Bäckerei: Der vollständige NIS2-Leitfaden

NIS2 betrifft nicht jede Bäckerei, aber viele Filialbetriebe mit zentraler Produktion sind betroffen - und wissen es nicht. Dieser Leitfaden erklärt, wer unter NIS2 fällt, welche Pflichten gelten und was du konkret tun musst. Er richtet sich an Inhaber, Geschäftsführer und IT-Verantwortliche in Backwarenbetrieben mit mehr als einem Produktionsstandort oder nennenswertem B2B-Geschäft.

Wer ist betroffen?

Bäckereien fallen unter NIS2-Anhang II Nr. 5 (Ernährung), wenn sie die KMU-Schwellen aus der EU-Empfehlung 2003/361/EG Art. 2 überschreiten: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz. Das Handwerk schützt nicht pauschal. Wer als "Hersteller von Backwaren" im Sinne der NACE-Klassifikation (C.10.7) tätig ist und die Schwelle erreicht, ist Wichtige Einrichtung nach § 28 Abs. 1 BSIG-neu.

Besonderheit: Wer in der Lebensmittelversorgung als Zulieferer für öffentliche Einrichtungen (Schulen, Krankenhäuser, Kantinen) tätig ist und dabei die KRITIS-Schwelle von 434.500 t/a Getreide-Äquivalent in der Lebensmittelproduktion erreicht, fällt in den KRITIS-Bereich und ist damit Wesentliche Einrichtung.

Ein Filialbetrieb mit 80 Mitarbeitenden und 15 Mio. EUR Umsatz, der zentral produziert und B2B an Kantinen liefert, ist mit hoher Wahrscheinlichkeit Wichtige Einrichtung.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu listet sieben technisch-organisatorische Maßnahmen, die du umsetzen musst:

1. Risikoanalyse und -management: Du musst die IT-Risiken deiner zentralen Produktion und Filialvernetzung systematisch erfassen. Das umfasst ERP, Kassensysteme, Bestellplattformen und Backofensteuerung.
2. Incident Handling: Sicherheitsvorfälle müssen erkannt, dokumentiert und nach einem festen Prozess behandelt werden. Ein Ausfall des Zentralsystems muss als Incident klassifizierbar sein.
3. Business Continuity: Ein Notfallplan muss definieren, wie die Produktion bei IT-Ausfall weiterläuft. Manuelle Rückfallprozesse für Bestellwesen und Lieferplanung sind dokumentiert zu beschreiben.
4. Supply-Chain-Sicherheit: Deine Lieferanten (Mehl, Verpackung, Logistik-Software) müssen hinsichtlich ihrer Sicherheitsstandards bewertet werden. Vertragsklauseln zu Mindestanforderungen sind nach § 30 Abs. 2 Nr. 4 BSIG-neu erforderlich.
5. Zugangskontrolle und MFA: Der Zugang zu Unternehmensanwendungen und -netzwerken muss durch starke Authentifizierung gesichert sein. Filialzugänge per Passwort allein genügen nicht mehr.
6. Verschlüsselung: Kundendaten, Bestelldaten und Lieferantenkommunikation müssen in der Übertragung und im Ruhezustand verschlüsselt sein.
7. Schulung und Awareness: Mitarbeitende, die IT-Systeme bedienen, müssen regelmäßig zu Cybersicherheit geschult werden. Das gilt auch für Filialleiter.

Fristen und Meldepflichten

Die Registrierung beim BSI muss binnen drei Monaten nach Bekanntwerden der eigenen Betroffenheit erfolgen (§ 33 BSIG-neu). Das BSI hat eine Online-Plattform angekündigt; bis zum Start gilt die manuelle Meldung.

Für Sicherheitsvorfälle gilt die Meldekette nach § 32 BSIG-neu: innerhalb von 24 Stunden eine Erstmeldung ("Early Warning"), innerhalb von 72 Stunden eine vollständige Meldung, innerhalb von 30 Tagen ein Abschlussbericht. Ein Ausfall des Kassensystems durch einen Ransomware-Angriff muss, wenn er mehr als 10 % der Filialkapazität betrifft, innerhalb von 24 Stunden gemeldet werden.

Die NIS2-Pflichten nach BSIG-neu sind ab Inkrafttreten des deutschen Umsetzungsgesetzes bindend. Das Gesetz befindet sich im Gesetzgebungsverfahren; mit Inkrafttreten ist im Laufe von 2025 zu rechnen.

