Globale Lieferketten sind verwundbar. Internationale Konflikte, Sabotage, Schmuggel, Cyberangriffe auf Logistiksysteme oder gezielte Manipulation von Ladungen – die Bedrohungsszenarien sind real, und die Schäden gehen weit über den materiellen Verlust hinaus. Die ISO 28000 Zertifizierung gibt Unternehmen einen international anerkannten Rahmen, um Sicherheitsrisiken entlang der gesamten Lieferkette systematisch zu erfassen und zu steuern. Wer Waren herstellt, lagert, verpackt oder transportiert, braucht ein Sicherheitsmanagementsystem, das im Ernstfall greift.
Am IPL begleiten Experten der Hochschule München Ihren Weg zum ISO 28000 Zertifikat. Sie unterstützen bei der ersten Risikoanalyse, beim Aufbau des Sicherheitsmanagementsystems und bei der Vorbereitung auf das Audit. Die Zertifizierung selbst übernimmt der Verein zur Qualitätszertifizierung (QZV) München e.V., mit dem wir seit Jahren kooperieren.
ISO 28000 Zertifizierung mit dem IPL: So läuft alles ab
Vorab eine wichtige Einordnung: Die ISO 28000 ist die einzige zertifizierbare Norm innerhalb der gleichnamigen Normenfamilie. Sie legt die Anforderungen an ein Sicherheitsmanagementsystem (Security Management System, SeMS) fest. Die übrigen Normen der Reihe liefern ergänzende Leitfäden, Bewertungsverfahren und Vorgaben für Zertifizierungsstellen.
Sicherheit in der Lieferkette ist kein Zustand, den man einmal herstellt und dann abhaken kann. Sie erfordert ein durchdachtes System aus Risikoanalysen, klaren Zuständigkeiten, Schutzmaßnahmen und regelmäßigen Überprüfungen. Betroffen sind sämtliche Glieder der Kette: Produktion, Verpackung, Lagerung, Umschlag, Transport und die Schnittstellen zu externen Partnern. Auch der Schutz von Informationen und Infrastruktur gehört dazu.
Das IPL verfügt über langjährige Erfahrung in der Einführung und Weiterentwicklung von Managementsystemen im Bereich Produktion und Logistik. Sie bestimmen, an welcher Stelle wir gemeinsam einsteigen:
Schritt 1: Das Erstgespräch
Am Anfang steht ein persönliches Kennenlernen. Sie schildern uns Ihre Unternehmensstruktur, Ihre Lieferkette und die sicherheitsrelevanten Herausforderungen, mit denen Sie konfrontiert sind. Ein Rundgang durch den Betrieb hilft uns, Abläufe und potenzielle Schwachstellen vor Ort einzuschätzen. Wir besprechen offen, welche Ziele Sie mit der ISO 28000 Zertifizierung verfolgen, wie der zeitliche Rahmen aussieht und welche Ressourcen Ihnen zur Verfügung stehen.
Schritt 2: Status-Quo-Workshop
Gerade in Unternehmen mit verzweigten Lieferketten, mehreren Standorten oder uneinheitlichen Sicherheitsstandards ist ein kompakter Workshop über ein bis zwei Tage sinnvoll. Wir ermitteln dabei gemeinsam, wo Ihr Sicherheitsmanagement heute steht: Welche Maßnahmen existieren bereits? Wo gibt es Lücken zwischen dem Ist-Zustand und den Anforderungen der ISO 28000? Welche Risiken sind bisher unzureichend adressiert, etwa Ladungsdiebstahl, unbefugter Zutritt oder Informationsabfluss? Aus den Ergebnissen leiten wir einen Projektplan mit Verantwortlichkeiten und Terminen ab. Die zuständigen Führungskräfte und Fachverantwortlichen aus Logistik, Produktion, IT und Einkauf sollten von Beginn an eingebunden sein.
Schritt 3: Einführung und Aufbau des Qualitätsmanagementsystems
Auf Grundlage des Projektplans arbeiten wir die definierten Meilensteine strukturiert ab. Das kann zum Beispiel die Erstellung einer Sicherheitsrisikoanalyse umfassen, die Entwicklung von Schutzmaßnahmen für kritische Transportabschnitte oder die Einführung von Zugangskontrollen an sensiblen Standorten.
