ISO 27001 für Logistik: Zertifikat online erhalten

Ein Logistikunternehmen kennt Daten, die dem Kunden gehören: Lieferadressen, Mengen, Zeitfenster, Preise, manchmal Produktionspläne. Wer eine Sendung transportiert, weiss, was wann wohin geht. Der Einkauf eines Industrie- oder Handelsunternehmens will wissen, wie diese Informationen geschützt sind, bevor er einen Rahmenvertrag vergibt.

Deshalb steht die Informationssicherheit im Lieferantenfragebogen, in der Ausschreibung oder im Kundenaudit. Ein ISO-27001-Zertifikat beantwortet viele dieser Fragen mit einem einzigen Dokument. Die Einkaufsabteilung prüft es auf der Verifizierungsseite, statt Nachweise einzeln anzufordern.

Dazu kommt die Abhängigkeit von der IT. Fällt das Lagerverwaltungssystem aus, stehen Kommissionierung und Verladung noch am selben Tag still. Kunden wollen wissen, ob ihr Dienstleister für diesen Fall einen Plan hat.

• Der Standard ISO 27001:2022 im Überblick

Kern der Norm ist die Risikobewertung. Sie legen fest, welche Informationen und Systeme Sie schützen müssen, was ihnen zustossen kann und welche Kontrollen aus Anhang A dagegen helfen. Für die Logistik sieht das typischerweise so aus:

Wer den Standard liest, trifft auf abstrakte Begriffe. Diese Beispiele zeigen, was sie im Alltag eines Logistikunternehmens bedeuten.

Sendungsdaten

Absender, Empfänger, Inhalt, Gewicht und Zeitfenster. Das sind Kundeninformationen und gehören als schützenswerte Werte ins ISMS.

Lagerverwaltungssystem (WMS)

Die Software, die Lagerplätze, Bestände und Kommissionieraufträge steuert. Im Inventar erhält es eine verantwortliche Person, ein Backup und klare Benutzerrollen.

Transportmanagementsystem (TMS)

Tourenplanung und Frachtabrechnung, häufig als Cloud-Dienst. Hier müssen Sie bewerten, wie der Anbieter mit Ihren Daten umgeht.

Telematikdaten

Standort und Fahrzeiten von Fahrzeugen und Fahrern. Sie legen fest, wer darauf zugreifen darf und wie lange die Daten aufbewahrt werden.

EDI-Schnittstelle

Der automatisierte Austausch von Aufträgen und Statusmeldungen mit Kunden. Ein Ausfall oder eine Manipulation trifft sofort den Betrieb.

Erklärung zur Anwendbarkeit (SoA)

Die Liste der Anhang-A-Kontrollen mit Begründung, ob Sie sie umsetzen. Bei einem Logistiker steht dort etwa die Zutrittskontrolle zum Lager.

Die sechs Kernanforderungen lassen sich mit Mitteln erfüllen, die ein mittelgrosser Spediteur oder Lagerbetreiber meist schon hat. Es fehlt oft nur die Dokumentation.

1. 01

   Risiken bewerten

   Sie listen Ihre Werte auf: WMS, TMS, Scanner, Sendungsdaten, Telematik. Pro Wert halten Sie Bedrohung, Wahrscheinlichkeit und Auswirkung fest. Das ist die Planung nach Kapitel 6.

2. 02

   Politik und Ziele festlegen

   Die Geschäftsleitung unterzeichnet eine kurze Sicherheitspolitik. Ein messbares Ziel lautet zum Beispiel, das WMS nach einem Ausfall innerhalb eines Arbeitstages wieder zu betreiben.

3. 03

   Kontrollen aus Anhang A umsetzen

   Sie wählen passend zu den Risiken: Zutritt zum Lager, Benutzerrollen im WMS, Datensicherung, Protokollierung von Zugriffen.

4. 04

   Erklärung zur Anwendbarkeit erstellen

   Zu jeder Kontrolle notieren Sie, ob sie gilt und warum. Gibt es keine Fahrerhomeoffice-Regelung, begründen Sie, warum diese Kontrolle entfällt.

5. 05

   Mitarbeitende schulen

   Disponenten lernen, gefälschte Transportaufträge zu erkennen. Lagerpersonal gibt Handscanner und Zugangsdaten nicht weiter. Eine Einweisung beim Eintritt und eine jährliche Auffrischung genügen als Rhythmus.

6. 06

   Vorfälle managen

   Wer einen Scanner verliert oder eine verdächtige Mail erhält, kennt den Meldeweg. Die Fälle landen in einem Register, und Sie leiten Verbesserungen daraus ab. Das entspricht Kapitel 10.

Die Selbstbeurteilung umfasst 48 Ja/Nein-Fragen zu ISO 27001. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja-Antworten. Ein Konto brauchen Sie weder für die Beurteilung noch für den Kauf.

Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz von SICE (Swiss Institute of Certification and Education) aus. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Nach bestandener Beurteilung und Zahlung erhalten Sie es innerhalb von 4 Stunden.

Der Preis beträgt 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat ist 3 Jahre gültig. Die Preise enthalten 8,1 % MWST für Kunden in der Schweiz und in Liechtenstein. Die Zahlung läuft als jährliches Abonnement, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können. Mit der Kündigung endet das Zertifikat mit dem bezahlten Jahr.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• So funktioniert Zertify

Das Zertifikat kommt als PDF mit QR-Code. Der Einkauf Ihres Kunden scannt den Code oder gibt die Zertifikatsnummer auf der Verifizierungsseite ein und sieht, dass es echt und gültig ist. Sie legen das PDF dem Lieferantenfragebogen oder der Offerte bei und nennen die Nummer im Tender-Formular.

Das Zertifikat bleibt gültig, weil Sie es jedes Jahr mit einem kurzen Online-Re-Audit bestätigen. Verlangt ein Auftraggeber ausdrücklich eine Zertifizierung mit Vor-Ort-Audit durch eine Zertifizierungsstelle, klären Sie das vor der Offerte. Der Vergleich der Wege hilft bei dieser Entscheidung.

Viele Logistikunternehmen führen daneben ISO 9001. Bei zwei Standards gilt ein Rabatt von 20 %, ab drei Standards von 30 %, auch auf die jährliche Gebühr.

• Zertifizierungswege vergleichen
• ISO 9001 für das Qualitätsmanagement
• ISO für kleine und mittlere Unternehmen