NIS2 erfasst Lebensmittelunternehmen, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind, wenn sie mindestens mittlere Unternehmen sind. Das heißt: 50 oder mehr Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR. Lebensmittelgroßhändler, Verarbeiter, Molkereien und Getränkehersteller dieser Größe sind in der Regel wichtige Einrichtungen. Einzelhandel, Restaurants und landwirtschaftliche Betriebe sind nicht genannt.
Dieser Leitfaden behandelt den Wortlaut des Anwendungsbereichs, die Größenregel, Grenzfälle nach Unternehmensart, den Status als wesentliche oder wichtige Einrichtung, die geltenden Pflichten, die betroffenen Systeme und eine Checkliste.
| Lebensmittelunternehmen | Unter NIS2? | Warum |
|---|---|---|
| Lebensmittelgroßhändler oder -distributor | Ja, wenn mindestens mittleres Unternehmen | Der „Großhandel“ ist genannt |
| Lebensmittelhersteller oder -verarbeiter | Ja, wenn mindestens mittleres Unternehmen | Die Tätigkeit „in der industriellen Produktion und Verarbeitung“ ist genannt |
| Molkerei | Ja, wenn mindestens mittleres Unternehmen | Die Verarbeitung von Milch zu Milcherzeugnissen ist Verarbeitung |
| Getränkehersteller | Ja, wenn mindestens mittleres Unternehmen | Im EU-Lebensmittelrecht zählen Getränke zu den Lebensmitteln |
| Nahrungsergänzungsmittel, Ernährungsprodukte | Gleiche Prüfung wie bei anderen Lebensmitteln | Lebensmittel, außer es handelt sich um Arzneimittel |
| Supermärkte und Läden | Nicht für den Einzelhandel | Einzelhandel ist nicht genannt; Vertriebszentren sind eine Grauzone |
| Restaurants, Restaurantgruppen, Catering | Nicht für die Gastronomie | Das Lebensmittelrecht ordnet sie dem Einzelhandel zu |
| Landwirtschaftliche Betriebe, auch Milchviehbetriebe | Nicht genannt | Was industriell ist, ist nicht definiert |
| Lebensmittellogistik, Kühlhäuser | Nicht genannt | Anders als die CER-Richtlinie nennt NIS2 die Logistik nicht |
| Futtermittelhersteller | Nicht als Lebensmittel | Futtermittel sind vom Lebensmittelbegriff ausgenommen |
Welche Lebensmittelunternehmen fallen unter NIS2?
Anhang II der NIS2 führt „sonstige kritische Sektoren“ auf. Nummer 4, „Produktion, Verarbeitung und Vertrieb von Lebensmitteln“, umfasst eine einzige Art von Einrichtung:
„Lebensmittelunternehmen im Sinne des Artikels 3 Nummer 2 der Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind“
Die Verordnung (EG) Nr. 178/2002, die Lebensmittel-Basisverordnung, definiert ein Lebensmittelunternehmen als jedes öffentliche oder private Unternehmen, ob mit oder ohne Gewinnerzielungsabsicht, das eine Tätigkeit auf irgendeiner Stufe der Produktion, der Verarbeitung und des Vertriebs von Lebensmitteln ausübt. Das ist die gesamte Kette. NIS2 grenzt sie auf zwei Tätigkeiten ein: den Großhandel sowie die industrielle Produktion und Verarbeitung.
Was die Richtlinie nicht definiert
NIS2 definiert weder, was Großhandel ist, noch, was als industriell gilt, und anders als die meisten Einträge zum verarbeitenden Gewerbe nennt der Lebensmitteleintrag keine NACE-Codes. Die einzige zahlenmäßige Schwelle ist die Größenregel. In Grenzfällen entscheiden das nationale Recht und die zuständige nationale Behörde. Artikel 5 erlaubt den Mitgliedstaaten zudem Bestimmungen, „die ein höheres Cybersicherheitsniveau gewährleisten“. Das nationale Recht kann also weiter gehen.
Gilt NIS2 für kleine Lebensmittelunternehmen?
In der Regel nicht. Artikel 2(1) erfasst Einrichtungen nach Anhang I und II, die nach der Empfehlung 2003/361/EG der Kommission als mittlere Unternehmen gelten oder deren Schwellenwerte überschreiten. Ein kleines Unternehmen hat weniger als 50 Beschäftigte und einen Jahresumsatz und/oder eine Jahresbilanzsumme von höchstens 10 Mio. EUR.
