Litauen:
Was Kunden von Lieferanten erwarten

Litauen als Markt für Südamerika

Litauen hat eine starke Lebensmittel- und Logistikbranche. Viele Importeure und Handelsketten beliefern von Vilnius oder Kaunas aus auch Lettland und Estland. Für einen Weinexporteur aus Mendoza oder einen Fruchthändler aus dem Valle de Aconcagua kann ein litauischer Großhändler deshalb der Zugang zu drei Märkten sein.

Klaipėda ist der einzige Seehafen des Landes. Container aus Südamerika kommen meist über einen Umschlaghafen in Westeuropa und dann per Zubringerschiff. Verzollt wird dort, wo die Ware in die EU eingeführt wird.

Im März 2026 hat das litauische Außenministerium die Gründung einer Litauisch-Brasilianischen Handelskammer begrüßt, angestoßen vom Honorarkonsul Litauens in Brasilien.

Was überall in der EU gleich ist und was national gilt

Zoll und Produktrecht sind EU-weit gleich. Seit dem 01.05.2026 wird der Handelsteil des EU-Mercosur-Abkommens vorläufig angewendet; die Präferenz gilt auch für Ware, die nach Litauen geht. Die Grundlagen stehen im Leitfaden zum Export in die EU.

National geregelt sind die Sprache der Verbraucherinformation (Litauisch), die Mehrwertsteuer (Normalsatz 21 %) und die Erfassung von Verpackungen. Hersteller und Importeure von Verpackungen und bestimmten anderen Waren müssen sich im staatlichen Informationssystem GPAIS registrieren und dort ihre Mengen melden. Ausländische Unternehmen können sich über einen Vertreter registrieren lassen. Meist übernimmt das Ihr litauischer Importeur, weil er die Ware in Verkehr bringt. Seit dem 12.08.2026 gilt zudem die EU-Verpackungsverordnung (EU) 2025/40.

NIS2 in Litauen

Litauen hat sein Cybersicherheitsgesetz (Kibernetinio saugumo įstatymas Nr. XII-1428) mit dem Gesetz Nr. XIV-2902 neu gefasst. Die Neufassung gilt seit dem 18.10.2024, die letzte Änderung (Nr. XV-1076) seit Juli 2026. Die Einzelheiten stehen im Regierungsbeschluss Nr. 945 von 2024, darunter eine Beschreibung der Cybersicherheitsanforderungen mit Bezug auf ISO/IEC 27002.

Zuständig ist das Nationale Cybersicherheitszentrum (Nacionalinis kibernetinio saugumo centras, NKSC) beim Verteidigungsministerium. Es führt das Register der betroffenen Unternehmen, nimmt Meldungen an und verhängt Bußgelder. Eine Besonderheit: Die Pflichten gelten erst ab der Eintragung ins Register. Danach hat ein Unternehmen zwölf Monate, für einige technische Anforderungen 24 Monate, um sie umzusetzen.

Erhebliche Vorfälle sind spätestens nach 24 Stunden als Frühwarnung und nach 72 Stunden als Meldung an das NKSC zu geben, der Abschlussbericht folgt nach einem Monat. Leitungsorgane müssen alle zwei Jahre eine Cybersicherheitsschulung absolvieren, und alle drei Jahre ist ein unabhängiges Audit fällig.

Wann ein Vorfall erheblich ist, legt Litauen mit eigenen Schwellen fest, solange die EU nichts Genaueres regelt. Dazu gehören unter anderem ein Ausfall von zwei Stunden oder mehr, 1.000 betroffene Nutzer oder 25 % der Nutzer (der kleinere Wert) und ein finanzieller Schaden ab 500.000 EUR oder 5 % des Vorjahresumsatzes. Die Schwellen sind niedrig. Ein mehrstündiger Ausfall Ihres Dienstes kann bei Ihrem Kunden schon eine Meldung an das NKSC auslösen, und er wird wissen wollen, wann Sie ihn informiert haben.

Für Lieferanten wichtig: Die Anforderungsbeschreibung enthält eigene Regeln zur Lieferkette und zu Vertragsinhalten. Ihr litauischer Kunde muss diese in den Vertrag mit Ihnen übernehmen. Weil die Anforderungsbeschreibung auf ISO/IEC 27002 verweist, lohnt es sich, die eigenen Maßnahmen nach ISO 27001 zu ordnen. In Sightadel sehen Sie dann schnell, wo noch Belege fehlen. Mehr zur Richtlinie auf der Seite zu NIS2.

Datenschutz und Lieferkette

Die Datenschutzaufsicht ist die Valstybinė duomenų apsaugos inspekcija (VDAI, Staatliche Datenschutzinspektion). Sie überwacht die DSGVO und wirkt nach dem Cybersicherheitsgesetz auch an der Cybersicherheitspolitik mit. Für Sie gelten die üblichen Pflichten: Auftragsverarbeitungsvertrag, Maßnahmenliste und Standardvertragsklauseln, wenn Ihr Land keinen Angemessenheitsbeschluss hat. Für Argentinien, Brasilien und Uruguay hat die EU Angemessenheitsbeschlüsse erlassen; dorthin dürfen Daten ohne Standardvertragsklauseln fließen. Für Chile, Kolumbien, Peru, Ecuador, Paraguay und Bolivien gibt es keinen Beschluss.

Ein eigenes Lieferkettengesetz hat Litauen nicht. Anforderungen zu Menschenrechten und Umwelt kommen über große Abnehmer und künftig über die CSDDD. Für Holz, Kaffee, Soja und Rindfleisch gilt die EUDR.

Was litauische Kunden typischerweise verlangen

Im Lebensmittelhandel verlangen die großen Ketten einen GFSI-anerkannten Standard wie IFS, BRCGS oder FSSC 22000, Analysezertifikate und vollständige Rückverfolgbarkeit. Die Pflichtangaben müssen auf Litauisch auf die Verpackung. Ob Sie das Etikett liefern oder der Importeur ein Zusatzetikett anbringt, sollten Sie vor der ersten Lieferung festlegen.

IT-Dienstleister bekommen Vertragsanhänge, die sich an der litauischen Anforderungsbeschreibung und an ISO 27001 orientieren: Zugriffsrechte, Mehrfaktor-Anmeldung, Datensicherung, Meldewege. Wer an litauische Banken oder Zahlungsinstitute liefert, bekommt zusätzlich Klauseln nach DORA.

So gehen Sie vor:

1. Fragen Sie Ihren litauischen Kunden, ob und seit wann er im Register des NKSC eingetragen ist; davon hängen seine Fristen ab.
2. Legen Sie fest, wer die Verpackungen im GPAIS meldet.
3. Liefern Sie Etiketten auf Litauisch oder vereinbaren Sie Zusatzetiketten schriftlich.
4. Halten Sie für IT-Leistungen Nachweise zu Zugriffsrechten, Datensicherung und Meldewegen bereit.

Anlaufstellen

FAQ