Nahezu jeder Lebensmittellieferant, den Sie kontaktieren, schickt Ihnen innerhalb der ersten Gesprächsstunde ein PDF. Darauf stehen ein Logo, eine Zertifikatsnummer, ein Ablaufdatum und die Worte „ISO 22000:2018". Die meisten Einkäufer legen es ab, setzen im Lieferantenfragebogen ein Häkchen und gehen zum nächsten Punkt über. Diese Gewohnheit ist nachvollziehbar — und sie ist zugleich die häufigste Schwachstelle in der B2B-Sorgfaltsprüfung bei Lebensmitteln. Denn ein Zertifikat ist eine komprimierte Aussage über ein Managementsystem, und solange Sie nicht wissen, was darin komprimiert wurde, können Sie nicht beurteilen, ob es das Produkt abdeckt, das Sie gerade einkaufen wollen.
Dieser Leitfaden nimmt ISO 22000 gezielt auseinander: was die Norm einem zertifizierten Standort tatsächlich abverlangt, wie sie sich zu HACCP als Methode verhält, wie sie neben handelsgetriebenen Standards wie BRCGS und IFS Food steht, welche vier Felder auf einem Zertifikat wirklich zählen — und, der Teil, den Lieferanten selten von sich aus ansprechen, was ISO 22000 über die Palette, die bei Ihnen am Lager ankommt, überhaupt nicht aussagen kann. Für den größeren Überblick über Zertifikate zu Lebensmittelsicherheit und Herstellung, einschließlich GMP-Varianten und allgemeiner Prüftaktiken, bleibt unsere Übersicht zu ISO, HACCP und GMP die breitere Landkarte; dieser Artikel ist der Tiefgang zu einer einzelnen Norm.
Was ISO 22000 tatsächlich ist
ISO 22000 ist eine Norm für Managementsysteme der Lebensmittelsicherheit (Food Safety Management System, FSMS), veröffentlicht von der Internationalen Organisation für Normung. Die aktuelle Ausgabe, ISO 22000:2018, gilt für jede Organisation in der Lebensmittelkette — Erzeuger, Verarbeiter, Abpacker, Transporteure, Verpackungshersteller, Rohstofflieferanten — unabhängig von Größe und Produkt.
Ihr prägendes Merkmal: Sie ist eine Norm für ein Managementsystem, aufgebaut auf derselben High-Level-Struktur wie ISO 9001. Das bedeutet, die Anforderungen sind nicht nur technische Hygieneregeln, sondern organisatorische Pflichten. Ein zertifizierter Standort hat einem unabhängigen Auditor gegenüber nachgewiesen, dass er Folgendes als dokumentierte und belegte Praxis betreibt:
- Kontext und interessierte Parteien. Die Organisation hat die für sie geltenden regulatorischen, kundenseitigen und marktbezogenen Anforderungen ermittelt und den Anwendungsbereich des FSMS entsprechend festgelegt.
- Führung und Politik zur Lebensmittelsicherheit. Die oberste Leitung trägt die Verantwortung für das System, nicht allein die Qualitätsabteilung; ein Team für Lebensmittelsicherheit mit benannter Leitung existiert.
- Risikobasierte Planung. Risiken und Chancen, die die Leistung der Lebensmittelsicherheit beeinflussen, sind identifiziert und mit messbaren Zielen hinterlegt.
- Präventivprogramme (PRPs). Die Grundvoraussetzungen: Gebäude- und Anlagenlayout, Reinigung und Desinfektion, Schädlingsbekämpfung, Personalhygiene, Wasser- und Luftqualität, Abfallwirtschaft, Lieferantenfreigabe, Allergenmanagement.
- Gefahrenanalyse. Biologische, chemische, physikalische und allergene Gefahren, für jeden Schritt jedes Prozesses identifiziert und nach Schwere und Eintrittswahrscheinlichkeit bewertet.
- Lenkungsmaßnahmen, aufgeteilt in oPRPs und CCPs. Das ist das analytische Herz der Norm. Jede Lenkungsmaßnahme wird entweder als operatives Präventivprogramm oder als kritischer Lenkungspunkt eingestuft, jeweils mit festgelegten Grenzwerten, Überwachung, Korrektur und Korrekturmaßnahme.
