NIS2 Checkliste für die Lebensmittelbranche: der praktische Fahrplan

Eine Checkliste für die Lebensmittelbranche steht und fällt mit dem ersten Punkt: Wer wird eigentlich gezählt? In einer Branche aus Werken, Töchtern und Lohnherstellern ist das keine Formalie, und das Gesetz beantwortet die Frage mit einem Maßstab, den kaum jemand erwartet.

Wie zählt die NIS2 Checkliste für die Lebensmittelbranche im Konzern?

Nicht nach Gesellschaft, sondern nach IT. Der Grundsatz steht in § 28 Absatz 4 BSIG: Für Mitarbeiterzahl, Umsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG der Kommission. Danach werden die Zahlen von Partnerunternehmen, also Beteiligungen zwischen 25 und 50 Prozent, anteilig hinzugerechnet und die Zahlen verbundener Unternehmen, also bei Kontrolle über 50 Prozent, vollständig. Eine Tochter mit 30 Beschäftigten kann damit über die Schwelle rutschen, ohne selbst gewachsen zu sein.

Dann kommt der deutsche Sonderweg, und er ist der praktisch wichtigste Satz der Norm: Die Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist. Entscheidend ist also die IT, nicht das Handelsregister. Ein Werk auf dem gemeinsamen ERP, im gemeinsamen Verzeichnisdienst und an der zentralen Netzanbindung ist nicht unabhängig. Ein zugekaufter Betrieb, der noch auf eigenem Stack läuft, kann es sein. Ergänzend erlaubt § 28 Absatz 3 BSIG, Geschäftstätigkeiten unberücksichtigt zu lassen, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Beides sind Ermessensfragen, und beide gehören schriftlich begründet.

Wie weit reicht die Lieferkettenpflicht der NIS2 Checkliste für die Lebensmittelbranche?

Eine Stufe, nicht bis zum Feld. § 30 Absatz 2 Nummer 4 BSIG verlangt die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Das Wort unmittelbar begrenzt den Umfang deutlich: Gefordert ist nicht die Durchleuchtung der gesamten Kette, sondern die Steuerung der eigenen direkten Vertragspartner.

Für Lebensmittelunternehmen ist das eine gute Nachricht, weil dieselbe Perimeterlogik aus dem Lebensmittelrecht bereits vertraut ist. Die Rückverfolgbarkeit nach Artikel 18 der Verordnung (EG) Nr. 178/2002 arbeitet ebenfalls mit einer Stufe nach vorn und einer zurück. Wer diese Listen führt, hat die Grundgesamtheit schon im Haus und muss sie nur um die IT-Dienstleister ergänzen, die im Lebensmittelrecht nicht vorkommen: Rechenzentrum, ERP-Betreuung, MES-Hersteller, Fernwartung, Logistikplattform. Der zweite Schritt ist die Bewertung: Ein Lieferant, der eine Charge liefert, ist ein anderes Risiko als ein Dienstleister mit Fernzugang in die Linie.

Wen muss man bei der NIS2 Checkliste für die Lebensmittelbranche außer der Behörde informieren?

Möglicherweise die eigenen Kunden, und die Entscheidung darüber liegt nicht beim Unternehmen. § 35 Absatz 1 BSIG erlaubt dem Bundesamt, im Fall eines erheblichen Sicherheitsvorfalls anzuordnen, dass eine Einrichtung die Empfänger ihrer Dienste unverzüglich unterrichtet. Und die Norm nennt ausdrücklich auch den Weg über eine Veröffentlichung auf der Website der Einrichtung.

Das ist für einen Hersteller, der an den Handel liefert, eine andere Größenordnung als eine Behördenmeldung. Eine proaktive Pflicht zur Unterrichtung besteht dagegen nicht: § 35 Absatz 2 BSIG legt sie nur Einrichtungen aus Finanzwesen, Sozialversicherung, digitaler Infrastruktur, Verwaltung von IKT-Diensten und digitalen Diensten auf. Lebensmittel steht dort nicht. Der Text für den Fall der Anordnung gehört deshalb vorher entworfen, gemeinsam von Kommunikation, Vertrieb und Qualitätssicherung.

Was deckt bei der NIS2 Checkliste für die Lebensmittelbranche der IFS ab, und was nicht?

Die Methode, nicht den Gegenstand. Der IFS Food in der Version 8 ist seit dem 1. Januar 2024 verpflichtend, Audits waren ab dem 1. Oktober 2023 möglich, und er führt den Produktschutz als Kapitel 4.21 Food Defence. Verlangt sind dort eine Bedrohungsanalyse und dokumentierte Schutzmaßnahmen gegen vorsätzliche Verfälschung.

Cybersicherheit ist in diesem Kapitel nicht ausdrücklich adressiert, und genau darin liegt das Missverständnis. Der Gegenstand unterscheidet sich, das Vorgehen nicht: Bedrohungen benennen, bewerten, Maßnahmen ableiten, Verantwortliche zuordnen, Wirksamkeit prüfen. Diese Systematik ist im Haus etabliert und trägt die Risikoanalyse nach § 30 Absatz 2 Nummer 1 BSIG, wenn der Betrachtungsgegenstand erweitert wird. Wer eine zweite, unabhängige Methodik aufbaut, produziert zwei Register über dieselben Anlagen.

Welche Punkte werden bei der NIS2 Checkliste für die Lebensmittelbranche am häufigsten übersprungen?

Drei. Erstens die Begründung der Einordnung im Konzern. Sie ist nach § 28 Absatz 4 BSIG eine Aussage über IT-Unabhängigkeit, und wer sie nicht dokumentiert, hat im Zweifelsfall keine.

Zweitens die Fernzugänge der Anlagenbauer. Waagen, Abfüller, Etikettierer und Kälteanlagen werden gewartet, und die Zugänge dazu sind der kürzeste Weg in die Linie. Verlangt sind namentliche Konten, Protokollierung und eine Regel, wann ein Zugang offen ist. Drittens die Reihenfolge im Ernstfall. Wer zuerst erfährt, dass eine Linie steht, entscheidet über Produktionsplanung, Kundeninformation und Sperrentscheidungen für Ware, und diese Reihenfolge steht in den meisten Notfallplänen nicht.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für Lebensmittelunternehmen konkret wird, von der Einstufung über Lieferkette und Produktionsschutz bis zur Haftung der Leitungsebene
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung über Asset-Erfassung, Risiken und Lieferkette bis zu Meldung, Leitung und Schulung
• Drei typische Stolperfallen, von der Annahme, kein Tech-Unternehmen zu sein, über die ignorierte Lieferkette bis zur Trennung von Produktion und IT
• Drei Quick Wins, unter anderem die Betroffenheitsprüfung in einer Stunde und die Nutzung vorhandener Managementsysteme

Die Checkliste richtet sich an Geschäftsführungen, IT- und Produktionsverantwortliche sowie Qualitätsverantwortliche in Lebensmittelherstellung, Getränkeproduktion und Lebensmittelgroßhandel. Laden Sie sie kostenfrei herunter.