Der Cyberangriff auf vernetzte Kühlanlagen in Frankreich zeigt, wie Cyberrisiken den Geschäftsbetrieb und Lieferketten beeinträchtigen können. Udo Schneider von TrendAI erläutert, warum NIS2 und CRA keine bloße Bürokratie sind, sondern entscheidende Impulse für mehr Cybersicherheit und unternehmerische Resilienz setzen.
Laut Medienberichten hat ein Cyberangriff auf vernetzte Kühlanlagen in Frankreich Hunderte Supermärkte betroffen – in der schädlichen Folge mussten demnach große Mengen an Frisch- und Tiefkühlware entsorgt werden. Dieser Vorfall zeigt deutlich und warnend auf, wie schnell Cyberangriffe auf vernetzte Geräte konkrete Auswirkungen auf den Filialbetrieb und die Lebensmittelversorgung haben können.
Die sich in diesem Kontext stellende Frage – „Welche Rolle spielen EU-Regularien wie die NIS2-Richtlinie und der ,Cyber Resilience Act’ (CRA), um solche Risiken zu begrenzen?“ – erörtert Udo Schneider, „Governance, Risk & Compliance Lead, Europe“ bei TrendAI, in seiner aktuellen Stellungnahme. Er ordnet diesen Vorfall regulatorisch ein und erläutert, warum sowohl Betreiber als auch Hersteller Verantwortung für die Sicherheit vernetzter Geräte tragen. „Ja, NIS2 und CRA verlangen im Kern ,Best Practices’. Wenn alle diese ,Best Practices’ im Sinne des Fortbestehens der eigenen Organisation konsequent umsetzen würden, hätten wir viele dieser Probleme nicht und bräuchten weniger Regulierung!“, kommentiert Schneider.
Plädoyer für ein Mindestmaß an IT-Security zur Abwehr potenzieller Cyberangriffe
Die Realität sehe indes anders aus. Entsprechende „Best Practices“ seien seit Jahren dokumentiert, etwa von der ENISA (European Union Agency for Cybersecurity) und dem BSI (Bundesamt für Sicherheit in der Informationstechnik), wenn auch oft als nicht rechtlich bindende Empfehlungen. „Nur halten sich eben nicht alle daran“, so Schneider.
Angriffe auf Nicht-IT-Geräte, also etwa das sogenannte Internet der Dinge (IoT), sollten niemanden mehr überraschen. Die Probleme seien nämlich längst bekannt – offen erreichbare Systeme, mangelnde Absicherung und fehlende Updates. „Genau darum soll es mir hier aber nicht primär gehen.“ Schneider möchte nachfolgend seinen Blick auf das Vorgehen der Europäischen Union (EU) richten.
Regularien wie die NIS2-Richtlinie (Network and Information Security Directive 2), der „Cyber Resilience Act“ (CRA) und ähnliche Vorgaben hätten in den letzten Jahren viel Kritik erhalten. „Meiner Meinung nach oft zu Unrecht! Im Kern verlangen sie Dinge, die aus Cybersicherheitssicht eigentlich selbstverständlich sein sollten – kein Hype-Marketing, kein ,Feenstaub’, sondern ein Mindestmaß an Security, dessen Umsetzung im Interesse jedes Unternehmens liegen sollte.“
Im Kontext dieses Cyberangriffs ruft Schneider drei Punkte der NIS2 in Erinnerung:
- Security-Mindestmaßnahmen
Diese sollten genau solche Probleme verhindern – eben verwundbare, von außen erreichbare Geräte, welche kritische Prozesse beeinflussen könnten. - Der „All-Hazards-Risk“-Ansatz
NIS2 schreibe einen expliziten Risikoansatz vor, welcher alle Risiken umfasst. „Ein IT-Risiko, das zu einem Versorgungsproblem anwachsen kann, fällt aus meiner Sicht eindeutig darunter.“ Selbst wenn das IT-Risiko isoliert betrachtet fälschlicherweise als „gering“ eingestuft werde, glichen die nachfolgenden Auswirkungen auf die Lebensmittelversorgung, den Gesundheitsschutz und den Filialbetrieb diese Fehleinschätzung aus. - Lieferketten im eigentlichen Sinne
Im Kontext von NIS2 werde meist nur von IT- oder Software-Lieferketten gesprochen. „In diesem Fall gab es jedoch einen Übersprung von der Cyberwelt in die reale Welt.“ Genau dies adressiert NIS2: Cybersecurity-Probleme, welche sehr schnell physische und gesellschaftliche Auswirkungen haben könnten.
