NIS2 for Logistics and Transport Companies
NIS2 omvat specifieke soorten vervoersentiteiten in bijlage I en post- en koeriersdiensten in bijlage II. Wegvervoerders, expediteurs en magazijnexploitanten behoren daar niet toe. Hier leest u wie binnen de reikwijdte valt, wie niet, en wat de rest als leverancier bereikt.
Op welke logistieke bedrijven is NIS2 van toepassing?
Logistiek is de ruggengraat van de fysieke economie. Een cyberaanval die een grote logistieke dienstverlener stilzet, raakt niet alleen één bedrijf: hij verstoort de toeleveringsketens van tientallen of honderden klanten. De EU noemt vervoer in bijlage I (sectoren met een hoge kritiekheid), maar alleen specifieke soorten entiteiten daarbinnen, niet de logistiek als geheel.
NIS2 omvat het vervoer niet in het algemeen. De richtlijn noemt specifieke soorten entiteiten: luchtvaartmaatschappijen, luchthavens en luchtverkeersleiding; infrastructuurbeheerders en spoorwegondernemingen; maatschappijen voor binnenvaart, zeevaart en kustvaart, havenexploitanten en verkeersbegeleidingsdiensten voor schepen; wegenautoriteiten die verantwoordelijk zijn voor verkeersbeheer en exploitanten van intelligente vervoerssystemen (bijlage I, sector 2); en post- en koeriersdiensten (bijlage II, sector 1). Spoorgoederenvervoerders en rederijen vallen dus binnen de reikwijdte, het wegtransport van goederen niet. Een wegvervoerder, expediteur of magazijnexploitant is geen van deze soorten en valt voor die activiteit dus niet binnen de reikwijdte, hoe groot hij ook is. Hij kan wel NIS2-eisen ontvangen als leverancier: klanten die wel binnen de reikwijdte vallen, moeten de beveiliging van hun directe leveranciers beheren (artikel 21, lid 2, onder d) NIS2, § 30, lid 2, nr. 4 BSIG) en geven eisen vaak door via hun contracten. Dat maakt van de leverancier geen entiteit. Voor de genoemde soorten vallen bedrijven die aan de omvangdrempel voldoen (50 of meer werknemers, of omzet en balanstotaal elk boven 10 miljoen euro) binnen de reikwijdte. Grote bedrijven (250 of meer werknemers) van een soort uit bijlage I worden ingedeeld als essentiële entiteiten. Middelgrote bedrijven (50 tot 249 werknemers) zijn belangrijke entiteiten (wichtige Einrichtungen), en post- en koeriersdiensten gelden bij elke omvang boven de drempel als belangrijke entiteiten. Voor beide gelden alle NIS2-verplichtingen.
Moderne logistieke bedrijven draaien op onderling verbonden IT-systemen. Transportmanagementsystemen (TMS) sturen zendingen aan. Vlootbeheer volgt voertuigen in real time. Warehouse-managementsystemen (WMS) beheren voorraad en orderpicking. Telematica-eenheden in vrachtwagens zenden positie, snelheid, temperatuur en bestuurdersgegevens door. Als een van deze systemen uitvalt, ligt de bedrijfsvoering stil of wordt zij gevaarlijk inefficiënt. Als uw bedrijf een van de genoemde soorten entiteiten is, eist NIS2 dat u deze afhankelijkheden in kaart brengt en de cyberbeveiligingsrisico's systematisch beheert.
Transport Management System (TMS)
The central system for shipment planning, carrier management, route optimization, and freight billing. Common systems include SAP TM, Oracle Transportation Management, Transporeon, or CargoWise. If the TMS goes down, you cannot plan or dispatch shipments. One asset entry.
Fleet management and telematics
GPS tracking, vehicle diagnostics, driver hours logging (digital tachograph integration), fuel management, and route tracking. Telematics units in each vehicle transmit data continuously. Systems like Webfleet, Trimble, Samsara, or fleet-specific solutions. Compromise could mean loss of vehicle visibility, manipulation of driver records, or unauthorized tracking. Group as one asset.