Das IPL übernimmt das begleitende Projektmanagement und auf Wunsch auch die inhaltliche Bearbeitung einzelner Arbeitspakete. Sie als Auftraggeber behalten jederzeit die Kontrolle über den Fortschritt.
Entscheidend in dieser Phase: Ihre Mitarbeitenden müssen die neuen Prozesse verstehen und mittragen. Ein Sicherheitsmanagementsystem, das am Schreibtisch entworfen wurde und in der Praxis niemand kennt, wird kein ISO 28000 Audit bestehen. Und schon gar keinen Sicherheitsvorfall abfangen.
Schritt 4: Probeaudit
Bevor das eigentliche ISO 28000 Audit stattfindet, prüfen wir in einem Probeaudit, ob die implementierten Prozesse und Sicherheitsmaßnahmen den Anforderungen standhalten. Dabei zeigt sich erfahrungsgemäß, an welchen Stellen noch nachgeschärft werden muss, sei es in der Dokumentation, in der tatsächlichen Umsetzung vor Ort oder in der Kommunikation zwischen Abteilungen. Diese Schwachstellen lassen sich vor dem offiziellen Audit kurzfristig beheben.
Schritt 5: Auditierung
Nach Abschluss der Vorbereitung folgt das offizielle ISO 28000 Audit. Je nach Unternehmensgröße, Anzahl der Standorte und Komplexität der Lieferkette dauert die Prüfung ein bis mehrere Tage. Die Auditoren bewerten, ob Ihr Sicherheitsmanagementsystem die Anforderungen der ISO 28000 erfüllt: Risikobewertung, Schutzmaßnahmen, Notfallpläne, Dokumentation.
Weil die ISO 28000 seit der Revision 2022 der einheitlichen High Level Structure folgt, lässt sie sich gut mit anderen Managementsystemen kombinieren. Unternehmen, die bereits nach ISO 9001 (Qualität), ISO 14001 (Umwelt) oder ISO 27001 (Informationssicherheit) zertifiziert sind, können die Auditierung im Verbund durchführen und so den Aufwand verringern.
Im Anschluss besprechen die Auditoren alle Ergebnisse mit Ihnen. Ein Auditprotokoll hält Abweichungen und Verbesserungsansätze fest. Dieses Protokoll ist mehr als eine Pflichtübung. Es liefert Ihnen konkrete Ansatzpunkte für die Weiterentwicklung Ihres Sicherheitsmanagementsystems.
Schritt 6: Die Zertifizierung durch den QZV
Ist das ISO 28000 Audit erfolgreich abgeschlossen, beantragt das IPL beim QZV die Ausstellung des Zertifikats. Innerhalb kurzer Zeit erhalten Sie Ihr ISO 28000 Zertifikat, auf Wunsch im Rahmen einer offiziellen Übergabe.
Schritt 7: Feiern Sie den Erhalt der Zertifizierung
Eine ISO 28000 Zertifizierung ist ein sichtbares Zeichen dafür, dass Ihr Unternehmen die Sicherheit seiner Lieferkette ernst nimmt. Nutzen Sie diesen Anlass, um das Engagement Ihrer Mitarbeitenden zu würdigen, und kommunizieren Sie die Zertifizierung gezielt nach außen: gegenüber Kunden, in Ausschreibungen und über Ihre eigenen Kanäle. Gerade in Branchen mit hohen Sicherheitsanforderungen wie Logistik, Pharma, Elektronik oder Luftfracht ist ein ISO 28000 Zertifikat ein starkes Argument.
Damit haben Sie einen wichtigen Meilenstein erreicht. Die eigentliche Arbeit geht danach allerdings weiter: Ein Sicherheitsmanagementsystem lebt davon, dass es kontinuierlich gepflegt und verbessert wird.
Schritt 8: Vorbereitung für die Erhaltungsaudits
Die ISO 28000 Zertifizierung erfordert jährliche Erhaltungsaudits. Darin wird überprüft, ob Ihr Unternehmen erkannte Schwachstellen behoben und Verbesserungsmaßnahmen umgesetzt hat. Lieferketten sind dynamisch: Neue Transportrouten, zusätzliche Lieferanten, veränderte Bedrohungslagen erfordern eine regelmäßige Aktualisierung Ihrer Risikoanalysen und Schutzmaßnahmen.