Drei Details entscheiden die meisten Fälle im Lebensmittelsektor:
- Beide Finanzkennzahlen zählen. Mit weniger als 50 Beschäftigten bleibt ein Unternehmen klein, wenn eine der beiden Kennzahlen höchstens 10 Mio. EUR beträgt. Ein Großhändler mit 30 Beschäftigten, 40 Mio. EUR Umsatz und 8 Mio. EUR Bilanzsumme ist ein kleines Unternehmen. Im Lebensmittelgroßhandel trifft oft hoher Umsatz auf wenig Personal. Prüfen Sie daher beide Werte.
- Gruppendaten zählen. Die Daten verbundener Unternehmen werden vollständig hinzugerechnet, die von Partnerunternehmen anteilig nach der Beteiligung. Eine Tochtergesellschaft, die von einer größeren Gruppe kontrolliert wird, wird zusammen mit der Gruppe bemessen.
- Saisonkräfte zählen. Beschäftigte werden in Jahresarbeitseinheiten (JAE) gemessen, Teilzeit- und Saisonkräfte als Bruchteile. Ein Wechsel der Kategorie setzt voraus, dass die Schwellenwerte in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten werden.
Die Größe lässt sich auch übergehen. Artikel 2(2) Buchstaben b bis e kann eine kleinere Einrichtung einbeziehen, etwa den einzigen Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat. Der Leitfaden zum NIS2-Anwendungsbereich behandelt diese Fälle, und der NIS2-Betroffenheitscheck führt die Prüfung durch.
Was gilt für Einzelhandel, Restaurants und Catering?
Der Einzelhandel ist in Anhang II nicht genannt. Die Definition von Einzelhandel in der Lebensmittel-Basisverordnung schließt ausdrücklich Verpflegungsdienste, Betriebskantinen, Gemeinschaftsverpflegung, Restaurants und ähnliche Einrichtungen der Lebensmittelversorgung, Läden, Vertriebszentren von Supermärkten und Großhandelsverkaufsstellen ein.
- Restaurants, Restaurantgruppen und Caterer sind Lebensmittelunternehmen, aber NIS2 nennt die Gastronomie nicht, unabhängig von der Größe der Gruppe. Eine Zentralküche, die viele Standorte beliefert, wirft die Frage der industriellen Produktion auf. Diese Frage beantworten die nationalen Behörden.
- Supermarktketten fallen mit ihren Läden nicht unter NIS2. Ihre Vertriebszentren sind die Grauzone: Das Lebensmittelrecht ordnet sie dem Einzelhandel zu, im allgemeinen Sprachgebrauch betreiben sie jedoch Großhandel. Die Richtlinie klärt das nicht.
- Gemischte Gruppen. Eine Einzelhandels- oder Restaurantgruppe, die auch einen Großhandel oder einen Verarbeitungsbetrieb betreibt, kann über diese Tätigkeit erfasst sein.
Was gilt für landwirtschaftliche Betriebe, Landwirtschaft und Molkereien?
Landwirtschaftliche Betriebe sind Lebensmittelunternehmen. Die Kette der Lebensmittel-Basisverordnung beginnt bei der Primärproduktion eines Lebensmittels, diese eingeschlossen. Zur Primärproduktion gehören Ernten, Melken und die landwirtschaftliche Nutztierproduktion vor dem Schlachten.
NIS2 nennt die Primärproduktion nicht und sagt nicht, ob ein großer Ackerbau- oder Tierhaltungsbetrieb in der industriellen Produktion tätig ist. Das entscheiden das nationale Recht und die Behörde. Gehen Sie weder vom einen noch vom anderen aus.
- Molkereien. Eine Molkerei, die mindestens ein mittleres Unternehmen ist, ist eine typische erfasste Einrichtung. Ein Milchviehbetrieb ist Primärproduktion, mit der oben genannten offenen Frage. Eine kleine handwerkliche Käserei fällt wegen ihrer Größe heraus; ein großes Molkereiwerk fällt wegen seiner Tätigkeit und seiner Größe darunter.