Warehouse Management System (WMS)
Inventory management, picking optimization, goods receipt and dispatch, and integration with TMS and ERP. May include barcode/RFID scanners, automated storage and retrieval systems, and conveyor controls. Systems like SAP EWM, Manhattan Associates, or Korber. If WMS fails, warehouse operations revert to manual processes at a fraction of normal throughput.
ERP and finance system
Customer management, contract administration, invoicing, procurement, and financial reporting. Commonly SAP, Microsoft Dynamics, or Sage. In logistics, ERP often integrates tightly with TMS for billing and customer portals. Compromise affects revenue, customer relationships, and financial reporting. One asset entry.
Network infrastructure
The network connecting offices, warehouses, and vehicle telematics. Includes WAN links between locations, VPN connections for mobile workers and drivers, Wi-Fi in warehouses, and cellular connections for fleet telematics. Logistics companies often have distributed networks across many locations - each site's infrastructure should be documented. Group by site type.
Endpoints and mobile devices
Office PCs, warehouse terminals, handheld scanners, driver tablets, and smartphones. Logistics has a higher proportion of mobile and ruggedized devices than most sectors. Include mobile device management (MDM) if used. Grundschutz allows grouping: '60 warehouse handheld scanners' is one entry. Also include driver tablets as a separate grouped entry.
1. Register with the BSI
Rond uw registratie op grond van § 33 BSIG af als uw bedrijf een van de genoemde soorten entiteiten is. Vervoer is een sector uit bijlage I, dus grote bedrijven van een genoemde soort staan onder proactief toezicht van het BSI. Registreer u in het BSI-portaal (portal.bsi.bund.de). U meldt zich aan met een ELSTER-organisatiecertificaat van 'Mein Unternehmenskonto' (MUK). Registratie is een eigen verplichting, met een termijn van drie maanden vanaf het moment dat u voor het eerst als entiteit geldt (§ 33, lid 1 BSIG).
2. Build your asset inventory
Map your TMS, fleet management, WMS, ERP, and supporting infrastructure. For each system, document what it does, where it runs, who manages it, and what happens if it is unavailable for 4 hours (logistics is time-sensitive). Pay special attention to telematics - dozens or hundreds of connected devices in the field represent a unique attack surface.
3. Set up incident reporting
Logistiek werkt met krappe schema's. Een cyberaanval die zendingen zelfs maar een paar uur vertraagt, kan contractuele en financiële gevolgen hebben. Leg vast wat u als significant incident beschouwt, richt de meldketen naar het BSI in (24 uur/72 uur/1 maand) en stel interne escalatieprocedures op die rekening houden met het 24/7-karakter van de logistieke bedrijfsvoering. Neem weekend- en nachtdienstscenario's mee.
4. Document supplier relationships
Logistics companies rely heavily on third-party IT: cloud-hosted TMS, telematics SaaS providers, EDI partners, and carrier platforms. Document every IT supplier, what data they access, and what security measures they commit to. Your TMS provider likely has more access to your operational data than any single employee. Include them in your supply chain security assessment under Section 30(2)(4) BSIG.
5. Review access controls
Logistics has a distributed workforce: office staff, warehouse workers, drivers, and dispatchers - each needing different system access. Implement role-based access controls, enforce MFA for remote and administrative access, and ensure that driver and temporary worker accounts are deactivated promptly when employment ends. Shared accounts on warehouse terminals are common but should be replaced with individual logins where feasible.
Logistics companies operate one of the most distributed IT environments of any sector. Assets are not in one building - they are spread across offices, warehouses, distribution centers, and hundreds of vehicles on the road. Every truck with a telematics unit is a connected endpoint. Every warehouse scanner is a device on your network. This distributed footprint makes traditional perimeter security less effective and increases the importance of device management, network segmentation, and identity-based access controls.
De tijdgevoeligheid van logistiek brengt een bijzondere uitdaging voor incidentrespons met zich mee. In een productiebedrijf kunt u een systeemuitval van 24 uur misschien verdragen. In de logistiek betekenen 4 uur TMS-uitval gemiste leveringsvensters, contractboetes en kettingvertragingen. Uw incidentresponsplan moet daar rekening mee houden: welke handmatige terugvalprocedures bestaan er? Kunnen planners zendingen telefonisch inplannen? Kan het magazijn doorwerken met orderpicking op papier? Deze vragen over bedrijfscontinuïteit zijn even belangrijk als het technische herstelplan.
