Erfasst sind Produktion, Verarbeitung und Vertrieb von Lebensmitteln. Ob die Pflichten greifen, hängt von der Unternehmensgröße ab. Cold-Chain-Steuerung, Rückverfolgbarkeits-Systeme und Produktions-OT erweitern den Cybersicherheits-Scope. OdySecure, die Sicherheitsplattform von Cybervize, deckt ISMS, OT-Assessment und Lieferantenrisiko in einer Lösung ab.
NIS-2-Risiko-Check buchenRegelfall nach § 28 BSIG. Berechnung der Kennzahlen in Jahresarbeitseinheiten, Zurechnung von Partner- und verbundenen Unternehmen, Sondertatbestände und die abschließende Einordnung brauchen eine Einzelfallprüfung.
Produktionsanlagen, Kühlketten und Warenwirtschaft hängen an derselben Technik. Fällt sie aus, steht mehr still als die IT. In OdySecure liegen die zugehörigen Kataloge nebeneinander.
IFS und FSSC 22000 bleiben außen vor: Sie regeln Lebensmittelsicherheit, nicht Informationssicherheit. Die Einordnung nach § 28 BSIG steht weiter unten.
Erfasst sind industrielle Lebensmittel-Produktion, -Verarbeitung und Großhandelsvertrieb; Einzelhandelsbetriebe und Kleinerzeuger bleiben typischerweise außerhalb des Scopes. Vier Konsequenzen aus dieser Klassifikation (EU-Anhang II adressiert insbesondere Wholesale Distribution sowie industrielle Lebensmittel-Produktion und -Verarbeitung). Sektor allein reicht nicht: Einordnung hängt von Größenwerten und konkreter Tätigkeit ab. Die rechtliche Bewertung bleibt einer spezialisierten Kanzlei vorbehalten.
Anhang II bedeutet niedrigere Sanktionen als Anhang I, aber identische Pflichten in den zehn Mindestmaßnahmen nach § 30 BSIG. Bei einem Cyber-Vorfall mit Auswirkung auf Lebensmittelsicherheit greifen zusätzlich behördliche Pflichten.
Kälteanlagen, MES-Systeme, Verpackungs-Steuerungen und Rückverfolgbarkeits-Systeme sind Teil des Cybersicherheits-Scopes. Ein Cyber-Vorfall in der Cold-Chain-Steuerung kann zur Lebensmittelsicherheits-Frage werden.
Lebensmittel-Standards wie IFS Food, FSSC 22000 und BRC Global Standard verlangen IT-Sicherheits-Komponenten in der Lieferketten-Bewertung. NIS-2 ergänzt das auf gesetzlicher Ebene, deckt aber andere Aspekte ab.
Rückverfolgbarkeits-Systeme (Lot-Tracking, Charge-Management, EPCIS) sind kritische Geschäfts-Daten. Datenmanipulation oder Ausfall kann Rückruf-Aktionen unmöglich machen oder Rückrufe auslösen. NIS-2 verlangt Integritäts- und Verfügbarkeits-Kontrollen.
Fünf NIS-2-Mindestmaßnahmen nach §30, übersetzt in Lebensmittel-Praxis.
Risiko-Register, das Cold-Chain-Steuerung, MES, ERP und Office-IT trennt aber zusammenführt. Cyber-Risiken mit Auswirkung auf Lebensmittelsicherheit gesondert klassifiziert.
Lieferanten-Inventar mit Rohstoff-Herkunft, Single-Source-Risiken, Kühlketten-Anforderungen. IFS-/FSSC-22000-Audits der Lieferanten dokumentiert, Cyber-Komponenten integriert.
BCM-Pläne für Cold-Chain-Ausfall, Rückverfolgbarkeits-System-Ausfall und Produktions-Stillstand. Rückruf-Szenarien mit Cyber-Vorfall als Auslöser dokumentiert.
Incident-Response-Plan mit Eskalation an das BSI bei Cyber-Vorfall, an die Lebensmittelüberwachung bei Lebensmittelsicherheits-Auswirkung und ggf. an Kunden bei Rückverfolgbarkeits-Beeinträchtigung.