Gemäß ISO 28000 sind Sie verpflichtet, bestehende Sicherheitsrisiken systematisch zu analysieren, Optimierungspotenziale zu identifizieren und mindestens einmal jährlich ein Management-Review durchzuführen. Für den Nachweis im Erhaltungsaudit brauchen Sie eine belastbare Dokumentation, die Ihren Sicherheitszielen und Ihrer Unternehmensstruktur entspricht. Das IPL unterstützt Sie dabei, den Aufwand in einem vernünftigen Rahmen zu halten.
Schritt 9: Jährliches Erhaltungsaudit
Erhaltungsaudits sind gemäß ISO verpflichtend. Anders als viele Anbieter am Markt verlangt das IPL von Ihnen allerdings keine Beauftragung der Erhaltungsaudits für den gesamten dreijährigen Gültigkeitszeitraum im Voraus. Sie entscheiden jedes Jahr neu und behalten so die Kostenkontrolle. Auch ein Wechsel des Dienstleisters bleibt jederzeit möglich.
Die Auditoren prüfen dabei Ihre Dokumentation aus dem achten Schritt und bewerten stichprobenartig die Funktionsfähigkeit des Sicherheitsmanagementsystems. Ein Aspekt, der bei der ISO 28000 besonders ins Gewicht fällt: Hat sich Ihre Lieferkette seit dem letzten Audit verändert? Sind neue Risiken hinzugekommen, etwa durch geopolitische Entwicklungen, neue Lieferanten oder veränderte Transportwege? Solche Fragen machen die Erhaltungsaudits bei der ISO 28000 oft besonders aufschlussreich.
Schritt 10: Re-Zertifizierung
Nach drei Jahren steht die Re-Zertifizierung an. Sie schließt einen vollständigen Verbesserungszyklus ab und eröffnet zugleich den nächsten. In Vorgehensweise und Anspruch entspricht die Re-Zertifizierung dem ursprünglichen ISO 28000 Audit aus Schritt 5. Das IPL kann Sie auch hier vorbereiten und begleiten, oder Sie führen die Vorbereitung eigenständig durch.
Wir beantworten hier Ihre FAQs:
Was sind die Vorteile einer ISO 28000 Zertifizierung mit dem IPL?
1. Funktionierendes Sicherheitsmanagement
Ein ISO 28000 Audit deckt Schwachstellen auf, die im Tagesgeschäft leicht übersehen werden: unzureichend gesicherte Lagerbereiche, fehlende Zugangskontrollen bei Subunternehmern, lückenhafte Dokumentation von Transportketten, unklare Zuständigkeiten im Ernstfall. Der eigentliche Wert eines guten Audits liegt darin, dass es zeigt, wo Ihr Sicherheitsmanagementsystem tatsächlich greift und wo nicht.
Entscheidend ist dabei die Erfahrung der eingesetzten Auditoren. Wer nur Checklisten abarbeitet, erfasst die Oberfläche. Unsere Experten bringen jahrelange Berufserfahrung in Produktion und Logistik mit und verstehen die konkreten Sicherheitsanforderungen in diesen Bereichen. Sie können beurteilen, ob eine dokumentierte Maßnahme auch operativ wirksam ist und wo zwischen Papier und Praxis eine Lücke klafft.
Durch diesen Ansatz wird das ISO 28000 Audit zum Ausgangspunkt für Verbesserungen, die sich auch wirtschaftlich bemerkbar machen: weniger Schwund, geringere Versicherungskosten, belastbarere Lieferantenbeziehungen, weniger Betriebsunterbrechungen durch Sicherheitsvorfälle.
2. Ein ISO 28000 Zertifikat, das wirklich etwas aussagt
In internationalen Lieferketten wird die Frage nach der Sicherheit zunehmend zum Vergabekriterium. Große Auftraggeber erwarten von ihren Partnern, dass sie Sicherheitsrisiken nachweisbar im Griff haben. Regulatorische Programme wie der Authorized Economic Operator (AEO) der Weltzollorganisation setzen ein funktionierendes Sicherheitsmanagementsystem voraus und belohnen zertifizierte Unternehmen mit konkreten Vorteilen: beschleunigte Zollabfertigungen, weniger physische Kontrollen, bevorzugter Status im internationalen Warenverkehr. Auch die EU-Verordnung zum zugelassenen Wirtschaftsbeteiligten greift auf Anforderungen zurück, die sich mit der ISO 28000 abdecken lassen.
