Certificare ISO 28000: lanțul de aprovizionare și AEO

Certificarea ISO 28000 dovedește că firma ta are un sistem de management al securității care acoperă și lanțul de aprovizionare: depozite, transport, furnizori și accesul la marfă. Versiunea în vigoare este ISO 28000:2022. Nu e obligatorie prin lege în România, dar o cer unii clienți din logistica internațională și contează la auditul vamal pentru statutul AEO.

ISO 28000 este standardul internațional care stabilește cerințele pentru un sistem de management al securității, inclusiv aspectele legate de lanțul de aprovizionare. Se aplică oricărei organizații, de la o casă de expediții cu 15 oameni la o instituție publică, și nu e scris pentru un singur sector. Certificatul îl emite un organism de certificare după un audit în două etape.

Prin ce diferă certificarea ISO 28000 de AEO, TAPA și ISO 27001?

Firmele de transport și logistică amestecă des aceste patru instrumente. Fiecare răspunde la altă întrebare:

Instrument	Ce acoperă	Cine îl definește	Se acordă pentru
ISO 28000:2022	Riscurile de securitate ale firmei și ale lanțului de aprovizionare	ISO, certificat de un organism de certificare	Sistemul de management al firmei
AEO-S	Siguranță și securitate în operațiunile vamale	Codul Vamal al Uniunii, acordat de Autoritatea Vamală Română	Operatorul economic
TAPA FSR / TSR	Măsuri fizice contra furtului de marfă în depozite (FSR) și camioane (TSR)	Asociația TAPA	Fiecare depozit în parte (FSR)
ISO 27001	Securitatea informației: date, sisteme IT, acces logic	ISO, certificat de un organism de certificare	Sistemul de management al firmei

ISO 28000 e cadrul de management: identifici riscurile de securitate, stabilești controale, planuri de răspuns și le verifici periodic. TAPA FSR îți spune exact ce camere, garduri și proceduri de acces trebuie să aibă un depozit. Cele două se completează, multe firme le au pe amândouă.

AEO nu e un standard, e un statut vamal. ISO 28000 te ajută să îl obții, dar nu îl înlocuiește.

Ce cere ISO 28000:2022 de la firma ta?

Ediția din 2022 a înlocuit versiunea din 2007. Schimbarea mare ține de perimetru: standardul a trecut de la un sistem de securitate strict pentru lanțul de aprovizionare la un sistem de management al securității care include și lanțul de aprovizionare. Cerințele propriu-zise s-au schimbat puțin.

ISO 28000:2022 are 10 clauze, cu aceeași structură ca ISO 9001 și ISO 27001. Dacă ai deja certificarea ISO 27001, refolosești analiza contextului, auditul intern și analiza efectuată de management. Clauza 4 a primit principii aliniate cu ISO 31000 pentru managementul riscului. În februarie 2024 a apărut și Amendamentul 1, dedicat schimbărilor climatice.

Standardul are câteva documente însoțitoare utile:

• ISO 28001: bune practici pentru evaluări și planuri de securitate în lanțul de aprovizionare
• ISO 28003: cerințele pentru organismele care auditează și certifică ISO 28000
• ISO 28004: ghid de implementare, cu o parte dedicată firmelor mici

Partea cu furnizorii seamănă cu evaluarea furnizorilor din ISO 9001, cu altă întrebare la bază: poate acest transportator sau depozit să lase marfa ta expusă la furt, substituire sau acces neautorizat?

Cum te ajută ISO 28000 la statutul AEO?

Statutul de operator economic autorizat (AEO) are un criteriu dedicat securității: art. 39 lit. e) din Codul Vamal al Uniunii (Regulamentul UE 952/2013) cere „standarde adecvate de securitate și siguranță”.

Legătura cu ISO 28000 vine din art. 28 alin. (2) din Regulamentul de punere în aplicare (UE) 2015/2447. Dacă ai un certificat de securitate emis pe baza unui standard ISO, vama îl ia în considerare la verificarea criteriului. Criteriul se consideră îndeplinit în măsura în care cerințele certificatului sunt identice sau echivalente cu cele din art. 39 lit. e).

