NIS2 für Lebensmittelproduktion, -verarbeitung und -vertrieb in Deutschland

Die kurze Antwort für Lebensmittelunternehmen

Ja, der Lebensmittelsektor ist im deutschen NIS2-Umsetzungsrecht ausdrücklich erfasst. Das BSI-Gesetz (BSIG) benennt Lebensmittelunternehmen in Anlage 2 unter Nummer 4.1.1 als eigene Einrichtungsart. Ob Ihr Betrieb tatsächlich verpflichtet ist, entscheidet sich anschließend über die Größenkriterien des § 28 BSIG — die bloße Zugehörigkeit zur Branche genügt nicht.

Was Sie zuerst tun sollten: Gleichen Sie Ihre tatsächliche Tätigkeit mit dem Wortlaut der Anlage 2 ab, ermitteln Sie Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme nach § 28 Absatz 2 und 4 BSIG — und wenn Sie darunterfallen, registrieren Sie sich innerhalb von drei Monaten beim Bundesamt für Sicherheit in der Informationstechnik (BSI) gemäß § 33 Absatz 1 BSIG.

So benennt das BSIG den Lebensmittelsektor

Der maßgebliche Wortlaut steht in Anlage 2 zum BSI-Gesetz, Sektor „Lebensmitteln“, Nummer 4.1.1. Erfasst sind danach:

> „Lebensmittelunternehmen nach Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind“

Drei Punkte sind für die Praxis wichtig:

• Der Anknüpfungspunkt ist der Begriff des Lebensmittelunternehmens nach Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002 — nicht eine eigene deutsche Definition.
• Die genannten Tätigkeiten sind Großhandel sowie industrielle Produktion und Verarbeitung. Tätigkeiten, die der Wortlaut nicht nennt, werden von dieser Einrichtungsart nicht erfasst.
• Nach § 28 Absatz 3 BSIG können bei der Zuordnung zu einer Einrichtungsart solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind. Ein Randgeschäft macht aus einem Betrieb also nicht automatisch ein reguliertes Lebensmittelunternehmen im Sinne der Anlage 2.

Zusätzlich gilt § 28 Absatz 1 und 2 BSIG nur für Personen oder Organisationseinheiten, die anderen entgeltlich Waren oder Dienstleistungen anbieten.

Besonders wichtige oder wichtige Einrichtung? Die Schwellenwerte

Das BSIG kennt zwei statutarische Klassen: die besonders wichtige Einrichtung (§ 28 Absatz 1 BSIG) und die wichtige Einrichtung (§ 28 Absatz 2 BSIG).

Da Lebensmittelunternehmen in Anlage 2 aufgeführt sind, führt der reguläre Weg für die Branche zur Einstufung als wichtige Einrichtung. Eine Einstufung als besonders wichtige Einrichtung kommt insbesondere in Betracht, wenn das Unternehmen zugleich Betreiber einer kritischen Anlage ist (§ 28 Absatz 1 Nummer 1 BSIG). Ob eine konkrete Anlage als kritische Anlage gilt, richtet sich nach den gesetzlichen Bestimmungen zu kritischen Anlagen — bitte bestätigen Sie diesen Punkt anhand der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichten Hinweise (offizielle Quelle).

Wie gerechnet wird: Für Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme ist nach § 28 Absatz 4 BSIG die Empfehlung der Kommission (2003/361/EG) anzuwenden, mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse von diesen unabhängig ist.

Die Kernpflichten: Risikomanagement, Geschäftsleitung, Registrierung

Das BSIG stellt für Lebensmittelunternehmen keine eigenen branchenspezifischen Pflichten auf. Es gelten dieselben Anforderungen wie für alle besonders wichtigen und wichtigen Einrichtungen.

Risikomanagementmaßnahmen (§ 30 BSIG). Verpflichtete Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und deren Einhaltung dokumentieren (§ 30 Absatz 1 Satz 3 BSIG). Die Maßnahmen sollen den Stand der Technik einhalten und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Sie umfassen zumindest (§ 30 Absatz 2 BSIG, entsprechend art 21(2) der Richtlinie (EU) 2022/2555):

• Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs — Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Schwachstellenmanagement
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• grundlegende Schulungen und Sensibilisierungsmaßnahmen
• Konzepte und Prozesse für kryptographische Verfahren
• Konzepte für Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
• Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation

Bei der Verhältnismäßigkeit sind Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen zu berücksichtigen (§ 30 Absatz 1 Satz 2 BSIG). Für einen mittelständischen Produktionsbetrieb bedeutet das: angemessen, aber nachweisbar.

