Erfasst sind Produktion, Verarbeitung und Vertrieb von Lebensmitteln. Ob die Pflichten greifen, hängt von der Unternehmensgröße ab. Cold-Chain-Steuerung, Rückverfolgbarkeits-Systeme und Produktions-OT erweitern den Cybersicherheits-Scope. Unser vCISO führt die Umsetzung der Pflichten zur Informationssicherheit und arbeitet dafür mit OdySecure, der Sicherheitsplattform von Cybervize.
NIS-2-Risiko-Check buchenRegelfall nach § 28 BSIG. Berechnung der Kennzahlen in Jahresarbeitseinheiten, Zurechnung von Partner- und verbundenen Unternehmen, Sondertatbestände und die abschließende Einordnung brauchen eine Einzelfallprüfung.
Ihr vCISO arbeitet mit OdySecure: ISMS, BCM, Assessment und Lieferantenrisiko auf einer Datenbasis. Für Lebensmittel-Unternehmen besonders relevant: Cold-Chain-Steuerung und Rückverfolgbarkeit im Risikoregister.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahrenEin Senior-CISO übernimmt die CISO-Funktion dauerhaft, ab 3.600 €/Monat. OdySecure ist im Mandat enthalten.
Mehr erfahrenISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, mit KI-Unterstützung.
Mehr erfahrenGap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Erfasst sind industrielle Lebensmittel-Produktion, -Verarbeitung und Großhandelsvertrieb; Einzelhandelsbetriebe und Kleinerzeuger bleiben typischerweise außerhalb des Scopes. Vier Konsequenzen aus dieser Klassifikation (EU-Anhang II adressiert insbesondere Wholesale Distribution sowie industrielle Lebensmittel-Produktion und -Verarbeitung). Sektor allein reicht nicht: Einordnung hängt von Größenwerten und konkreter Tätigkeit ab. Die rechtliche Bewertung bleibt einer spezialisierten Kanzlei vorbehalten.
Anhang II bedeutet niedrigere Sanktionen als Anhang I, aber identische Pflichten in den zehn Mindestmaßnahmen nach § 30 BSIG. Bei einem Cyber-Vorfall mit Auswirkung auf Lebensmittelsicherheit greifen zusätzlich behördliche Pflichten.
Kälteanlagen, MES-Systeme, Verpackungs-Steuerungen und Rückverfolgbarkeits-Systeme sind Teil des Cybersicherheits-Scopes. Ein Cyber-Vorfall in der Cold-Chain-Steuerung kann zur Lebensmittelsicherheits-Frage werden.
Lebensmittel-Standards wie IFS Food, FSSC 22000 und BRC Global Standard verlangen IT-Sicherheits-Komponenten in der Lieferketten-Bewertung. NIS-2 ergänzt das auf gesetzlicher Ebene, deckt aber andere Aspekte ab.
Rückverfolgbarkeits-Systeme (Lot-Tracking, Charge-Management, EPCIS) sind kritische Geschäfts-Daten. Datenmanipulation oder Ausfall kann Rückruf-Aktionen unmöglich machen oder Rückrufe auslösen. NIS-2 verlangt Integritäts- und Verfügbarkeits-Kontrollen.
Produktionsanlagen, Kühlketten und Warenwirtschaft hängen an derselben Technik. Fällt sie aus, steht mehr still als die IT. In OdySecure liegen die zugehörigen Kataloge nebeneinander.
IFS und FSSC 22000 bleiben außen vor: Sie regeln Lebensmittelsicherheit, nicht Informationssicherheit. Die Einordnung nach § 28 BSIG steht weiter unten.
Fünf NIS-2-Mindestmaßnahmen nach §30, übersetzt in Lebensmittel-Praxis.
Risiko-Register, das Cold-Chain-Steuerung, MES, ERP und Office-IT trennt aber zusammenführt. Cyber-Risiken mit Auswirkung auf Lebensmittelsicherheit gesondert klassifiziert.
Lieferanten-Inventar mit Rohstoff-Herkunft, Single-Source-Risiken, Kühlketten-Anforderungen. IFS-/FSSC-22000-Audits der Lieferanten dokumentiert, Cyber-Komponenten integriert.
