Lebensmittelbetrieb 2026: Orientierung zu DSGVO und NIS2-Schwellen im Standard-Profil

Welche regulatorischen Vorgaben sind im Lebensmittelbetrieb einschlägig?

Drei Regelungsbereiche treten verbreitet parallel auf:

Lebensmittelrecht (LFGB, EU-Lebensmittel-Hygieneverordnung 852/2004, BVL-Hinweise). Sektor-spezifische Vorschriften zu Lebensmittelsicherheit, HACCP (Hazard Analysis and Critical Control Points), Rückverfolgbarkeit und Kennzeichnung. Diese Vorgaben sind nicht datenschutz- oder cyber-spezifisch, prägen aber die Dokumentations-Infrastruktur und die Asset-Strukturen, die für eine spätere IT-Sicherheits-Inventur typischerweise wiederverwendet werden können.

Datenschutzrecht (DSGVO). Verarbeitung personenbezogener Daten ist im Lebensmittelbetrieb verbreitet bei B2B-Kundenstamm (Hotels, Gastronomie, Schulen, Kantinen), Mitarbeiter-Personalakten, Lieferanten-Stammdaten und gegebenenfalls Endverbraucher-Daten (Online-Bestellungen, Treueprogramme, Allergie-Hinweise). Pflichten ergeben sich aus Art. 5, 6, 13, 28 und 30 DSGVO; bei Gesundheitsdaten zusätzlich aus Art. 9 DSGVO.

Cyber-Sicherheit (NIS2-Richtlinie und nationales Umsetzungsrecht). Anhang II Nummer 4 der NIS2-Richtlinie (EU) 2022/2555 benennt den Sektor „Produktion, Verarbeitung und Vertrieb von Lebensmitteln"; erfasst sind aber nur Lebensmittelunternehmen, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind. In Deutschland gilt seit 6.12.2025 das BSIG (Anlage 2 Nr. 4.1.1). Werden die Größenschwellen des § 28 Abs. 2 Nr. 3 BSIG erreicht, gelten die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32 BSIG und die Registrierungspflicht nach § 33 BSIG.

Welche Konstellation passt typisch zum mittelständischen Lebensmittelbetrieb?

Für einen mittelständischen Lebensmittelbetrieb lässt sich die Lage so skizzieren; die abschließende Einordnung hängt vom Einzelfall ab:

• DSGVO-Verantwortlicher mit B2B-Lastigkeit und überschaubarer Verarbeitung besonderer Kategorien.
• NIS2-Status hängt von Tätigkeit und Größe ab: Lebensmittelunternehmen im Großhandel oder in der industriellen Produktion und Verarbeitung sind wichtige Einrichtungen, wenn sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen (§ 28 Abs. 2 Nr. 3 BSIG). Darunter besteht keine direkte NIS2-Pflicht, sofern der Betrieb nicht Betreiber einer kritischen Anlage ist.

• Indirekte Lieferketten-Anforderungen über große Handelskunden und Distributoren sind unabhängig von der eigenen NIS2-Schwelle verbreitet, Inhalt und Tiefe ergeben sich aus den jeweiligen Listing-Verträgen.
• HACCP-Dokumentation als methodische Vorlage: Ihre Struktur kann für ein eigenes IT-Asset- und Prozess-Inventar übernommen werden.
• Bestell- und Warenwirtschafts-Systeme als kritische IT-Assets mit erhöhtem Schutzbedarf.

Welcher Aufbau-Rahmen ist verbreitet?

Ein möglicher Aufbau in drei Schritten; ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Verarbeitungsverzeichnis nach Art. 30 DSGVO. Eine strukturierte Erfassung der Verarbeitungen: B2B-Kundendaten, Mitarbeiter, Lieferanten, ggf. Endverbraucher mit Allergie- oder Diabetiker-Hinweisen, ERP-Daten. Sofern Gesundheitsdaten verarbeitet werden, ist eine separate Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO zu prüfen.

