Definition
Norm für Sicherheitsmanagement in Lieferketten. Adressiert physische Sicherheit, Schutz vor Sabotage, Schmuggel, Terrorismus und unerlaubter Veränderung von Waren. Praktisch relevant bei AEO-Zertifizierung (Authorised Economic Operator), TAPA und C-TPAT-Programmen für internationale Logistik. Verzahnt mit ISO 27001 (Informationssicherheit der Logistikdaten) und ISO 22301 (Business Continuity). Neufassung 2022 als Managementsystem-Norm mit Konformitätsbewertung.
In der Praxis
ISO 28000 wird in der Praxis gern als reines Zoll- und AEO-Thema abgehakt — Zollabteilung füllt Formulare, fertig. Das greift zu kurz: Die Neufassung von 2022 ist eine vollwertige Managementsystem-Norm mit PDCA-Logik, Kontextanalyse, Risikobewertung und Managementbewertung. Wer sie so führt, bekommt ein Steuerungsinstrument für Diebstahl, Sabotage und Manipulation in der Kette — gerade bei hochwertigen Bauteilen oder Diebstahl-relevanten Ladungen auf gefährdeten Transportrouten. Typische Stolpersteine: Die Sicherheitsrisikobewertung existiert nur für den eigenen Standort, nicht für Transportwege und Logistikpartner; TAPA- oder C-TPAT-Anforderungen von Kunden laufen neben dem System her statt darin; und die Verzahnung mit ISO 27001 (Schutz der Sendungs- und Track-and-Trace-Daten) und ISO 22301 (Fortbestand bei Störungen) fehlt. Für den AEO-Status ist die Norm kein Muss, aber ein starker Nachweisbaustein gegenüber dem Zoll.
Verwandte Begriffe
Häufige Fragen zu ISO 28000
Worin unterscheidet sich ISO 28000 vom AEO-Status — brauchen wir beides?
Der AEO (Authorised Economic Operator) ist ein Zollstatus: Die Zollverwaltung prüft Ihre Zuverlässigkeit und Sicherheit und gewährt Erleichterungen im grenzüberschreitenden Warenverkehr. ISO 28000 ist dagegen eine Managementsystem-Norm: Sie beschreibt, wie Sie Sicherheitsrisiken in Ihrer Lieferkette systematisch identifizieren, bewerten und steuern — mit Politik, Zielen, Audits und Verbesserungsschleife. In der Praxis ergänzen sich beide: Das System nach ISO 28000 liefert genau die Prozessreife und Dokumentation, die die AEO-Prüfung sehen will, und umgekehrt gibt der AEO dem System einen behördlich anerkannten Rahmen. Brauchen Sie beides? Den AEO, wenn Sie zollrechtlich vereinfacht verkehren wollen; die ISO 28000, wenn Kunden (etwa aus Luftfahrt oder Hochtech) nachweisbare Lieferkettensicherheit verlangen oder Sie TAPA-/C-TPAT-Anforderungen strukturiert bedienen müssen.
Was fordert die Norm konkret — und reicht unsere bestehende ISO 9001 als Grundlage?
Die Norm verlangt ein Managementsystem für Lieferkettensicherheit nach der Harmonisierten Struktur (ISO 28000:2022): Kontext und interessierte Parteien verstehen, Sicherheitsrisiken der Kette bewerten, Sicherheitspolitik und -ziele festlegen, operative Kontrollen etablieren, Leistung überwachen, intern auditieren und im Management-Review bewerten — also die volle PDCA-Logik, die Sie aus ISO 9001 kennen. Inhaltlich geht es um Bedrohungen wie Diebstahl, Sabotage, Schmuggel, Terrorismus und unerlaubte Veränderung von Waren — inklusive der Steuerung von Transport- und Logistikpartnern. Ihre ISO 9001 ist eine gute Trägerstruktur: Dokumentenlenkung, Auditprogramm und Managementbewertung können Sie mitnutzen. Was fehlt, ist die spezifische Sicherheitsrisikobewertung der Kette und die operativen Sicherungsmaßnahmen. Wer zusätzlich ISO 27001 führt, sollte die Schnittstelle zu den Logistikdaten explizit festlegen.
Wie führen wir ISO 28000 ein, ohne ein zweites Managementsystem neben ISO 9001 aufzubauen?
Bauen Sie integriert, nicht parallel. Erstens: Erweitern Sie Ihre Kontext- und Risikobetrachtung um das Kapitel Lieferkettensicherheit — Transportwege, Lagerstandorte, Dienstleister, Warenwert und Diebstahlattraktivität. Zweitens: Hängen Sie die Sicherheitsziele und -maßnahmen an Ihre bestehenden Ziel- und Maßnahmenprozesse, statt ein separates Programm zu führen. Drittens: Nutzen Sie Ihr internes Auditprogramm und den Management-Review für beide Themen — ein integriertes Audit spart erfahrungsgemäß dreißig bis vierzig Prozent Aufwand gegenüber zwei Einzelaudits. Viertens: Klären Sie die Rollen — Zollbeauftragter, Logistikleiter und QMB brauchen eine gemeinsame Steuerungsrunde, sonst zerfasert das Thema. Starten Sie mit einer Gap-Analyse gegen die Normanforderungen: Meist decken Sie über AEO-Unterlagen und vorhandene Sicherungsmaßnahmen bereits mehr ab, als Sie denken.