BCM-Pläne für Cold-Chain-Ausfall, Rückverfolgbarkeits-System-Ausfall und Produktions-Stillstand. Rückruf-Szenarien mit Cyber-Vorfall als Auslöser dokumentiert.
Incident-Response-Plan mit Eskalation an das BSI bei Cyber-Vorfall, an die Lebensmittelüberwachung bei Lebensmittelsicherheits-Auswirkung und ggf. an Kunden bei Rückverfolgbarkeits-Beeinträchtigung.
Rezepturen, Verfahrens-Know-how und Allergen-Spezifikationen sind kritische Daten mit hoher Vertraulichkeit. MFA für Rezeptur-Datenbanken, Need-to-Know-Zugriff, Audit-Trail für Änderungen.
Methodik auf Audit-Akzeptanz gegenüber dem BSI ausgelegt.
IFS Food und FSSC 22000 enthalten Anforderungen zur Lieferketten-Sicherheit und Krisenmanagement, decken aber nicht alle NIS-2-Mindestmaßnahmen ab. Insbesondere BSI-Meldepflichten (24/72 Stunden), spezifische OT-Risiko-Analyse und Geschäftsführungs-Nachweise sind in den Lebensmittel-Standards nicht enthalten. IFS Food und FSSC 22000 liegen nicht im Katalog von OdySecure; sie regeln Lebensmittelsicherheit, nicht Informationssicherheit.
Das kommt auf die Handelsstufe an. Anlage 2 des BSIG (NIS-2-Anhang II) erfasst Lebensmittelunternehmen der industriellen Produktion und Verarbeitung sowie des Großhandels; reiner Einzelhandel ist nicht allein wegen des Lebensmittelvertriebs erfasst. Wo die Anlage greift, gelten die Pflichten ab 50 Mitarbeitenden oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Schwerpunkt ist dann ERP-Sicherheit, Rückverfolgbarkeit und Logistik-IT. IFS Food und FSSC 22000 sind daneben private Zertifizierungsstandards, keine Gesetze. Die rechtliche Bewertung bleibt einer Kanzlei vorbehalten.
Doppelte Eskalation: BSI nach NIS-2-Frist (24 Stunden Erstmeldung), Lebensmittelüberwachung bei Auswirkung auf Lebensmittelsicherheit, ggf. Endkunden-Information bei Rückrufrisiko. OdySecure unterstützt mit dokumentiertem Meldewegen-Inventar.
Rezepturen und Allergen-Spezifikationen sind kritische Daten. NIS-2 verlangt angemessene Verschlüsselung, Zugriffskontrolle und Audit-Trail. Praxis: separate Datenbank-Klasse für Produkt-IP, Need-to-Know-Zugriff, dokumentierte Datenflüsse zu Lieferanten und Behörden.
Typisch 10 bis 14 Wochen für eine prüffähige NIS-2-Readiness bei einem Standort, abhängig von Cold-Chain-Komplexität und vorhandenen Lebensmittel-Standards. Multi-Werks-Hersteller brauchen 16 bis 22 Wochen. Genaue Indikation aus dem Risiko-Check.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, Rückverfolgbarkeits-Indikator und Pfad-Empfehlung. Idealerweise dabei: IT-Sicherheit oder QM plus Geschäftsführung.
NIS-2-Risiko-Check buchenWenn die Einordnung oben auf Ihr Haus zutrifft, steht am Anfang eine Standortbestimmung. Erst steht fest, welche Pflichten greifen und wo die Lücken sind, dann entscheidet sich, wer sie schließt: ein vCISO, der mit OdySecure arbeitet, oder Ihr eigenes Team mit der Plattform-Lizenz.
vCISO-Gespräch vereinbarenDen Weg in fünf Stationen ansehenMitgliedschaften, Programme und Partnerschaften
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.
70 Prozent der KMU behandeln NIS2 als Pflichtübung. Doch wer die Richtlinie als strategischen Hebel begreift, kann Compliance in operative Exzellenz und echte Betriebsresilienz verwandeln.
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen wir die CISO-Funktion übernehmen.
Mehr erfahren