NIS2 Checkliste für die Logistikbranche: der praktische Fahrplan

In der Logistik hängt bei NIS2 alles an einer Zuordnung, und die fällt anders aus, als die Branchenlogik es erwarten lässt. Wer Fracht bewegt, ist nicht automatisch erfasst. Und wer nicht erfasst ist, hat trotzdem Arbeit, nur mit einem anderen Auftraggeber.

Wen erfasst die NIS2 Checkliste für die Logistikbranche in der Anlage 2?

Genau eine Einrichtungsart. Der Eintrag der Anlage 2 des BSIG im Bereich Transport und Verkehr lautet: Anbieter von Postdienstleistungen nach § 3 Nummer 15 des Postgesetzes, einschließlich Anbieter von Kurierdiensten. Mehr steht dort nicht. Speditionen, Frachtführer und Lagerlogistik kommen in der Anlage 2 nicht vor.

In der Anlage 1 sieht es für den Landverkehr ähnlich aus. Der Teilsektor Straßenverkehr nennt Betreiber von Anlagen und Systemen zur Verkehrsbeeinflussung sowie Betreiber intelligenter Verkehrssysteme, also Tunnelleitzentralen und Telematikinfrastruktur der öffentlichen Hand, nicht aber Güterkraftverkehrsunternehmen. Ein Kurier- und Expressdienst ist damit wichtige Einrichtung, eine Spedition derselben Größe über den Sektor nicht. Für sie kommt die Pflicht über § 30 Absatz 2 Nummer 4 BSIG ins Haus, weil jeder regulierte Kunde die Sicherheit seiner unmittelbaren Anbieter regeln muss. Das ist eine vertragliche Bindung und keine gesetzliche, und der Unterschied entscheidet darüber, ob eine Registrierung fällig ist oder ein Fragebogen.

Wie ordnet die NIS2 Checkliste für die Logistikbranche einen Konzern ein?

Je Einrichtung, nicht je Gruppe. In einer Logistikholding kann die Reederei als Frachtbeförderungsunternehmen der Anlage 1 zugeordnet sein, während die Speditionstochter danebensteht und die Kuriertochter in der Anlage 2 landet. Drei Gesellschaften, drei Ergebnisse, ein Konzern.

Zwei Vorschriften helfen bei der Abgrenzung. § 28 Absatz 3 BSIG erlaubt, bei der Zuordnung zu einer Einrichtungsart solche Geschäftstätigkeiten unberücksichtigt zu lassen, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Ein Speditionskonzern rutscht also nicht allein deshalb in die Anlage 1, weil er an einem Standort eine kleine Verkehrsbeeinflussungsanlage betreibt. Für die Größenschwellen verweist § 28 Absatz 4 BSIG auf die Empfehlung 2003/361/EG, rechnet die Zahlen verbundener Unternehmen aber dann nicht hinzu, wenn die Gesellschaft mit Blick auf Beschaffenheit und Betrieb ihrer informationstechnischen Systeme unabhängig ist. Bei gemeinsamem Transportmanagementsystem und zentraler Netzanbindung ist sie das nicht.

Was verlangt die NIS2 Checkliste für die Logistikbranche im Seeverkehr zusätzlich?

Eine Pflicht, die deutlich älter ist als NIS2. Die IMO-Resolution MSC.428(98) verlangt, dass Cyberrisiken im Sicherheitsmanagementsystem der Reederei behandelt werden, und zwar spätestens bei der ersten jährlichen Überprüfung des Document of Compliance nach dem 1. Januar 2021. Cyberrisiken sind damit im ISM-Code eingebettet und werden wie jedes andere Risiko an Bord geführt.

Konkretisiert wird das über die Leitlinien MSC-FAL.1/Circ.3 zum maritimen Cyber-Risikomanagement und die Branchenleitlinien zur Cybersicherheit an Bord. Geprüft wird es nicht vom BSI, sondern im Rahmen der Auditierung des Sicherheitsmanagementsystems. Für eine Reederei bedeutet das zwei Nachweiswege für eine Substanz: Bordseite über das Sicherheitsmanagementsystem, Landseite über das BSIG. Wer beides trennt, pflegt zwei Risikoregister über dieselben Systeme. In der Luftfracht existiert mit Part-IS eine strukturell gleiche Doppelung.

Welche Frist bringt die NIS2 Checkliste für die Logistikbranche aus dem EU-Recht mit?

Den 9. Juli 2027. Ab diesem Datum müssen die zuständigen Behörden der Mitgliedstaaten Frachtbeförderungsinformationen akzeptieren, die über eine zertifizierte eFTI-Plattform elektronisch übermittelt werden. Grundlage ist die Verordnung (EU) 2020/1056, sie deckt Straße, Schiene, Binnenschifffahrt und Luftfracht ab, und die Kontrollen werden papierlos.

Sicherheitsrelevant ist das aus zwei Gründen. Erstens entsteht ein neuer, regulierter Datenfluss über einen zertifizierten Plattformbetreiber, und der ist ein unmittelbarer Anbieter im Sinne des § 30 Absatz 2 Nummer 4 BSIG. Zweitens verschwindet mit dem Papier der stille Rückfallprozess: Wer die Frachtdokumente nur noch elektronisch führt, braucht einen geübten Notbetrieb, weil ein Systemausfall dann nicht nur die Disposition trifft, sondern die Kontrollfähigkeit an der Rampe und an der Grenze.

Welche Punkte werden bei der NIS2 Checkliste für die Logistikbranche am häufigsten übersprungen?

Drei. Erstens die Zollschnittstelle als eigener Ausfallpunkt. Steht die Anmeldung, stehen Sendungen, unabhängig davon, ob ein Fahrzeug fahren könnte. Ein Rückfallprozess mit benannten Ansprechpartnern gehört dokumentiert, und zwar getrennt vom Wiederanlauf der Kern-IT.

Zweitens die Zugänge der Subunternehmer in den eigenen Portalen. Fahrer und Disponenten fremder Unternehmen arbeiten in Telematik- und Statusportalen, und diese Konten überleben Vertragsende und Personalwechsel regelmäßig. Verlangt sind namentliche Konten, eine Regel für das Entziehen und ein Nachweis, dass sie greift. Drittens die dokumentierte Nichtbetroffenheit. Wer zu dem Ergebnis kommt, nicht erfasst zu sein, braucht dieselbe schriftliche Begründung wie jemand, der erfasst ist, weil genau danach der erste regulierte Kunde fragt.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für Logistikunternehmen konkret wird, von der Einstufung über Frachtsysteme und Partnerketten bis zur Haftung der Leitungsebene
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung über die Erfassung kritischer Systeme, Risiken und Lieferkette bis zu Meldung, Leitung und Schulung
• Drei typische Stolperfallen, von der Telematik als blindem Fleck über die unterschätzte Partnerkette bis zum ungeprobten Ausfall
• Drei Quick Wins, unter anderem die Netzwerksegmentierung und die Nutzung eines bestehenden ISMS nach ISO 27001

Die Checkliste richtet sich an Geschäftsführungen, IT- und Betriebsverantwortliche sowie Sicherheitsverantwortliche in Speditionen, Transport- und Lagerbetrieben, bei Kurier- und Expressdiensten sowie in der Hafen- und Flughafenlogistik. Laden Sie sie kostenfrei herunter.