Was ist ISO 18788?
ISO 18788 ist die internationale Norm für Managementsysteme privater Sicherheitsoperationen (englisch: Security Operations Management System, SOMS). Sie trägt den Titel „Management system for private security operations – Requirements with guidance for use“ und wurde im September 2015 vom ISO-Komitee ISO/TC 292 „Security and resilience“ veröffentlicht. Sie bietet einen Rahmen, um Sicherheitsoperationen zu planen, umzusetzen, zu überwachen und fortlaufend zu verbessern.
Die Norm verbindet Unternehmens- und Risikomanagement mit drei Zielen: Sicherheitsoperationen professionell und im Sinne der Auftraggeber und anderer Beteiligter durchzuführen, Rechenschaft gegenüber dem Recht abzulegen und die Menschenrechte zu achten sowie freiwillig eingegangene Verpflichtungen einzuhalten. Gegliedert ist sie wie andere Managementsystemnormen in die Kapitel 4 bis 10; ein ausführlicher Anhang A gibt Hinweise zur Anwendung.
Die Ausgabe 2015 wurde 2021 bei der turnusmäßigen Überprüfung bestätigt und 2024 um die Klimaergänzung Amd 1:2024 erweitert. 2026 hat ISO eine erneute systematische Überprüfung eingeleitet; bis zu einer Entscheidung bleibt ISO 18788:2015 die gültige Fassung.
Für wen gilt ISO 18788?
Die Norm richtet sich an Organisationen, die Sicherheitsoperationen durchführen oder beauftragen. Ausdrücklich zugeschnitten ist sie auf Einsätze unter Bedingungen, in denen staatliche Strukturen schwach oder die Rechtsstaatlichkeit durch menschliches Handeln oder Naturereignisse untergraben sein können – etwa in Krisen- und Konfliktregionen oder nach Katastrophen. Typische Auftraggeber sind staatliche und nichtstaatliche Stellen in Hilfs-, Wiederaufbau- und Entwicklungsprojekten, Unternehmen mit Standorten in solchen Regionen und diplomatische Vertretungen.
Auch Auftraggeber selbst können die Norm nutzen: Sie ist dafür gedacht, dass Kunden bei der Vergabe von Sicherheitsdienstleistungen auf sie verweisen und ihre eigene Sorgfaltsprüfung sowie ihre Verträge daran ausrichten.
Wichtig für die ehrliche Einordnung: Die Norm hält selbst fest, dass sie allgemeinen Bewachungsdiensten außerhalb dieser besonderen Umstände keine zusätzlichen Lasten auferlegen soll. Für den klassischen Objekt-, Empfangs- oder Veranstaltungsschutz in Deutschland sind ISO 9001 oder die Dienstleistungsnorm DIN 77200-1 oft passender. Wir klären das gern im Erstgespräch.
Grundlagen: Montreux-Dokument, ICoC und Menschenrechte
ISO 18788 übersetzt internationale Grundsätze in prüfbare Anforderungen. Sie stützt sich auf das Montreux-Dokument vom 17. September 2008 über die völkerrechtlichen Pflichten und bewährten Praktiken von Staaten im Umgang mit privaten Militär- und Sicherheitsunternehmen, auf den Internationalen Verhaltenskodex für private Sicherheitsdienstleister (ICoC) vom 9. November 2010 und auf die Leitprinzipien der Vereinten Nationen für Wirtschaft und Menschenrechte von 2011.
Damit bietet die Norm Unternehmen und ihren Auftraggebern einen Weg, die Verpflichtungen aus diesen Dokumenten im Alltag umzusetzen und nachvollziehbar zu belegen. Entscheidend ist laut Norm, ihre Werte in Kultur und Abläufe der Organisation zu verankern – das verlangt dauerhaftes Engagement der obersten Leitung.
Eine Mitgliedschaft in der Vereinigung zum ICoC (ICoCA) ist ein eigenes Verfahren mit eigenen Regeln und folgt nicht automatisch aus einem Zertifikat. Die Norm selbst gibt zudem keine Rechtsauskunft: Welche nationalen und internationalen Gesetze gelten, muss jede Organisation selbst bestimmen.
Anforderungen der ISO 18788 im Überblick
Neben den bekannten Bausteinen eines Managementsystems enthält ISO 18788 zahlreiche Anforderungen, die es nur in dieser Norm gibt. Die wichtigsten Inhalte nach Kapiteln:
- Kapitel 4 – Kontext: interner und externer Kontext, Analyse der Lieferkette und der Subunternehmer, Risikokriterien, Erwartungen der Beteiligten und Anwendungsbereich.