Logistieke bedrijven zijn ook diep geïntegreerd met de systemen van hun klanten en vervoerders via EDI (Electronic Data Interchange), API-koppelingen en gedeelde platforms. Een beveiligingsinbreuk bij uw bedrijf kan zich via deze verbindingen naar klanten voortplanten, en omgekeerd. Uw beoordeling van de beveiliging van de toeleveringsketen moet niet alleen uw IT-leveranciers omvatten, maar ook de elektronische verbindingen met uw zakelijke partners. Het beveiligen van deze interfaces (goede authenticatie, versleutelde verzending, invoervalidatie) is een NIS2-eis voor bedrijven binnen de reikwijdte en een bedrijfsbeschermende maatregel voor iedereen.
Frequently Asked Questions
We are a road freight company with 80 trucks. Are we essential or important?
Waarschijnlijk geen van beide. Wegtransport is geen soort entiteit onder NIS2 of de BSIG: in het wegvervoer omvat bijlage I alleen wegenautoriteiten die verantwoordelijk zijn voor verkeersbeheer en exploitanten van intelligente vervoerssystemen. Controleer of u daarnaast post- of koeriersdiensten (bijlage II) aanbiedt of een intelligent vervoerssysteem exploiteert. Zo niet, dan maakt het aantal vrachtwagens of werknemers niet uit. Klanten die binnen de reikwijdte vallen, kunnen u via hun contracten toch beveiligingseisen doorgeven, omdat zij de beveiliging van hun directe leveranciers moeten beheren (artikel 21, lid 2, onder d) NIS2). Dat maakt van u geen entiteit.
Are our truck telematics units considered 'assets' under NIS2?
Als uw bedrijf een van de genoemde soorten entiteiten is: ja. Elk systeem dat uw kritieke vervoersdiensten ondersteunt, is een asset. Telematica-eenheden zenden locatie, snelheid, temperatuur (bij gekoeld vervoer) en rij- en rusttijdgegevens in real time door. Het zijn verbonden apparaten op uw netwerk. Groepeer ze als één assetvermelding, bijvoorbeeld '80 Webfleet-telematica-eenheden' in plaats van 80 afzonderlijke vermeldingen. De belangrijkste risico's zijn: ongeautoriseerde toegang tot voertuigvolggegevens, manipulatie van tachograafgegevens en mogelijk gebruik als toegangspunt tot het netwerk.
We use a cloud-based TMS. Is that our problem or the provider's?
Allebei, maar als uw bedrijf binnen de reikwijdte valt, ligt de wettelijke verplichting bij u. Op grond van § 30 BSIG kunt u de uitvoering uitbesteden, maar niet de verantwoordelijkheid. Uw cloud-TMS-aanbieder is een kritieke leverancier op grond van § 30, lid 2, nr. 4. U moet: de aanbieder opnemen in uw beoordeling van de beveiliging van de toeleveringsketen, cyberbeveiligingseisen in het contract opnemen, nagaan of de aanbieder passende beveiligingsmaatregelen heeft (certificeringen, auditrapporten, toezeggingen over incidentmelding) en beschikken over een noodplan voor het geval de aanbieder een inbreuk of storing heeft.
Hoe verhoudt NIS2 zich tot de regels voor de digitale tachograaf?
NIS2 en de tachograafregels (Verordening (EU) nr. 165/2014) zijn afzonderlijke wetten die elkaar overlappen op het gebied van gegevensbeveiliging. De tachograafregels eisen manipulatiebestendige registratie van bestuurdersgegevens. Voor entiteiten binnen de reikwijdte voegt NIS2 de laag van cyberbeveiligingsbeheer toe: het beveiligen van de IT-systemen die deze gegevens verwerken en doorsturen. Naleving van NIS2 versterkt uw positie op beide, omdat een goed beveiligde IT-omgeving de integriteit van gereguleerde gegevens beschermt.
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
