Information NISG 2026 Lebensmittelhandel
Lesedauer: 1 Minute
Wir möchten Sie darüber informieren, dass das NISG 2026 letzte Woche im Nationalrat beschlossen wurde. Dieses Gesetz soll mit einer Übergangsfrist von 9 Monaten nach Kundmachung in Kraft treten. Sobald der Gesetzgebungsprozess vollständig abgeschlossen ist bzw die Kundmachung erfolgt, informieren wir Sie noch gesondert. Vorab möchten wir Ihnen jedoch schon nachstehende Informationen bereitstellen:
- Mit dem NISG 2026 wird das Bundesamt für Cybersicherheit als zentrale, dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde eingerichtet.
- Einrichtungen aus kritischen Sektoren ab mittlerer Größe müssen mit dem NISG 2026 verpflichtend Risikomanagementmaßnahmen wie Backupmanagement, Mitarbeiterschulungen und Notfallmanagement vorsehen.
- Dabei sind auch direkte Dienstleister und Lieferanten zu berücksichtigen.
- Verantwortlich dafür ist die Geschäftsleitung, die auch Schulungen absolvieren muss.
- Erhebliche Cybersicherheitsvorfälle müssen unverzüglich, längstens binnen 24 Stunden gemeldet werden.
Zeitplan:
- Registrierungspflicht für wesentliche und wichtige Einrichtungen: 3 Monate ab Inkrafttreten NISG 2026
- Pflicht zur Selbstdeklaration (ohne Aufforderung durch Behörde): 12 Monate ab Inkrafttreten
Betroffenheit Lebensmittelhandel:
Der Sektor Lebensmittel findet sich in der Anlage 2 unter Ziffer 4. Demnach fallen Lebensmittelunternehmen, die im Großhandel und in der industriellen Produktion und Verarbeitung tätig sind, unter das NIS-2-Gesetz. Aus den Erläuterungen ergibt sich eindeutig, dass diese Tätigkeiten kumulativ vorliegen müssen (vgl. Erläut S. 53). Somit gilt:
- NIS-2 unterliegen nur mittlere und große Unternehmen (dh ab 50 MA oder Jahresumsatz über 10 Mio. Euro und Jahresbilanzsumme über 10 Mio. Euro, wenn man nicht ohnehin schon ein großes Unternehmen ist; Näheres zu den Unternehmensgrößen finden Sie hier)
- Lebensmitteleinzelhandel an sich unterliegt nicht diesem Gesetz
- Lebensmittelgroßhandel ist nur dann betroffen, wenn er auch gleichzeitig industriell produziert und verarbeitet
- Unternehmen, die per Bescheid als kritische Einrichtung iSd RKE-G eingestuft wurden, unterliegen unternehmensgrößenunabhängig den Verpflichtungen aus dem NIS-2-G
Wir empfehlen eine unternehmensinterne Überprüfung, ob man eventuell über andere Sektoren in den Anwendungsbereich des Gesetzes fällt (Sektoren finden sich in den Anlagen 1 und 2).
Weitere Klarstellungen:
- Online-Shops gelten nicht als Online-Marktplatz und sind daher nicht von NIS-2 betroffen
- "Photovoltaikanlagen-Problem": Einspeisen von überschüssiger Energie in das öffentliche Netz bewirkt nicht, dass man in den Sektor "Elektrizitätsunternehmen" fällt, wenn die elektrische Energie primär für den Eigenbedarf und somit ohne Gewinnerzielungsabsicht erzeugt wird (vgl. Erläut. S. 51)
Weiterführende Links:
Infos zu NIS-2 finden Sie hier >>