- Rückverfolgbarkeit und Notfallvorsorge. Rückverfolgbarkeit einen Schritt zurück und einen Schritt vorwärts, dazu ein Rückruf- und Rücknahmeverfahren, das getestet und nicht bloß aufgeschrieben wurde.
- Verifizierung, internes Audit, Managementbewertung, Verbesserung. Nachweise, dass sich das System selbst überprüft und dass Feststellungen tatsächlich etwas verändern.
Das entscheidende Wort ist belegt. Ein Auditor akzeptiert kein Grundsatzpapier als Beweis für einen Grundsatz. Er verlangt Aufzeichnungen: Überwachungsprotokolle mit Datum und Kürzel, Abweichungsberichte mit Abschluss, Kalibrierzertifikate, Schulungsnachweise, eine Rückrufsimulation mit Mengenbilanz.
ISO 22000 gegenüber HACCP: ein System gegenüber einer Methode
Hier ballt sich die Verwirrung auf Einkäuferseite — und gelegentlich nutzen Lieferanten die Unschärfe aus.
HACCP ist eine Methode. Hazard Analysis and Critical Control Points ist ein strukturierter Ansatz aus sieben Grundsätzen, um Gefahren zu identifizieren und an definierten Punkten eines Prozesses zu beherrschen. International kodifiziert ist er über den Codex Alimentarius; in der Europäischen Union sind Lebensmittelunternehmer rechtlich verpflichtet, Verfahren nach HACCP-Grundsätzen einzurichten — eine Pflicht, die sich aus dem allgemeinen Lebensmittelrecht gemäß Verordnung (EG) Nr. 178/2002 und den darauf aufbauenden Hygieneverordnungen ergibt. HACCP ist deshalb kein Unterscheidungsmerkmal. Jedes rechtskonforme Lebensmittelunternehmen in der EU hat HACCP-Verfahren, so wie jedes straßenzugelassene Auto Bremsen hat.
ISO 22000 ist ein zertifizierbares Managementsystem, das HACCP enthält. Es nimmt die HACCP-Methode und umgibt sie mit Präventivprogrammen, dokumentierter Leitungsverantwortung, internem Audit, Rückverfolgbarkeit und kontinuierlicher Verbesserung — und unterwirft das Ganze anschließend einem wiederkehrenden Zyklus externer Audits.
Am Markt gibt es außerdem ein drittes Ding: das „HACCP-Zertifikat". Solche Zertifikate existieren, sind freiwillig und werden von Zertifizierungsstellen gegen verschiedene private Programme oder direkt gegen die Codex-Grundsätze ausgestellt. Ihr Wert schwankt enorm mit dem Aussteller. Ein HACCP-Zertifikat einer akkreditierten Stelle mit klarer Geltungsbereichsangabe ist eine echte, wenn auch engere Zusicherung. Ein „HACCP-Zertifikat" ohne Programmnamen und ohne Akkreditierungszeichen sagt Ihnen kaum mehr, als dass jemand für den Druck bezahlt wurde.
Die praktische Regel für Einkäufer: Die Frage „Haben Sie HACCP?" lädt praktisch jeden zu einem Ja ein. Die Frage „Nach welchem Managementsystem für Lebensmittelsicherheit sind Sie zertifiziert, durch welche Stelle, unter welcher Akkreditierung — und darf ich den Geltungsbereich sehen?" sortiert Lieferanten innerhalb einer einzigen E-Mail.
ISO 22000 gegenüber BRCGS, IFS Food und FSSC 22000
Diese Standards werden häufig als Konkurrenten zu ISO 22000 dargestellt. Besser versteht man sie als eine andere Kategorie: handelsgetriebene Standards, entwickelt vom oder für den Lebensmitteleinzelhandel, um Lieferantenaudits zu vereinheitlichen, und anerkannt im Benchmarking-Verfahren der Global Food Safety Initiative (GFSI).
