Tiefkühlkost: Der vollständige NIS2-Leitfaden
Hersteller und Distributoren von Tiefkühlkost sind nach NIS2-Anhang II Nr. 5 (Ernährung) betroffen, wenn sie 50 Mitarbeitende oder 10 Mio. EUR Jahresumsatz überschreiten. Die gesamte Wertschöpfungskette in der Tiefkühlbranche hängt an IT: von der Produktionssteuerung bis zum Kühlketten-Monitoring. Ein IT-Ausfall kann innerhalb von Stunden zu Millionenschäden durch verderbliche Ware führen. Dieser Leitfaden richtet sich an Betriebsleiter und IT-Verantwortliche in der Tiefkühlbranche.
Wer ist betroffen?
Tiefkühlkost-Hersteller (NACE C.10.8 Sonstige Nahrungsmittel) und Tiefkühl-Logistiker fallen unter NIS2-Anhang II Nr. 5 bei Überschreitung der KMU-Schwellen: mindestens 50 Mitarbeitende oder mindestens 10 Mio. EUR Jahresumsatz (EU-Empfehlung 2003/361/EG Art. 2).
Wer als nationaler oder europäischer Tiefkühlkost-Anbieter die KRITIS-Schwelle der BSI-KritisV für Lebensmittelversorgung überschreitet, ist Wesentliche Einrichtung nach Anhang I.
Ein Tiefkühlkost-Hersteller mit 100 Mitarbeitenden, vollautomatischer Schockfrostanlage und eigenem Tiefkühllogistik-Fuhrpark überschreitet die NIS2-Schwellen und ist Wichtige Einrichtung.
Die Pflichten nach § 30 BSIG-neu
§ 30 BSIG-neu listet sieben Pflichtbereiche, die für Tiefkühlkost-Betriebe besonders durch die Abhängigkeit vom Kühlketten-Monitoring geprägt sind:
- Risikoanalyse und -management: Produktionssteuerung, Schockfrostanlagen, Tiefkühllagerverwaltung und Kühlfahrzeug-Telematik müssen in die Risikoanalyse einbezogen werden.
- Incident Handling: Ein Temperaturabweichungs-Event durch IT-Ausfall ist ein potenziell meldepflichtiger Vorfall, der sofortige Reaktion erfordert.
- Business Continuity: Ein BCP muss den "Worst Case Kühlkettenausfall" abdecken: Was passiert, wenn das Kühlmonitoring um 2 Uhr nachts ausfällt?
- Supply-Chain-Sicherheit: Rohstofflieferanten, Verpackungslieferanten und Telematik-Anbieter für Kühlfahrzeuge müssen auf Sicherheitsstandards geprüft werden.
- Zugangskontrolle und MFA: Zugang zu Monitoring-Plattformen und Produktionssystemen muss durch MFA geschützt sein. Remote-Alarme und Management-Dashboards sind besonders zu sichern.
- Verschlüsselung: Kühlkettenprotokolle (gesetzlich vorgeschrieben nach EU-Lebensmittelhygiene-VO), Kundendaten und Produktionsdaten müssen verschlüsselt sein.
- Schulung und Awareness: Schichtführer, Logistikdisponenten und IT-Mitarbeitende müssen regelmäßig geschult werden.
Fristen und Meldepflichten
BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.
Ein Cyberangriff, der das zentrale Kühlketten-Monitoring für mehrere Stunden außer Betrieb setzt und dadurch erhebliche Lagermengen gefährdet, ist ein meldepflichtiger erheblicher Vorfall. Auch der reine IT-Vorfall ohne nachgewiesenen Produktschaden ist zu melden, wenn Versorgungssicherheit beeinträchtigt ist.
Bußgelder und persönliche Haftung
Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz. Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz.
§ 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. In der Tiefkühlbranche ist das besonders ernst zu nehmen, weil ein IT-bedingter Kühlkettenausfall nicht nur NIS2-Bußgelder, sondern auch lebensmittelrechtliche Sanktionen und erhebliche Versicherungsschäden nach sich zieht.
Kühlketten-Monitoring als NIS2-kritischer Prozess: Sensor-Infrastruktur absichern
Das Kühlketten-Monitoring in Tiefkühlbetrieben ist vollständig IT-abhängig: Temperatursensoren in Lagerzellen, Schockfrosttunneln und Kühlfahrzeugen übertragen Daten in Echtzeit an zentrale Management-Plattformen. Diese Plattformen steuern Alarme, Wartungsaufgaben und Qualitätsnachweise.
Das Risikoszenario: Ein Angreifer kompromittiert die Monitoring-Plattform über einen gestohlenen Anmeldezugang. Er manipuliert Alarmschwellen oder unterdrückt Benachrichtigungen. Kühlzellen steigen auf kritische Temperaturen an - ohne dass Alarm ausgelöst wird. Wenn das nach 6 Stunden bemerkt wird, ist ein ganzes Tiefkühllager vernichtet.
Was § 30 BSIG-neu konkret verlangt: Redundante Alarmpfade (SMS + App + physikalischer Alarm vor Ort), keine alleinige Cloud-Abhängigkeit für kritische Alarme, starke Authentifizierung für Monitoring-Plattformen und regelmäßige Alarm-Tests. Die Sensor-Infrastruktur selbst muss in die Netzwerksicherheitsarchitektur einbezogen sein.
Erste Schritte
- Kläre Mitarbeiterzahl und Umsatz gegen die KMU-Schwellen.
- Inventarisiere alle Systeme, die mit der Kühlkette verbunden sind: Temperatursensoren, Monitoring-Plattform, Kühlfahrzeug-Telematik, Lagerverwaltungssystem.
- Prüfe: Gibt es redundante Alarmpfade für Temperaturabweichungen? Wird getestet?
- Identifiziere alle externen Zugänge (Monitoring-Plattform-Anbieter, Wartungszugänge).
- Erstelle einen Notfallplan für Kühlketten-Monitoring-Ausfall um 3 Uhr nachts.
- Prüfe Lieferantenverträge (Sensor-Hersteller, Telematik-Anbieter) auf Sicherheitsklauseln.
- Registriere dich beim BSI.
Typische Fehler vermeiden
Monitoring-Plattform ohne MFA: Viele Tiefkühlbetriebe verwenden Cloud-basierte Monitoring-Plattformen mit einfachem Passwort-Login. Das ist unter NIS2 nicht ausreichend.
Kein redundanter Alarmpfad: Wenn Temperaturalarme nur über die Cloud-Plattform ausgegeben werden und diese ausfällt, gibt es keinen Alarm mehr. Das ist ein kritischer Single-Point-of-Failure.
Kühlketten-Dokumentation nicht als IT-Schutzziel erkannt: EU-Lebensmittelhygieneverordnung 852/2004 verlangt Temperaturprotokolle. Deren Verlust durch IT-Angriff ist ein lebensmittelrechtliches Compliance-Problem.
Fahrzeugtelematik nicht in der Risikoanalyse: Kühlfahrzeug-Telematik ist oft über öffentliche Mobilfunknetze verbunden. Angriffe über diese Verbindungen sind realistisch und müssen bewertet werden.
Nutze den branchengenauen NIS2-Rechner für Tiefkühlkost, um deine Betroffenheit zu bestimmen.