Wat is ISO 22000?
ISO 22000 is de internationale, certificeerbare norm voor een voedselveiligheidsmanagementsysteem (FSMS) waarmee elke organisatie in de voedselketen, van diervoederproducent tot cateraar, voedselveiligheidsgevaren systematisch beheerst door de HACCP-principes te combineren met randvoorwaardelijke programma’s, interactieve communicatie en een managementsysteem volgens de PDCA-cyclus. De norm is opgesteld door ISO-commissie ISO/TC 34/SC 17 en verscheen in 2005; de huidige tweede editie dateert van juni 2018. ISO 22000 vertelt niet welke temperatuur of welke grenswaarde u moet hanteren, maar wel hoe u die keuzes onderbouwt, bewaakt, vastlegt en verbetert.
ISO 22000 maakt van HACCP een volwaardig managementsysteem, met beleid, verantwoordelijkheden, interne audits en continue verbetering.
Voor IT/OT-professionals is ISO 22000 relevant omdat een groot deel van de beheersing in de fabriek zit: een PLC die een pasteur bewaakt, een metaaldetector die afkeurt, een historian die temperaturen registreert en een MES dat batches traceert.
🎯 Wat is het doel van ISO 22000?
- Gevaren voorkomen - biologische, chemische (inclusief allergenen) en fysische gevaren beheersen voordat ze het product bereiken
- Risicogebaseerd werken - gevaren analyseren zoals bij HACCP, en daarnaast bedrijfsrisico’s en kansen op organisatieniveau
- Eén taal in de keten - internationale harmonisatie, zodat een leverancier in Brazilië en een producent in Nederland hetzelfde kader gebruiken
- Vertrouwen opbouwen - bij klanten, retailers en toezichthouders zoals de NVWA
- Traceerbaarheid en terughalen - snel kunnen vaststellen welke partijen getroffen zijn en die uit de markt halen
🕰️ Hoe is ISO 22000 ontstaan en welke versie geldt?
| Jaar | Gebeurtenis |
|---|---|
| 2005 | Eerste editie ISO 22000:2005, gebaseerd op de HACCP-principes van de Codex Alimentarius |
| 2009 | ISO/TS 22002-1 beschrijft de randvoorwaardelijke programma’s voor voedselproductie |
| 2018 | Tweede editie ISO 22000:2018 met de High Level Structure (HLS) en een tweeledige risicobenadering |
| 2021 | Einde overgangsperiode; door COVID-19 verlengd tot eind december 2021 |
| 2024 | Amendement ISO 22000:2018/Amd 1:2024 voegt klimaatverandering toe aan context en belanghebbenden |
| 2025 | Nieuwe ISO 22002-reeks: ISO 22002-100 met gemeenschappelijke eisen plus sectordelen zoals ISO 22002-1:2025 voor voedselproductie; vervangt de meeste ISO/TS 22002-delen |
| 2026 | FSSC 22000 versie 7 verschijnt in mei, afgestemd op de nieuwe ISO 22002-reeks |
De editie van 2018 maakte de norm beter combineerbaar met ISO 9001, ISO 14001 en ISO 45001, omdat alle drie dezelfde hoofdstukindeling volgen. Ook werd de koppeling met de Codex Alimentarius versterkt.
🧠 Hoe is ISO 22000:2018 opgebouwd?
ISO 22000 volgt de gemeenschappelijke structuur van ISO-managementsysteemnormen (hoofdstukken 4 tot en met 10). Kenmerkend zijn twee PDCA-cycli die in elkaar grijpen: een cyclus op organisatieniveau (beleid, doelstellingen, middelen, managementreview) en een operationele cyclus binnen hoofdstuk 8 (gevarenanalyse, beheersmaatregelen, verificatie).
| Hoofdstuk | Inhoud | Praktijkvoorbeeld |
|---|---|---|
| 4 Context | Interne en externe kwesties, belanghebbenden, scope | Welke productlijnen en locaties vallen eronder |
| 5 Leiderschap | Beleid, rollen, voedselveiligheidsteamleider | Directie stelt het voedselveiligheidsbeleid vast |
| 6 Planning | Risico’s en kansen, doelstellingen, wijzigingen | Doel: minder afkeur door vreemde objecten |
| 7 Ondersteuning | Middelen, competentie, communicatie, gedocumenteerde informatie | Opleiding operators, documentbeheer |
| 8 Uitvoering | PRP’s, traceerbaarheid, noodsituaties, gevarenanalyse, HACCP/OPRP-plan, verificatie, terugroepen | Pasteur, metaaldetectie, recallprocedure |
| 9 Evaluatie | Monitoring, analyse, interne audits, managementreview | Jaarlijkse auditplanning |
| 10 Verbetering | Afwijkingen, corrigerende maatregelen, actualisering | Oorzaakanalyse na een klacht |
🔧 Wat is het verschil tussen PRP, OPRP en CCP?
