NIS2 in der Branche Lebensmittelindustrie

Die Lebensmittelbranche ist an Regulierung gewöhnt: HACCP, IFS, Rückverfolgbarkeit, Hygienerecht. NIS2 fügt eine Ebene hinzu, die bisher fehlte — die IT-Sicherheit der Anlagen, an denen all das hängt.

Sind Sie betroffen?

Anlage 2 nennt Produktion, Verarbeitung und Vertrieb von Lebensmitteln, einschließlich Großhandel und industrieller Verarbeitung. Ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz und Bilanzsumme sind Sie wichtige Einrichtung. Landwirtschaftliche Primärproduktion ist in der Regel nicht erfasst; die Grenze verläuft bei der Verarbeitung.

Die Lücken, die hier typisch sind

Prozessleittechnik ohne Sicherheitskonzept. Abfüllanlagen, Pasteurisierer und Mischanlagen laufen auf SCADA-Systemen, die für Verfügbarkeit ausgelegt sind, nicht für Sicherheit. Werksnetz und Verwaltung hängen oft zusammen.

Kühlkette als Ausfallrisiko mit Rechtsfolge. Ein IT-bedingter Ausfall der Kühlüberwachung ist nicht nur ein NIS2-Vorfall, sondern kann zugleich lebensmittelrechtliche Meldepflichten und eine Rückrufaktion auslösen. Diese Verkettung wird in Notfallplänen selten mitgedacht.

Rückverfolgbarkeitsdaten ohne Integritätsschutz. Chargendokumentation ist gesetzlich verpflichtend. Wenn ein Angreifer diese Daten verändert oder verschlüsselt, ist nicht nur die IT betroffen, sondern die Fähigkeit, einen Rückruf überhaupt einzugrenzen.

Saisonale Spitzen ohne Notfallreserve. In der Hochsaison ist eine Woche Produktionsausfall existenzbedrohend, gerade bei verderblicher Ware. Recovery-Zeitziele sollten an der Saison bemessen sein, nicht am Jahresdurchschnitt.

Lieferantenzugänge in der Anlagentechnik. Wartungszugänge der Anlagenbauer bestehen dauerhaft und oft ohne Multi-Faktor-Authentifizierung.

Ein realistisches Szenario

Ein Molkereibetrieb mit 220 Beschäftigten wird an einem Freitagabend Ziel eines Ransomware-Angriffs. Die Chargendokumentation ist verschlüsselt, die Kühlüberwachung fällt aus.

Die Frühwarnung ans BSI ist binnen 24 Stunden fällig — kalendarisch, das Wochenende zählt mit. Parallel steht die Frage, ob die Kühlkette dokumentiert eingehalten wurde; ohne Nachweis droht die Vernichtung der Ware. Ein Notfallplan, der beide Stränge abdeckt und eine erreichbare Rufbereitschaft vorsieht, entscheidet hier über den Schaden.

Womit anfangen

Prüfen Sie die Betroffenheit, holen Sie die BSI-Registrierung nach und setzen Sie einen Meldeprozess auf, der die 24-Stunden-Frist auch am Wochenende hält. Nutzen Sie dann die bestehende HACCP-Denkweise: Die Systematik aus kritischen Punkten, Überwachung und Korrekturmaßnahmen lässt sich auf die IT übertragen und macht die Gap-Analyse für Ihre Qualitätsabteilung anschlussfähig.

Die zehn Maßnahmenbereiche in der Lebensmittelproduktion

Risikoanalyse. Beziehen Sie Prozessleittechnik, Kühlüberwachung, Wiegetechnik und die Systeme der Chargendokumentation ein. Der Betrachtungsumfang endet nicht bei ERP und Fileservern.

Bewältigung von Sicherheitsvorfällen. Ein IT-Vorfall kann hier unmittelbar lebensmittelrechtliche Folgen haben. Der Incident-Response-Plan muss die Frage beantworten, wann die Qualitätssicherung einbezogen und wann eine Sperrung von Chargen ausgelöst wird.

Aufrechterhaltung des Betriebs und Backup. Recovery-Zeitziele gehören an der Saison bemessen, nicht am Jahresdurchschnitt. Sichern Sie ausdrücklich auch die Rezeptur- und Chargendaten sowie die Parametrierung der Anlagen.

Sicherheit der Lieferkette. Neben Rohstofflieferanten sind die Anlagenbauer relevant, deren Fernwartungszugänge dauerhaft bestehen. In einer Branche mit etablierten Lieferantenaudits lässt sich die IT-Sicherheitsprüfung in bestehende Audits integrieren.

Beschaffung und Wartung. Neue Abfüll- und Verpackungslinien laufen 15 Jahre und länger. Sicherheitsanforderungen gehören ins Lastenheft, nicht in die Nachrüstung.

Wirksamkeitsprüfung. Die aus HACCP bekannte Systematik aus Überwachung, Verifizierung und Korrekturmaßnahmen lässt sich direkt übertragen — das erleichtert die Akzeptanz in der Qualitätsabteilung erheblich.