ISO 22000 allein ist nicht GFSI-anerkannt. FSSC 22000 ist der Weg dorthin: FSSC 22000 kombiniert ISO 22000 mit branchenspezifischen Spezifikationen für Präventivprogramme (der Reihe ISO/TS 22002) und zusätzlichen Programmanforderungen — und dieses Paket ist GFSI-anerkannt.
Diese Unterscheidung hat eine unmittelbare kaufmännische Folge. Wenn Ihr Endkunde ein europäischer Lebensmitteleinzelhändler ist, der Eigenmarken platziert, wird dessen Lieferantenfreigaberichtlinie sehr wahrscheinlich ausdrücklich BRCGS, IFS Food oder FSSC 22000 nennen, und ISO 22000 allein wird sie nicht erfüllen. Sind Sie hingegen Rohstoffeinkäufer, Nahrungsergänzungsmarke, Getränkeentwickler, Foodservice-Distributor oder E-Commerce-Marke, dann ist ISO 22000 plus belastbare Chargendokumentation häufig das angemessene und verhältnismäßige Absicherungsniveau.
| Standard | Was es ist | Typischerweise gefordert von | Auditzyklus | GFSI-anerkannt |
|---|---|---|---|---|
| HACCP (Codex-Grundsätze) | Methode zur Gefahrenbeherrschung, in der EU als Verfahren gesetzlich verpflichtend | Behörden; Basis für alle Lebensmittelunternehmen | Nicht anwendbar (amtliche Kontrolle) | Nein |
| HACCP-Zertifikat | Freiwillige Zertifizierung durch Dritte nach einem HACCP-Programm | Kleinere Abnehmer, manche Ausschreibungen | Meist jährlich | Nein |
| ISO 22000:2018 | Vollständiges Managementsystem für Lebensmittelsicherheit inklusive HACCP | Rohstoffeinkäufer, B2B-Hersteller, Distributoren, Exporteure | Dreijahreszyklus mit jährlicher Überwachung | Nein |
| FSSC 22000 | ISO 22000 + branchenspezifische PRP-Spezifikation + Programmanforderungen | Hersteller, die GFSI-getriebene Kunden beliefern | Dreijahreszyklus mit jährlichen (oft unangekündigten) Audits | Ja |
| BRCGS Food Safety | Handelsstandard, stark produkt- und standortbezogen, mit Benotung | Britischer und internationaler Einzelhandel, Eigenmarken | Jährlich, benotet (AA bis D) | Ja |
| IFS Food | Handelsstandard aus dem deutschen und französischen Einzelhandel | DACH- und französischer Handel, Eigenmarken | Jährlich, mit Punktbewertung | Ja |
Lesen Sie die Zeile, die zu Ihrem Kunden passt — nicht die Zeile, über die Ihr Lieferant am liebsten spricht. Ein Lieferant mit ISO 22000 ist nicht „weniger sicher" als einer mit IFS Food; er ist gegen eine Systemnorm zertifiziert statt gegen einen Handelsstandard. Und wenn Ihr Vertriebskanal den Handelsstandard nicht verlangt, ändert es am Produkt nichts, dafür zu bezahlen.
Wie man ein ISO-22000-Zertifikat liest
Vier Felder entscheiden, ob ein Zertifikat für Ihren Einkauf überhaupt relevant ist. Alles andere auf dem Blatt ist Gestaltung.
1. Geltungsbereich. Das ist das Feld, das ein Zertifikat für eine konkrete Transaktion am häufigsten entwertet. Der Geltungsbereich benennt, welche Tätigkeiten und welche Produktkategorien das FSMS abdeckt. „Herstellung, Verpackung und Lagerung von Trockenfrüchten und pflanzlichen Rohstoffen" ist ein brauchbarer Geltungsbereich. „Lebensmittelsicherheitsmanagement" ohne Produktbezug ist es nicht. Wenn Sie ein ätherisches Öl kaufen und der Geltungsbereich nur die Trockenfruchtverarbeitung nennt, deckt das Zertifikat nicht ab, was Sie kaufen — der Lieferant kann trotzdem ein völlig guter Lieferant sein, aber Sie müssen wissen, welcher Teil seines Betriebs innerhalb und welcher außerhalb des Systems liegt.
