Welche Lebensmittelunternehmen erfasst sein können
Anlage 2 des BSI-Gesetzes nennt Unternehmen der Produktion, Verarbeitung und des Vertriebs von Lebensmitteln. Ob eine wichtige Einrichtung vorliegt, hängt zusätzlich von den Größenkriterien und der konkreten Tätigkeit ab. Nicht jeder Hofladen fällt deshalb automatisch unter NIS2; ein größerer Hersteller oder Großhändler sollte die Einordnung aber belastbar prüfen.
Digitale Abhängigkeiten reichen durch die gesamte Kette
Lebensmittelbetriebe hängen von Warenwirtschaft, Produktionssteuerung, Kühlung, Qualitätsdaten, Logistik und Lieferanten ab. Ein Cybervorfall kann deshalb nicht nur Daten betreffen. Er kann Produktion unterbrechen, Bestände verderben lassen oder die Rückverfolgbarkeit beeinträchtigen. Die Schadwirkung entsteht im Zusammenspiel von Technik, Zeit und physischen Produkten.
Besonders wichtig sind Übergänge: vom Büro zur Produktion, vom Dienstleister zur Anlage und vom Lieferanten zum eigenen System. Dort sammeln sich Berechtigungen, Schnittstellen und Verantwortlichkeiten. Wer nur den Serverraum prüft, sieht einen Teil des Betriebs.
Pragmatische Prioritäten setzen
- Kritische Produktions- und Logistikprozesse samt maximal tragbarer Ausfallzeit benennen.
- Kühlung, Rezepturen, Rückverfolgbarkeit und Qualitätsdaten in die Risikoanalyse einbeziehen.
- Fernwartung, Lieferantenzugänge und Cloud-Dienste kontrollieren.
- Manuelle Ersatzverfahren und Wiederherstellung testen.
- Melde- und Entscheidungswege mit Produktion, Qualität, IT und Leitung üben.
Für kleinere Teams ist Priorisierung entscheidend. Zuerst werden die Prozesse geschützt, deren Ausfall schnell Menschen, Ware oder Lieferfähigkeit betrifft. Das ist meist wirksamer als ein Maßnahmenkatalog, der überall gleichzeitig beginnen möchte und entsprechend langsam vorankommt.
Die Einstufung sollte getrennt nach Gesellschaft und Tätigkeit erfolgen. Herstellung, Verarbeitung und Großhandel können unter dieselbe Branchenüberschrift fallen, technisch und organisatorisch aber sehr unterschiedlich aussehen. Hinzu kommen Größenkriterien, verbundene Unternehmen und mögliche Sondertatbestände. Deshalb ist ein kurzer Onlinecheck ein guter Einstieg, aber bei gemischten Strukturen kein belastbarer Abschluss. Das Ergebnis gehört mit Kennzahlen, Annahmen und Prüfdatum dokumentiert.
Ist ein Unternehmen erfasst, geht es um mehr als eine Registrierung. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen zum Risikomanagement. § 32 regelt die gestufte Meldung erheblicher Sicherheitsvorfälle, § 38 bindet die Geschäftsleitung in Umsetzung, Überwachung und Schulung ein. Die praktische Frage lautet also nicht nur, ob NIS2 gilt, sondern wie sich die Pflichten in einen laufenden Lebensmittelbetrieb übersetzen lassen.
Produktion, Qualität und Rückverfolgbarkeit verbinden
Lebensmittelsicherheit und Informationssicherheit verfolgen unterschiedliche Schutzziele, treffen sich aber in denselben Prozessen. Rezepturen, Chargendaten, Prüfwerte und Rückverfolgbarkeit sind digital verfügbar und für Qualitätsentscheidungen notwendig. Werden diese Informationen manipuliert oder sind sie nicht erreichbar, kann das Auswirkungen auf Freigaben, Rückrufe und Lieferfähigkeit haben. Ein Cybervorfall bleibt dann nicht im Serverraum, selbst wenn er dort begonnen hat.
Die Risikoanalyse sollte deshalb vom Produkt- und Lieferprozess ausgehen. Welche Daten entscheiden über die Freigabe einer Charge? Welche Systeme steuern Dosierung, Temperatur oder Verpackung? Wie wird festgestellt, welche Ware betroffen ist, wenn das zentrale System ausfällt? Und welche manuellen Verfahren tragen tatsächlich einige Stunden oder Tage? Eine Antwort auf Papier ist hilfreich; ein getesteter Ablauf ist hilfreicher.
