ISO 27001 Checkliste für die Logistik: in zwölf Schritten zum Zertifikat

In der Logistik hängt alles an wenigen Systemen: Lagerverwaltung, Transportmanagement, Telematik, die EDI-Verbindungen zum Kunden. Fällt eines aus, bewegt sich die Ware weiter, nur weiß niemand mehr genau, wohin. Wer eine Liste abarbeitet, sollte deshalb zwei Punkte früh klären: ob das Unternehmen überhaupt unter NIS2 fällt, und was passiert, wenn das System steht.

Was gehört in eine ISO 27001 Checkliste für die Logistik?

Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.

Der Zuschnitt entscheidet über den Aufwand. Ins Asset-Register gehören Lagerverwaltung und Transportmanagement, die Telematik samt Bordgeräten, die Mobilgeräte der Fahrer und die Schnittstellen zu Kunden, Subunternehmern und Behörden. Anders als in einer Bürobranche verlässt ein Teil dieser Assets das Betriebsgelände jeden Tag, und genau dieser Teil fällt beim ersten Entwurf regelmäßig heraus.

Wen betrifft die ISO 27001 Checkliste für die Logistik wirklich, und wen nicht?

Hier lohnt Genauigkeit, weil in der Branche viel Halbwissen kursiert. Der Sektor Transport und Verkehr steht in der Anlage 1 des BSIG, aber die Anlage benennt Einrichtungsarten, nicht Branchen. Im Straßenverkehr sind das genau zwei: Betreiber einer Anlage oder eines Systems zur Verkehrsbeeinflussung und Betreiber eines intelligenten Verkehrssystems nach dem IVSG. Speditionen, Frachtführer und Logistikdienstleister kommen in der Anlage 1 nicht vor. Erfasst sind dagegen Luftfahrtunternehmen, Eisenbahnverkehrsunternehmen, Betreiber von Eisenbahninfrastruktur, Hafenbetriebe und Schifffahrtsunternehmen, dazu über die Anlage 2 der Sektor Post und Kurier.

Für eine klassische Spedition heißt das: keine direkte Pflicht, aber faktische Betroffenheit über die Lieferkettenanforderungen der Kunden. Wer beliefert, wird geprüft. Und wo ein Unternehmen doch direkt erfasst ist, gilt eine Frist, die in vielen Listen fehlt: Die Erstmeldung ist unverzüglich, spätestens innerhalb von 24 Stunden fällig, die 72 Stunden sind die Folgemeldung. Wer nur die 72 einplant, verliert die erste Frist.

Wie weit reicht die ISO 27001 Checkliste für die Logistik in die Subunternehmerkette?

Weiter als die eigene Lohnliste. In der Logistik wird Fracht regelmäßig über mehrere Ebenen weitergegeben, und der Fahrer an der Rampe arbeitet oft für ein Unternehmen zwei Stufen tiefer. Die Norm verlangt für Lieferanten Auswahlkriterien, vertraglich vereinbarte Sicherheitsanforderungen, ein gepflegtes Verzeichnis und eine wiederkehrende Bewertung. Sie unterscheidet dabei nicht zwischen direktem Vertragspartner und Unterbeauftragung.

Praktisch sind zwei Dinge zu klären. Erstens, welche Anforderungen vertraglich nach unten durchgereicht werden und wie das nachgewiesen wird. Zweitens die Zugriffsrechte für externe Fahrer und Disponenten: Ein Zugang, der beim Wechsel des Subunternehmers bestehen bleibt, ist im Audit eine Feststellung und im Ernstfall ein offenes Tor. Genau hier prüfen Auftraggeber am gründlichsten, weil sie ihre eigene Lieferkettenpflicht belegen müssen.

Warum steht in der ISO 27001 Checkliste für die Logistik ein Notfallbetrieb ohne System?

Weil die physische Welt nicht anhält, wenn die IT steht. Ein Lkw, der um sechs Uhr auf dem Hof wartet, wartet nicht auf die Wiederherstellung des Transportmanagementsystems. Zum Notfallplan gehört deshalb nicht nur ein Wiederherstellungsziel, sondern ein Verfahren, mit dem sich Disposition, Ladungsübergabe und Nachweis vorübergehend ohne das System führen lassen.

Die Norm verlangt dafür getestete Wiederherstellung, nicht dokumentierte. Ein Backup, das nie zurückgespielt wurde, ist im Audit kein Nachweis. Und das Verfahren für den Papierbetrieb sollte einmal geübt sein, sonst improvisiert die Disposition unter Druck, und die Rekonstruktion danach kostet mehr als der Ausfall selbst.

Welche Punkte der ISO 27001 Checkliste für die Logistik werden am häufigsten unterschätzt?

Drei. Erstens die Telematik als Thema des Beschäftigtendatenschutzes. Ein Ortungssystem in betrieblich genutzten Fahrzeugen ist eine technische Einrichtung, die geeignet ist, Verhalten und Leistung zu überwachen, und damit mitbestimmungspflichtig nach § 87 Absatz 1 Nummer 6 BetrVG. Ob der Arbeitgeber überwachen will, spielt keine Rolle, es zählt die objektive Eignung. Ohne Betriebsvereinbarung fehlt die Grundlage, und genau nach dieser Grundlage fragt ein Auditor.

Zweitens die Aufbewahrungsfristen für Tracking-Daten. In der Liste steht eine Zeile, in der Praxis läuft die Aufzeichnung unbegrenzt weiter. Zweck, erhobene Daten, Speicherdauer, Löschfristen und Zugriffsberechtigte gehören festgelegt, und zwar an derselben Stelle für Datenschutz und Informationssicherheit. Drittens die mobilen Geräte: Handhelds, Tablets und Bordrechner sind Assets, die täglich das Gelände verlassen. Verlangt sind Verwaltung, Sperrmöglichkeit bei Verlust und ein Verfahren für den Gerätewechsel.

Was steht in der Checkliste?

• Zwölf Schritte in verbindlicher Reihenfolge, von Scope und Risikobewertung bis zum Zertifizierungsaudit
• Abhakbare Punkte je Schritt, von der Netzsegmentierung zwischen Büro, Lager und Telematik über die Absicherung der OBD-Schnittstellen bis zum Notfallbetrieb bei WMS- oder TMS-Ausfall
• Vier Bereiche, in denen ISO 27001 in der Logistik entscheidet: Kundenanforderungen, Subunternehmer und Lieferkette, NIS2 und Regulierung sowie Cyberrisiken in WMS, TMS und Telematik
• Was Stage 1 und Stage 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Fahrerzugängen, EDI-Verbindungen und Tracking-Daten, an denen Logistiker am häufigsten nacharbeiten

Die Checkliste richtet sich an Geschäftsführungen, IT-Leitungen sowie Disposition und Qualitätsverantwortliche in Speditionen, Transport- und Kontraktlogistikunternehmen. Laden Sie sie kostenfrei herunter.