Cyberhygiene und Schulungen. Produktionspersonal braucht andere Inhalte als die Verwaltung: Umgang mit Wechseldatenträgern an Anlagen, Meldeweg bei auffälligen Anzeigen, Verhalten bei Ausfall der Überwachungssysteme.

Kryptografie. Priorität haben Rezepturen und der Datenaustausch mit Handelskunden über EDI.

Personalsicherheit und Zugriffskontrolle. Schichtbetrieb mit Sammelkonten an Bedienterminals ist der Regelbefund. Wo personalisierte Anmeldung nicht praktikabel ist, braucht es eine dokumentierte Kompensation.

Multi-Faktor-Authentifizierung. Zuerst für Fernzugänge der Anlagenbauer und administrative Konten.

Die ersten 90 Tage

Tage 1 bis 14. Betroffenheit dokumentieren, Verantwortliche benennen, BSI-Registrierung starten, Kontaktstelle mit Wochenendabdeckung einrichten — bei verderblicher Ware ist die Wochenendfähigkeit keine Formalie.

Tage 15 bis 45. Gap-Analyse mit der Produktion im Betrachtungsumfang. Parallel: Inventur aller Fernwartungszugänge, Multi-Faktor-Authentifizierung für Fernzugriffe, Prüfung, ob Chargendokumentation und Kühlüberwachung im Backup enthalten sind.

Tage 46 bis 90. Notfallplan um das Szenario "Ausfall der Kühlüberwachung" und "Verlust der Chargendokumentation" erweitern, inklusive Ersatzverfahren für die manuelle Dokumentation. Maßnahmenplan aufsetzen, Geschäftsführungsschulung durchführen und dokumentieren.

Häufige Fragen aus der Lebensmittelbranche

Wir sind IFS-zertifiziert. Zählt das für NIS2?

Teilweise. IFS Food enthält Anforderungen an Dokumentenlenkung und Rückverfolgbarkeit, die auf die Nachweisführung einzahlen, deckt IT-Sicherheit aber nur am Rand ab. Registrierung, Meldefristen und Geschäftsleiterschulung müssen Sie gesondert nachweisen.

Fällt unser landwirtschaftlicher Betrieb mit angeschlossener Verarbeitung darunter?

Die Grenze verläuft bei der Verarbeitung. Reine Primärproduktion ist in der Regel nicht erfasst; sobald industriell verarbeitet oder in relevantem Umfang vertrieben wird, kommt Sektor 15 in Betracht. Bei Mischbetrieben lohnt die rechtliche Prüfung.

Ist ein Ausfall der Kühlung ein meldepflichtiger Vorfall?

Wenn er auf einen Sicherheitsvorfall in den Informationssystemen zurückgeht und erhebliche Betriebsstörungen oder Schäden verursachen kann: ja. Ein rein technischer Defekt der Kälteanlage ohne IT-Bezug ist dagegen kein Fall für § 32 BSIG — wohl aber lebensmittelrechtlich relevant.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Der Einstieg fällt hier leichter als in vielen anderen Branchen, weil mit HACCP und IFS bereits eine Dokumentationskultur besteht. Realistisch sind 0,3 Personenstellen über vier bis sechs Monate, wenn Qualitätsmanagement und IT gemeinsam arbeiten. Der Übertrag der bestehenden Systematik auf die IT spart erfahrungsgemäß mehrere Wochen.

Technische Investitionen. Die Trennung von Produktionsnetz und Verwaltung sowie die Absicherung der Fernwartungszugänge sind die Hauptposten. Die Absicherung der Kühlüberwachung und der Chargendokumentation im Backup ist vergleichsweise günstig und hat die höchste Schadensvermeidung.

Was die Aufsicht typischerweise sehen will. Die dokumentierte Einstufung, die Risikoanalyse einschließlich Prozessleittechnik, das Backup-Konzept mit Nachweis eines Wiederherstellungstests für Chargendaten, das Notfallverfahren bei Ausfall der Kühlüberwachung, Schulungsnachweise für Produktionspersonal und Geschäftsführung sowie die Liste der Lieferantenzugänge.

Die Verzahnung mit dem Lebensmittelrecht. Ihr größter Effizienzgewinn liegt darin, IT-Notfallverfahren in die bestehenden Verfahrensanweisungen zu integrieren, statt ein zweites Dokumentensystem aufzubauen. Ein Ausfall der Kühlüberwachung ist ohnehin ein Fall für die Qualitätssicherung — die Ergänzung um den IT-Auslöser ist überschaubar.

Was Sie sich sparen können. Eine separate ISMS-Zertifizierung ist nicht erforderlich. Nutzen Sie stattdessen die vorhandenen Audit-Zyklen aus IFS oder BRC und ergänzen Sie die IT-Themen dort, wo die Struktur schon steht.