Auch Manipulation verdient Aufmerksamkeit. Verfügbarkeit ist in zeitkritischen Betrieben besonders sichtbar, Integrität aber mindestens ebenso wichtig. Falsche Temperaturwerte, veränderte Rezepturen oder unvollständige Chargenzuordnungen können unbemerkt bleiben und später große Folgen haben. Berechtigungen, Protokollierung, Plausibilitätskontrollen und das Vier-Augen-Prinzip bei kritischen Änderungen gehören daher in das Sicherheitskonzept.
Kühlkette und Logistik als Cyberrisiko behandeln
Kühlhäuser, Sensorik, Gebäudeleittechnik und Transportplanung sind Teil der digitalen Abhängigkeit. Ein Ausfall kann verderbliche Ware in kurzer Zeit gefährden. Unternehmen sollten deshalb Grenzwerte, Alarmwege und alternative Überwachung kennen. Entscheidend ist nicht nur, ob ein Alarm technisch erzeugt wird, sondern ob er auch bei gestörter IT die richtige Person erreicht und eine Handlung auslöst.
Für die Priorisierung hilft die maximal tragbare Ausfallzeit. Ein System für die langfristige Absatzplanung darf möglicherweise länger fehlen als die Temperaturüberwachung oder die Steuerung einer kritischen Produktionslinie. Diese Unterscheidung lenkt knappe Mittel auf die Abläufe, bei denen Zeit unmittelbar zu Schaden wird. Alles gleichzeitig als kritisch zu bezeichnen ist keine Priorisierung, sondern eine höfliche Form der Kapitulation.
Lieferanten und Fernwartung kontrollieren
Viele Lebensmittelbetriebe arbeiten mit spezialisierten Maschinenbauern, Laboren, Logistikpartnern, Cloud-Anbietern und externen Wartungsteams. Diese Partner können für den Betrieb unverzichtbar sein und zugleich technische Zugänge benötigen. Sicherheitsanforderungen sollten nach Kritikalität festgelegt werden: erreichbare Ansprechpartner, Meldepflichten, angemessener Zugriffsschutz, Unterstützung im Vorfall und ein geordneter Umgang mit Änderungen.
Fernwartungszugänge verdienen eine klare Regel. Sie sollten bei Bedarf freigegeben, einer Person oder Organisation zugeordnet, stark authentisiert und protokolliert werden. Dauerhafte Sammelkonten mit weitreichenden Rechten sind bequem, bis sie es für den Falschen sind. Wo alte Anlagen moderne Schutzmechanismen nicht unterstützen, helfen Segmentierung, kontrollierte Übergänge und zusätzliche Überwachung.
Zur Lieferkette gehört auch die eigene Rolle als Lieferant. Regulierte Kunden werden Nachweise, Meldewege und Sicherheitszusagen verlangen. Das macht einen Betrieb nicht automatisch selbst zur NIS2-Einrichtung, kann wirtschaftlich aber ähnlich verbindlich wirken. Direkte gesetzliche Pflichten und vertragliche Anforderungen sollten deshalb getrennt dokumentiert und gemeinsam bearbeitet werden.
Krise und Wiederanlauf praktisch vorbereiten
Ein Vorfall betrifft schnell IT, Produktion, Qualität, Logistik, Einkauf, Kommunikation und Leitung. In der ersten Phase ist nicht die Schuldfrage entscheidend. Zunächst muss der Sachverhalt geklärt werden: Welche Systeme und Chargen sind betroffen, welche Produktion kann sicher weiterlaufen, welche Kunden müssen informiert werden und welche Meldung ist erforderlich? Wenn das verstanden ist, lässt sich das Problem geordnet lösen.
Wiederherstellung umfasst neben Backups auch Anlagenkonfigurationen, Rezepturen, Schnittstellen, Lizenzen, Ersatzgeräte und erreichbare Spezialisten. Die Reihenfolge muss sich an der geschäftlichen Wirkung orientieren. Übungen sollten mindestens einen Ausfall der Warenwirtschaft oder Produktionssteuerung durchspielen und prüfen, ob Rückverfolgbarkeit und Kühlung unter Ersatzbedingungen funktionieren. Ein Backup, das nie zurückgespielt wurde, ist Hoffnung mit Speicherplatz.
Kurz gesagt
NIS2 kann Lebensmittelhersteller, Verarbeiter und Vertriebsunternehmen erfassen. Eine gute Umsetzung verbindet gesetzliche Einstufung mit dem realen Produktions- und Lieferprozess. Technik, Qualität, Logistik und Führung müssen dabei dasselbe Lagebild verwenden.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: