NIS2 Lebensmittelindustrie: Welche Hersteller und Großhändler unter das BSIG fallen

Eine Molkerei in Niedersachsen mit 60 Beschäftigten betreibt ihre Abfülllinie an einer SPS, die seit der Inbetriebnahme nie gepatcht wurde. Die Kühlhaustemperaturen laufen in ein Cloud-Dashboard. Zwei Handelsketten schicken Bestellungen per EDI. Fragt man die Geschäftsführung, ob NIS2 gilt, lautet die Antwort meist: "Wir machen Milchprodukte, wir sind keine Bank."

Diese Antwort ist häufiger falsch als richtig. Für die NIS2 Lebensmittelindustrie nennt Anhang II die industrielle Herstellung, Verarbeitung und den Großhandel mit Lebensmitteln. Liegt Ihr Kunde dort und erreicht die Größenschwelle, ist er eine wichtige Einrichtung nach dem BSIG, mit Aufsichtsbehörde, Register und einer Geschäftsleitung, die für das Ergebnis haftet.

Die NIS2 Lebensmittelindustrie: Wer genau erfasst ist

Anhang II der Richtlinie (EU) 2022/2555 führt "Produktion, Verarbeitung und Vertrieb von Lebensmitteln" als einen der sonstigen kritischen Sektoren. Gemeint sind Lebensmittelunternehmen im Sinne von Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind.

Nicht erfasst sind, sofern nicht nach der CER-Richtlinie als kritisch eingestuft, die Primärproduktion (Landwirtschaft), der Einzelhandel und die Gastronomie. Die finnische Lebensmittelbehörde hält das in ihrer Sektorinformation ausdrücklich fest.

Lebensmittel sind ein Sektor des Anhangs II. Erfasste Unternehmen sind daher wichtige Einrichtungen, keine besonders wichtigen. In der Praxis heißt das reaktive Aufsicht: Das BSI greift nach einem Vorfall, einer Beschwerde oder einer Registrierungslücke ein, die über eine Branchenliste auffällt.

Die zweite Hürde ist die Größe. Als Faustregel muss das Unternehmen mindestens mittelgroß sein: 50 oder mehr Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über 10 Millionen Euro. In Deutschland ergibt sich das für wichtige Einrichtungen aus § 28 Absatz 2 BSIG.

Drei Grenzfälle, die über den Anwendungsbereich entscheiden

Der Hersteller mit eigenen Filialen. Eine Bäckerei, die industriell produziert und zwölf Verkaufsstellen betreibt, ist auf der Produktionsseite erfasst. Die Tätigkeit bestimmt den Sektor, die Größe wird für die Einrichtung insgesamt geprüft. Lassen Sie sich von einem Kunden nicht mit "der Großteil unseres Umsatzes ist Einzelhandel" abspeisen, ohne den Gesetzestext gelesen zu haben.

Die Tochter eines größeren Konzerns. Die Größe richtet sich nach der Empfehlung 2003/361/EG der Kommission, bei der verbundene und Partnerunternehmen mitzählen. Eine Verpackungstochter mit 30 Beschäftigten in einem Konzern mit 400 kann in die mittlere oder große Kategorie fallen. Fragen Sie nach der Konzernstruktur, bevor Sie "wir sind zu klein" akzeptieren.

Großhändler und Lohnverpacker. Der Großhandel steht ausdrücklich im Text. Ein Zutatengroßhändler oder ein Lohnverpacker für Markenhersteller ist kein Zaungast dieses Sektors, sondern Teil davon.

Ist ein Kunde unsicher, hilft unser Leitfaden zu der Frage, ob NIS2 für Ihre Organisation gilt.

Was der Status als wichtige Einrichtung praktisch bedeutet

Wichtige Einrichtungen schulden dieselben Risikomanagementmaßnahmen nach Artikel 21 wie besonders wichtige. Der Unterschied liegt in Aufsicht und Sanktionen, nicht in der Pflicht selbst. Umgesetzt sind sie in § 30 BSIG.

• Verantwortung der Geschäftsleitung. Artikel 20 verlangt, dass die Leitungsebene die Maßnahmen billigt und überwacht. In einem Familienunternehmen ist das der Inhaber-Geschäftsführer, nicht der externe IT-Dienstleister.
• Meldung von Vorfällen. Bei einem erheblichen Sicherheitsvorfall folgen eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Die Abläufe erklären unsere Meldefristen für Vorfälle.
• Bußgelder. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Registrierung. Die Registrierung beim BSI ist binär und mit Zeitstempel versehen und damit für die Aufsicht am einfachsten zu prüfen. Die gesetzliche Frist lief am 6. März 2026 ab. Bis zum 30. Juni 2026 hatten sich nach BSI-Angaben 17.729 Einrichtungen registriert, erwartet wurden rund 29.500. Unsere Übersicht zur Registrierungspflicht listet die Portale.