- Kapitel 5 – Führung: Verpflichtung der obersten Leitung, eine von ihr herausgegebene Konformitätserklärung (Statement of Conformance), Politik, Rollen und Befugnisse.
- Kapitel 6 – Planung: Beurteilung von Sicherheits-, Arbeitsschutz- und Menschenrechtsrisiken, rechtliche und sonstige Anforderungen, Risikokommunikation und Ziele.
- Kapitel 7 – Unterstützung: Ressourcen, Kompetenz, Schulung und deren Bewertung, Kommunikation einschließlich Beschwerdeverfahren und Hinweisgeberregelung, dokumentierte Information.
- Kapitel 8 – Betrieb: Achtung der Menschenrechte, Verhaltenskodex, Gewaltanwendung, Festnahme und Durchsuchung, Unterstützung von Strafverfolgungsbehörden, Personalauswahl, Beschaffung und Verwaltung von Waffen und Munition, Uniformen und Kennzeichnung, Arbeitsschutz und Vorfallmanagement.
- Kapitel 9 – Bewertung: Überwachung und Messung, Bewertung der Rechtskonformität, Übungen und Tests, internes Audit und Managementbewertung.
- Kapitel 10 – Verbesserung: Nichtkonformitäten, Korrekturmaßnahmen, Änderungsmanagement und fortlaufende Verbesserung.
Gewaltanwendung, Personal und Vorfälle – die Schwerpunkte
Drei Themen unterscheiden ISO 18788 deutlich von allgemeinen Managementsystemnormen. Erstens die Gewaltanwendung: Die Organisation muss sicherstellen, dass Gewalt angemessen notwendig, verhältnismäßig und rechtmäßig ist. Die Norm regelt dazu die Ermächtigung zum Waffengebrauch, eine abgestufte Eskalation, weniger tödliche und tödliche Gewalt sowie die zugehörige Ausbildung.
Zweitens das Personal: Wer für die Organisation tätig ist, muss sorgfältig ausgewählt, überprüft und geschult werden; Kompetenzen werden festgelegt, bewertet und dokumentiert. Drittens der Umgang mit Vorfällen: Die Organisation braucht Verfahren, um Vorfälle zu überwachen, zu melden und zu untersuchen, um Beschwerden auch von Betroffenen außerhalb des Unternehmens aufzunehmen und um Hinweisgeber zu schützen.
Im Audit stehen deshalb Nachweise aus der Praxis im Mittelpunkt: Regeln zur Gewaltanwendung und ihre Abstimmung mit Auftraggebern, Schulungs- und Überprüfungsunterlagen, Vorfallberichte und Untersuchungen, Beschwerdeverfahren sowie die Steuerung von Subunternehmern.
Dauer, Aufwand und Voraussetzungen
Für die ISO 18788 Zertifizierung gibt es keinen Pauschalpreis. Die Kosten richten sich nach dem Umfang; CERTUNION erstellt nach der Analyse Ihrer Angaben ein individuelles Angebot. Den Aufwand bestimmen vor allem die Zahl der eingesetzten Personen, Anzahl und Lage der Einsatzorte, die Art der Leistungen – etwa ob Personal bewaffnet ist – und der Anteil an Subunternehmern.
Das Zertifizierungsverfahren dauert in der Regel vier bis acht Wochen, je nach Größe und Komplexität. Voraussetzung ist ein eingeführtes Managementsystem, das bereits Ergebnisse liefert. Vor dem Audit sollten insbesondere vorliegen:
- ein festgelegter Anwendungsbereich mit Leistungen, Einsatzorten und Subunternehmern
- die Konformitätserklärung der obersten Leitung und eine dokumentierte Politik
- eine Risikobeurteilung, die auch Menschenrechtsrisiken und Auswirkungen auf die örtliche Bevölkerung einbezieht
- Regeln zur Gewaltanwendung, Verhaltenskodex, Schulungsnachweise und Verfahren zur Personalauswahl
- funktionierende Beschwerde-, Hinweisgeber- und Vorfallverfahren
- mindestens ein internes Audit und eine Managementbewertung
Abgrenzung zu ISO 9001, DIN 77200-1 und ISO 28007-1
ISO 9001 beschreibt ein allgemeines Qualitätsmanagement und enthält keine Anforderungen zu Gewaltanwendung, Waffen oder Menschenrechten. DIN 77200-1:2022-10 ist die deutsche Dienstleistungsnorm mit allgemeinen Anforderungen an Sicherheitsdienstleister, etwa für stationäre, mobile und Veranstaltungsdienste – im heimischen Bewachungsgewerbe ist sie der gängigere Maßstab. ISO 28007-1:2015 richtet sich speziell an maritime Sicherheitsunternehmen, die bewaffnetes Personal an Bord von Schiffen stellen.