- Agrarhandel. Der Handel mit geernteten Erzeugnissen in großen Mengen für den menschlichen Verzehr ist im gewöhnlichen Sinn Lebensmittelgroßhandel. Der Futtermittelhandel ist es nicht: Die Lebensmittel-Basisverordnung nimmt Futtermittel vom Lebensmittelbegriff aus.
Was gilt für Getränke, Ernährungsprodukte und Lebensmittellogistik?
- Getränke. Nach der Lebensmittel-Basisverordnung zählen auch Getränke zu den Lebensmitteln. Brauereien, Brennereien und Hersteller alkoholfreier Getränke unterliegen derselben Prüfung wie Lebensmittelverarbeiter.
- Nahrungsergänzungsmittel und Ernährungsprodukte sind Lebensmittel, außer es handelt sich um Arzneimittel, die die Lebensmittel-Basisverordnung ausnimmt. Pharmahersteller fallen stattdessen unter den Gesundheitssektor in Anhang I.
- Lebensmittellogistik. Lagerung und Beförderung sind Stufen des Lebensmittelvertriebs. Ein Kühlhaus oder ein Lebensmitteltransporteur ist daher ein Lebensmittelunternehmen. Der Lebensmitteleintrag der NIS2 erwähnt die Logistik nicht, während der Lebensmitteleintrag der CER-Richtlinie „Logistik und Großhandel“ nennt. Wie Ihre Behörde den Wortlaut der NIS2 auslegt, ist eine nationale Frage. So oder so werden erfasste Kunden ihre Anforderungen an die Sicherheit der Lieferkette nach Artikel 21(2)(d) an Sie weitergeben.
Ist ein Lebensmittelunternehmen eine wesentliche oder wichtige Einrichtung?
In fast allen Fällen wichtig. Nach Artikel 3(2) ist jede Einrichtung nach Anhang II eine wichtige Einrichtung, sofern sie nicht nach Artikel 3(1) wesentlich ist. Bei einem Lebensmittelunternehmen geschieht das vor allem auf zwei Wegen:
- Der Mitgliedstaat bestimmt es nach Artikel 2(2) Buchstaben b bis e als wesentliche Einrichtung.
- Es wird als kritische Einrichtung nach der CER-Richtlinie (EU) 2022/2557 eingestuft, die auch Lebensmittel abdeckt. Die Mitgliedstaaten mussten kritische Einrichtungen bis zum 17. Juli 2026 ermitteln. Eine kritische Einrichtung ist nach NIS2 unabhängig von ihrer Größe wesentlich.
Ein Mitgliedstaat kann außerdem eine Einrichtung als wesentlich behandeln, die er vor dem 16. Januar 2023 nach NIS1 oder nationalem Recht als Betreiber wesentlicher Dienste ermittelt hat (Artikel 3(1)(g)). Lebensmittel waren unter NIS1 kein Sektor. Das spielt daher nur dort eine Rolle, wo das nationale Recht weiter ging. Die Kategorie ändert Aufsicht und Geldbußen, nicht die Maßnahmen:
| Wichtig (Regelfall bei Lebensmitteln) | Wesentlich | |
|---|---|---|
| Aufsicht | Nachträglich (ex post), bei Nachweisen oder Hinweisen auf Verstöße (Art. 33) | Umfasst regelmäßige und gezielte Sicherheitsprüfungen (Art. 32) |
| Höchstbetrag der Geldbuße, mindestens | 7 Mio. EUR oder 1,4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist | 10 Mio. EUR oder 2 %, je nachdem, welcher Betrag höher ist |
| Maßnahmen und Meldungen | Artikel 20, 21 und 23 | Dieselben |
Den vollständigen Vergleich finden Sie unter wesentliche und wichtige Einrichtungen nach NIS2.
Was verlangt NIS2 von einem Lebensmittelunternehmen?
Dasselbe wie von jeder erfassten Einrichtung, umgesetzt durch Ihr nationales Recht:
- Governance, Artikel 20. Die Leitungsorgane billigen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit, überwachen ihre Umsetzung und können für Verstöße verantwortlich gemacht werden. Ihre Mitglieder müssen an Schulungen teilnehmen. Siehe Verantwortung der Leitung unter NIS2.
