Vor solchen Angriffen soll die NIS-2-Richtlinie schützen. Sie wurde umgesetzt durch das BSI-Gesetz, das Ende des vergangenen Jahres in Kraft getreten ist. Verpflichtete Unternehmen müssen sich seit März dieses Jahres registrieren. Seit mehreren Monaten erhalten Handwerksbäckereien Informationen von Dienstleistern, die sie auf eine angebliche Registrierungspflicht hinweisen und ihre Dienste anbieten.
Sind auch Handwerksbäckereien verpflichtet, sich zu registrieren?
Das gesamte Gesetz zur Umsetzung der NIS-2-Richtlinie, zu dem auch die Änderungen im BSIG gehört, stellt sich äußerst kompliziert dar. Welche Pflichten welches Unternehmen zu erfüllen hat, lässt sich nur außerordentlich schwer lesen. Nach § 33 Abs. 1 BSIG sind Unternehmen, die als besonders wichtige und wichtige Einrichtung gelten, verpflichtet, dem BSI die dort genannten Daten zu übermitteln.
Was eine besonders wichtige Einrichtung ist, ergibt sich aus § 28 Abs. 1 BSIG. Von den dort genannten Betrieben sind die in Ziffer 2 und Ziffer 3 genannten für uns erkennbar nicht relevant. In Frage kommt allenfalls Ziffer 1. Was eine kritische Anlage ist, bestimmt sich gemäß § 2 Ziffer 22 nach einer Rechtsverordnung nach § 56 Abs. 4 BSIG, der Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz (BSI-Kritisverordnung - BSI-KritisV): Unternehmen, die Lebensmittel herstellen, müssen demnach 434.500 Tonnen Lebensmittel herstellen, was dem Bedarf von 500.000 Menschen entsprechen soll. Betriebe des Bäckerhandwerks zählen demnach nicht zu den besonders wichtigen Einrichtungen.
Was eine wichtige Einrichtung ist, ergibt sich aus § 28 Abs. 2 BSIG. Relevanz hat hier nur die Ziffer 3. Genannt sind dort Unternehmen, die mindestens 50 Mitarbeiter beschäftigen oder (!) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen. Hierunter fallen sehr viele Betriebe des Bäckerhandwerks. Allerdings müssen diese Unternehmen zusätzlich einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind. In Anlage 1 sind Unternehmen des Lebensmittelsektors gar nicht erwähnt. In Anlage 2 finden wir unter Ziffer 4 die Unternehmen des Lebensmittelsektors. Allerdings ist hier der Anwendungsbereich ausdrücklich auf solche Unternehmen beschränkt, die „im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind“. Nach unserer Lesart zählen die Unternehmen des Bäckerhandwerks hierzu ausdrücklich nicht. Lediglich in extremen Ausnahmefällen könnte man einzelne sehr große Unternehmen des Bäckerhandwerks bei einer sehr weiten Auslegung des Gesetzestextes zur industriellen Produktion zählen. Uns begegnen solche Auslegungen immer wieder in den verschiedensten Bereichen. Wir halten sie jedoch in aller Regel für falsch.
Hier könnte unter Umständen jemand auf den Gedanken kommen, dass eine große Handwerksbäckerei mit einer großen Zahl an Verkaufsstellen zur industriellen Produktion gehört. Wenn man auf der absolut sicheren Seite sein will, könnte man also als sehr großer Handwerksbäcker zu dem Ergebnis kommen, dass man als wichtige Einrichtung unter die Meldepflicht fällt. Aus unserer Sicht spricht aber mehr dafür, dass selbst ein großer Handwerksbäcker, der einen großen Teil der Möglichkeiten der Automatisierung bereits nutzt, noch nicht zur industriellen Produktion von Lebensmitteln fällt.
Bäckereien sollten aber freiwillig tätig werden
Auch wenn Handwerksbäcker – bis auf möglicherweise sehr wenige extreme Ausnahmefälle – nicht verpflichtet sind, sich nach dem BSIG zu registrieren und Schutzmaßnahmen zu ergreifen, können wir nur dringend dazu raten, sich mit der Problematik zu befassen und freiwillig geeignete Maßnahmen zu ergreifen, um sich vor Cyber-Angriffen zu schützen. Jedes Unternehmen sollte prüfen, an welcher Stelle es angreifbar ist, und welche Maßnahmen man ergreifen kann, um sich zu schützen. Schutz kostet immer Geld, teilweise auch viel Geld. Ein erfolgreicher Angriff kann aber schnell viel teurer werden.
Stand: 9. Juli 2026
