NIS2 für Logistik und Transport
Transport ist ein hochkritischer Sektor unter NIS2 Anhang I, Post- und Kurierdienste fallen unter Anhang II. Erfasst sind aber nur bestimmte Einrichtungsarten: Speditionen, Straßengüterverkehr und Lagerbetreiber gehören nicht dazu. Für die erfassten Einrichtungsarten ab 50 Mitarbeitern gelten die BSIG-Pflichten seit Dezember 2025.
Welche Logistikunternehmen erfasst NIS2?
Die moderne Logistik ist vollständig digitalisiert: Transportmanagementsysteme steuern Aufträge, Telematik überwacht Fahrzeuge in Echtzeit, Lagerverwaltungssysteme koordinieren den Warenfluss und EDI-Schnittstellen verbinden Verlader, Spediteure und Empfänger. Ein Cyberangriff auf eines dieser Systeme bringt die Lieferkette zum Stillstand.
NIS2 erfasst nicht den Transport insgesamt, sondern bestimmte Einrichtungsarten. Anhang I Sektor 2 (hochkritisch): Luftfahrtunternehmen, Flughäfen und Flugsicherung; Betreiber von Eisenbahninfrastruktur und Eisenbahnverkehrsunternehmen; Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, Häfen und Schiffsverkehrsdienste; im Straßenverkehr nur Betreiber von Anlagen zur Verkehrsbeeinflussung (zum Beispiel Verkehrsleitzentralen) und Betreiber intelligenter Verkehrssysteme. Anhang II Sektor 1 (sonstig kritisch): Post- und Kurierdienste. Im BSIG stehen diese Arten in Anlage 1 Nummer 2 und Anlage 2 Nummer 1. Eine Spedition, ein Straßengüterverkehrsunternehmen oder ein Lagerbetreiber ist keine dieser Einrichtungsarten und fällt mit dieser Tätigkeit nicht unter NIS2, egal wie groß. Für die erfassten Arten gilt: Unternehmen ab 50 Mitarbeitern oder über 10 Mio. EUR Umsatz (bei über 10 Mio. EUR Bilanzsumme) sind betroffen. Eine nicht erfasste Firma kann Anforderungen aus NIS2 trotzdem als Lieferant erhalten: Kunden, die unter NIS2 fallen, müssen die Sicherheit ihrer direkten Lieferanten steuern (Art. 21 Abs. 2 Buchst. d NIS2, § 30 Abs. 2 Nr. 4 BSIG) und geben Anforderungen oft vertraglich weiter. Eine Einrichtung wird der Lieferant dadurch nicht.
Die Logistikbranche hat ein besonderes Risikoprofil: Die IT-Systeme sind hochgradig vernetzt - mit Kunden, Subunternehmern, Frachtbörsen und Behörden. Gleichzeitig ist die IT-Sicherheitsreife in vielen mittelständischen Speditionen gering. Shared-User-Accounts in der Disposition, fehlende Netzwerksegmentierung und ungesicherte Telematik-Schnittstellen sind verbreitet.
Transportmanagementsystem (TMS)
Systeme wie Transporeon, CarLo, Wanko oder TimoCom für Auftragsmanagement, Frachtenbuchung, Disposition und Sendungsverfolgung. Das TMS ist das Herzstück des operativen Geschäfts. Ein Ausfall bedeutet: Keine Auftragsdisposition, keine Sendungsverfolgung, keine Abrechnung.
Telematik und Fuhrparkmanagement
GPS-Tracking, Fahrtenschreiber-Auswertung, Lenk- und Ruhezeitenüberwachung, Reifendruckkontrolle und Kraftstoffmanagement. Systeme wie Fleetboard, TomTom WEBFLEET oder Trimble. Die Telematik verbindet jedes Fahrzeug mit der Zentrale - ein kompromittiertes System kann die gesamte Flotte betreffen.
Lagerverwaltungssystem (WMS)
SAP EWM, Manhattan Associates, Jungheinrich WMS oder Ehrhardt + Partner für die Steuerung von Wareneingang, Einlagerung, Kommissionierung und Versand. In automatisierten Lagern steuert das WMS auch Fördertechnik, Regalbedienperäte und Sortierer. Ein WMS-Ausfall bringt das Lager zum Stillstand.