Bußgelder und persönliche Haftung

Verstöße gegen NIS2 sind empfindlich sanktioniert. Für Wichtige Einrichtungen (Anhang II) gilt: bis zu 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes, je nachdem was höher ist. Für Wesentliche Einrichtungen (Anhang I) gilt: bis zu 10 Mio. EUR oder 2 % des Umsatzes.

Entscheidend: § 38 BSIG-neu führt die persönliche Haftung der Geschäftsleitung ein. Geschäftsführer haften mit ihrem Privatvermögen, wenn sie die Erfüllung von NIS2-Pflichten schuldhaft versäumen. Eine Enthaftung durch Delegation ist nur möglich, wenn die Delegation dokumentiert und die delegierte Person fachlich geeignet ist.

KRITIS-Schwelle für Bäckereien: wer erreicht 434.500 t/a?

Die KRITIS-Schwelle in der Lebensmittelversorgung liegt bei 434.500 t/a verarbeiteter Lebensmittel in Getreide-Äquivalenten gemäß BSI-KritisV Anlage 6. Diese Schwelle ist für industrielle Backwarenhersteller relevant, nicht für Handwerksbetriebe.

Wer zentral Tiefkühlrohteige, Backwaren für Handelsketten oder B2B-Großmengen produziert, sollte die eigene Produktionsmenge gegen diesen Wert prüfen. Zum Vergleich: Ein mittelgroßer Industriebäcker mit 300 Mitarbeitenden und 2-3 Produktionslinien kann diese Schwelle erreichen.

Auch die B2B-Lieferkette zählt: Wer Schulen, Krankenhäuser oder Betriebskantinen beliefert, ist Teil der kritischen Versorgungskette. Das BSI wertet die Gesamtmenge über alle Abnehmer, nicht pro Kunde.

Erste Schritte

1. Prüfe Mitarbeiterzahl und Jahresumsatz gegen die KMU-Schwellen. Wenn du über 50 Mitarbeitende oder 10 Mio. EUR Umsatz liegst, bist du wahrscheinlich betroffen.
2. Kläre deinen NACE-Code: Bist du als Hersteller (C.10.7) oder als Handwerk eingestuft? Handwerksrolle allein schützt bei zentraler Industrieproduktion nicht.
3. Berechne deine jährliche Produktionsmenge in Tonnen. Liegt sie in der Nähe von 434.500 t/a, hole Rechtsrat ein zur KRITIS-Einordnung.
4. Erstelle ein Inventar aller IT-Systeme: ERP, Kassensysteme, Backofen-Steuerungen, Bestellportale, Lager-Logistik.
5. Führe eine erste Risikoanalyse durch. Welche Systeme sind geschäftskritisch? Was passiert bei Ausfall?
6. Identifiziere deinen wichtigsten IT-Lieferanten und prüfe seine Sicherheitsnachweise.
7. Registriere dich beim BSI sobald das Online-Portal verfügbar ist.

Typische Fehler vermeiden

"Handwerksrolle schützt vor NIS2": Das stimmt nur für echte Kleinstbetriebe ohne zentrale Industrieproduktion. Wer eine oder mehrere vollautomatisierte Produktionslinien betreibt, ist kein Handwerksbetrieb im NIS2-Sinne.

B2B-Belieferung von Schulen und Krankenhäusern wird übersehen: Diese Abnehmer zählen bei der KRITIS-Schwellenberechnung mit. Wer 30 % seines Umsatzes mit öffentlichen Einrichtungen macht, ist potenziell Teil kritischer Versorgungsinfrastruktur.

IT-Sicherheit wird nur auf Büro-IT reduziert: Backofen-Steuerungen, Kühlhaus-Monitoring und Produktionslinien-Software sind ebenso relevant. Die OT/IT-Grenze muss in der Risikoanalyse berücksichtigt werden.

Fristen werden unterschätzt: Viele Unternehmen beginnen erst mit der Umsetzung, wenn die Fristen bereits laufen. Die 3-Monats-Frist zur BSI-Registrierung beginnt ab Betroffenheit, nicht ab Gesetzesinkrafttreten.

Nutze den branchengenauen NIS2-Rechner für Bäckereien, um deine individuelle Betroffenheit in wenigen Minuten zu ermitteln.