- Maßnahmen, Artikel 21. Geeignete und verhältnismäßige Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes. Mindestens zehn sind aufgeführt, von der Risikoanalyse und der Bewältigung von Sicherheitsvorfällen bis zur Sicherheit der Lieferkette und, soweit angemessen, Multi-Faktor-Authentifizierung. Siehe die 10 Maßnahmen nach Artikel 21.
- Meldung, Artikel 23. Erhebliche Sicherheitsvorfälle werden dem CSIRT oder der zuständigen Behörde gemeldet. Frühwarnung innerhalb von 24 Stunden, Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach der Meldung. Siehe die NIS2-Meldefristen für Sicherheitsvorfälle.
- Registrierung, Artikel 3(4). Ihre Angaben, darunter Sektor und IP-Adressbereiche, gehen nach einem nationalen Verfahren an die Behörde.
Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder anderen erheblichen Schaden zufügt oder zufügen kann. Einen lebensmittelspezifischen Durchführungsrechtsakt der EU gibt es nicht: Die Durchführungsverordnung (EU) 2024/2690 gilt nur für eine Liste digitaler Dienstearten, etwa DNS-Diensteanbieter, Anbieter von Cloud-Computing-Diensten und Anbieter verwalteter Dienste.
Welche Systeme stehen in einem Lebensmittelunternehmen auf dem Spiel?
Das ist Praxis, nicht Recht. In einem Lebensmittelunternehmen betrifft Artikel 21 meist vier Gruppen von Systemen:
- Produktionslinien und OT. SPS, SCADA und Rezepturverwaltung an Abfüll-, Koch-, Pasteurisier- und Verpackungslinien. Oft alt, oft vom Anlagenlieferanten per Fernzugriff gewartet.
- Überwachung der Kühlkette. Sensoren und Alarme in Kühlhäusern, Lkw und Kühlräumen. Fallen sie aus, verlieren Sie den Nachweis, dass die Lebensmittel bei sicheren Temperaturen geblieben sind, und Ware muss unter Umständen vernichtet werden.
- ERP-, Bestell- und Lagerverwaltungssysteme. Auftragseingang, EDI und Kommissionierlisten. Frische Ware wartet nicht auf eine Wiederherstellung.
- Aufzeichnungen zur Rückverfolgbarkeit. Artikel 18 der Lebensmittel-Basisverordnung verlangt, dass Lebensmittelunternehmen feststellen können, wer sie beliefert hat und welche Unternehmen sie beliefert haben, und diese Informationen den Behörden auf Aufforderung mitteilen. Verschlüsselt Ransomware diese Aufzeichnungen, wird ein Rückruf zum Ratespiel.
Ein Vorfall kann zwei Regelwerke auslösen. Wenn ein von Ihnen geliefertes Lebensmittel gesundheitsschädlich sein kann, müssen Sie nach Artikel 19 der Lebensmittel-Basisverordnung unverzüglich die Lebensmittelbehörden informieren. Schreiben Sie ein einziges Verfahren für beide Fälle, und nehmen Sie Lebensmittelsicherheit und IT in dieselbe Risikoanalyse auf.
Was NIS2 für Lebensmittelunternehmen offenlässt
Artikel 21 ist ergebnisorientiert formuliert und erwähnt weder OT noch Produktionslinien noch Temperaturaufzeichnungen. Sein gefahrenübergreifender Ansatz umfasst auch „die physische Umwelt dieser Systeme“. Ein Stromausfall im Kühlhaus zählt also, nicht nur ein Angreifer.
Offen bleibt, wie Sie eine Linie absichern, die von zehn Jahre alten Steuerungen gefahren wird. In der Praxis wird Altausrüstung, die sich nicht patchen lässt, eingedämmt statt ersetzt. Segmentieren Sie sie, kontrollieren und protokollieren Sie den Fernzugriff von Lieferanten, bewahren Sie Offline-Kopien von SPS-Programmen und Rezepturen auf, und testen Sie den Neuaufbau einer Steuerung.
Die Nachweise müssen dann vorliegen, wenn die Behörde danach fragt: MFA auf jedem Fernzugriffskonto von Lieferanten, die Segmentierung im Ist-Zustand, der letzte Wiederherstellungstest. Einmal im Jahr von Hand gesammelt, sind sie schon bei der Ablage veraltet. Laufend aus den Systemen erhoben, mit einer Person, die die Ausnahmen prüft, bleiben sie auditbereit. So arbeitet die CloudSoul-Plattform: automatisiert, mit Human-in-the-Loop-Expertise. Das umfassende Programm finden Sie auf der Seite zur NIS2-Compliance.