Wo Lebensmittelbetriebe scheitern: OT-Basis und Kühlkette

Ein Lebensmittelwerk ist eine OT-Umgebung mit einem Büronetz drumherum. Dort finden Audits die Lücken.

Entscheidend sind die Systeme, die die Produktion stoppen oder Ware verderben lassen: SPS und SCADA an Füll- und Verpackungslinien, MES für die Chargenverfolgung, Kühlkettenüberwachung für Temperatur und Feuchte, Laborsysteme (LIMS) zur Chargenfreigabe und das ERP, das die Aufträge steuert. Fällt eines davon aus, steht das Werk still oder liefert schlimmstenfalls Ware, deren Sicherheitsaufzeichnungen nicht mehr vertrauenswürdig sind.

Vier Maßnahmen tragen das meiste Gewicht:

1. Segmentierung zwischen Büro-IT und Produktion. Das Muster aus unserem Leitfaden zur OT/IT-Segmentierung in der Fertigung gilt direkt: Ein flaches Netz macht aus einer Phishing-Mail eine stehende Linie.
2. Fernzugriff mit starker Authentifizierung. Maschinenhersteller behalten oft dauerhaften Fernzugriff auf SPS. Jeder solche Pfad ist ein Lieferantenzugang im Sinne von Artikel 21 Absatz 2 Buchstabe d.
3. Backups, die sich wiederherstellen lassen, einschließlich SPS-Programmen und Rezepturen. Artikel 21 Absatz 2 Buchstabe c betrifft die Wiederherstellung des Betriebs. Ein Backup des Dateiservers ohne die Konfiguration der Liniensteuerung stellt kein Werk wieder her.
4. Integrität der Lebensmittelsicherheitsdaten. Kühlkettenprotokolle und Chargenfreigaben sind Nachweise für die Lebensmittelüberwachung und die NIS2-Aufsicht zugleich.

Die Lieferkettensicherheit wirkt in beide Richtungen. Die Händler, die bei Ihrem Kunden einkaufen, werden Nachweise verlangen, und Lieferantenverträge sind bereits Teil der NIS2-Compliance.

Derselbe Sektor, unterschiedliche Ausgangslagen in der EU

Die Richtlinie ist ein Text, die Pflichten hängen vom nationalen Recht ab. Stand September 2026:

• Deutschland. Das NIS2-Umsetzungsgesetz hat das BSIG geändert. Mittelgroße Lebensmittelhersteller sind wichtige Einrichtungen nach § 28 Absatz 2 BSIG, das BSI führt das Register. Zu einer besonders wichtigen Einrichtung wird ein Lebensmittelunternehmen nur über die KRITIS-Schwellenwerte, im Sektor Ernährung etwa 434.500 Tonnen oder 350 Millionen Liter jährlich.
• Österreich. Das NISG 2026 ist veröffentlicht, die Hauptpflichten greifen ab dem 1. Oktober 2026. Kunden mit Standort in Österreich sollten das jetzt einplanen.
• Niederlande. Die Cyberbeveiligingswet gilt seit dem 15. August 2026. Die Registrierung läuft über das NCSC.
• Finnland. Der Cybersecurity Act 124/2025 gilt seit dem 8. April 2025, Aufsicht führt die finnische Lebensmittelbehörde.
• Polen, Italien, Frankreich, Spanien. Polen und Italien haben umgesetzt, Frankreich hat noch kein Gesetz, Spanien wurde vor den Gerichtshof gebracht.

Was Sie diesen Monat mit einem Lebensmittelkunden tun

Führen Sie zuerst den Scope-Test schriftlich durch: Tätigkeit, Größe einschließlich Konzern und Land. Halten Sie das Ergebnis fest, auch wenn es "nicht betroffen" lautet, denn die Aufsicht fragt, wie Sie das entschieden haben.

Ist der Kunde erfasst, prüfen Sie zuerst die BSI-Registrierung und inventarisieren dann die OT-Assets, die die Produktion stoppen. Klären Sie, wer Fernzugriff hat, testen Sie eine Wiederherstellung einer Liniensteuerung und dokumentieren Sie den Meldeweg für die 24-Stunden-Frühwarnung mit einem benannten Ansprechpartner.

Ein Readiness-Assessment zeigt die Lücken gegenüber Artikel 21 strukturiert auf, und Sie können mit dem NIS2Certify Quick Scan starten. Lebensmittelbetrieben fehlt selten der Einsatz. Es fehlt ein dokumentiertes Bild davon, welche Systeme zählen, und genau das will die Aufsicht als Erstes sehen.