Keine dieser Normen ersetzt behördliche Erlaubnisse. In Deutschland braucht, wer gewerbsmäßig Leben oder Eigentum fremder Personen bewacht, eine Erlaubnis nach § 34a der Gewerbeordnung; vergleichbare Regeln gibt es in anderen Ländern.
ISO 18788 ist ausdrücklich dafür entworfen, mit anderen Managementsystemen zusammenzuwirken – etwa Qualität, Arbeitsschutz, Umwelt oder Informationssicherheit. Wer bereits nach ISO 9001 oder ISO 45001 arbeitet, kann Politik, Risikobeurteilung, internes Audit und Managementbewertung gemeinsam führen.
Nutzen einer ISO 18788 Zertifizierung
Für Auftraggeber in sensiblen Umgebungen ist die Auswahl eines Sicherheitsdienstleisters eine Frage der Haftung und des Rufs. Ein Zertifikat zeigt, dass ein unabhängiger Dritter das Managementsystem des Dienstleisters gegen eine öffentlich zugängliche Norm geprüft hat.
Ein Zertifikat schließt Vorfälle nicht aus. Es belegt aber, dass Risiken systematisch beurteilt, Personen geschult und Vorfälle aufgearbeitet werden – und dass die Organisation daraus lernt.
- nachvollziehbarer Beleg für professionelle, rechtstreue und menschenrechtskonforme Einsätze
- Unterstützung der Sorgfaltsprüfung von Auftraggebern bei Ausschreibungen
- einheitliche Abläufe über Länder, Einsatzorte und Subunternehmer hinweg
- geringeres Risiko von Vorfällen, die Menschen schaden und das Ansehen von Dienstleister und Kunde beschädigen
- Integration mit bestehenden Managementsystemen statt Parallelstrukturen
Der Zertifizierungsprozess
Anfrage
Sie schildern uns Ihre Leistungen, Einsatzorte und Subunternehmer. Im unverbindlichen Erstgespräch klären wir auch, ob ISO 18788 die passende Norm für Sie ist.
Analyse und Angebot
Wir bewerten Umfang, Zahl der eingesetzten Personen, Standorte und Art der Einsätze und erstellen daraus ein individuelles Angebot.
Voraudit (optional)
Auf Wunsch zeigt ein Voraudit, wo Ihr Managementsystem noch Lücken hat – etwa bei Regeln zur Gewaltanwendung oder beim Beschwerdeverfahren.
Zertifizierungsaudit
Vor Ort oder remote prüfen unsere Auditoren Dokumentation, Risikobeurteilung, Schulungsnachweise und Vorfallbearbeitung sowie die gelebte Praxis in Interviews und Stichproben.
Zertifikat
Nach bestandenem Audit stellt CERTUNION das Zertifikat für den festgelegten Anwendungsbereich aus. Es ist in der Regel drei Jahre gültig.
Überwachungsaudits
Jährliche Überwachungsaudits prüfen, ob das Managementsystem wirksam bleibt – auch bei neuen Einsatzorten, Aufträgen oder Subunternehmern.
Häufige Fragen
Was ist ISO 18788?
ISO 18788 ist die internationale Norm für Managementsysteme privater Sicherheitsoperationen. Sie legt Anforderungen fest, mit denen Sicherheitsdienstleister ihre Einsätze professionell, rechtstreu und unter Achtung der Menschenrechte steuern. Die gültige Ausgabe ist ISO 18788:2015, ergänzt durch die Klimaänderung Amd 1:2024.
Für wen ist eine ISO 18788 Zertifizierung sinnvoll?
Vor allem für Unternehmen, die Sicherheitsoperationen in Umgebungen mit schwachen staatlichen Strukturen durchführen, etwa in Krisen- und Konfliktregionen oder nach Katastrophen. Gefragt ist der Nachweis häufig von staatlichen Stellen, Hilfsorganisationen und Unternehmen, die dort Personen, Standorte oder Projekte schützen lassen.
