ISO 27001 für Lebensmittelhersteller: Sicherheit bis ins Regal

Mitte Juli 2026 musste fairlife, eine US-Tochter von Coca-Cola, nach einem Ransomware-Angriff die Produktion vorübergehend einstellen. Der Fall zeigt in aller Kürze, was in dieser Branche anders ist als in einem Büro: Wenn die Linie steht, läuft nicht nur ein IT-Ticket. Kühlketten sind gefährdet, Chargen verderben, und die Lieferfenster des Handels lassen sich nicht verschieben.

Warum ist ISO 27001 für Lebensmittelhersteller 2026 relevant geworden?

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, und zwar ohne Übergangsfrist. Produktion, Verarbeitung und Vertrieb von Lebensmitteln zählen darin zu den Sektoren, deren Unternehmen als wichtige Einrichtungen erfasst werden. Verlangt werden Risikomanagement, Meldepflichten und Lieferkettensicherheit, und die Geschäftsleitung haftet dafür persönlich. Eine Delegation nach unten genügt nicht.

Die Größenschwellen sind niedriger, als viele vermuten. Ab 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro gilt ein Betrieb als wichtige Einrichtung. Ein Aufstieg zur besonders wichtigen Einrichtung durch Größe ist dagegen ausgeschlossen, weil § 28 Absatz 1 Nummer 4 BSIG ihn nur für Einrichtungsarten der Anlage 1 zulässt und Lebensmittel in der Anlage 2 steht. Maßgeblich ist deshalb der Bußgeldrahmen für wichtige Einrichtungen, also bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Bundesweit gelten mehr als 30.000 Unternehmen aus 18 Sektoren als betroffen.

ISO 27001 ist in diesem Zusammenhang freiwillig, aber der praktikabelste Weg. Wer ein ISMS nach der Norm betreibt, erfüllt einen Großteil der NIS2-Pflichten mit derselben Struktur und hat zugleich den Nachweis in der Hand, den der Handel in Lieferantenprüfungen zunehmend sehen will.

Wer fällt unter die Pflichten, für wen lohnt ISO 27001 für Lebensmittelhersteller?

Erfasst werden industrielle Hersteller und Verarbeiter, etwa Molkereien, Fleischverarbeiter, Bäckereien im industriellen Maßstab, Tiefkühl- und Getränkeproduzenten, dazu Großhändler samt Zentrallagern und Logistikzentren des Lebensmittelhandels. Nicht erfasst sind Landwirtschaft im engeren Sinne, kleine Einzelhändler und Gastronomie sowie handwerkliche Betriebe unterhalb der Schwellen.

Die Selbsteinschätzung trügt dabei häufig. Ein Fleischverarbeiter mit 150 Beschäftigten hält sich für einen normalen Mittelständler und ist trotzdem pflichtig. Der Cyber Security Report 2026 von Schwarz Digits fand, dass 48 Prozent der befragten Unternehmen ihre NIS2-Pflichten unterschätzen, bei umsatzstarken Kleinunternehmen mit 10 bis 49 Beschäftigten sogar 92 Prozent. Wer unter den Schwellen bleibt, kann außerdem über die Lieferkettenpflicht seiner Kunden faktisch mitgeregelt sein.

Welche Bedrohungslage macht ISO 27001 für Lebensmittelhersteller dringlich?

Das Food and Agriculture Information Sharing and Analysis Center berichtete im Februar 2026 von einem Anstieg der Ransomware-Angriffe im Lebensmittel- und Agrarsektor um 82 Prozent im Jahresvergleich. Besonders exponiert sind die operativen Systeme, also Produktionslinien, Kühlung, Verpackung und Logistik.

Zwei Faktoren verschärfen das. Erstens die Zeitkritikalität: Ein Stillstand lässt sich in dieser Branche nicht nachholen, weil verderbliche Ware und feste Lieferfenster keinen Aufschub dulden. Zweitens die Margensituation. Sicherheitsinvestitionen konkurrieren hier mit operativen Notwendigkeiten, weshalb ältere Systeme länger laufen und Patches verschoben werden. Dass das kein neues Muster ist, zeigt der Petya-Vorfall bei Mondelez, der die Produktion damals ebenfalls stoppte.