Pflichten der Geschäftsleitung (§ 38 BSIG). Geschäftsleitungen müssen die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Verletzen sie diese Pflicht, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln (§ 38 Absatz 2 BSIG). Zudem müssen sie regelmäßig an Schulungen teilnehmen (§ 38 Absatz 3 BSIG).

Registrierung (§ 33 BSIG). Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim BSI registrieren. Zu übermitteln sind unter anderem Name und Rechtsform (samt Handelsregisternummer), Anschrift und Kontaktdaten einschließlich E-Mail-Adresse, öffentlicher IP-Adressbereiche und Telefonnummern, der relevante Sektor nach Anlage 1 oder 2, die EU-Mitgliedstaaten mit Leistungserbringung sowie die zuständigen Aufsichtsbehörden. Änderungen sind unverzüglich, spätestens innerhalb von zwei Wochen mitzuteilen (§ 33 Absatz 5 BSIG). Die Registrierung von Betreibern kritischer Anlagen erfolgt nach § 8 des KRITIS-Dachgesetzes (§ 33 Absatz 2 BSIG).

Meldepflichten und Fristen gegenüber dem BSI

Erhebliche Sicherheitsvorfälle sind an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe zu melden. § 32 Absatz 1 BSIG sieht eine gestufte Kette vor:

Dauert der Vorfall zum Zeitpunkt der Abschlussmeldung noch an, ist zunächst eine Fortschrittsmeldung vorzulegen; die Abschlussmeldung folgt nach abschließender Bearbeitung (§ 32 Absatz 2 BSIG). Betreiber kritischer Anlagen übermitteln zusätzlich Angaben zur Art der betroffenen Anlage und zur kritischen Dienstleistung (§ 32 Absatz 3 BSIG).

Meldungen erfolgen über das BSI-Portal (https://portal.bsi.bund.de); Einrichtungen ohne Registrierung nutzen das Online-Formular der gemeinsamen Meldestelle. Praktisch heißt das: Die 24-Stunden-Uhr läuft auch nachts und am Wochenende — Bereitschaft, Eskalationsweg und Zugangsdaten zum Meldeportal gehören deshalb vorab geklärt.

Aufsicht und Bußgelder

Zuständige Aufsichtsbehörde für die NIS2-Pflichten ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) (§ 59 BSIG). Es ist zugleich nationale Verbindungsstelle sowie zentrale Melde- und Anlaufstelle (§ 40 Absatz 1 BSIG) und verfügt über Aufsichts- und Durchsetzungsbefugnisse gegenüber besonders wichtigen Einrichtungen (§ 61 BSIG) und wichtigen Einrichtungen (§ 62 BSIG). Bei wichtigen Einrichtungen wird das BSI tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 oder § 38 Absatz 3 BSIG nicht oder nicht richtig umgesetzt werden.

Die Bußgeldrahmen ergeben sich aus § 65 BSIG:

• Besonders wichtige Einrichtungen: Geldbuße bis zu zehn Millionen Euro (§ 65 Absatz 5 Satz 1 Nummer 1 Buchstabe a)
• Wichtige Einrichtungen: Geldbuße bis zu sieben Millionen Euro (§ 65 Absatz 5 Satz 1 Nummer 1 Buchstabe b)
• Weitere Stufen bis zu fünf, zwei beziehungsweise einer Million Euro sowie fünfhunderttausend oder hunderttausend Euro je nach Art des Verstoßes
• Bei einem Gesamtumsatz von mehr als 500 Millionen Euro: bis zu 2 Prozent des weltweiten Gesamtumsatzes des vorangegangenen Geschäftsjahres bei besonders wichtigen Einrichtungen (§ 65 Absatz 6) und bis zu 1,4 Prozent bei wichtigen Einrichtungen (§ 65 Absatz 7, Absatz 8)

Bußgeldbewehrt sind unter anderem das Nichtergreifen von Maßnahmen nach § 30 Absatz 1 Satz 1, die fehlende Dokumentation nach § 30 Absatz 1 Satz 3, verspätete oder unvollständige Meldungen nach § 32 sowie eine unterlassene Registrierung nach § 33. Verwaltungsbehörde ist in der Regel das Bundesamt (§ 65 Absatz 10).