Trotzdem gibt es Unternehmen, die ein ISO 28000 Zertifikat erwerben, ohne sich ernsthaft mit der Absicherung ihrer Lieferkette befasst zu haben. Die Gründe dafür kennt die Branche: inszenierte Audit-Situationen, oberflächliche Prüfungen durch Auditoren ohne Fachkenntnisse im jeweiligen Bereich und die wirtschaftliche Abhängigkeit des auditierenden Unternehmens vom Auftraggeber. Einzelne Branchen wie Luftfracht, Pharmalogistik oder Automobilzulieferer haben deshalb eigene verschärfte Sicherheitsstandards entwickelt.
Heißt das, die ISO 28000 Zertifizierung ist wertlos?
Im Gegenteil. Wer sie ernst nimmt, gewinnt ein Instrument, das weit über den Nachweis hinausgeht. Aber ein Zertifikat allein ersetzt kein gelebtes Sicherheitsmanagement.
Das IPL begleitet Unternehmen über den gesamten Lebenszyklus ihres Sicherheitsmanagementsystems hinweg, vom Aufbau über die Erstzertifizierung bis zu jeder weiteren Re-Zertifizierung nach drei Jahren. Für die Zertifizierung selbst arbeiten wir eng mit dem Verein zur Qualitätszertifizierung (QZV) München e.V. zusammen. Der QZV wurde von Professoren der Hochschule München gegründet und arbeitet bewusst ohne große Verwaltungsstrukturen. Dadurch entfallen die Overhead-Kosten, die bei anderen Zertifizierern üblich sind. Für kleine und mittelständische Unternehmen ist dieser Unterschied oft ausschlaggebend.
Was kostet eine ISO 28000 Zertifizierung?
Pauschale Angaben zu den Kosten einer ISO 28000 Zertifizierung sind nicht möglich. Wo steht Ihr Unternehmen heute in Sachen Lieferkettensicherheit? Existieren bereits dokumentierte Sicherheitsprozesse, oder muss das System von Grund auf aufgebaut werden? Je nachdem, bei welchem der beschriebenen Schritte Sie einsteigen, variiert der Aufwand erheblich. Und wenn Sie bei den verbleibenden Arbeiten einen hohen Anteil an Eigenleistung einbringen, sinken die Kosten weiter.
Darüber hinaus beeinflusst die Struktur Ihrer Lieferkette die Kosten. Wie viele Standorte betreiben Sie? Über wie viele Ländergrenzen erstrecken sich Ihre Transportwege? Wie viele externe Partner müssen in das Sicherheitsmanagementsystem eingebunden werden? Je komplexer die Lieferkette, desto umfangreicher fallen Risikoanalyse und Dokumentation aus.
Ein Punkt, der beim Kostenvergleich gern übersehen wird: Viele Anbieter binden die Gültigkeit des ISO 28000 Zertifikats an einen Dreijahresvertrag inklusive aller Erhaltungsaudits. Das IPL tut das nicht. Sie entscheiden jährlich über die Beauftragung und behalten dadurch die volle Kostenkontrolle.
Für kleine und mittelständische Unternehmen mit überschaubarer Lieferkette ist eine ISO 28000 Zertifizierung in vielen Fällen schon für weniger als 2.000 € erreichbar. Wir erstellen Ihnen gerne ein individuelles Angebot, unverbindlich.
An wen richtet sich unser Angebot?
Die ISO 28000 ist branchenübergreifend angelegt und richtet sich an Organisationen jeder Größe. In der Praxis profitieren aber vor allem Unternehmen, bei denen die Sicherheit der Lieferkette geschäftskritisch ist: Logistikdienstleister, Speditionen, Lagerbetreiber, Handelsunternehmen mit internationalen Warenströmen und produzierende Betriebe, deren Zulieferketten über mehrere Länder verlaufen.