ERP- und Abrechnungssystem
SAP, Microsoft Dynamics, proALPHA oder spezialisierte Speditionssoftware für Finanzbuchhaltung, Personalwesen und Rechnungsstellung. Die Schnittstellen zu TMS und WMS sind geschäftskritisch. Viele Logistikunternehmen wickeln tausende Transaktionen pro Tag über automatisierte EDI-Verbindungen ab.
Netzwerkinfrastruktur
Standortübergreifende Netzwerke zwischen Verwaltung, Lagerstandorten und ggf. Cross-Docking-Hubs. VPN-Verbindungen für Homeoffice und mobile Mitarbeiter. WLAN in Lagerhallen für Scanner und Tablets. Die Vernetzung zwischen Standorten ist die Grundlage für den Echtzeitbetrieb.
Endgeräte und Büro-IT
Disponenten-Arbeitsplätze, Handscanner im Lager (z.B. Zebra, Honeywell), Tablets für Fahrer (Unterschriften, Schadensmeldung), Standard-Büroarbeitsplätze. Grundschutz erlaubt Gruppierung: '80 Zebra-Handscanner' = 1 Asset-Eintrag.
1. Beim BSI registrieren
Die §33-BSIG-Registrierung ist die sichtbarste Pflicht, sobald Ihr Unternehmen zu den erfassten Einrichtungsarten gehört. Sie läuft über das BSI-Portal (portal.bsi.bund.de), die Anmeldung erfolgt mit einem ELSTER-Organisationszertifikat aus „Mein Unternehmenskonto“ (MUK). Eine Einrichtungsart aus Anhang I im Transport führt bei großen Unternehmen zur Einstufung als besonders wichtige Einrichtung, Post- und Kurierdienste (Anhang II) zur Einstufung als wichtige Einrichtung. Die Registrierung ist eine eigene Pflicht: drei Monate, nachdem Ihr Unternehmen erstmals als Einrichtung gilt (§ 33 Abs. 1 BSIG).
2. Asset-Inventar aufbauen
Erfassen Sie alle Systeme, die Ihren Logistikbetrieb unterstützen. Vergessen Sie nicht die Telematik (jedes Fahrzeug ist ein vernetztes Endgerät) und die Lagertechnik. Für jedes Asset: Was tut es, wer betreibt es, was passiert bei 24h Ausfall?
3. Vorfallmeldung einrichten
Ein Ransomware-Angriff auf das TMS betrifft nicht nur Ihr Unternehmen, sondern die gesamte Lieferkette Ihrer Kunden. Definieren Sie den Meldeprozess (BSI: 24h/72h/1 Monat) und die interne Eskalation. Kunden, deren Sendungen betroffen sind, müssen Sie unterrichten, wenn das BSI es anordnet (§ 35 Abs. 1 BSIG). Transport und Post gehören nicht zu den Sektoren, die § 35 Abs. 2 BSIG ohne Anordnung verpflichtet. Art. 23 Abs. 1 NIS2 sieht die Unterrichtung der Empfänger dort vor, wo sie angemessen ist.
4. Lieferanten und Schnittstellen dokumentieren
Logistikunternehmen sind hochgradig vernetzt: EDI-Verbindungen zu Kunden, Frachtbörsen, Subunternehmer mit Zugang zum TMS, Telematik-Anbieter. Dokumentieren Sie alle Schnittstellen, den Datenfluss und die Sicherheitsmaßnahmen. Besonders kritisch: Subunternehmer mit Zugang zu Ihren Systemen.
5. Zugangskontrollen verstärken
In der Disposition werden oft gemeinsam genutzte Konten verwendet. Fahrer haben Zugang zu Apps mit Kundendaten. Subunternehmer loggen sich in Ihr TMS ein. Führen Sie individuelle Konten, MFA für Fernzugriffe und regelmäßige Zugriffsprüfungen ein. Deaktivieren Sie Zugänge ausgeschiedener Fahrer und Subunternehmer sofort.
Logistikunternehmen sind Knotenpunkte in Lieferketten. Ein Cyberangriff auf eine größere Spedition betrifft nicht nur das Unternehmen selbst, sondern hunderte Kunden, deren Waren nicht mehr transportiert werden können. Diese Kaskadeneffekte machen Logistikunternehmen zu attraktiven Zielen für Cyberkriminelle. Die NotPetya-Attacke auf Maersk 2017 hat gezeigt, was passiert, wenn ein großer Logistiker ausfällt.