Hinzu kommt die Verzahnung mit anderen Infrastrukturen. Lebensmittelbetriebe hängen an Energie, Wasser, Abwasser, Transportlogistik und Kühlung, weshalb ein Angriff auf ein Werk Dominoeffekte über den Standort hinaus auslösen kann.

Ein Punkt wird dabei oft übersehen: Kühlkettenüberwachung und Rückverfolgbarkeit sind nicht nur betriebliche Praxis, sondern gesetzlich gefordert, etwa über die EU-Hygieneverordnung (EG) Nr. 852/2004 und Artikel 18 der Verordnung (EG) Nr. 178/2002. Werden die Systeme manipuliert, die diese Nachweise führen, steht nicht die IT infrage, sondern die Rechtskonformität der Ware und die Rückrufsicherheit.

Was macht ISO 27001 für Lebensmittelhersteller anspruchsvoller als reine Büro-IT?

Die Anforderungen der Norm gelten unabhängig von der Branche. Der Aufwand tut es nicht. Neben klassischer IT steuern operative Systeme den Betrieb: Manufacturing-Execution-Systeme, Abfüllanlagen, Kühl- und Fördertechnik, dazu die elektronische Anbindung an den Handel und die lückenlose Rückverfolgbarkeit von der Charge bis zur Auslieferung. Vieles davon ist über Jahre gewachsen, läuft auf älteren Ständen und darf im Betrieb nicht einfach unterbrochen werden.

Ein Vorteil kommt der Branche dabei entgegen: Sie kennt strenge Audits längst, etwa nach IFS oder BRC. Dokumentation, Rückverfolgbarkeit und Korrekturmaßnahmen sind vertraut, und diese Kultur lässt sich auf ein ISMS übertragen. Das Whitepaper arbeitet fünf Eigenheiten der Lebensmittelproduktion heraus und nennt für jede einen pragmatischen Umgang, der zur Betriebsgröße passt statt zum Konzernmaßstab.

Welche Punkte werden bei ISO 27001 für Lebensmittelhersteller am häufigsten unterschätzt?

Drei. Erstens die Annahme, ein bestehendes Lebensmittel-Audit deckt die Informationssicherheit mit ab. Der IFS Food ist in der Version 8 seit dem 1. Januar 2024 verpflichtend und führt den Produktschutz als Kapitel 4.21 Food Defence, verlangt dort also eine Bedrohungsanalyse und dokumentierte Schutzmaßnahmen gegen vorsätzliche Verfälschung. Cybersicherheit ist in diesem Kapitel nicht geregelt. Übertragbar ist die Methodik, nicht das Managementsystem.

Zweitens die Lieferantenseite im Annex A, die aus drei zusammengehörenden Maßnahmen besteht: A.5.19 zur Informationssicherheit in Lieferantenbeziehungen, A.5.20 zur Verankerung in den Vereinbarungen und A.5.21 zur IKT-Lieferkette. Gemeint sind Lohnhersteller, Instandhalter mit Fernzugang und die elektronische Anbindung an den Handel, jeweils mit Anforderung, Bewertung und Verzeichnis. Drittens A.5.7 zu Bedrohungsinformationen, in der Fassung 2022 neu: Informationen über aktuelle Bedrohungen sind zu sammeln, auszuwerten und in Maßnahmen zu überführen. Wer die Meldungen des Food and Agriculture Information Sharing and Analysis Center ohnehin liest, braucht dafür nur einen dokumentierten Weg und einen Verantwortlichen.

Was steht im Whitepaper?

• Den Branchenkontext: warum der Handel den Takt vorgibt und Sicherheit zur Listungsfrage wird
• Fünf Eigenheiten der Lebensmittelproduktion, die die ISMS-Einführung erschweren, samt Gegenmitteln
• Die Risikoszenarien, die in der Praxis immer wieder auftauchen, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap zum Zertifikat mit realistischer Zeitschätzung, die vorhandene Strukturen aus dem Qualitätsmanagement nutzt
• Wie sich ISO 27001 und NIS2 in einem Aufbau gemeinsam abdecken lassen, mit einem Praxisbeispiel aus der Branche

Das Whitepaper richtet sich an Geschäftsführungen, IT- und Produktionsleitungen sowie Qualitäts- und Sicherheitsverantwortliche in Lebensmittelherstellung, Verarbeitung und Großhandel. Laden Sie es kostenfrei herunter.