Besonders relevant ist die ISO 28000 Zertifizierung für Unternehmen, die am AEO-Programm teilnehmen oder teilnehmen wollen. Die Anforderungen des AEO-Status überschneiden sich in weiten Teilen mit der ISO 28000. Eine Zertifizierung erleichtert den Nachweis gegenüber den Zollbehörden also erheblich.
Auch Unternehmen, die bereits nach ISO 9001, ISO 14001 oder ISO 27001 zertifiziert sind, finden in der ISO 28000 eine sinnvolle Ergänzung. Die einheitliche High Level Structure macht die Integration in bestehende Managementsysteme vergleichsweise unkompliziert.
Sollte Ihr Unternehmen nicht aus den genannten Bereichen kommen, sprechen Sie uns trotzdem an. Wir können in vielen Fällen auch darüber hinaus weiterhelfen.
In Zusammenarbeit mit dem QZV München e.V. bietet das IPL ein Leistungspaket, das den Weg zur ISO 28000 Zertifizierung mit fairen Kosten und geringem bürokratischem Aufwand möglich macht.
Historische Entwicklung der ISO 28000 ff: was sollte man über die ISO 28000 wissen?
Die ISO 28000-Normenfamilie verdankt ihre Entstehung einer veränderten Bedrohungslage im internationalen Handel. Nach den Terroranschlägen vom 11. September 2001 rückten Sicherheitsrisiken in globalen Lieferketten in den Fokus von Regierungen, Zollbehörden und Wirtschaftsorganisationen weltweit. Die Weltzollorganisation (WCO) entwickelte daraufhin das SAFE Framework of Standards, das unter anderem das Konzept des zugelassenen Wirtschaftsbeteiligten (AEO) einführte. Parallel entstand der Bedarf an einer internationalen Managementsystemnorm für die Lieferkettensicherheit. Folgende Meilensteine sind für die Entwicklung der ISO 28000 bemerkenswert:
2005: Veröffentlichung der ISO/PAS 28000 als vorläufige Spezifikation (Publicly Available Specification). Erstmals gab es damit einen internationalen Rahmen, der Unternehmen bei der systematischen Absicherung ihrer Lieferketten unterstützte. Die Entwicklung fand zunächst unter dem ISO Technical Committee TC 8 (Ships and marine technology) statt. Das zeigt, dass die Sicherheit von Seefrachtketten der ursprüngliche Auslöser war.
2007: Veröffentlichung der vollwertigen ISO 28000:2007 als internationale Norm mit dem Titel „Specification for security management systems for the supply chain”. Die Struktur orientierte sich an der damaligen ISO 14001. Gleichzeitig erschienen die ergänzenden Normen ISO 28001 (Sicherheitsbewertungen und -pläne), ISO 28003 (Anforderungen an Zertifizierungsstellen) und ISO 28004 (Implementierungsleitfaden).
2011: Ergänzung um die ISO 28002, die das Thema Resilienz in der Lieferkette adressierte. Also die Fähigkeit einer Organisation, nach Sicherheitsvorfällen den Betrieb schnell wiederherzustellen. Mit dem zunehmenden Bewusstsein für Naturkatastrophen, politische Instabilität und Pandemierisiken gewann dieses Thema an Bedeutung.
2014: Erweiterung der ISO 28004 um branchenspezifische Implementierungsleitfäden: für Seehafenbetriebe (Teil 2), für andere kleine und mittlere Unternehmen (Teil 3) und für Organisationen, die gleichzeitig die Anforderungen der ISO 28001 erfüllen wollen (Teil 4).
2019: Das ISO Technical Committee TC 292 (Security and resilience) übernahm die Verantwortung für die Norm und beschloss eine grundlegende Revision.
2022: Veröffentlichung der ISO 28000:2022 unter dem neuen Titel „Security and Resilience – Security Management Systems – Requirements”. Die Revision brachte zwei wesentliche Veränderungen. Erstens folgt die Norm nun der einheitlichen High Level Structure (HLS), die auch ISO 9001, ISO 14001 und ISO 27001 verwenden. Das erleichtert die Integration mit anderen Managementsystemen erheblich. Zweitens wurde der Anwendungsbereich erweitert: Die ISO 28000 richtet sich jetzt ausdrücklich an alle Organisationen, unabhängig von Branche und Größe, nicht mehr nur an Akteure innerhalb einer Lieferkette.
