Melden Sie sich für den für Sie passenden TÜV SÜD Newsletter an.
Melden Sie sich für den für Sie passenden TÜV SÜD Newsletter an.
A
m 3. Mai 2018 endet die im IT-Sicherheitsgesetz vorgesehene Übergangsfrist für die Betreiber von kritischen Infrastrukturen im Sektor Ernährung. Welche Unternehmen sind betroffen und was sollten sie beachten, um ihre Nachweispflicht rechtzeitig zu erfüllen?
Die Lebensmittelversorgung – darunter fallen Lebensmittelproduktion, -verarbeitung und -handel – hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) als kritische Infrastruktur definiert. Denn ohne sie ist ein funktionierendes Gemeinwesen praktisch nicht möglich. Wie viele andere Branchen ist auch der Lebensmittelsektor heute weitgehend von Informationstechnologie bestimmt. Maschinen steuern Produktionsabläufe, Informations- und Logistikprozesse laufen in großen Teilen digital und vernetzt ab. Eine Störung der IT-Infrastruktur bedeutet somit in der Regel erst mal Stillstand. Doch erst, wenn ein solcher Vorfall in einem Unternehmen dramatische wirtschaftliche und gesellschaftliche Folgen hat, fällt es tatsächlich in die Kategorie der „kritischen Infrastruktur“ (KRITIS) im Sinne des IT-Sicherheitsgesetzes von 2015. Dann muss die betroffene Firma hohe Mindestanforderungen im Bereich IT-Sicherheit erfüllen.
Die Nachweispflicht der KRITIS-Verordnung gilt folglich erst für Unternehmen ab einer bestimmten Größe. Für den Ernährungssektor hat der Gesetzgeber als Schwellenwert 434 500 Tonnen Lebensmittel oder 350 Millionen Liter Getränke festgelegt – ganz gleich, ob diese produziert, be- oder verarbeitet, gelagert oder gehandelt werden.
Firmen, die diese Schwellenwerte überschreiten, sind verpflichtet, angemessene, dem Stand der Technik entsprechende organisatorische und technische Maßnahmen zu treffen, um Störungen zu vermeiden. Entsprechende Nachweise gemäß § 8a BSIG müssen sie alle zwei Jahre vorlegen – erstmals bis 3. Mai 2018.
Die verpflichtende Nachweisführung können unter anderem akkreditierte und zugelassene Zertifizierungsgesellschaften wie der TÜV SÜD in Form eines etwa 10-tägigen Audits übernehmen. Der externe Nachweis bestätigt die Anwendung des Standes der Technik im Hinblick auf die IT-Sicherheit. Das BSI sieht die Leitnorm ISO/IEC 27001 als hilfreichen Leitfaden für betroffene Unternehmen in diesem Zusammenhang an. Um die Nachweisführung etwas zu vereinfachen, können Unternehmen einer Branche gemeinsam einen branchenspezifischen Sicherheitsstandard (B3S) erarbeiten und vom BSI als Stand der Technik bestätigen lassen. KRITIS des entsprechenden Sektors müssen dann nur noch diesen Standard umsetzen und von einem unabhängigen Prüfer bestätigen lassen. Im Sektor Ernährung sind derzeit zwei Standards in Arbeit: zum einen für den Lebensmittelhandel, eingereicht vom EHI Retail Institute e. V., und zum anderen für Lebensmittelhersteller, der federführend von einem Arbeitskreis der Bundesvereinigung der Deutschen Ernährungsindustrie e. V. (BVE) entwickelt wurde.
Weitere Informationen zu den Nachweispflichten finden Sie auch:
Ihr TÜV SÜD Experte: Dr. Heiko Dustmann, Vertriebsleiter Geschäftsfeld Lebensmittel/Futtermittel bei TÜV SÜD
Hier finden Sie die Übersicht unserer Zertifizierungsleistungen.
Erfahren Sie mehr