Braucht ein Bewachungsunternehmen in Deutschland ISO 18788?
In der Regel nicht. Die Norm zielt auf Einsätze unter besonderen Umständen und soll allgemeinen Bewachungsdiensten keine zusätzlichen Lasten auferlegen. Für klassischen Objekt- und Veranstaltungsschutz sind ISO 9001 oder DIN 77200-1 meist passender. Unabhängig davon ist für das Bewachungsgewerbe eine Erlaubnis nach § 34a Gewerbeordnung nötig.
Was ist der Unterschied zwischen ISO 18788 und ISO 9001?
ISO 9001 regelt das Qualitätsmanagement jeder Art von Organisation und enthält keine branchenspezifischen Vorgaben. ISO 18788 nutzt dieselbe Grundstruktur, ergänzt sie aber um Anforderungen zu Menschenrechten, Gewaltanwendung, Waffen, Personalauswahl, Beschwerdeverfahren und Vorfallmanagement. Beide Normen lassen sich in einem integrierten Managementsystem verbinden.
Was ist der Unterschied zwischen ISO 18788 und DIN 77200?
DIN 77200-1 ist eine deutsche Dienstleistungsnorm mit allgemeinen Anforderungen an Sicherheitsdienstleister, etwa für stationäre, mobile und Veranstaltungsdienste. ISO 18788 ist eine internationale Managementsystemnorm für Sicherheitsoperationen unter schwierigen Bedingungen, mit Schwerpunkt auf Menschenrechten und Gewaltanwendung. Welche Norm passt, hängt von Ihren Einsätzen und Auftraggebern ab.
Welche Rolle spielen das Montreux-Dokument und der ICoC?
Das Montreux-Dokument von 2008 und der Internationale Verhaltenskodex für private Sicherheitsdienstleister (ICoC) von 2010 sind die wichtigsten Bezugsdokumente der Norm. ISO 18788 macht ihre Grundsätze prüfbar. Eine Mitgliedschaft in der ICoC-Vereinigung ist allerdings ein eigenes Verfahren und folgt nicht automatisch aus einem Zertifikat.
Ist ISO 18788 noch aktuell?
Ja. ISO 18788:2015 wurde 2021 bei der regulären Überprüfung bestätigt und 2024 um die Klimaergänzung erweitert. Seit 2026 läuft eine erneute systematische Überprüfung durch ISO; bis zu deren Ergebnis bleibt die Ausgabe 2015 gültig. Ob und wann eine überarbeitete Ausgabe erscheint, steht derzeit noch nicht fest.
Wie lange dauert eine ISO 18788 Zertifizierung?
Das Zertifizierungsverfahren dauert in der Regel vier bis acht Wochen, je nach Größe und Komplexität Ihrer Organisation und Ihrer Einsatzorte. Voraussetzung ist ein eingeführtes Managementsystem mit Risikobeurteilung, Regeln zur Gewaltanwendung, Schulungsnachweisen, internem Audit und Managementbewertung. Der Aufbau des Systems selbst dauert je nach Ausgangslage länger.
Was kostet eine ISO 18788 Zertifizierung?
Einen Festpreis gibt es nicht. Die Kosten richten sich nach dem Umfang, vor allem nach der Zahl der eingesetzten Personen, der Anzahl und Lage der Einsatzorte, der Art der Leistungen und dem Einsatz von Subunternehmern. CERTUNION erstellt Ihnen nach einer Analyse Ihrer Angaben ein individuelles Angebot.
Wie lange ist ein ISO 18788 Zertifikat gültig?
Zertifikate sind in der Regel drei Jahre gültig. In dieser Zeit finden jährliche Überwachungsaudits statt, die prüfen, ob das Managementsystem weiterhin wirksam ist. Vor Ablauf der drei Jahre folgt die Rezertifizierung, damit der Nachweis gegenüber Auftraggebern ohne Unterbrechung bestehen bleibt.
Gilt ISO 18788 auch für Auftraggeber von Sicherheitsdienstleistungen?
Ja. Die Norm richtet sich ausdrücklich auch an Organisationen, die Sicherheitsoperationen beauftragen. Auftraggeber können sie nutzen, um Dienstleister auszuwählen, Anforderungen in Verträge aufzunehmen und die eigene Sorgfaltsprüfung zu strukturieren. Wer Sicherheitsleistungen selbst steuert und vergibt, kann sein eigenes Managementsystem danach zertifizieren lassen.