NIS2 für Produktion, Verarbeitung und Vertrieb von Lebensmitteln in Österreich

Kurze Antwort: Ja, der Lebensmittelsektor ist erfasst – aber nicht jeder Betrieb

Ja, der Lebensmittelsektor fällt grundsätzlich in den Anwendungsbereich des österreichischen NIS2-Umsetzungsgesetzes. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) nennt in § 2 ausdrücklich den Sektor „Produktion, Verarbeitung und Vertrieb von Lebensmitteln“ als einen der 18 Sektoren; die konkrete Art der erfassten Einrichtungen ergibt sich aus Anlage 2 Nr. 4. Erfasst sind dort aber nicht alle Lebensmittelbetriebe, sondern nur Lebensmittelunternehmen, die im Großhandel und in der industriellen Produktion und Verarbeitung tätig sind – und zusätzlich muss die Unternehmensgröße nach § 24 erreicht werden.

Was Sie zuerst tun sollten: Prüfen Sie in zwei Schritten, (1) ob Ihre Tätigkeit unter den Wortlaut der Anlage 2 Nr. 4 NISG 2026 fällt und (2) ob Ihr Unternehmen ein mittleres oder großes Unternehmen im Sinne des § 25 betreibt. Erst danach lohnt sich der Aufbau von Risikomanagement und Meldeprozessen.

Zeitpunkt: Die Verpflichtungen des NISG 2026 treten „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft (§ 51). Die Kundmachung erfolgte am 23. Dezember 2025 (BGBl. I Nr. 94/2025); rechnerisch ergibt das den 1. Oktober 2026. Bis dahin gilt das NISG 2018 (BGBl. I Nr. 111/2018) weiter.

So benennt das NISG 2026 den Lebensmittelsektor

In § 2 NISG 2026 wird der Sektor unter Nummer 15 als „Produktion, Verarbeitung und Vertrieb von Lebensmitteln“ geführt. Die maßgebliche Beschreibung der erfassten Einrichtungen steht in Anlage 2 Nr. 4 („Sonstige kritische Sektoren“) und lautet wörtlich:

> „Lebensmittelunternehmen im Sinne des Art. 3 Z 2 der Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates vom 28. Jänner 2002 zur Festlegung der allgemeinen Grundsätze und Anforderungen des Lebensmittelrechts, zur Errichtung der Europäischen Behörde für Lebensmittelsicherheit und zur Festlegung von Verfahren zur Lebensmittelsicherheit, ABl. L 31 vom 1.2.2002 S. 1, die im Großhandel und in der industriellen Produktion und Verarbeitung tätig sind.“

Drei Punkte sind für die Praxis entscheidend:

• Der Begriff „Lebensmittelunternehmen“ wird nicht national neu definiert, sondern über die Verordnung (EG) Nr. 178/2002 bestimmt.
• Die Einschränkung auf Großhandel sowie industrielle Produktion und Verarbeitung grenzt den Kreis ein.
• Der Sektor steht in Anlage 2, nicht in Anlage 1 – das hat unmittelbare Folgen für die Einstufung (siehe nächster Abschnitt).

Wesentliche oder wichtige Einrichtung – und ab welcher Größe?

Die Einstufung regelt § 24 NISG 2026. Für Betriebe des Lebensmittelsektors gilt:

Die Cybersicherheitsbehörde kann eine Einrichtung außerdem als wichtige Einrichtung einstufen (§ 24 Abs. 2 Z 3 lit. c iVm § 26 Abs. 1), wenn sie nicht ohnehin wesentliche Einrichtung ist.

Ob ein „mittleres“ oder „großes“ Unternehmen vorliegt, richtet sich nach § 25 (§ 25 Abs. 2 für große, § 25 Abs. 3 für mittlere Unternehmen). Die genauen Schwellenwerte für die Ermittlung der Unternehmensgröße bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle). Wer unterhalb dieser Größe liegt und auch nicht behördlich eingestuft wurde, fällt nicht automatisch unter die Pflichten des NISG 2026.

Kernpflichten: Risikomanagement, Leitungsorgane, Registrierung

Wichtig für Lebensmittelbetriebe: Das NISG 2026 stellt für den Lebensmittelsektor keine eigenen, sektorspezifischen Sicherheitsanforderungen auf. Es gelten dieselben Pflichten wie für alle wesentlichen und wichtigen Einrichtungen.

Risikomanagementmaßnahmen (§ 32). Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht umzusetzen (§ 32 Abs. 1). Maßstab sind der Stand der Technik, einschlägige Normen, bewährte Verfahren und die Kosten der Umsetzung (§ 32 Abs. 2); bei der Verhältnismäßigkeit zählen Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen (§ 32 Abs. 3). Der Maßnahmenkatalog nach § 32 Abs. 4 umfasst zumindest:

• Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme;
• Bewältigung von Cybersicherheitsvorfällen;
• Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement;
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern;
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen samt Schwachstellenmanagement;
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen;
• grundlegende Verfahren der Cyberhygiene und Schulungen;
• Kryptografie und gegebenenfalls Verschlüsselung;
• Sicherheit des Personals, Zugriffskontrolle, Management von Anlagen;
• Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Kommunikation.

Die Cybersicherheitsbehörde kann nähere Anforderungen an diese Maßnahmen per Verordnung festlegen (§ 32 Abs. 5).

Verantwortung der Leitung. Nach Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 billigen die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße haftbar gemacht werden. Das NISG 2026 verlangt zudem, Cybersicherheitsschulungen für Leitungsorgane und für Mitarbeiter vorzusehen (§ 31 Abs. 2; sanktioniert über § 45 Abs. 1 Z 1 und 2).

Registrierung und Nachweise. Erfasste Einrichtungen haben sich bei der Cybersicherheitsbehörde fristgerecht zu registrieren (§ 29 Abs. 3) und Änderungen bekanntzugeben (§ 29 Abs. 4); hinzu kommt die Selbstdeklaration nach § 33 Abs. 1. Die verfahrenstechnischen Details des Registrierungswegs bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Meldepflichten und Fristen bei Cybersicherheitsvorfällen

Ein Cybersicherheitsvorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). Kriterien der Beurteilung nennt § 35 Abs. 2, unter anderem Abhängigkeiten anderer Sektoren, Auswirkungen auf die öffentliche Gesundheit, Marktanteil und betroffenes geografisches Gebiet.

Gemeldet wird an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Die Fristen nach § 34 Abs. 2:

• Frühwarnung: unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme des erheblichen Cybersicherheitsvorfalls – mit Angabe, ob der Verdacht rechtswidriger und schuldhafter Handlungen oder grenzüberschreitender Auswirkungen besteht.
• Meldung: unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntnisnahme – mit Aktualisierung der Frühwarnung, erster Bewertung samt Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren.
• Zwischenbericht: auf Ersuchen eines CSIRT oder gegebenenfalls der Cybersicherheitsbehörde.
• Abschlussbericht: spätestens einen Monat nach Übermittlung der Meldung, mit ausführlicher Beschreibung, Angaben zu Bedrohungsart und Ursachen, getroffenen Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen.
• Fortschrittsbericht: wenn der Vorfall zum Fälligkeitszeitpunkt noch andauert; der Abschlussbericht folgt dann spätestens einen Monat nach Beendigung der Vorfallsbehandlung.

Beeinträchtigt der Vorfall die Erbringung Ihrer Dienste, sind zusätzlich die Empfänger der Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Umgekehrt erhält die meldende Einrichtung vom CSIRT spätestens 24 Stunden nach Eingang der Frühwarnung eine Antwort mit erster Rückmeldung und – auf Ersuchen – Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4). Auch freiwillige Meldungen von Vorfällen, Bedrohungen und Beinahe-Vorfällen sind möglich (§ 37). Den genauen elektronischen Meldekanal des zuständigen sektorspezifischen CSIRT bitte bestätigen: Cybersicherheitsbehörde (offizielle Quelle).

Geldstrafen: Was Verstöße kosten können

Die Verwaltungsstrafbestimmungen stehen in § 45 NISG 2026. Erfasst sind unter anderem fehlende Schulungen nach § 31 Abs. 2, die Nichtumsetzung der Risikomanagementmaßnahmen nach § 32, die Verletzung der Meldepflicht nach § 34 Abs. 1 und 2 samt zugehörigen Berichtspflichten sowie die unterbliebene Unterrichtung der Diensteempfänger nach § 34 Abs. 3 (§ 45 Abs. 1).

Für eine zweite Gruppe von Verstößen – etwa die nicht fristgerechte Registrierung nach § 29 Abs. 3, unterlassene Änderungsmeldungen nach § 29 Abs. 4, die nicht fristgerechte Selbstdeklaration nach § 33 Abs. 1 oder die Behinderung von Kontrollen nach § 38 Abs. 1 – sieht § 45 Abs. 4 Geldstrafen bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR vor.

Zuständig für Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen ist die Cybersicherheitsbehörde (§ 4 Abs. 1 Z 13 iVm §§ 38 und 39).