2. Standortadresse. Zertifizierung hängt an Standorten, nicht an Marken oder Handelsgesellschaften. Eine Gruppe mit mehreren Werken kann für ein Werk zertifiziert sein und für ein anderes nicht; ein Handelshaus kann eine Zertifizierung für sein Lager halten, während die Produktion ganz woanders stattfindet. Prüfen Sie, ob die Adresse auf dem Zertifikat die Adresse ist, an der Ihre Ware tatsächlich hergestellt wird. Vergibt ein Lieferant einen Prozessschritt nach außen — Vermahlen, Schneiden, Verpacken, Entkeimen —, ist der Status dieses Unterauftragnehmers eine eigene Frage, und ein seriöser Lieferant beantwortet sie ohne Reibung.
3. Gültigkeit und Zertifikatsnummer. Notieren Sie Ausstellungsdatum, Ablaufdatum und Zertifikatsnummer als drei getrennte Tatsachen. Ein Zertifikat innerhalb seines angegebenen Gültigkeitszeitraums kann zwischen zwei Überwachungsaudits dennoch ausgesetzt worden sein — genau deshalb zählt die Nummer: Sie ist Ihr Suchschlüssel im öffentlichen Register der Zertifizierungsstelle.
4. Zertifizierungsstelle und Akkreditierung. Ein Zertifikat ist so viel wert wie die ausstellende Stelle, und die ausstellende Stelle ist so viel wert wie ihre Akkreditierung. Achten Sie auf das Akkreditierungszeichen einer nationalen Akkreditierungsstelle, die das IAF Multilateral Recognition Arrangement unterzeichnet hat — DAkkS, UKAS, ACCREDIA, RvA, COFRAC, ANAB, TÜRKAK und ihre Entsprechungen. Eine nicht akkreditierte Zertifizierungsstelle ist nicht automatisch unseriös, steht aber außerhalb der Kette gegenseitiger Anerkennung, die dem Zertifikat gegenüber Ihren eigenen Auditoren und Kunden erst seine Bedeutung gibt.
| Feld auf dem Zertifikat | Wie es gut aussieht | Was eine Rückfrage auslösen sollte |
|---|---|---|
| Norm und Ausgabe | „ISO 22000:2018" | „ISO 22000" ohne Jahreszahl oder eine überholte Ausgabe |
| Geltungsbereich | Benannte Tätigkeiten und benannte Produktkategorien | Allgemeine Formulierungen; Produktfamilien, die Sie gar nicht kaufen |
| Standort | Vollständige physische Adresse der Produktionsstätte | Nur Hauptsitz- oder Handelsadresse |
| Gültigkeit | Ausstellungs- und Ablaufdatum, innerhalb des Zeitraums | Abgelaufen oder Ablauf innerhalb Ihres Produktionsfensters |
| Zertifikatsnummer | Vorhanden und im Register des Ausstellers auffindbar | Fehlt oder liefert kein Registerergebnis |
| Akkreditierung | Akkreditierungszeichen eines IAF-MLA-Unterzeichners | Überhaupt kein Akkreditierungshinweis |
Die Prüfung selbst dauert etwa zehn Minuten. Suchen Sie im Online-Verzeichnis der Zertifizierungsstelle nach der Zertifikatsnummer oder dem Firmennamen und bestätigen Sie, dass Geltungsbereich, Standort und Ablaufdatum mit dem zugesandten PDF übereinstimmen. Abweichungen zwischen Register und Dokument sind das stärkste Einzelsignal, das Sie im Lieferanten-Onboarding bekommen werden.
Was ISO 22000 beweist — und was nicht
ISO 22000 belegt, dass ein System existierte und an den Audittagen gut genug funktionierte, um einen Auditor zu überzeugen — und zwar für die im Geltungsbereich benannten Tätigkeiten. Das ist ein echter Wert. Es ist aber keine Aussage über Ihre Sendung.
