Fleischverarbeitung: Der vollständige NIS2-Leitfaden

Fleischverarbeitende Betriebe sind als Lebensmittelhersteller nach NIS2-Anhang II Nr. 5 betroffen, sobald sie 50 Mitarbeitende oder 10 Mio. EUR Jahresumsatz überschreiten. Wegen der engen IT-Abhängigkeit von Schlachtlinien, Zerlegebetrieben und Kühllogistik ist NIS2-Compliance hier keine bürokratische Übung, sondern kritische Betriebssicherheit. Dieser Leitfaden richtet sich an Betriebsleiter, Geschäftsführer und IT-Verantwortliche in der Fleischwirtschaft.

Wer ist betroffen?

Schlachtbetriebe und Fleischverarbeiter fallen unter NIS2-Anhang II Nr. 5 (Ernährung, NACE C.10.1) wenn sie die KMU-Schwellen aus EU-Empfehlung 2003/361/EG Art. 2 überschreiten. Die Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz.

Großschlachtbetriebe mit mehr als 250 Mitarbeitenden und über 50 Mio. EUR Umsatz sind Wesentliche Einrichtung nach Anhang I, wenn sie die KRITIS-Schwelle nach BSI-KritisV erreichen. Diese liegt im Bereich Schlachttiere bei ca. 1,5 Mio. Rinder-Äquivalenten pro Jahr; die genauen Werte sind in der BSI-KritisV Anlage 6 festgelegt.

Ein Betrieb mit 150 Mitarbeitenden, einer Zerlegelinie und eigenem Versand an Lebensmitteleinzelhandel überschreitet die NIS2-Schwelle und ist Wichtige Einrichtung.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu nennt sieben Pflichtkategorien, die in der Fleischverarbeitung besonders stark durch OT/IT-Überschneidungen geprägt sind:

1. Risikoanalyse und -management: Schlachtlinien-Steuerung, Kühlhaus-Monitoring, Zerlegeband-Automatisierung und Logistik-IT müssen in die Risikobewertung einbezogen werden.
2. Incident Handling: Ein Ausfall der Betäubungsanlagen-Steuerung oder des Kühlhaus-Alarms ist ein Vorfall im NIS2-Sinne. Melde- und Eskalationswege müssen klar sein.
3. Business Continuity: Fleischverarbeitung ist zeitkritisch - ein Produktionsstillstand von mehr als wenigen Stunden bedeutet Verderb. Ein detaillierter BCP mit alternativen Prozessen und Kommunikationsplänen ist Pflicht.
4. Supply-Chain-Sicherheit: Lieferanten von Tiertransport-IT, Schlachttechnik, MES und ERP müssen Sicherheitsnachweise vorlegen. § 30 Abs. 2 Nr. 4 BSIG-neu verlangt Vertragsklauseln.
5. Zugangskontrolle und MFA: Zugang zu Produktionssystemen und Unternehmens-IT muss durch MFA gesichert sein. Insbesondere Fernwartung von Anlagenherstellern ist abzusichern.
6. Verschlüsselung: Lieferanten- und Kundendaten, Schlachtnachweise und Rückverfolgungsdaten müssen verschlüsselt gespeichert sein.
7. Schulung und Awareness: Schichtführer, IT-Mitarbeitende und Verwaltung müssen regelmäßig zum Thema Cybersicherheit sensibilisiert werden.

Fristen und Meldepflichten

Registrierung beim BSI nach § 33 BSIG-neu: binnen drei Monaten. Für Sicherheitsvorfälle gilt § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Ransomware-Angriff auf die Schlachtlinien-Steuerung, der die Produktion für mehr als 12 Stunden unterbricht, ist meldepflichtiger erheblicher Vorfall. Auch ein Kühlhaus-Ausfall durch Cyberangriff fällt darunter, wenn er die Lebensmittelsicherheit beeinträchtigt.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.

§ 38 BSIG-neu: Geschäftsführer haften persönlich für das schuldhaft verursachte Ausbleiben von NIS2-Maßnahmen. In Kombination mit potentiellen Produkthaftungsansprüchen bei verdorbenen Lebensmitteln (z.B. durch ausgefallene Kühlkette) kann das existenzielle Folgen haben.

Schlacht- und Zerlegelinien: warum IT-Resilienz so kritisch ist

Die Fleischverarbeitung ist von allen Lebensmittelbranchen am stärksten durch IT-Ausfälle bedroht: Die Prozesse sind zeitgebunden (Hygiene, Kühlkette), hochautomatisiert und schlecht auf manuelle Fallbacks vorbereitet.

Ein Beispiel: JBS, der weltgrößte Fleischverarbeiter, zahlte 2021 11 Mio. USD Lösegeld nach einem Ransomware-Angriff. In Deutschland betreffen solche Angriffe auch mittelgroße Betriebe. Ein Ausfall der Zerlegelinie über 8 Stunden bedeutet: verderbliche Halbfertigware, Lieferpflichtverletzungen gegenüber Handelskunden, und mögliche Rückrufaktionen bei Temperaturdifferenzen.

Was NIS2 konkret verlangt: Netzwerksegmentierung, damit ein Büro-IT-Angriff nicht auf Produktionssysteme durchschlägt; regelmäßige Backups der Produktionskonfigurationen; getestete Wiederherstellungsprozeduren für Schlachtlinien-Software; und ein klares Eskalationsprotokoll bei Vorfällen.

Erste Schritte

1. Prüfe Mitarbeiterzahl und Umsatz gegen die KMU-Schwellen.
2. Kartiere alle vernetzten Systeme: Schlachtlinien-Steuerung, Zerlegeband, Kühlhaus-Monitoring, MES, ERP, Rückverfolgungssoftware.
3. Analysiere die Fernwartungszugänge von Anlagenherstellern (z.B. Henny Penny, Stork).
4. Stelle sicher, dass OT-Netzwerke vom Office-Netzwerk getrennt sind.
5. Erstelle einen Notfallplan speziell für den IT-Ausfall während laufender Produktion.
6. Dokumentiere Lieferantenverträge im Hinblick auf § 30 Abs. 2 Nr. 4 BSIG-neu.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

IT-Ausfallplanung ignoriert Produktionszeit: Ein Notfallplan der nicht berücksichtigt, was nach 4 Stunden Produktionsstillstand mit hängendem Halbfertigprodukt passiert, ist unvollständig.

Rückverfolgungssysteme nicht als kritisch eingestuft: QS-Systeme und Herkunftsnachweise sind regulatorisch kritisch. Ihr Ausfall ist meldepflichtig.

Schlachtbetrieb und Verarbeitung getrennt bewertet: Wenn Schlachtung und Zerlegung im selben Unternehmen, aber auf verschiedenen IT-Systemen laufen, muss beides in die Gesamtrisikobetrachtung einfließen.

Kühlketten-Monitoring nicht als IT-Sicherheitsthema erkannt: Sensor-Infrastruktur für Temperaturen ist IT. Ihr Ausfall ist ein Sicherheitsvorfall mit lebensmittelrechtlichen Konsequenzen.

Nutze den branchengenauen NIS2-Rechner für Fleischverarbeitung, um deine Betroffenheit zu bestimmen.