Zweiter Baustein, IT-Asset-Inventar nach dem Vorbild von HACCP. Ein eigenes Verzeichnis der IT-Komponenten, das sich an der Struktur der HACCP-Dokumentation orientieren kann: zentraler ERP-Server, Filial-Kassensysteme, Warenwirtschafts-Komponenten, Backup-Infrastruktur, Cloud-Anbindungen. Für NIS2-pflichtige Betriebe ist diese Erfassung Grundlage der Risikoanalyse nach § 30 Abs. 2 Nr. 1 BSIG.

Dritter Baustein, Basismaßnahmen. Zwei Maßnahmen finden sich sowohl unter den Mindestmaßnahmen des § 30 Abs. 2 BSIG als auch unter den Obliegenheiten der GDV-Musterbedingungen für Cyberversicherungen (AVB Cyber, Stand Februar 2024, A1-16.1): Datensicherung mit regelmäßig geprüfter Wiederherstellung (§ 30 Abs. 2 Nr. 3 BSIG; AVB Cyber: mindestens wöchentlicher Sicherungsprozess) und zeitnahes Patch-Management (§ 30 Abs. 2 Nr. 5 BSIG). Multi-Faktor-Authentifizierung ist in § 30 Abs. 2 Nr. 10 BSIG ausdrücklich genannt; die AVB Cyber führen 2-Faktor-Authentifizierung nur als Beispiel für zusätzlichen Schutz von über das Internet erreichbaren Servern an. Die Sensibilisierung der Beschäftigten (§ 30 Abs. 2 Nr. 7 BSIG) ist keine Obliegenheit nach A1-16. Zusätzlich sinnvoll ist eine Netzwerk-Trennung zwischen Produktion und Büro.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für den mittelständischen Lebensmittelbetrieb nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• NIS2-Schwellenwert-Erreichung: Erreicht ein Großhandels- oder Industriebetrieb die Schwellen des § 28 Abs. 2 Nr. 3 BSIG, gelten Risikomanagementmaßnahmen (§ 30 BSIG), Meldepflichten (§ 32 BSIG), die Registrierung beim BSI binnen drei Monaten (§ 33 BSIG) und die Schulungspflicht der Geschäftsleitung (§ 38 Abs. 3 BSIG).

• Spezial-Versorgung mit Gesundheitsdaten: Klinik-Catering, Pflegeheim-Versorgung, Allergiker-Spezialisierung oder Diabetiker-Versorgung können Gesundheitsdaten nach Art. 9 DSGVO mit erweiterten Anforderungen einschlägig machen, gegebenenfalls einschließlich einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

• Bio- und Zertifizierungs-Programme: IFS, BRCGS, ISO 22000 oder Bio-Audits können eigene Dokumentationsanforderungen stellen; eine Abstimmung mit der DSGVO-/NIS2-Dokumentation vermeidet Doppelarbeit.

• Internationale Lieferketten: Drittstaaten-Zulieferer und Export-Tätigkeiten erfordern eine separate Würdigung der DSGVO-Drittland-Transfers (Art. 44 ff. DSGVO) und sektoraler Vorschriften.

• Datenpanne mit Massenwirkung: Sofern ein Ransomware- oder Datenleck-Vorfall die Bestell- oder Filialinfrastruktur lahmlegt, sind Meldepflichten nach Art. 33 DSGVO (binnen 72 Stunden) und gegebenenfalls § 32 BSIG (Umsetzung von Art. 23 NIS2: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung, bei andauerndem Vorfall stattdessen Fortschrittsmeldung) parallel zu prüfen.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Branchen-Verband, IT-Sicherheits-spezialisierte Beratung oder Datenschutzbeauftragte wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zur NIS2-Betroffenheit liefert der NIS2-Check, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Zur Sektor-Logik am Beispiel Energie: NIS2 im Sektor Energie als Deep-Dive.