ISO 27001 Checkliste für die Lebensmittelbranche: in elf Schritten zum Zertifikat

Die Lebensmittelbranche kennt Audits. IFS, FSSC 22000, HACCP: Dokumentierte Verfahren, Rückverfolgbarkeit und Korrekturmaßnahmen sind hier Alltag. Das macht den Weg zur ISO 27001 kürzer als in vielen anderen Branchen, aber nur, wenn die Liste an den richtigen Stellen ansetzt. Zwei Punkte werden dabei regelmäßig falsch eingeschätzt: wer überhaupt betroffen ist, und woran die Rückverfolgbarkeit im Ernstfall hängt.

Was gehört in eine ISO 27001 Checkliste für die Lebensmittelbranche?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Die Reihenfolge folgt Abhängigkeiten, und der erste Schritt entscheidet über den Aufwand. Der Geltungsbereich muss die Produktionsseite mitnehmen: Manufacturing-Execution-Systeme, Wäge- und Etikettiertechnik, Kühlsteuerung und die elektronischen Schnittstellen zum Handel gehören genauso ins Asset-Register wie ERP und Dateiablage. Wer die Linie erst später ergänzt, zieht Risikobeurteilung und Anwendbarkeitserklärung hinterher.

Ab welcher Größe brauchen Betriebe die ISO 27001 Checkliste für die Lebensmittelbranche?

Früher als die meisten annehmen, und die verbreitete Zahl ist die falsche. Produktion, Verarbeitung und Vertrieb von Lebensmitteln stehen in der Anlage 2 des BSIG. Betriebe dieses Sektors gelten dort als wichtige Einrichtungen, sobald sie die Größenschwelle erreichen, also ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Die häufig zitierten 250 Beschäftigten oder 50 Millionen Euro Umsatz sind die Schwelle für besonders wichtige Einrichtungen, und die greift nur in den Sektoren der Anlage 1. Ein Lebensmittelbetrieb wird durch Größe allein also nicht hochgestuft, er ist aber deutlich früher pflichtig, als die 250er-Zahl suggeriert.

Genauso wichtig ist die Frage, welche Tätigkeiten zählen. Das BSI stellt klar: erfasst sind Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung, wobei eines davon genügt. Gastronomie, Restaurants und Hotelbetriebe fallen nicht darunter. Die Einordnung ist eine Selbsteinschätzung, deshalb gehört sie dokumentiert und nicht ins Bauchgefühl.

Was hat die ISO 27001 Checkliste für die Lebensmittelbranche mit der Rückverfolgbarkeit zu tun?

Mehr, als der Titel vermuten lässt. Artikel 18 der Verordnung (EG) Nr. 178/2002 verlangt Rückverfolgbarkeit auf allen Stufen, und zwar über Systeme und Verfahren, mit denen sich jeder Lieferant und jeder Abnehmer benennen lässt und die diese Auskunft den Behörden auf Verlangen bereitstellen. Eine Frist nennt die Verordnung nicht. Die Zertifizierungsstandards tun es: Für einen vollständigen Rückverfolgbarkeitstest gilt bei FSSC 22000 und BRC ein Richtwert von vier Stunden, und in der Praxis wird zunehmend weniger erwartet.

Diese vier Stunden hängen vollständig an Daten. Sind ERP oder MES verschlüsselt, ausgefallen oder in ihrer Integrität nicht belegbar, dann ist nicht die IT das Problem, sondern eine gesetzliche Pflicht, die sich nicht erfüllen lässt. Genau deshalb sind die Punkte zu Backup-Konzept, Wiederherstellungstests und Recovery-Zielen in der Liste keine IT-Hygiene, sondern die technische Grundlage der Rückrufsicherheit.

Wie lässt sich die ISO 27001 Checkliste für die Lebensmittelbranche mit IFS Food und FSSC 22000 verbinden?

Über die Mechanik, nicht über die Inhalte. Ein zertifizierter Lebensmittelbetrieb führt längst dokumentierte Verfahren mit Versionsstand und Freigabe, ein internes Auditprogramm, eine Managementbewertung und einen Korrekturmaßnahmenprozess. Das sind genau die Kapitel 7.5, 9.2, 9.3 und 10.2 der ISO 27001.

Praktisch heißt das: Diese vier Bausteine werden nicht neu gebaut, sondern erweitert. Die Dokumentenlenkung nimmt die ISMS-Dokumente auf, das Auditprogramm bekommt Informationssicherheit als Gegenstand, die Managementbewertung eine zusätzliche Rubrik. Nur bei der Unabhängigkeit ist Vorsicht geboten: Wer das ISMS aufgebaut hat, darf es nicht selbst auditieren, auch wenn dieselbe Person das Qualitätsaudit seit Jahren fährt. Der Rest ist Erweiterung, und das ist der Grund, warum diese Branche schneller zum Zertifikat kommt als ihr Ruf vermuten lässt.

Welche Punkte der ISO 27001 Checkliste für die Lebensmittelbranche werden am häufigsten unterschätzt?

Drei. Erstens die Integrität von Rezeptur-, Allergen- und Etikettierungsdaten. In der Büro-IT geht es meist um Vertraulichkeit, hier um Richtigkeit: Ein falsch geändertes Allergenfeld ist kein Datenschutzvorfall, sondern ein Rückruf und ein Gesundheitsrisiko. Dieses Szenario gehört ausdrücklich in die Risikobeurteilung, mit Änderungskontrolle und Freigabe im Vier-Augen-Prinzip als Maßnahme.

Zweitens das Zugangsmanagement bei Saisonkräften, Leiharbeit und Fremdfirmen. In der Produktion wechseln Menschen häufiger als in der Verwaltung, und im Audit wird der Nachweis für den Entzug verlangt, nicht die Absicht. Drittens die Handelsanbindung: EDI-Verbindungen, Lieferantenportale und der Datenaustausch mit Handelszentralen sind Schnittstellen im Geltungsbereich und gleichzeitig der Punkt, an dem der Handel selbst nachfragt.

Was steht in der Checkliste?

• Elf Schritte in verbindlicher Reihenfolge, von Scope und Risikoanalyse bis zum Zertifizierungsaudit
• Abhakbare Punkte je Schritt, von der Trennung zwischen IT und Produktionsanlagen über die Lieferantenbewertung bis zu Recovery-Zielen für den Produktionsausfall
• Vier Bereiche, in denen ISO 27001 über den Marktzugang entscheidet: Handelspartner und Listung, NIS2 und KRITIS, digitale Lieferkette und IoT sowie M&A und Investoren
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Lieferanten, Schulung und Vorfallmanagement, an denen Lebensmittelbetriebe am häufigsten nacharbeiten

Die Checkliste richtet sich an Geschäftsführungen, IT- und Produktionsleitungen sowie Qualitäts- und Sicherheitsverantwortliche in Lebensmittelherstellung, Verarbeitung und Großhandel. Laden Sie sie kostenfrei herunter.