Konkret sagt Ihnen ISO 22000 nicht:
- Ob Ihre Charge die Spezifikation erfüllt hat. Dafür gibt es das chargenbezogene Analysenzertifikat. Unsere Leitfäden zum Lesen eines CoA für Trockenfrüchte und zur Auswertung botanischer Prüfberichte behandeln die Parameter und Methoden, die Ihre Ware tatsächlich beschreiben.
- Ob die Rohstoffherkunft der Angabe entspricht. Die Zertifizierung deckt den Prozess ab; Herkunft ist eine Frage von Rückverfolgbarkeit und Dokumentation, behandelt in unserem Leitfaden zu EU-Chargenverfolgung und Rückverfolgbarkeit.
- Ob das Produkt eine bestimmte Eigenschaft trägt. Bio-Status, Halal- oder Koscher-Status und Fair-Trade-Aussagen sind eigenständige Zertifizierungen mit eigenen Geltungsbereichen und eigenen Registern. ISO 22000 sagt zu keiner davon etwas; wie diese geprüft werden, steht im Leitfaden zur Bio-Zertifizierung und im Leitfaden zu Halal- und Koscher-Beschaffung.
- Ob sich der Lieferant unter kaufmännischem Druck anständig verhält. Zertifiziert werden Systeme. Wie sich jemand bei kurzer Ernte, Preissprung oder Verschiffungsverzug verhält, zeigt sich an einer Musterbestellung, einem Pilotlauf und dem ersten echten Problem — nicht an einem PDF. Unser Artikel zu Best Practices bei Musterbestellungen ist genau um diese Testabfolge herum geschrieben.
Das passende Denkmodell: Zertifizierung ist ein Filter, keine Entscheidung. Sie entfernt Lieferanten, die kein System nachweisen können. Sie trifft keine Auswahl unter denen, die es können.
Die Lieferantenakte rund um das Zertifikat aufbauen
Eine belastbare Wareneingangsakte für einen neuen B2B-Lieferanten enthält in der Regel das Zertifikat plus fünf Dinge darum herum:
- Den Registerauszug oder Link, der bestätigt, dass das Zertifikat gültig ist — mit dem Datum Ihrer Prüfung.
- Die Geltungsbereichsangabe, separat gespeichert und gegen die genauen Produkte Ihrer Bestellung abgeglichen.
- Ein aktuelles Chargen-CoA für eine vergleichbare Partie, mit benannten Prüfmethoden — nicht nur Ergebnissen.
- Das Spezifikationsblatt, das Sie und der Lieferant beide unterzeichnet haben, einschließlich der Parameter, gegen die Sie reklamieren werden.
- Die Antwort zur Rückverfolgbarkeit: was der Chargencode kodiert, wie weit zurück der Lieferant verfolgen kann und wie schnell er auf Anfrage eine Mengenbilanz liefert.
Kann ein Lieferant alle fünf Punkte ohne Nachhaken liefern, ist Ihr Risikoprofil schon besser als bei den meisten Erstbestellungen. Kommt das Zertifikat sofort und die anderen vier brauchen drei Wochen Hinterhertelefonieren, ist genau dieses Verhältnis bereits eine Feststellung.
Arovela arbeitet nach ISO 22000, ISO 9001 und ISO 27001 — Lebensmittelsicherheitsmanagement, Qualitätsmanagement und Informationssicherheitsmanagement für die kaufmännische und dokumentarische Seite des Geschäfts. Handelsstandards wie BRCGS oder IFS Food halten wir nicht, und wir sagen das direkt, statt einen Einkäufer es erst entdecken zu lassen, wenn die Spezifikation schon geschrieben ist. Produziert wird in unserem Werk in Sındırgı, Balıkesir, mit einem Distributionslager in Solingen, Deutschland, das EU-Kunden bedient. Zertifikat, Geltungsbereichsangabe und Chargendokumentation schicken wir in derselben Antwort — weil die Einkäufer, die wir wollen, diejenigen sind, die nachprüfen.
Häufig gestellte Fragen
Ist ISO 22000 für den Lebensmittelexport in die EU verpflichtend?
