ISO 28002: статус и сертификация цепи поставок

Международная ISO 28002:2011 отозвана (19.06.2024), а российский ГОСТ Р ИСО 28002-2019 в каталоге Росстандарта действует: это два разных документа с похожим обозначением. Поэтому в запросе «ISO 28002» сначала уточняют точное обозначение стандарта, иначе можно заказать не тот аудит и получить сертификат, который заказчик не примет. Актуально на октябрь 2026 года.

Актуально на октябрь 2026 года. Международная ISO 28002:2011 отозвана 19.06.2024. Российский ГОСТ Р ИСО 28002-2019 в каталоге Росстандарта имеет статус «Действует». Для более широкой системы менеджмента безопасности, включая цепи поставок, сейчас используют ISO 28000:2022 или действующий ГОСТ Р ИСО 28000-2025. Все эти сертификаты по общему правилу добровольны; договор с заказчиком может сделать конкретный документ условием поставки. Особенно важна защищённость цепи поставок там, где груз меняет вид транспорта, как при мультимодальной перевозке через порт и железную дорогу.

Какой документ выбрать

Сертификат системы менеджмента не заменяет таможенные документы, разрешения на перевозку, обязательную оценку конкретной продукции и требования безопасности, применимые к деятельности. Если вопрос касается товара, начните с разрешительных документов на продукцию, а не с покупки сертификата ISO.

ISO 28002 отозвана, российский ГОСТ действует

По карточке ISO 28002:2011 международный стандарт «Security management systems for the supply chain — Development of resilience in the supply chain — Requirements with guidance for use» опубликован в 2011 году и отозван 19.06.2024. Его предмет — система управления устойчивостью цепи поставок: политика, цели и программы с учётом рисков и угроз, защита активов и процессов, управление нарушающими работу инцидентами. Статус Withdrawn означает, что это больше не действующая редакция международного стандарта ISO.

Но ГОСТ Р ИСО 28002-2019 в официальном каталоге Росстандарта на октябрь 2026 года помечен «Действует». Он введён 01.07.2020 приказом № 1434-ст от 23.12.2019. Отзыв международного оригинала сам по себе не отменяет национальный стандарт: это документы разных систем стандартизации. Следовательно, утверждение «сертификация по ISO 28002 вообще невозможна» неточно для российской практики. Возможность и признание добровольного сертификата по ГОСТ Р ИСО 28002-2019 зависят от правил конкретной системы и условий заказчика. Нельзя называть такой документ действующим международным сертификатом по ISO 28002:2011.

Само словосочетание «сертификат ISO» не говорит, кто выдал документ и на каком основании. В договоре должны быть точное обозначение стандарта с годом, область сертификации, название органа и способ проверки. Для заказчика, который требует современный международный стандарт управления безопасностью, более подходящий вариант — ISO 28000:2022, но это отдельный стандарт, а не формальное переименование ISO 28002.

Что такое ISO 28000:2022 и ГОСТ Р ИСО 28000-2025

ISO 28000:2022 устанавливает требования к системе менеджмента безопасности, включая аспекты цепи поставок. Она применима к организациям любого размера и сектора, к внутренней и внешней деятельности на разных уровнях. Это не «сертификат на груз»: аудит оценивает управляемость безопасности процессов организации в заявленной области. Международная версия 2022 года пришла на смену ISO 28000:2007. В 2024 году опубликована поправка ISO 28000:2022/Amd 1:2024 по учёту климатических изменений; применимость поправки к конкретной оценке следует записать в договоре с органом.

В России ГОСТ Р ИСО 28000-2025 введён 01.03.2026 приказом Росстандарта № 976-ст от 01.09.2025. Он действует и заменил ГОСТ Р ИСО 28000-2019. Это национальная версия ISO 28000:2022. Если в российской закупке требуется ГОСТ, перепишите обозначение из документации буквально; если иностранный партнёр требует ISO 28000:2022, согласуйте международное обозначение и признаваемость органа. Старый ГОСТ Р ИСО 28000-2019 больше не следует обозначать как действующую национальную редакцию.

ISO 28000:2022 не значится в карточке ISO как формальная замена ISO 28002:2011: предшественник в жизненном цикле ISO 28000 — ISO 28000:2007. Предметы тоже различаются. ISO 28002 сосредоточена на устойчивости цепи поставок; ISO 28000 устанавливает более общую систему менеджмента безопасности, в которую могут входить поставки. Выбор делают по реальным рискам и договорной формулировке. Основной стандарт серии, по которому сертифицируют систему менеджмента безопасности цепи поставок, разобран на странице о сертификате по ИСО 28000.

Кому полезна система безопасности цепи поставок

Производителю нужно управлять сырьём, подрядчиками, складом и отгрузкой; импортёру — зарубежным поставщиком, перевозчиком, документами и маршрутом; логистическому оператору — приёмом, хранением, передачей и информацией о грузах. Система особенно полезна, когда цепь включает нескольких независимых участников и сбой на одном участке влияет на обязательства перед клиентом. Сертификация не является обязательной только потому, что компания занимается перевозкой или импортом. Договор, отраслевые правила и закон проверяются отдельно.

В стартовом обследовании определяют границу системы: какие юридические лица, площадки, услуги и процессы входят в область. Например, у импортёра область может охватывать выбор поставщика, международную доставку, приём на складе и передачу дистрибьютору. Если перевозку выполняет подрядчик, нельзя делать вид, что его нет: организация должна показать критерии выбора и контроля в пределах своего влияния. Область сертификата должна совпадать с тем, что заказчик действительно покупает.

Угрозы, контрагенты и инциденты: что оценивают

Это примеры для анализа, а не закрытый перечень обязательных процедур стандарта. Организация выбирает значимые для себя угрозы, учитывает правовые и договорные требования, назначает меры, обучает работников и проверяет результат. Политика безопасности, цели, оценка рисков, требования к подрядчикам, порядок инцидентов и решения руководства должны быть связаны: перечень рисков без рабочих действий не доказывает управление. Для специального анализа рисков может быть полезна страница об ISO 31000, но рекомендации по риск-менеджменту не заменяют требования ISO 28000.

ISO 28000 и ISO 22301: где граница

ISO 22301:2019 относится к системе менеджмента непрерывности бизнеса: как продолжать критичные услуги и восстанавливаться после сбоев. ISO 28000 посвящена системе безопасности, включая цепи поставок. У них есть общие процессы — анализ угроз, реагирование на инциденты, внутренний аудит, улучшение, — но отдельный сертификат по ISO 28000 не подтверждает автоматически соответствие ISO 22301. Если клиент просит план восстановления и допустимую мощность работы при сбое, изучите сертификацию по ISO 22301. Для защиты информации о маршрутах и заказах могут отдельно понадобиться практики информационной безопасности ISO 27001.

Как подготовиться к сертификации

1. Уточнить цель и стандарт. Получите от заказчика точное обозначение редакции, требования к органу и формулировку области. Проверьте, хочет ли он сертификат ISO 28000, действующего российского ГОСТ Р ИСО 28002 или иной документ.
2. Определить область. Перечислите площадки, процессы, услуги, важные активы и внешних участников.
3. Оценить разрывы. Сопоставьте действующую практику с текстом выбранного стандарта: контекст, лидерство, риски, операционные меры, проверка и улучшение.
4. Внедрить систему. Установите политику и цели безопасности, критерии для подрядчиков, правила доступа и передачи, порядок инцидентов, обучения и корректирующих действий.
5. Провести внутренний аудит и анализ руководства. Зафиксируйте несоответствия, причины, решения и подтверждение результативности действий.
6. Выбрать независимый орган. Сверьте его компетентность, область аккредитации при заявлении аккредитованной сертификации, правила системы и способ проверки сертификата.
7. Пройти внешний аудит. Орган оценивает документы и фактическое выполнение; при положительном решении выдаёт сертификат по своим правилам, затем проводит контроль, если это предусмотрено схемой.

ISO 28003:2007 содержит требования к органам, которые проводят аудит и сертификацию систем безопасности цепей поставок; карточка ISO отмечает документ как действующий. Это ещё один довод уточнять, кто оценивает систему: консультант может помочь внедрить процессы, но не должен выдавать независимую оценку собственной работы. Подробнее о том, как отличаются услуги внедрения и оценки, см. сертификацию систем менеджмента.