Cyberangriffe bedrohen in letzter Konsequenz die Resilienz des EU-Binnenmarktes
„Betrachten wir nun die andere Seite: Während NIS2 die Betreiber in den Fokus rückt, richtet sich der CRA stärker an Hersteller und Inverkehrbringer“, erläutert Schneider. Im Kontext dieses Vorfalls hätte der Betreiber – auch auf Grundlage von NIS2 (sofern er betroffen ist) – Pflichten zur Absicherung und Aktualisierung der Systeme. Auf Herstellerseite entstehe durch den CRA ebenfalls eine Verantwortung: Updates während der geplanten Supportzeit bereitzustellen und vor möglichen Verwundbarkeiten zu warnen – auch bei älteren Systemen.
„Deshalb möchte ich den Fokus wieder auf die EU lenken. Ja, viele sind von der Regulierung genervt. Oft höre ich das Argument, solche Vorgaben seien überflüssig, da sie lediglich bewährte Verfahren verlangen. Genau an dieser Stelle hake ich ein: Ja, NIS2 und CRA verlangen im Kern ,Best Practices’. Wenn alle diese ,Best Practices’ im Sinne des Fortbestehens der eigenen Organisation konsequent umsetzen würden, hätten wir viele dieser Probleme nicht und bräuchten weniger Regulierung.“
Wenn starke Empfehlungen nicht ausreichen, werde reguliert. Entsteht aus einem Vorfall eine Gefahr für die Resilienz des Binnenmarktes – also für eine der zentralen Säulen der EU – „dann sei die regulatorische Reaktion nachvollziehbar.“ Schneiders Fazit: „Dass solche Vorfälle weiterhin passieren, zeigt aus meiner Sicht deutlich, dass dieser Schritt notwendig war und ist! EU-Blaming hin oder her.“
Zentrale Erkenntnisse der DS-Redaktion
- Wer Bürokratie als Hemmnis ablehnt, sollte zwingend und umgehend in die Eigenverantwortung gehen sowie Sorge wenigstens für ein Mindestmaß an Sicherheit tragen, so dass der Gesetzgeber nicht zur weiteren Regulierung gedrängt wird.
- Das Verderben von Lebensmitteln gerade in Frankreich sollte ein Weckruf sein – es handelt sich bei diesem Cyberangriff um eine Attacke nicht nur auf die bloße Nahrungsversorgung, sondern auf die Alltagskultur und das Selbstverständnis einer Nation.
- Gerade eben noch in Frankreich – morgen könnte auch in Deutschland zugeschlagen werden: Wenn es dann nicht nur z.B. gegen Brauereien und ihre Produktionsprozesse geht, sondern etwa sogar um die fachgerechte Aufbewahrung von Arzneimitteln in Apotheken, wären die katastrophalen Auswirkungen lebensbedrohend.
- Die extreme Heterogenität der cyber-physischen Systeme (CPS) gerade in Lieferketten bietet vielfältige Ansatzpunkte für Cyberangriffe – es gilt, „by design“ bzw. „by default“ Cyberkriminellen bzw. -terroristen zuvorzukommen.
- Ein Mindestmaß an Cyber- bzw. IT-Security sollte im Interesse jedes Unternehmens liegen – es geht ja nicht nur um potenzielle finanzielle Schäden, sondern möglicherweise um langanhaltende Einbußen der Reputation und Marktposition.
Fazit der DS-Redaktion
Kritische Bereiche wie u.a. die Lebensmittelversorgung, der Gesundheitsschutz und der Filialbetrieb generell sind von einer solchen elementaren Bedeutung in einer Volkswirtschaft, dass umgehend ein Mindestmaß an Datensicherheit im umfassenden Sinne entlang sämtlicher Lieferketten umzusetzen ist. Ein bloßes Patchen einer einzelnen Schwachstelle reicht nicht mehr aus – hier sind Präventions- sowie Notfall- und Wiederanlaufplanung erforderlich, welche zumindest einen „Fail operational“-Betrieb und schnellen Wiederanlauf ermöglichen.
Weitere Informationen
DER SPIEGEL, 12.10.2026
Kühlsteuerung übernommen Hacker tauen Ware in Hunderten französischen Supermärkten ab
BR24, 12.10.2026
Cyberangriff auf französische Supermärkte: Kühlware verdorben
DATENSICHERHEIT.DE, 09.10.2026
EU CRA: SBOM als bedeutende Grundlage für Complianc
DATENSICHERHEIT.DE, 22.09.2026
Neues DsiN-Projekt: FitNIS2 Lieferkette zur Stärkung der Cybersicherheit in Wertschöpfungsverbünden
DATENSICHERHEIT.DE, 28.07.2026
IT-Probleme im Einzelhandel: Omnissa benennt Software als Blinden Fleck