În practică, ISO 28000 acoperă partea 5 (siguranță și securitate) a chestionarului AEO. ISO 9001 și ISO 27001 ajută la o parte din cerințele din părțile 1-4.

În România, AEO îl acordă Autoritatea Vamală Română, iar procedura durează în mod normal 4-6 luni de la depunerea cererii. Peste 300 de firme românești aveau AEO în 2024. Ungaria avea 460, Germania 6.328. Auditorul vamal va cere dovezi pentru solvabilitate, contabilitate, personal cu minimum 3 ani experiență vamală și măsuri de securitate pentru marfă și locații. Cu ISO 28000 la dosar, ultima categorie vine deja documentată.

Îți cere NIS2 securitatea lanțului de aprovizionare?

Da, dacă firma ta intră sub NIS2. Art. 21 alin. (2) lit. d) din Directiva (UE) 2022/2555 cere măsuri pentru securitatea lanțului de aprovizionare, inclusiv relațiile cu furnizorii și prestatorii direcți. În România, directiva a fost transpusă prin OUG 155/2024, aprobată prin Legea 124/2025.

Transportul este în Anexa 1 (entități esențiale), iar serviciile poștale și de curierat sunt în Anexa 2 (entități importante). Detaliile sunt în ghidul ISO 27001 și directiva NIS2.

NIS2 nu cere ISO 28000 pe nume. ISO 27001 acoperă bine furnizorii IT, dar lasă descoperită partea fizică: subcontractorii de transport, depozitele terțe, cine are cheile de la rampă. Acolo ISO 28000 îți dă un cadru auditat pe care îl poți arăta la un control DNSC.

Ai nevoie de ISO 28000 sau îți ajunge altceva?

Răspunsul depinde de cine îți cere dovada și pentru ce:

1. Faci transport rutier intern, iar clienții cer doar un sistem de calitate: îți ajunge ISO 9001. ISO 28000 nu apare în licitațiile românești pentru transport de marfă.
2. Ai un depozit cu marfă de valoare (electronice, farma), iar clientul cere TAPA: faci TAPA FSR pe fiecare depozit. ISO 28000 vine după, dacă vrei un sistem unic pentru toate locațiile.
3. Faci import, export sau ai antrepozit vamal și vrei AEO-S: ISO 28000 îți pregătește partea de securitate a auditului vamal. Vezi și certificările pentru logistică și depozitare.
4. Ești entitate NIS2 în transport sau curierat: începi cu ISO 27001 și extinzi evaluarea la furnizorii non-IT. ISO 28000 are sens când lanțul fizic e miezul activității.
5. Te preocupă mai mult întreruperile decât furtul: ISO 22301 pentru continuitatea activității e standardul potrivit.

Un exemplu concret. O casă de expediții din Constanța are 35 de angajați și un antrepozit vamal de 4.000 mp. Un producător de electronice din Germania îi propune un contract de 1,2 milioane lei pe an, cu condiția să arate un sistem de securitate auditat și, în 12 luni, statut AEO. Firma implementează ISO 28000 în 4 luni, cu auditul de certificare în luna a cincea. Apoi depune cererea AEO cu certificatul la dosar. Chiar cu 4-6 luni de procedură vamală, se încadrează în termenul clientului.

Cât costă certificarea ISO 28000?

Niciun organism de certificare nu publică un preț pentru ISO 28000 în România. Oferta se calculează din numărul de zile de audit, care depinde de numărul de angajați, de locații și de complexitatea operațiunilor. Standardul în sine costă circa 207 euro: organismul de standardizare din Estonia îl vinde cu 206,76 euro cu taxe incluse.

Cere oferte de la 2-3 organisme acreditate și compară zilele de audit, nu doar suma finală. Dacă ai deja ISO 9001 sau ISO 27001, întreabă de un audit combinat, pentru că structura comună permite verificarea clauzelor identice o singură dată.

Greșeala frecventă e un perimetru prea îngust. Firma certifică doar sediul administrativ, iar depozitele și flota rămân în afara certificatului. Clientul sau vameșul citește perimetrul scris pe certificat și vede că operațiunile reale nu sunt acoperite. Stabilește perimetrul înainte de cererea de ofertă și include fiecare locație prin care trece marfa.