Документы и записи для заявки и аудита

Единого «универсального пакета ISO 28000» для всех организаций нет. В зависимости от области и требований органа потребуются сведения о компании и площадках, описание процессов, политика и цели безопасности, перечень правовых и договорных требований, оценка рисков, меры контроля, правила работы с подрядчиками, планы реагирования, сведения об обучении, внутреннем аудите и анализе руководства. Аудитору понадобятся свидетельства работы: договоры и оценки поставщиков, записи передачи грузов, сообщения об инцидентах, результаты проверок и закрытия несоответствий. Точный комплект подтверждают по официальному тексту стандарта и программе выбранного органа.

Для российского ГОСТ Р ИСО 28002-2019 список нужно составлять именно по нему: его предмет — устойчивость цепи поставок, а не полный перенос требований ISO 28000. Копирование пакета документов одного стандарта и переименование титульного листа не доказывает соответствие другому.

Срок, стоимость и проверка сертификата

На странице центра и в его прайсе для этой услуги указано от 10 400 ₽. Эта стартовая сумма не означает цену полного внедрения или аккредитованного международного аудита. Стоимость и календарь зависят от числа площадок, людей и подрядчиков, масштаба области, состояния документов, языка и формата аудита, устранения замечаний. Перед заказом сравните предложения с одинаковой областью и раздельными строками за консультацию, внешний аудит и последующий контроль. См. прайс центра сертификации.

Проверка сертификата начинается не с фотографии бланка, а с реквизитов: выдающий орган, система сертификации, точный стандарт и год, область и площадки, дата, статус. При заявленной аккредитации проверьте орган и его область в официальном реестре Росаккредитации; сам сертификат проверяйте по порядку соответствующей системы и у выдавшего органа. Регистрация добровольной системы и аккредитация органа — разные вещи. Срок действия не стоит выводить из рекламной фразы «обычно три года»: он определяется правилами конкретной сертификации и самим документом.

Ошибки, из-за которых документ не решает задачу

• Называть ГОСТ Р ИСО 28002-2019 отменённым только потому, что отозван ISO 28002:2011.
• Обещать международный «действующий ISO 28002» без оговорки о статусе Withdrawn.
• Писать «ISO 28000 заменила ISO 28002» как формальный факт: карточки ISO не показывают такого замещения.
• Указывать «ISO 28000» без года и без ясной области системы.
• Сужать область до склада, когда существенный риск находится у перевозчика или поставщика.
• Считать список угроз системой: нужны меры, ответственные, проверки и действия по инцидентам.
• Покупать бланк без независимого аудита и не проверять компетентность органа.
• Считать ISO 28000 автоматической заменой отдельной системы непрерывности по ISO 22301.

Частые вопросы

Можно ли сейчас получить сертификат «ISO 28002»?

ISO 28002:2011 отозвана как международный стандарт. Российский ГОСТ Р ИСО 28002-2019 продолжает действовать, и вопрос добровольной сертификации по нему решается по правилам конкретной системы. Уточните, какой именно документ примет заказчик; не подменяйте одно обозначение другим.

ISO 28000:2022 формально заменила ISO 28002:2011?

Нет подтверждения такого замещения в карточках ISO. ISO 28000:2022 заменила собственную редакцию 2007 года; ISO 28002:2011 отозвана отдельно. Их область частично пересекается, но документы различаются.

Обязательна ли сертификация для импортёра или склада?

По общему правилу нет. Заказчик может требовать сертификат по договору или закупке. Обязательные транспортные, таможенные и товарные требования выполняют независимо от добровольного сертификата системы.

Чем ISO 28000 отличается от ISO 22301?

ISO 28000 оценивает систему менеджмента безопасности, включая цепи поставок. ISO 22301 оценивает систему обеспечения непрерывности деятельности при сбоях и восстановлении. Сертификат по одному стандарту не заменяет сертификат по другому.

Какой национальный стандарт актуален для ISO 28000?

ГОСТ Р ИСО 28000-2025 действует с 01.03.2026 и заменил российскую редакцию 2019 года. В договоре следует указать его полное обозначение.

Достаточно ли сертификата без реальной оценки?

Нет для содержательного подтверждения. Требуйте сведения об органе и области, программу аудита, правила выдачи и проверки документа. Иначе сертификат может не выдержать проверку партнёра.

Начните с письма заказчику: попросите подтвердить редакцию и область, которую он хочет видеть в сертификате. После этого сопоставьте действующий ГОСТ Р ИСО 28002-2019 с более широкой системой ISO 28000:2022/ГОСТ Р ИСО 28000-2025 и выберите оценку, соответствующую договору и реальным рискам цепи.