Rezepturen, Verfahrens-Know-how und Allergen-Spezifikationen sind kritische Daten mit hoher Vertraulichkeit. MFA für Rezeptur-Datenbanken, Need-to-Know-Zugriff, Audit-Trail für Änderungen.
OdySecure deckt ISMS, BCM, Assessment und Lieferantenrisiko in einer Lösung ab. Für Lebensmittel-Unternehmen zusätzlich Schnittstellen zu IFS, FSSC 22000 und HACCP-Audit-Anforderungen relevant.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahrenISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahrenDie Plattform, dauerhafte CISO-Funktion zubuchbar. Für Häuser ohne eigenen CISO.
Mehr erfahrenGap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Branchen-Erfahrung in produzierendem Gewerbe inklusive Lebensmittel und Pharma aus 25 Jahren ISMS-Praxis bei PwC, Deloitte und KPMG. Methodik auf Audit-Akzeptanz gegenüber BSI, Lebensmittelüberwachung und privaten Standards (IFS, FSSC 22000) ausgelegt.
IFS Food und FSSC 22000 enthalten Anforderungen zur Lieferketten-Sicherheit und Krisenmanagement, decken aber nicht alle NIS-2-Mindestmaßnahmen ab. Insbesondere BSI-Meldepflichten (24/72 Stunden), spezifische OT-Risiko-Analyse und Geschäftsführungs-Nachweise sind in den Lebensmittel-Standards nicht enthalten. OdySecure mappt alle Standards aus einem Kontroll-Set.
Das kommt auf die Handelsstufe an. Anlage 2 des BSIG (NIS-2-Anhang II) erfasst Lebensmittelunternehmen der industriellen Produktion und Verarbeitung sowie des Großhandels; reiner Einzelhandel ist nicht allein wegen des Lebensmittelvertriebs erfasst. Wo die Anlage greift, gelten die Pflichten ab 50 Mitarbeitenden oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Schwerpunkt ist dann ERP-Sicherheit, Rückverfolgbarkeit und Logistik-IT. IFS Food und FSSC 22000 sind daneben private Zertifizierungsstandards, keine Gesetze. Die rechtliche Bewertung bleibt einer Kanzlei vorbehalten.
Doppelte Eskalation: BSI nach NIS-2-Frist (24 Stunden Erstmeldung), Lebensmittelüberwachung bei Auswirkung auf Lebensmittelsicherheit, ggf. Endkunden-Information bei Rückrufrisiko. OdySecure unterstützt mit dokumentiertem Meldewegen-Inventar.
Rezepturen und Allergen-Spezifikationen sind kritische Daten. NIS-2 verlangt angemessene Verschlüsselung, Zugriffskontrolle und Audit-Trail. Praxis: separate Datenbank-Klasse für Produkt-IP, Need-to-Know-Zugriff, dokumentierte Datenflüsse zu Lieferanten und Behörden.
Typisch 10 bis 14 Wochen für eine prüffähige NIS-2-Readiness bei einem Standort, abhängig von Cold-Chain-Komplexität und vorhandenen Lebensmittel-Standards. Multi-Werks-Hersteller brauchen 16 bis 22 Wochen. Genaue Indikation aus dem Risiko-Check.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, Rückverfolgbarkeits-Indikator und Pfad-Empfehlung. Idealerweise dabei: IT-Sicherheit oder QM plus Geschäftsführung.
NIS-2-Risiko-Check buchenWenn die Einordnung oben auf Ihr Haus zutrifft, beginnt der Weg nicht mit einem Projekt, sondern mit einer Standortbestimmung: Erst steht fest, welche Pflichten greifen und wo die Lücken sind, dann kommen die Module, die sie schließen.
Den Weg in fünf Stationen ansehenMitgliedschaften, Programme und Partnerschaften
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.
70 Prozent der KMU behandeln NIS2 als Pflichtübung. Doch wer die Richtlinie als strategischen Hebel begreift, kann Compliance in operative Exzellenz und echte Betriebsresilienz verwandeln.
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen OdySecure läuft.
Mehr erfahren