CII-Whitepaper: Cybersicherheit für Waren- und Handelsgesellschaften im Ernährungssektor

Ausgangslage

Die fortschreitende Digitalisierung entlang der gesamten Wertschöpfungskette im Ernährungssektor erhöht die Anforderungen an die Cybersicherheit erheblich. Nicht nur große Konzerne, sondern auch mittlere und kleinere Unternehmen, von Agrarbetrieben über genossenschaftlich organisierte Handelsgesellschaften bis zu gewerblichen Lebensmittelhändlern, sind zunehmend von Risiken digitaler Angriffe betroffen. Die Umsetzung der europäischen NIS-2-Richtlinie in deutsches Recht bis Oktober 2024 verschärft diese Anforderungen zusätzlich. Unternehmen jeder Größenordnung sind verpflichtet, angemessene technische, organisatorische und personelle Sicherheitsmaßnahmen zu implementieren.

Problemstellung

Besonders betroffen ist der Bereich der Lebensmittelproduktion, Verarbeitung und Distribution, der als kritischer Sektor im Sinne des IT-Sicherheitsrechts eingestuft ist. Die konkrete Ausgestaltung der gesetzlichen Anforderungen variiert stark in Abhängigkeit von Unternehmensgröße, Relevanz und Integration in Lieferketten. Während größere Unternehmen oftmals über etablierte IT-Strukturen, ERP-Systeme und interne Sicherheitsbeauftragte verfügen, bestehen in kleinen und mittleren Betrieben häufig Defizite bei der Erstellung von IT-Notfallplänen, der Durchführung dokumentierter Risikoanalysen oder der Einführung standardisierter Berichtssysteme. Branchenspezifische Analysen zeigen insbesondere im genossenschaftlich geprägten Sektor Schwächen in den Bereichen Dokumentation, Vorfallsmanagement und IT-Governance.

Herausforderungen in der digitalen Lieferkette

Die zunehmende Nutzung von Cloud-Diensten erschwert die Kontrolle über externe Dienstleister und die Sicherstellung einer durchgängigen Informationssicherheit entlang der digitalen Lieferkette. Die heterogene IT-Landschaft, geprägt von Eigenentwicklungen, stark variierenden Digitalisierungsgraden und unterschiedlichsten Betriebsgrößen, erschwert eine standardisierte Umsetzung. Vor diesem Hintergrund gewinnt ein ganzheitliches Risikomanagement zunehmend an Bedeutung. Informationssicherheit muss als fortlaufender, integrierter betrieblicher Prozess verstanden werden, der technische, organisatorische und personelle Aspekte gleichermaßen berücksichtigt.

Praxisnahe Orientierung und Lösungsansätze

Das Whitepaper setzt an dieser Stelle an. Es verfolgt das Ziel, die Umsetzung der NIS-2-Richtlinie im Ernährungssektor darzustellen und darüber hinaus Ansätze zur Cybersicherheit aufzuzeigen, die über die gesetzlichen Vorgaben hinausgehen. Besonders die hohe Diversität des Sektors, von kritischen Großunternehmen über mittelständische Handelsgesellschaften bis zu kleineren, familiär geführten Betrieben, erfordert flexible und pragmatische Lösungen. Vor diesem Hintergrund werden insbesondere ressourcenschonende Maßnahmen für kleine und mittlere Unternehmen vorgestellt, darunter die Einbindung externer Informationssicherheitsbeauftragter, der Einsatz digitaler GRC-Tools sowie die Etablierung branchenspezifischer Sicherheitsstandards. Das Whitepaper „Cybersicherheit für Waren- und Handelsgesellschaften im Ernährungssektor“ liefert demnach praxisnahe Orientierung für Unternehmen aller Größenordnungen und bietet fundierte Ansätze, um die neuen Compliance-Anforderungen effizient und nachhaltig umzusetzen.

Rechtlicher Rahmen

Unter Bezugnahme auf das IT-Sicherheitsgesetz 2.0 aus dem Jahr 2021 werden Kritische Infrastrukturen in Deutschland definiert als Einrichtungen, Anlagen oder Teile davon, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit nach sich ziehen könnte. Für den Ernährungssektor bedeutet dies, dass die Versorgung der Allgemeinheit mit Lebensmitteln als kritische Dienstleistung gilt, die von der Lebensmittelherstellung über Verarbeitung bis zum Handel reicht. Die landwirtschaftliche Wertschöpfungskette wird durch ihre komplexe Struktur und den variierenden Grad der IT-Nutzung in den Betrieben zu einer besonderen Herausforderung für Informationssicherheit und Risikomanagement. Die BSI-Kritisverordnung konkretisiert diese Anforderungen zusätzlich anhand von Versorgungsgrenzen, wodurch die kritische Bedeutung einzelner Betriebe oder Unternehmensgruppen messbar wird.