ISO 22000 onderscheidt drie lagen beheersmaatregelen. Dat onderscheid is de kern van de norm en verschilt van een klassiek HACCP-plan, dat alleen CCP’s kent.
| Begrip | Betekenis | Bewaking | Voorbeeld |
|---|---|---|---|
| PRP (prerequisite programme) | Basisvoorwaarden voor een hygiënische omgeving, los van één specifiek gevaar | Inspecties, schema’s | Reiniging met CIP, ongediertebestrijding, onderhoud, personeelshygiëne |
| OPRP (operational PRP) | Beheersmaatregel voor een significant gevaar met een actiecriterium | Meting of observatie | Zeefcontrole, allergenenscheiding, pH-meting |
| CCP (critical control point) | Beheersmaatregel voor een significant gevaar met een meetbare kritische grenswaarde | Continue of frequente meting | Melk pasteuriseren op ≥ 72 °C gedurende 15 s, metaaldetectie |
Overschrijdt een CCP zijn grenswaarde, dan is het product per definitie potentieel onveilig en wordt het geblokkeerd. Bij een OPRP beoordeelt het team of het product nog vrijgegeven kan worden. Samen vormen CCP’s en OPRP’s het gevarenbeheersingsplan (hazard control plan).
🏭 Waar raakt ISO 22000 de IT/OT-omgeving?
In een moderne levensmiddelenfabriek is een groot deel van de beheersmaatregelen geautomatiseerd. Dat maakt de OT een onderdeel van het voedselveiligheidssysteem:
- Bewaking van CCP’s - een PLC of SCADA meet de pasteurtemperatuur met een PT100 en stuurt een omleidklep zodra de grenswaarde wordt onderschreden
- Registraties - de historian en het LIMS leveren het bewijs voor verificatie; data-integriteit bepaalt of een auditor die registraties vertrouwt
- Meetmiddelen - ISO 22000 vraagt beheersing van monitoring- en meetmiddelen, dus periodieke kalibratie van temperatuur-, druk- en pH-sensoren
- Inspectie - machine vision en röntgen- of metaaldetectie werken als OPRP of CCP aan de lijn
- Traceerbaarheid - tracking en tracing via batchnummers, GS1-codes, het MES en het ERP
- Wijzigingsbeheer - een aangepaste receptuur of PLC-software is een wijziging die vooraf op voedselveiligheid moet worden beoordeeld (change management)
Daarmee wordt cybersecurity ook voedselveiligheid. Een gemanipuleerde grenswaarde in een pasteur of een uitgevallen historian ondermijnt het HACCP-plan direct. Middelgrote en grote voedselproducenten en -verwerkers vallen bovendien onder NIS2 en de Nederlandse Cyberbeveiligingswet. Normen als IEC 62443 en ISO 27001 vullen ISO 22000 daarom aan; ISO 22000 zelf bevat geen cybersecurity-eisen.
🧭 Hoe implementeert u ISO 22000 stap voor stap?
- Bepaal scope en context - welke producten, locaties en processen, en welke wettelijke eisen gelden (Verordening (EG) 178/2002, waarvan artikel 18 traceerbaarheid één stap terug en één stap vooruit in de keten eist, en Verordening (EG) 852/2004)
- Stel een multidisciplinair voedselveiligheidsteam samen - inclusief technische dienst en, waar besturing CCP’s bewaakt, OT-kennis
- Leg de PRP’s vast - op basis van de ISO 22002-reeks voor uw sector
- Voer de gevarenanalyse uit - beschrijf producten, teken processtroomschema’s en verifieer die op de vloer
- Kies beheersmaatregelen - categoriseer als OPRP of CCP en stel actiecriteria en kritische grenswaarden vast
- Richt bewaking en registratie in - koppel sensoren, alarmen en historian aan het plan en borg de data-integriteit
- Test traceerbaarheid en recall - oefen een terughaalactie en meet hoe snel u alle betrokken partijen kunt aanwijzen
- Audit en verbeter - interne audits, managementreview en daarna een certificatie-audit door een geaccrediteerde instelling
In Nederland verwacht de NVWA een werkend HACCP-systeem, maar certificatie tegen ISO 22000 is vrijwillig. Sinds Verordening (EU) 2021/382 eist de EU daarnaast een aantoonbare voedselveiligheidscultuur en allergenenbeheer als basisvoorwaarde, wat goed aansluit op de leiderschapseisen van hoofdstuk 5. Retailers vragen in de praktijk vaak om een door GFSI erkend schema zoals FSSC 22000 of BRCGS.