Nein. Verpflichtend ist die Einhaltung des EU-Lebensmittelrechts: Verfahren auf Basis der HACCP-Grundsätze, Rückverfolgbarkeit, Hygieneanforderungen, Kontaminanten- und Rückstandshöchstgehalte sowie korrekte Kennzeichnung. ISO 22000 ist eine freiwillige Zertifizierung, die ein gemanagtes System zur Erfüllung dieser Pflichten nachweist. Viele EU-Importeure verlangen sie vertraglich, obwohl keine Verordnung das tut.
Mein Kunde verlangt BRCGS. Kann ein Lieferant mit ISO 22000 trotzdem infrage kommen?
Für Handelseigenmarken meist nicht — die Freigaberichtlinie des Händlers nennt den Standard namentlich. Für Rohstoffe, die Sie in Ihrem eigenen BRCGS-zertifizierten Werk weiterverarbeiten, geht es oft sehr wohl, weil Ihre eigene Zertifizierung das Fertigprodukt abdeckt und Ihr Lieferantenfreigabeverfahren die eingehende Ware regelt. Prüfen Sie die Kriterien für zugelassene Lieferanten in Ihrem Standard, bevor Sie einen Lieferanten ausschließen.
Wie prüfe ich, ob ein Zertifikat echt ist?
Nutzen Sie die Zertifikatsnummer im öffentlichen Kundenregister der ausstellenden Stelle und bestätigen Sie anschließend, dass die Zertifizierungsstelle selbst durch einen IAF-MLA-Unterzeichner akkreditiert ist. Gleichen Sie drei Felder mit dem PDF ab: juristischer Firmenname, Standortadresse und Wortlaut des Geltungsbereichs. Weicht eines der drei ab, lassen Sie sich das vom Lieferanten erklären, bevor Sie weitermachen.
Was ist der Unterschied zwischen einem oPRP und einem CCP?
Beides sind Lenkungsmaßnahmen. Ein CCP ist ein Schritt, an dem die Lenkung unerlässlich ist, um eine Gefahr für die Lebensmittelsicherheit zu verhindern oder zu beseitigen — mit messbarem kritischem Grenzwert und einer Überwachung, die sofortiges Eingreifen erlaubt; typisch sind ein Metalldetektor oder ein Pasteur. Ein oPRP beherrscht eine Gefahr, verfügt aber nicht über einen solchen einzelnen messbaren Grenzwert mit unmittelbarer Korrekturmaßnahme; die Reinigung beim Allergenwechsel ist ein häufiges Beispiel. ISO 22000 verlangt vom Lieferanten die Begründung, warum jede Lenkungsmaßnahme so und nicht anders eingestuft wurde.
Wie oft wird ein zertifizierter Standort tatsächlich auditiert?
Eine ISO-22000-Zertifizierung läuft normalerweise in einem Dreijahreszyklus: ein Erstzertifizierungsaudit, dann Überwachungsaudits, üblicherweise jährlich, dann ein Rezertifizierungsaudit vor Ablauf. Das heißt, ein Zertifikat kann in Bezug auf die letzte Vor-Ort-Prüfung bis zu ein Jahr alt sein. Es ist eine legitime Frage an den Lieferanten, wann sein jüngstes Überwachungsaudit stattfand und ob noch Feststellungen offen sind.
Die Dokumente holen, bevor Sie sich binden
Zertifizierung ist der Anfang der Sorgfaltsprüfung, nicht ihr Ende. Lesen Sie den Geltungsbereich, verifizieren Sie die Nummer und lenken Sie das Gespräch dann auf Chargendokumente, Spezifikationen und eine Musterbestellung — denn das sind die Belege, die beschreiben, was Sie tatsächlich erhalten werden.
Wenn Sie sehen möchten, wie das mit einer echten Spezifikation vor Augen funktioniert, nennen Sie uns Produkt, Menge und Zielmarkt und fordern Sie ein Angebot an. Zertifikat, Geltungsbereichsangabe und die einschlägige Prüfdokumentation kommen mit dem Angebot — nicht erst nach der Bestellung.