Die Branche hat eine hohe Abhängigkeit von Subunternehmern und externen Schnittstellen. Viele Speditionen arbeiten mit Dutzenden von Subunternehmern, die Zugang zu TMS und Auftragsdaten haben. EDI-Verbindungen übertragen automatisiert Aufträge, Statusmeldungen und Rechnungen. Jede dieser Schnittstellen ist ein potenzieller Angriffsvektor. Fällt Ihr Unternehmen unter NIS2, müssen Sie diese Lieferkettenrisiken systematisch bewerten.
Mobile Assets (Fahrzeuge, Handscanner, Fahrer-Tablets) stellen eine besondere Herausforderung dar. Anders als stationäre Büro-IT sind diese Geräte physisch schwer zu kontrollieren: Sie sind unterwegs, werden von wechselnden Fahrern genutzt und verbinden sich über öffentliche Mobilfunknetze. Device-Management, Fernlöschung und Verschlüsselung sind hier entscheidende Maßnahmen.
Häufig gestellte Fragen
Wir sind eine Spedition mit 80 Mitarbeitern. Fallen wir unter Anhang I oder II?
Wahrscheinlich unter keinen der beiden. Spedition und Straßengüterverkehr sind keine Einrichtungsart unter NIS2 oder dem BSIG: Im Straßenverkehr erfasst das BSIG nur Betreiber von Anlagen zur Verkehrsbeeinflussung und Betreiber intelligenter Verkehrssysteme (Anlage 1 Nummer 2.4). Prüfen Sie, ob Sie zusätzlich Post- oder Kurierdienste anbieten (Anhang II, BSIG Anlage 2 Nummer 1.1.1). Dann wären Sie ab 50 Mitarbeitern oder über 10 Mio. EUR Umsatz und Bilanzsumme eine wichtige Einrichtung. Wenn nicht, spielt Ihre Größe keine Rolle. Kunden, die unter NIS2 fallen, können Ihnen trotzdem vertraglich Sicherheitsanforderungen weitergeben, weil sie die Sicherheit ihrer direkten Lieferanten steuern müssen (Art. 21 Abs. 2 Buchst. d NIS2, § 30 Abs. 2 Nr. 4 BSIG). Eine Einrichtung werden Sie dadurch nicht.
Unsere Subunternehmer haben Zugang zum TMS. Ist das ein Problem?
Es ist ein Risiko, das adressiert werden muss. Subunternehmer mit TMS-Zugang sehen Auftragsdaten, Kundenadressen und möglicherweise Preise. Fällt Ihr Unternehmen unter NIS2, müssen Sie diesen Zugang dokumentieren, auf das Notwendige beschränken und vertraglich Sicherheitsanforderungen vereinbaren. Best Practice: Eigene Subunternehmer-Zugangsstufe mit eingeschränkten Berechtigungen, individuelle Konten statt geteilter Zugänge, und Deaktivierung bei Vertragsende.
Was ist mit den Telematik-Daten unserer Fahrzeuge?
Telematik-Daten (GPS-Position, Fahrverhalten, Fahrzeugdiagnose) sind geschäftskritische Daten und gehören ins Risikomanagement. Prüfen Sie, wo die Daten gespeichert werden (beim Telematik-Anbieter oder lokal), wer darauf Zugriff hat und wie die Übertragung gesichert ist. Die Telematik-Plattform selbst ist ein Asset mit hohem Schutzbedarf - ein Kompromittierung könnte die gesamte Flottenüberwachung lahmlegen.
Wie lange dauert die NIS2-Umsetzung für ein Logistikunternehmen?
Die Dauer hängt von Größe und Ausgangslage ab. Wenn Ihr Unternehmen zu den erfassten Einrichtungsarten gehört, gehen Sie in dieser Reihenfolge vor: BSI-Registrierung, Asset-Inventar und Risikobewertung, Vorfallmeldeprozess, Zugangskontrolle und Lieferantendokumentation, Richtlinien (fortlaufend). Die Logistik-IT-Landschaft ist überschaubar - der größte Aufwand liegt in der Dokumentation der vielen Schnittstellen und Subunternehmerbeziehungen.
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