Der heutige Aufbau der Normenfamilie ISO 28000 ff
ISO 28000: Die zentrale und einzige zertifizierbare Norm der Reihe. Sie formuliert die Anforderungen an ein Sicherheitsmanagementsystem und gibt den Rahmen vor für die systematische Identifikation, Bewertung und Steuerung von Sicherheitsrisiken. Die aktuelle Fassung von 2022 deckt das gesamte Spektrum ab: physische Sicherheit, Informationssicherheit, Personalsicherheit und Transportschutz.
ISO 28001: Beschreibt bewährte Verfahren für die Einführung von Sicherheitsbewertungen und Sicherheitsplänen in internationalen Lieferketten. Die Norm ist besonders relevant für Unternehmen, die an AEO-Programmen der Weltzollorganisation teilnehmen wollen, weil sie einen strukturierten Weg zum Nachweis der geforderten Sicherheitsstandards bietet.
ISO 28002: Ergänzt die Normenfamilie um das Thema Resilienz. Im Fokus steht die Fähigkeit einer Organisation, auf Sicherheitsvorfälle und Unterbrechungen so zu reagieren, dass der Betrieb möglichst schnell wiederhergestellt werden kann.
ISO 28003: Legt die Anforderungen an Stellen fest, die Audits und Zertifizierungen von Sicherheitsmanagementsystemen nach ISO 28000 durchführen. Damit wird sichergestellt, dass Zertifizierungsstellen selbst einem definierten Standard genügen.
ISO 28004 (Teile 1–4): Ein mehrteiliger Leitfaden für die praktische Implementierung der ISO 28000. Teil 1 behandelt allgemeine Grundsätze und Arbeitstechniken, die weiteren Teile bieten spezifische Hilfestellungen für Seehafenbetriebe (Teil 2), andere kleine und mittlere Unternehmen (Teil 3) sowie Organisationen mit dem Ziel, gleichzeitig die Anforderungen der ISO 28001 zu erfüllen (Teil 4).
Fazit zur ISO 28000
Die ISO 28000:2022 ist die weltweit maßgebliche Norm für Sicherheitsmanagementsysteme mit Bezug zur Lieferkette. Sie bildet die Grundlage für Zertifizierungen, Audits und die kontinuierliche Verbesserung der Sicherheitsprozesse in Organisationen aller Branchen und Größenordnungen. Unternehmen, die sich nach ISO 28000 zertifizieren lassen, dokumentieren damit, dass sie Sicherheitsrisiken in ihrer Lieferkette systematisch erkennen, bewerten und steuern können.
Die praktische Bedeutung der Norm hat in den vergangenen Jahren zugenommen. Geopolitische Unsicherheiten, steigende Anforderungen im Zollbereich über die AEO-Programme und der Druck großer Auftraggeber, die von ihren Partnern nachweisbare Sicherheitsstandards verlangen, haben dazu beigetragen. Durch die High Level Structure lässt sich die ISO 28000 zudem gut mit anderen Managementsystemen wie ISO 9001, ISO 14001 oder ISO 27001 kombinieren. Bei parallelen Zertifizierungen verringert das den Aufwand für Unternehmen wesentlich.
ISO 28000 Zertifizierung. Treten Sie jetzt mit uns in Kontakt!
Mit Beauftragung des IPL begleiten ausschließlich Professoren der Hochschule München Ihr Unternehmen auf dem Weg zur ISO 28000 Zertifizierung. Damit sind zwei Aspekte sichergestellt:
- Langjährige Berufserfahrung in Industrie und Logistik
- Fundierte Kenntnisse im Bereich des Sicherheits- und Risikomanagements
Bei einem ISO 28000 Audit durch das IPL werden keine pauschalierten Fragebögen abgehakt, die für Sie als Auftraggeber keinen Nutzen haben. Die Auditoren kennen die Sicherheitsanforderungen in Produktion, Lager und Transport aus eigener Praxis und können beurteilen, ob Ihr Sicherheitsmanagementsystem im Alltag funktioniert.
Rufen Sie uns an und besprechen Sie Ihre Anforderungen mit uns. Wir kommen auch gerne zu Ihnen ins Unternehmen und beraten Sie unverbindlich vor Ort.