NIS2 in der Lebensmittelbranche: Sicherheit bis ins Regal

In der Lebensmittelbranche wird bei NIS2 fast immer zu grob gerechnet. Der Sektor steht im Gesetz, das ist richtig. Aber der Eintrag ist enger gefasst, als die meisten Zusammenfassungen erkennen lassen, und die Einstufung fällt anders aus als bei einem Industriebetrieb gleicher Größe. Beides hat Folgen für Aufwand und Bußgeldrahmen.

Wen erfasst NIS2 in der Lebensmittelbranche, und wen ausdrücklich nicht?

Der Eintrag steht in der Anlage 2 des BSIG und ist wörtlich präzise: erfasst sind Lebensmittelunternehmen nach Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind. Der Gesetzgeber greift damit auf die Definition des Lebensmittelrechts zurück und schränkt sie ein.

Praktisch heißt das: Der Lebensmitteleinzelhandel ist über diesen Eintrag nicht erfasst, und handwerkliche oder kleinbetriebliche Produktion ebenfalls nicht. Erfasst sind der Großhandel und die industrielle Herstellung und Verarbeitung, jeweils oberhalb der Schwellen des § 28 Absatz 2 BSIG, also ab 50 Beschäftigten oder ab einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Wer keine dieser Voraussetzungen erfüllt, gerät trotzdem über die Lieferkette seiner erfassten Kunden in die Pflicht, dann aber vertraglich und nicht gesetzlich. Diese Unterscheidung entscheidet darüber, ob eine Registrierung fällig ist oder ein Fragebogen.

Kann ein Betrieb bei NIS2 in der Lebensmittelbranche besonders wichtige Einrichtung werden?

Durch Größe nicht. Das ist der Punkt, der am häufigsten falsch dargestellt wird. § 28 Absatz 1 Nummer 4 BSIG lässt den Aufstieg zur besonders wichtigen Einrichtung nur für Einrichtungsarten der Anlage 1 zu. Lebensmittel steht in der Anlage 2. Ein Hersteller mit 3.000 Beschäftigten und 800 Millionen Euro Umsatz bleibt deshalb wichtige Einrichtung.

Es gibt genau einen anderen Weg, nämlich § 28 Absatz 1 Nummer 1 BSIG: Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen, und zwar ohne Größenschwelle. Für den Sektor Ernährung liegt die Schwelle im Anhang 3 der BSI-Kritisverordnung bei 434.500 Tonnen oder 350 Millionen Litern pro Jahr, und die Anlagenkategorien umfassen Herstellung, Behandlung, Distribution und die zentrale standortübergreifende Steuerung. Wer darüber liegt, bekommt zwei Pflichten zusätzlich: Systeme zur Angriffserkennung nach § 31 Absatz 2 BSIG und Nachweise gegenüber dem BSI alle drei Jahre nach § 39 BSIG.

Welcher Bußgeldrahmen gilt bei NIS2 in der Lebensmittelbranche?

Für die meisten Betriebe ein anderer als der viel zitierte. Die Höchstbeträge von 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes gelten besonders wichtigen Einrichtungen. Für wichtige Einrichtungen liegt der Rahmen bei 7 Millionen Euro oder 1,4 Prozent. Da Lebensmittelunternehmen ohne kritische Anlage wichtige Einrichtungen sind, ist das der Maßstab.

Das ist kein Grund zur Entspannung, aber es ändert die interne Argumentation. Wichtiger als der Rahmen ist ohnehin die Verhältnismäßigkeit: § 30 Absatz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und nennt dafür Risikoexposition, Größe, Umsetzungskosten sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle. Ein dokumentierter, gelebter Prozess wiegt im Prüffall mehr als ein hoher Investitionsbetrag.

Was hat NIS2 in der Lebensmittelbranche mit dem Lebensmittelrecht zu tun?

Mehr als es aussieht, und das ist das eigentliche Argument gegenüber der Geschäftsführung. Artikel 18 der Verordnung (EG) Nr. 178/2002 verlangt Systeme und Verfahren, mit denen sich jeder Lieferant und jeder gewerbliche Empfänger feststellen lässt, und diese Angaben müssen den Behörden auf Verlangen zur Verfügung stehen. Getragen wird diese Pflicht in aller Regel von ERP, Warenwirtschaft und Chargenverwaltung.

Fällt diese IT aus oder ist ihre Integrität nach einem Angriff unklar, fällt nicht nur ein System aus, sondern die Erfüllbarkeit einer Pflicht aus einem völlig anderen Gesetz. Und Artikel 19 derselben Verordnung verlangt die unverzügliche Rücknahme, sobald ein Lebensmittel den Anforderungen nicht entspricht. Ein manipulierter Chargendatensatz kann damit teurer werden als ein Produktionsstillstand, weil im Zweifel großzügig zurückgenommen wird.

Welche Punkte werden bei NIS2 in der Lebensmittelbranche am häufigsten unterschätzt?

Drei. Erstens der Geltungsbereich. Produktions-, Kühl- und Wiegetechnik, Reinigungsanlagen und die Schnittstellen zur Warenwirtschaft gehören hinein. Eine Störung der Kälteversorgung ist ein Sicherheitsvorfall mit unmittelbarer Produktfolge, keine Betriebsstörung am Rand.

Zweitens die Annahme, IFS und BRC deckten das schon ab. Die Audit-Kultur hilft tatsächlich, weil Dokumentation, Korrekturmaßnahmen und Wirksamkeitsprüfung vertraut sind. Drei Dinge liefern diese Standards aber nicht: die Registrierung beim BSI, die Meldekette an die Behörde und den Nachweis, dass die Geschäftsleitung geschult ist und die Maßnahmen gebilligt hat. Drittens die Anbindung an den Handel. Über EDI wird ein Vorfall beim Kunden sofort sichtbar, und wer den Handel informiert, in welcher Reihenfolge und mit welchem Text, ist meist nirgends festgelegt.

Was steht im Whitepaper?

• Warum der Druck in der Branche von zwei Seiten kommt, vom Gesetz und vom Lebensmitteleinzelhandel
• Sechs Eigenheiten der Branche, von Zeitkritikalität und verderblicher Ware bis zu dünnen Margen bei hohen Volumina
• Fünf Angriffsszenarien aus der Praxis, von Ransomware im Produktionsnetz bis zur Manipulation der Produktionstechnik
• Was das Gesetz konkret verlangt, entlang der Paragraphen zu Betroffenheit, Risikomanagement, Meldepflichten, Leitungspflichten und Sanktionen
• Eine Roadmap in sechs Schritten, die vorhandene Qualitätsstrukturen nutzt statt bei null zu beginnen

Das Whitepaper richtet sich an Geschäftsführungen, IT- und Produktionsverantwortliche sowie Qualitäts- und Sicherheitsverantwortliche in Lebensmittelherstellung, Getränkeproduktion und Lebensmittelgroßhandel. Laden Sie es kostenfrei herunter.