reine Pflichtübung.

Warum will EDC überhaupt ein integriertes System?

Die Idee war einfach, die Umsetzung komplex: Statt zwei separate Managementsysteme für Qualität und Informationssicherheit zu betreiben – mit doppelter Dokumentation, redundanten Audits und getrennten Verantwortlichkeiten –, wollten wir Synergien nutzen. Beide Normen teilen grundlegende Prinzipien wie Risikomanagement, Prozessorientierung und kontinuierliche Verbesserung. Warum also nicht ein System schaffen, das beide Standards abdeckt und gleichzeitig unsere tägliche Arbeit erleichtert?

Doch es ging nie nur um die Zertifizierung. Das Ziel war:

• Transparenz schaffen – wer arbeitet wann mit welchen Daten, und wie stellen wir sicher, dass Qualität und Sicherheit Hand in Hand gehen?
• Risiken proaktiv steuern – nicht nur reagieren, wenn etwas schiefgeht, sondern voraussagen, wo Schwachstellen liegen könnten. Dafür muss EDC ihre Assets (Daten, Systeme, Prozesse) mit den dazugehörigen Risiken verknüpfen – und zwar nicht isoliert, sondern unter Berücksichtigung von Abhängigkeiten über mehrere Instanzen hinweg.
• Digitale Toolsutzen, um die Systeme lebendig und nutzbar zu machen – statt sie in Ordnern verstauben zu lassen.

Die größte Hürde war dann, das richtige Maß zu finden: passende Tools wählen, sinnvoll einsetzen und keine Dokumentation aufbauen, die im Alltag keiner lebt.

In der folgenden Projektphase wurde im Dialog mit allen Verantwortlichen eine Roadmap gestaltet, um das gemeinsame Ziel in guter Zusammenarbeit zu erreichen. Der so entwickelte Projektplan mit den dazugehörigen Arbeitspaketen wurde in einem Kick-off-Meeting vorgestellt und in den folgenden Monaten Schritt für Schritt umgesetzt. Das Management Review mit Fokus auf die ISMS-Implementierung wurde im Jahr 2025 bzw. mit einer Bewertungsperspektive im Jahr 2026 durchgeführt. Darüber hinaus fand eine wiederholte GAP-Analyse zur kritischen Bewertung und kontinuierlichen Verbesserung statt. Die Aufgaben wurden in fortlaufenden, regelmäßigen Sitzungen besprochen und bewältigt.

Der Fahrplan: Von der Bestandsaufnahme zur Zertifizierung

Phase 1: Bestandsaufnahme und Gap-Analyse (Oktober2025)

Zuerst mussten wir verstehen, wo die EDC Datacenter GmbH steht. Welche Prozesse gab es bereits? Wo waren Lücken? Wir von der Glöckner & Schuhwerk halfen hier, die Schnittmengen und Unterschiede zwischen ISO 9001 und ISO 27001 zu identifizieren. Schnell wurde klar: Viele Anforderungen überschnitten sich – etwa beim Risikomanagement oder der internen Auditierung. Andere Bereiche, wie der Umgang mit personenbezogenen Daten (DSGVO), die Klassifizierung von Informationswerten oder die Ermittlung des Schutzbedarfes waren neu zu denken.

Phase 2: Prozessdesign und Tool-Auswahl (Nov 2025)

Hier wurde es konkret. EDC entschied sich zusätzlich für zwei digitale Lösungen, die ihr System nicht nur normkonform, sondern auch praktikabel machen sollten:

1. QWiki von Modell Aachen
   Statt starre Handbücher zu pflegen, setzt EDC ab sofort auf ein dynamisches, webbasiertes interaktives Managementsystem-Wiki. Das QWiki ermöglicht es, Prozesse verständlich, verlinkt und stets aktuell abzubilden. Mitarbeiter finden nun mit wenigen Klicks, was sie brauchen, statt in PDF-Dschungeln zu versinken. Und das Beste: Änderungen werden direkt eingepflegt und sind für alle sichtbar – kein Warten auf die nächste Version mehr.
2. Asset- und Risk Management-Tool (ISMS Framework) von Modell Aachen
   Eine zentrale Herausforderung bei der ISO 27001 ist die Risikobewertung von Assets – also aller Werte, die geschützt werden müssen: IT-Systeme, Gebäude, Wissen, Lieferketten, etc. EDC entschied sich für das Asset- & Risk Management Tool von Modell Aachen, welches in Zukunft ermöglichen wird,
   • Assets zu inventarisieren (keine Excel-Listen mehr!) nach Ihrem Geschäftsnutzen und ihrem Schutzbedarf zu bewerten und auch eine Datenschutzrelevanz zu hinterlegen,
   • Abhängigkeiten unter den Assets zu verknüpfen,
   • Risiken nach Eintrittswahrscheinlichkeit und Schadensausmaß zu bewerten,
   • Maßnahmen direkt zuzuweisen und deren Umsetzung zu tracken.

Das Ergebnis? Kein manuelles Risiko-Assessment mehr, sondern ein lebendiges System, das warnt, bevor Probleme entstehen.

Übrigens – EDCs neuer Lieferant Modell Aachen ist ebenfalls zertifiziert nach ISO 27001 und ISO 9001 zertifiziert.

Phase 3: Schulungen, Tests und Anpassungen (Dez–Feb 2025)

Ein System ist nur so gut wie seine Nutzer. Deshalb schulte ein Berater und Prozessmanager von Glöckner & Schuhwerk alle Mitarbeiter von EDC – nicht in trockener Normenlektüre, sondern in praktischen Workshops:

• Wie erstelle ich Prozessbeschreibungen im neuen Tool QWiki?
• Wo finde und überarbeite ich Prozesse und verknüpfe diese und Regelungen untereinander in QWiki?
• Wie erfasse ich Assets, bewerte diese und verknüpfe damit auch deren Risiken?
• Was bedeutet „Informationssicherheit“ konkret für meine tägliche Arbeit?

Parallel testeten wir die Tools im Echtbetrieb. Feedback war entscheidend: Wenn ein Prozess umständlich war, wurde er angepasst. Wenn eine Risikobewertung unklar erschien, wurde verbessert und Risikobewertungen im Team, in dem jeder eine Bewertung abgab und daraus im Tool eine gemeinschaftliche Risikobewertung erfolgte.

Phase 4: Internes Audit und Zertifizierungsvorbereitung (Feb 2026)

Anfang Februar 2026 führte ein erfahrener Auditor von Glöckner & Schuhwerk das interne Audit in Form einer kompletten Prüfung der Normanforderungen der ISO 9001 und ISO 27001 durch – nicht als lästige Pflicht, sondern als Chance, Schwachstellen zu finden, bevor der Zertifizierer kommt. Dabei zeigte sich auch, dass interne Audits bewusst strenger angesetzt sind und die Anforderungen etwa „10 % höher“ liegen, um optimal auf das eigentliche Zertifizierungsaudit vorbereitet zu sein.

Die Prüfung war entsprechend intensiv und forderte die Beteiligten deutlich – ein bewusst gewählter Anspruch, um maximale Sicherheit für das anstehende Zertifizierungsaudit zu schaffen.

Die Erkenntnis: Das neue integrierte System hielt, was es versprach. Die Dokumentation war schlank, die Tools funktionierten und die Mitarbeiter wussten, was zu tun war.

Dann kam der große Tag: Das Zertifizierungsaudit. Drei Tage lang prüfte der Auditor EDCs Prozesse, interviewte Mitarbeiter und testete die Tools. Das Ergebnis? Keine Abweichungen, nur Verbesserungsvorschläge und schließlich die offizielle Bestätigung: EDC ist zertifiziert nach ISO 9001 und ISO 27001.

Was haben wir gewonnen?