NIS2-Checkliste für den Lebensmittelsektor
- Prüfen Sie Ihre Tätigkeit anhand von Anhang II Nummer 4: Großhandel oder industrielle Produktion und Verarbeitung.
- Berechnen Sie die Größe mit Gruppendaten: Beschäftigte in Jahresarbeitseinheiten, Umsatz und Bilanzsumme.
- Prüfen Sie das nationale Recht auf Grauzonen: Vertriebszentren, Zentralküchen, landwirtschaftliche Betriebe und Logistik.
- Registrieren Sie sich bei der zuständigen Behörde, wie es Ihr nationales Recht verlangt.
- Lassen Sie die Maßnahmen nach Artikel 21 von den Leitungsorganen billigen, und sorgen Sie dafür, dass deren Mitglieder die Schulung absolvieren.
- Erfassen Sie Produktions-OT, Kühlkettenüberwachung, ERP und Systeme zur Rückverfolgbarkeit, jeweils mit einer verantwortlichen Person.
- Schreiben Sie ein einziges Verfahren für Vorfälle, das die NIS2-Fristen und die Meldung zur Lebensmittelsicherheit abdeckt.
- Kontrollieren und protokollieren Sie den Fernzugriff von Lieferanten auf Produktionslinien.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 5, 20, 21, 23, 32, 33 und 34 sowie Anhang II Nummer 4, EUR-Lex.
- Verordnung (EG) Nr. 178/2002 (Lebensmittel-Basisverordnung), Artikel 2, 3, 18 und 19, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, Anhang, Artikel 2 bis 6, EUR-Lex.
- Richtlinie (EU) 2022/2557 (CER-Richtlinie), Artikel 6 und Anhang Nummer 11, EUR-Lex.
- Richtlinie (EU) 2016/1148 (NIS1), Anhang II, legislation.gov.uk.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, EUR-Lex.
Häufige Fragen
Gilt NIS2 für den Lebensmittelsektor?
Ja. Anhang II Nummer 4 erfasst Lebensmittelunternehmen im Sinne der Verordnung (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind. Sie müssen außerdem mindestens mittlere Unternehmen sein, es sei denn, ein Mitgliedstaat bezieht sie unabhängig von ihrer Größe ein.
Fallen Restaurants und Supermärkte unter NIS2?
Nicht mit ihren Läden oder ihrer Gastronomie. Einzelhandel und Gastronomie sind in Anhang II nicht genannt, und das EU-Lebensmittelrecht ordnet Restaurants und Catering dem Einzelhandel zu. Eine Gruppe, die auch Großhandel oder industrielle Produktion betreibt, kann über diese Tätigkeit erfasst sein.
Fallen landwirtschaftliche Betriebe unter NIS2?
Landwirtschaftliche Betriebe sind nach EU-Lebensmittelrecht Lebensmittelunternehmen, aber NIS2 nennt die Primärproduktion nicht und definiert nicht, was industriell ist. Ob ein großer landwirtschaftlicher Betrieb als industrielle Produktion gilt, entscheiden das nationale Recht und die nationale Behörde.
Ist ein Lebensmittelunternehmen nach NIS2 eine wesentliche oder wichtige Einrichtung?
Im Regelfall wichtig. Lebensmittel sind ein Sektor nach Anhang II, daher ist ein erfasstes Lebensmittelunternehmen wichtig, es sei denn, sein Mitgliedstaat bestimmt es nach Artikel 2(2) als wesentlich, es wird als kritische Einrichtung nach der CER-Richtlinie eingestuft oder das nationale Recht behandelt es als früheren Betreiber wesentlicher Dienste weiter als wesentlich.
Gilt NIS2 für kleine Lebensmittelunternehmen?
In der Regel nicht. NIS2 gilt für mittlere und größere Unternehmen: 50 oder mehr Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EUR. Verbundene Unternehmen und Partnerunternehmen werden mitgezählt, und ein Mitgliedstaat kann eine kleinere Einrichtung in den in Artikel 2(2) genannten Fällen einbeziehen oder indem er sie als kritische Einrichtung nach der CER-Richtlinie einstuft.
