Was das KRITIS-Dachgesetz für die Lebensmittelbranche bedeutet
von Food Cluster Hamburg
Die COVID-19-Pandemie, der russische Angriffskrieg gegen die Ukraine und zuletzt die steigenden Energiepreise aufgrund der Iran-Krise haben gezeigt: Kritische Infrastrukturen und damit die Grundversorgung der Bevölkerung sind zunehmenden Belastungen ausgesetzt. Das KRITIS-Dachgesetz und andere Regularien sollen Unternehmen auf den Ernstfall vorbereiten und schnelle effiziente Maßnahmen ermöglichen. In diesen Beitrag fassen wir zusammen, was das für die Lebensmittelbranche bedeutet.
Kritische Infrastrukturen: die Definition
Die Abkürzung KRITIS steht für „kritische Infrastrukturen“ und umfasst grundsätzlich folgende Branchen:
- Energie
- Wasserversorgung
- Ernährung
- Transport und Verkehr
- Gesundheit
- Finanz- und Versicherungswesen
- Digitale Infrastruktur
- Sozialversicherungen
- Weltraum
- Siedlungsabfallentsorgung
Allerdings betrifft das KRITIS-Dachgesetz, das am 17. März 2026 in Kraft getreten ist und auf einer EU-Richtlinie beruht, nicht alle Unternehmen aus diesen Bereichen. Wer unter die Regelungen des Gesetzes fällt, bemisst sich nach quantitativen und qualitativen Kriterien. Wenn eine Einrichtung essenziell für die Gesamtversorgung in Deutschland ist und mehr als 500.000 Personen versorgt, zählt sie zur kritischen Infrastruktur im Sinne des Gesetzentwurfs. Außerdem wird das Ausmaß der wechselseitigen Abhängigkeiten der kritischen Infrastrukturen untereinander berücksichtigt: So bestehen in der Lebensmittelbranche enge Verbindungen zu anderen Sektoren wie der Energieversorgung oder der Logistik. In diesem Fall spricht man von einem Kaskadeneffekt.
KRITIS in der Lebensmittelbranche
Für welche Unternehmen der Lebensmittelbranche das Dachgesetz gilt, ist noch nicht im Detail festgelegt. Konzerne, deren Kundenkreis weit mehr als 500.000 Personen umfasst, sind sicher betroffen. Aber systemrelevant können auch Betriebe sein, die wesentliche Zutaten für Grundnahrungsmittel produzieren, die von einer Reihe weiterer Unternehmen verarbeitet werden. Hier tritt der bereits erwähnte Kaskadeneffekt ein.
Food Landscapes als Orientierungshilfe
Die Kühne Logistics University (KLU) beschäftigt sich in zwei Projekten mit dem Thema: KRITIS-ENV und FORTE. Zielsetzung von KRITIS-ENV ist es, Tools und Maßnahmen für die Ernährungsnotfallvorsorge (ENV) in Deutschland zu erarbeiten. Das Projekt FORTE betrachtet neben der kritischen Infrastruktur Ernährung auch die Bereiche Energie, IT und Logistik und untersucht Abhängigkeiten zwischen den Sektoren im Krisenfall. Um die Zusammenhänge und Kaskadeneffekte besser verstehen zu können, hat die KLU das Prinzip der „Food Landscapes“ entwickelt. Deren Aufgabe lässt sich folgendermaßen zusammenfassen:
- Akteurstypen identifizieren - Sektorübergreifende Übersicht schaffen
- Kritische Akteure erkennen - Analyse von Abhängigkeiten und Ketten sowie Verknüpfung der Ketten untereinander
- Vulnerabilitäten ableiten - Schwachstellen im System sichtbar machen, Betrachtung von Marktkonzentration und Systemrelevanz Betrachtung von Vulnerabilität anhand von geografischer Lage
- Hilfestellung für Behörden in Krisenfällen - Betrachtung von wichtigen Hilfs- und Betriebsstoffen, Betrachtung von historischen Krisenfällen und Betrachtung von behördlichen Spielräumen aus vergangenen Erfahrungen
Unternehmen, die an der Erstellung einer Food Landscape und an der Mitarbeit an den Projekten interessiert sind, können sich gern an die KLU oder an das Food Cluster Hamburg wenden.
Was Lebensmittelunternehmen jetzt schon tun können und müssen
Auch wenn die konkreten Verordnungen zum Teil erst noch erarbeitet werden, sollten in Frage kommende Unternehmen bereits jetzt folgende Maßnahmen ergreifen:
Resilienzpläne erstellen
Jeder Betreiber muss in Zukunft auf die spezifischen Risiken für seine Anlage mit passgenauen Maßnahmen reagieren, die in Resilienzplänen dargestellt werden. Dabei muss jedes denkbare Risiko analysiert berücksichtigt werden. Zu den denkbaren Maßnahmen gehören die Bildung von Notfallteams, Schulungen für Beschäftigte, Objektschutz, Sicherstellung der Kommunikation, Notstromversorgung und Maßnahmen zur Ausfallsicherheit und Ersatzversorgung.
Meldepflichten einhalten
Die Betreiber kritischer Infrastrukturen werden künftig dazu verpflichtet, Vorfälle auf einem Onlineportal des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK) und des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zu melden. In der Lebensmittelbranche könnte das beispielsweise gravierende Produktionsausfälle oder Störungen der Lieferkette betreffen. Grundsätzlich werden sich alle Unternehmen registrieren müssen, die unter die KRITIS-Dachgesetzgebung fallen.
Cybersecurity
Bereits umgesetzt ist die NIS-2-Richtlinie (Network and Information Security), ein verbindlicher EU-Standard für Cybersicherheit. Sie verpflichtet Unternehmen und öffentliche Einrichtungen in kritischen Sektoren zu striktem IT-Risikomanagement und Meldepflichten bei Sicherheitsvorfällen. Zu den erforderlichen Sicherheitsmaßnahmen zählen unter anderem Risikoanalysen und Konzepte zur Sicherheit in der IT, Konzepte zur Aufrechterhaltung von Produktion und Lieferketten, Maßnahmen zu Kryptografie und Verschlüsselung, und Schulung der Mitarbeitenden und der Geschäftsführung, welche bei Verstößen persönlich haftbar gemacht werden kann. Bei einem gravierenden Vorfall ist eine Meldung an das BSI innerhalb von 24 Stunden verpflichtend. Betroffen sind Unternehmen ab einer Beschäftigtenzahl von mindestens 50 beziehungsweise einem Jahresumsatz ab 10 Millionen Euro. Auch hier ist eine Registrierung beim BSI verpflichtend. Bei Nichteinhaltung drohen empfindliche Bußgelder.
Links:
KRITIS: https://www.bmi.bund.de/SharedDocs/pressemitteilungen/DE/2025/09/kritis-dg-kabinett.html
BBK zu KRITIS: https://www.bbk.bund.de/DE/Themen/Kritische-Infrastrukturen/kritische-infrastrukturen_node.html
NIS-2-Registrierung beim BSI: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html