Mühle: Der vollständige NIS2-Leitfaden

Mühlen sind als Lebensmittelhersteller nach NIS2-Anhang II Nr. 5 betroffen, sobald sie 50 Mitarbeitende oder 10 Mio. EUR Jahresumsatz überschreiten. Als Teil der Getreideversorgungskette sind industrielle Mühlen eine der am stärksten vernetzten Lebensmittelsparten, mit automatisierten Mahlsystemen und Just-in-time-Logistik, die vollständig auf IT-Systemen basiert. Dieser Leitfaden richtet sich an Mühlenbesitzer, Betriebsleiter und IT-Verantwortliche.

Wer ist betroffen?

Getreidemühlen (NACE C.10.6 Mahl- und Schälmühlen) fallen unter NIS2-Anhang II Nr. 5 (Ernährung) bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).

Großmühlen, die in der nationalen Getreideversorgung eine kritische Rolle spielen und die KRITIS-Schwelle der BSI-KritisV für Lebensmittelversorgung (434.500 t/a Getreide-Äquivalent) überschreiten, sind Wesentliche Einrichtung nach NIS2-Anhang I.

Eine Mühle mit 70 Mitarbeitenden, eigenem Weizensilo und Tageslieferungen an Bäckereiketten und Lebensmitteleinzelhandel überschreitet die NIS2-Schwelle und ist Wichtige Einrichtung.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu definiert sieben Pflichtkategorien, die für Mühlen mit ihren automatisierten Mahlanlagen besondere Relevanz haben:

1. Risikoanalyse und -management: Mahlsystem-Steuerung, Siebanlagen-Automatisierung, Silo-Management-IT und Logistik-ERP müssen bewertet werden.
2. Incident Handling: Ein Ausfall der Mahlsteuerung durch Cyberangriff ist ein erheblicher Vorfall. Eskalationswege und Meldeprozesse müssen definiert sein.
3. Business Continuity: Mühlen beliefern oft täglich nach festen Plänen. Ein BCP muss Alternativlieferkonzepte und manuelle Notfallprozesse beinhalten.
4. Supply-Chain-Sicherheit: Getreidelieferanten, Logistikanbieter und Softwarelieferanten für Mahl-Management-Systeme müssen auf Sicherheitsstandards geprüft werden.
5. Zugangskontrolle und MFA: Zugang zu Produktionssystemen und Unternehmensnetzwerken muss durch MFA gesichert sein. Fernwartungszugänge von Anlagenherstellern sind abzusichern.
6. Verschlüsselung: Kundendaten, Lieferantenverträge und Qualitätsdaten (Analysezertifikate) müssen verschlüsselt gespeichert sein.
7. Schulung und Awareness: Müller, Disponenten und Verwaltung müssen regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten nach Feststellung der Betroffenheit. Für Sicherheitsvorfälle gilt § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Ein Ransomware-Angriff auf das Mahl-Leitsystem, der die Produktion für mehr als einen Arbeitstag stoppt und laufende Lieferverpflichtungen verletzt, ist meldepflichtig. Die Erstmeldung muss erfolgen, auch wenn noch keine vollständige Ursachenanalyse vorliegt.

Bußgelder und persönliche Haftung

Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.

§ 38 BSIG-neu begründet persönliche Haftung der Geschäftsleitung für schuldhaft versäumte NIS2-Pflichten. In Familienmühlen, wo Eigentümer und Geschäftsführer identisch sind, ist das persönliche Risiko erheblich.

Just-in-time-Getreidelogistik und Mühlensteuerung als NIS2-Risikofaktor

Moderne Mühlen operieren mit enger Zeitplanung: Getreide wird per Just-in-time aus Silos oder direkt vom Landwirt angeliefert, verarbeitet und noch am selben Tag ausgeliefert. Diese Prozesse stützen sich auf ERP, Dispositionssoftware, automatische Waagesysteme und digitale Lieferscheine.

Das Risikoszenario: Ein Angreifer infiltriert das ERP über einen kompromittierten Lieferantenaccount. Er manipuliert Lieferplanungsdaten, sodass Rohmaterial-Abrufe falsch geplant werden und die Produktion ins Leere läuft. Gleichzeitig verschlüsselt Ransomware die Dispositionssoftware. Ergebnis: Lieferstopps gegenüber Großabnehmerern, Vertragsstrafen und Produktionsverlust.

Was § 30 BSIG-neu dazu verlangt: Datensicherung der Dispositionssoftware mit kurzen Recovery-Zeiten (RTO/RPO-Ziele definieren), Zugriffskontrollen für Lieferantenportale und Netzwerksegmentierung zwischen Verwaltungs-IT und Produktions-IT.

Erste Schritte

1. Kläre Mitarbeiterzahl und Umsatz gegen die KMU-Schwellen.
2. Inventarisiere alle vernetzten Produktionssysteme: Mahlsteuerung, Siloverwaltung, Waagen-IT, Laborsoftware.
3. Überprüfe alle Fernwartungszugänge von Anlagenherstellern.
4. Führe eine Risikoanalyse für den Ausfall der Dispositionssoftware durch.
5. Erstelle einen Notfallplan: Was passiert, wenn das ERP ausfällt und Liefertermine nahen?
6. Prüfe Lieferantenverträge auf Sicherheitsanforderungen nach § 30 Abs. 2 Nr. 4 BSIG-neu.
7. Stelle sicher, dass Backups der Produktions-Konfigurationsdaten regelmäßig erstellt und getestet werden.

Typische Fehler vermeiden

Mahlsystem-Software nicht als IT-Sicherheitsthema erkannt: Die Steuerungssoftware der Mahlanlage ist IT. Ihr Ausfall bedeutet Produktionsstillstand und damit unmittelbaren wirtschaftlichen Schaden.

Lieferantenportale ohne Zugangskontrolle: Viele Mühlen betreiben Web-Portale für Lieferanten und Kunden. Diese sind potenzielle Angriffsvektoren, die in die Risikoanalyse einbezogen werden müssen.

Qualitätszertifikate und Analysedaten nicht gesichert: Mehlqualitäts-Analysen und Zertifikate sind für Kunden rechtlich relevant. Ihr Verlust oder ihre Manipulation ist ein Sicherheitsvorfall.

Notfallplan kennt keine Lieferfristen: Ein BCP der keine Eskalation zu Kunden und Alternativlieferungen vorsieht, ist für Mühlen unvollständig.

Nutze den branchengenauen NIS2-Rechner für Mühlen, um deine Betroffenheit zu ermitteln.