🔄 Hoe verhoudt ISO 22000 zich tot andere normen?
| Norm of schema | Focus | Relatie met ISO 22000 |
|---|---|---|
| HACCP | Zeven principes voor gevarenbeheersing | Volledig opgenomen in hoofdstuk 8 |
| FSSC 22000 | Certificatieschema, door GFSI erkend | ISO 22000 + ISO 22002-PRP’s + aanvullende FSSC-eisen zoals food defence en food fraud |
| BRCGS Food Safety | Retailstandaard, door GFSI erkend | Zelfstandig schema met eigen eisen, geen ISO-managementsysteem |
| ISO 9001 | Kwaliteitsmanagement | Zelfde structuur; vaak gecombineerd in één QMS |
| GMP | Goede productiepraktijken | Komt terug in de PRP’s |
| ISO 22301 | Bedrijfscontinuïteit | Ondersteunt de eis voor noodsituaties (8.4) |
ISO 22000 zelf staat niet op de GFSI-lijst; dat is de reden dat FSSC 22000 bestaat. Een bedrijf met ISO 22000 kan met de aanvullende eisen relatief eenvoudig doorgroeien naar FSSC 22000.
❓ Veelgestelde vragen
Is ISO 22000-certificering verplicht?
ISO 22000-certificering is niet wettelijk verplicht. In de EU is voor levensmiddelenbedrijven na de primaire productie wel een op HACCP gebaseerd systeem verplicht op grond van Verordening (EG) 852/2004, en ISO 22000 is een manier om dat aantoonbaar en gestructureerd te doen. Klanten en retailers stellen certificering vaak contractueel als eis.
Wat is het verschil tussen ISO 22000 en FSSC 22000?
ISO 22000 is de internationale managementsysteemnorm voor voedselveiligheid. FSSC 22000 is een certificatieschema dat ISO 22000 combineert met de sectorspecifieke PRP-normen uit de ISO 22002-reeks en aanvullende eisen. FSSC 22000 is door het Global Food Safety Initiative erkend, ISO 22000 alleen niet.
Welke versie van ISO 22000 is actueel?
De actuele versie is ISO 22000:2018, aangevuld met het klimaatamendement ISO 22000:2018/Amd 1:2024. Certificaten tegen de editie van 2005 zijn sinds eind 2021 niet meer geldig. De bijbehorende PRP-normen zijn in 2025 vernieuwd als ISO 22002-100 met sectordelen.
Wat is een OPRP in ISO 22000?
Een OPRP (operationeel randvoorwaardelijk programma) is in ISO 22000 een beheersmaatregel voor een significant voedselveiligheidsgevaar die wordt bewaakt met een actiecriterium in plaats van een kritische grenswaarde. Voorbeelden zijn allergenenscheiding of het controleren van zeven. Een CCP heeft juist een meetbare kritische grenswaarde.
Voor welke organisaties is ISO 22000 bedoeld?
ISO 22000 is bedoeld voor elke organisatie in de voedselketen, ongeacht omvang: boeren, diervoederproducenten, levensmiddelenfabrikanten, verpakkingsproducenten, transport en opslag, retail en catering. Ook leveranciers van reinigingsmiddelen of apparatuur kunnen de norm gebruiken. De norm schaalt mee met de complexiteit van de organisatie.
Bevat ISO 22000 eisen voor IT- en OT-systemen?
ISO 22000 bevat geen specifieke cybersecurity-eisen, maar eist wel betrouwbare monitoring, gekalibreerde meetmiddelen, beheerste gedocumenteerde informatie en beoordeelde wijzigingen. Zodra een PLC of SCADA een CCP bewaakt, vallen die systemen daardoor in de praktijk onder het voedselveiligheidssysteem. Voor de beveiliging zelf vult u ISO 22000 aan met IEC 62443 of ISO 27001.
📌 Samengevat
ISO 22000 is de internationale managementsysteemnorm die voedselveiligheid in de hele keten borgt door HACCP te combineren met randvoorwaardelijke programma’s, OPRP’s, traceerbaarheid en continue verbetering. De editie van 2018 met het amendement van 2024 is actueel, FSSC 22000 bouwt erop voort voor GFSI-erkenning, en omdat CCP’s steeds vaker door PLC’s, sensoren en historians worden bewaakt, is betrouwbare en veilige OT een voorwaarde voor een werkend voedselveiligheidssysteem.