Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Welcher Verkehrsträger fällt unter NIS2 und welcher nicht? Das Whitepaper zeigt Anlage 1 BSIG, die Pflichten über die Lieferkette und den Weg zur Umsetzung.
In der Logistik ist die Betroffenheit ungleich verteilt, und zwar nicht nach Größe, sondern nach Verkehrsträger. Wer Fracht auf dem Wasser bewegt, steht namentlich im Gesetz. Wer sie auf der Straße bewegt, in der Regel nicht. Das entscheidet darüber, ob eine Registrierung fällig ist oder ein Fragebogen.
Der Sektor Transport steht in der Anlage 1 des BSIG, in vier Teilsektoren mit namentlich benannten Einrichtungsarten. Im Luftverkehr sind es Luftfahrtunternehmen nach Artikel 3 Nummer 4 der Verordnung (EG) Nr. 300/2008, Flughafenleitungsorgane und Flughäfen sowie ATM- und ANS-Anbieter. Im Schienenverkehr Betreiber von Eisenbahninfrastruktur nach § 2 Absatz 6 und 6a AEG und Eisenbahnverkehrsunternehmen nach § 2 Absatz 3 AEG einschließlich der Betreiber von Serviceeinrichtungen. In der Schifffahrt Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, Leitungsorgane von Häfen und Betreiber von Anlagen für den sicheren Betrieb einer Wasserstraße.
Beim Straßenverkehr wird es interessant, denn dort nennt die Anlage 1 nur zwei Dinge: Betreiber von Anlagen und Systemen zur Verkehrsbeeinflussung, etwa Tunnelleitzentralen, und Betreiber intelligenter Verkehrssysteme nach § 2 Nummer 1 IVSG. Speditionen, Frachtführer und Güterkraftverkehrsunternehmen kommen in der Anlage 1 nicht vor. Eine Reederei ist als Frachtbeförderungsunternehmen also erfasst, ein Straßengüterverkehrsunternehmen derselben Größe nicht. Anbieter von Post- und Kurierdiensten stehen in der Anlage 2 und bleiben damit wichtige Einrichtungen. Für den klassischen Landverkehrs- und Lagerbetrieb heißt das: Er wird über die Lieferkette seiner Kunden gebunden, nicht über den Sektor. Das ist eine vertragliche Pflicht und keine gesetzliche.
Ein eigenes Regelwerk mit eigener Aufsicht. Part-IS besteht aus zwei europäischen Verordnungen. Die Verordnung (EU) 2022/1645 ist seit dem 16. Oktober 2025 anwendbar und richtet sich unter anderem an Herstellungs- und Entwicklungsbetriebe, Flughafenbetreiber und Vorfeldkontrolldienste. Die Verordnung (EU) 2023/203 gilt seit dem 22. Februar 2026 und erfasst unter anderem Part-145-Betriebe, Betriebe zur Aufrechterhaltung der Lufftüchtigkeit und gewerbliche Luftfahrzeugbetreiber.
Verlangt wird ein Managementsystem für Informationssicherheit, dokumentiert im Handbuch mit Organisation, Verantwortlichen und Verfahren, dazu ein internes und ein externes Meldesystem, Risikobewertung sowie Reaktions- und Wiederherstellungsmaßnahmen. Beaufsichtigt wird das nicht vom BSI, sondern von der Luftfahrtbehörde. Für ein Unternehmen, das beides trifft, sind das zwei Aufsichten und zwei Meldewege bei einem Managementsystem. Ein ISMS nach ISO 27001 trägt beide Seiten, aber nur wenn der Geltungsbereich sie beide umfasst.
Mehr als die Verwaltungs-IT. Hinein gehören das Transportmanagementsystem und das Lagerverwaltungssystem, die Telematik in den Fahrzeugen, die Tor- und Rampensteuerung, Förder- und Sortiertechnik, die Telemetrie der Kühlkette und die Zugangskontrolle am Gelände. Diese Systeme liegen organisatorisch oft bei Technik oder Betrieb, und genau deshalb fehlen sie in der ersten Bestandsaufnahme.
Dazu kommen die Schnittstellen nach außen, die im Ernstfall den Ausfall sichtbar machen: die EDI-Anbindung an Verlader und Empfänger, die Track-and-Trace-Auskunft und die Zollanmeldung. Steht die Zollabfertigung, stehen Sendungen, unabhängig davon, ob ein Fahrzeug fahren könnte. Wer den Geltungsbereich um diese Schnittstellen zieht, beschreibt damit auch die Reihenfolge der Wiederherstellung.
Über § 30 Absatz 2 Nummer 4 BSIG. Jede regulierte Einrichtung muss die Sicherheit ihrer Lieferkette regeln, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern. Ein Dienstleister, der für einen Hersteller, ein Krankenhaus oder ein Energieunternehmen fährt und lagert, ist genau dieser unmittelbare Anbieter.
Praktisch kommt das als Fragebogen oder als neue Vertragsklausel. Gefragt wird nach Zugriffskontrolle und Mehrfaktor-Authentifizierung, nach Backup und Wiederherstellungszeiten, nach der Meldekette bei einem Vorfall und nach der Behandlung von Subunternehmern. Der letzte Punkt ist der unangenehme, weil die Kette im Landverkehr tief ist. Wer seine erste Subunternehmerebene nicht benennen und nicht steuern kann, verliert an dieser Stelle Aufträge. Das Wort unmittelbar begrenzt die Pflicht aber auch: Verlangt ist die erste Ebene, nicht die gesamte Kette.
Drei. Erstens die Wiederanlaufzeit. Ein Ausfall von wenigen Stunden verschiebt Touren, Zeitfenster und Anschlüsse, und der Rückstand wächst danach weiter. Verlangt ist deshalb nicht nur ein Backup, sondern ein geübter Notbetrieb ohne System.
Zweitens die Rolle als Weg in fremde Netze. Wer in den Systemen seiner Kunden angemeldet ist, um Aufträge und Statusmeldungen auszutauschen, ist ein möglicher Zugang zu deren Netz. Getrennte Zugänge, eigene Konten je Kunde und eine Regel für ausscheidende Disponenten wirken hier mehr als jede zusätzliche Richtlinie. Drittens die Standorte. Umschlaglager, Wechselbrücken und Fremdstandorte hängen an derselben Verwaltung, aber selten am gleichen Sicherheitsniveau, und ein Vorfall am kleinsten Standort betrifft die ganze Einrichtung.
Das Whitepaper richtet sich an Geschäftsführungen, IT- und Betriebsverantwortliche sowie Qualitäts- und Sicherheitsverantwortliche in Speditionen, Transport- und Lagerbetrieben, bei Kurier- und Expressdiensten und in der Kontraktlogistik. Laden Sie es kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren