NIS2 in der Branche Logistik und Transport

Logistik ist der Sektor, in dem die Einordnung am häufigsten falsch läuft — weil dieselbe Firma je nach Tätigkeit in unterschiedliche Anlagen fallen kann.

Sind Sie betroffen, und in welcher Kategorie?

Anlage 1, Sektor 2 (Verkehr): Hafenbetreiber, Schifffahrtsunternehmen, Eisenbahnverkehrsunternehmen und Infrastrukturbetreiber, Luftfahrtunternehmen und Bodendienstleister, Betreiber intelligenter Verkehrssysteme. Ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz sind das besonders wichtige Einrichtungen mit proaktiver BSI-Aufsicht und einem Rahmen bis 10 Mio. Euro oder 2 %.

Anlage 2, Sektor 12: Post- und Kurierdienste, also KEP-Dienstleister und Zustellunternehmen. Immer wichtige Einrichtung.

Grenzfall Speditionen: Eine reine Straßenspedition ohne Betrieb von Verkehrsinfrastruktur fällt häufig nicht unter Sektor 2 — betreibt sie aber Umschlagterminals, Bahnanschlüsse oder Kurierdienste, kann sich das ändern. Hier lohnt die anwaltliche Prüfung, weil der Unterschied zwischen den Kategorien erheblich ist.

Die Lücken, die hier typisch sind

Das TMS als Single Point of Failure. Fällt das Transport-Management-System aus, steht der Betrieb — Disposition, Sendungsverfolgung und Abrechnung hängen daran. Ein getesteter Notbetrieb existiert selten.

Telematik und Bordrechner als Angriffsfläche. Fahrzeugtelematik ist dauerhaft verbunden und wird bei der Risikoanalyse regelmäßig vergessen, obwohl sie Bewegungs- und teils Kundendaten führt.

EDI-Schnittstellen ohne Absicherung. Der Datenaustausch mit Auftraggebern läuft über gewachsene Schnittstellen, teils über unverschlüsselte Protokolle und mit statischen Zugangsdaten.

Subunternehmer als unkontrollierte Lieferkette. Ein erheblicher Teil der Transportleistung wird weitergegeben. Nach § 30 Abs. 2 BSIG müssen Sie die Sicherheit dieser Kette steuern — bei wechselnden Subunternehmern ist das organisatorisch anspruchsvoll und braucht vertragliche Standards.

Lagerautomatik ohne Netztrennung. Regalbediengeräte und Fördertechnik hängen oft im selben Netz wie die Verwaltung.

Ein realistisches Szenario

Ein Kontraktlogistiker mit 400 Beschäftigten betreibt Lager für mehrere Industriekunden. Ein Angriff legt das Lagerverwaltungssystem lahm; die Kommissionierung läuft nur noch auf Papier, die Automatik steht.

Neben der eigenen Meldepflicht nach § 32 BSIG greifen die Informationspflichten aus den Kundenverträgen, oft mit kürzeren Fristen als die 24 Stunden des BSI. Wer diese Fristen nicht vorher kennt und in den Incident-Response-Plan geschrieben hat, verliert die ersten Stunden mit der Suche in Vertragsordnern.

Womit anfangen

Klären Sie zuerst sauber, ob Sie unter Anlage 1 oder Anlage 2 fallen — davon hängt alles Weitere ab. Der Betroffenheitscheck liefert eine erste Einschätzung. Nehmen Sie dann die vertraglichen Meldefristen Ihrer Auftraggeber in den Incident-Response-Plan auf, nicht nur die gesetzlichen.

Die zehn Maßnahmenbereiche in der Logistik

Risikoanalyse. Der Betrachtungsumfang muss TMS, Lagerverwaltung, Lagerautomatik, Telematik und die EDI-Schnittstellen zu Auftraggebern umfassen. Fahrzeugseitige Systeme werden regelmäßig vergessen.

Bewältigung von Sicherheitsvorfällen. Neben der gesetzlichen Meldepflicht bestehen vertragliche Informationspflichten gegenüber Auftraggebern, oft mit kürzeren Fristen. Beide gehören in denselben Plan.

Aufrechterhaltung des Betriebs. Definieren Sie einen Notbetrieb für den Ausfall von TMS und Lagerverwaltung — Papierkommissionierung, manuelle Disposition — und testen Sie ihn. Ein Notbetrieb, den niemand geübt hat, existiert im Ernstfall nicht.

Sicherheit der Lieferkette. Bei hohem Subunternehmeranteil ist das der aufwendigste Bereich. Etablieren Sie einen Mindeststandard, der Bestandteil jedes Subunternehmervertrags wird, statt Einzelfallprüfungen.

Beschaffung und Wartung. Telematik- und Lagerautomatiksysteme werden über lange Laufzeiten beschafft. Sicherheitsanforderungen gehören in die Ausschreibung.

Wirksamkeitsprüfung. Jährlich, zusätzlich nach jedem Vorfall und bei Anbindung neuer Großkunden.

Cyberhygiene und Schulungen. Fahrpersonal und Lagerkräfte brauchen kurze, konkrete Inhalte: Umgang mit Bordrechnern, mobile Geräte, Meldeweg bei Auffälligkeiten.

Kryptografie. Priorität haben die EDI-Verbindungen und die Übertragung von Sendungs- und Kundendaten.

Personalsicherheit und Zugriffskontrolle. Hohe Fluktuation und Leiharbeit machen ein dokumentiertes Offboarding zur Pflichtübung — verwaiste Konten sind hier der häufigste Befund.

Multi-Faktor-Authentifizierung. Für alle Zugänge von außen, insbesondere für Subunternehmer und Fernzugriffe auf das TMS.

Die ersten 90 Tage

Tage 1 bis 14. Klären, ob Anlage 1 oder Anlage 2 greift — davon hängt Aufsichtsregime und Bußgeldrahmen ab. Betroffenheit dokumentieren, Verantwortliche benennen, BSI-Registrierung starten.

Tage 15 bis 45. Gap-Analyse. Parallel die vertraglichen Meldefristen aller Großkunden zusammentragen und in den Incident-Response-Plan aufnehmen — diese Recherche im Vorfall zu machen, kostet die entscheidenden Stunden.

Tage 46 bis 90. Notbetrieb für TMS-Ausfall definieren und einmal durchspielen. Mindeststandard für Subunternehmer formulieren und in die Vertragsvorlage aufnehmen. Maßnahmenplan, Geschäftsführungsschulung.

Häufige Fragen aus der Logistik

Wir sind eine Spedition ohne eigene Terminals. Sind wir betroffen?

Häufig nicht über Sektor 2, da dieser auf Verkehrsinfrastruktur und Verkehrsunternehmen abstellt. Betreiben Sie Umschlagterminals, Bahnanschlüsse oder Kurierdienste, ändert sich die Betrachtung. Wegen des großen Unterschieds zwischen den Kategorien lohnt hier die rechtliche Prüfung.

Unsere Auftraggeber verlangen Meldungen binnen vier Stunden. Gilt trotzdem die 24-Stunden-Frist?

Beides gilt nebeneinander. Die vertragliche Frist ist zivilrechtlich bindend, die gesetzliche Frist nach § 32 BSIG bußgeldbewehrt. Ein Prozess, der beide gleichzeitig auslöst, ist die einzige praktikable Lösung.

Zählt der Ausfall der Sendungsverfolgung als erheblicher Vorfall?

Wenn er auf einen Sicherheitsvorfall zurückgeht und schwerwiegende Betriebsstörungen verursachen kann oder Kunden erheblich beeinträchtigt: ja. Die Erheblichkeit bemisst sich am Potenzial, nicht am eingetretenen Schaden.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. In der Logistik liegt der Aufwand weniger in der Technik als in der Vertragsarbeit: Meldefristen der Auftraggeber erfassen, Mindeststandards für Subunternehmer formulieren, Vertragsvorlagen anpassen. Rechnen Sie mit 0,3 bis 0,5 Personenstellen über vier bis sechs Monate, mit spürbarem Anteil in Vertrieb und Recht.

Technische Investitionen. Der definierte und geübte Notbetrieb für TMS- und Lagerverwaltungsausfall kostet vor allem Zeit, kaum Geld. Multi-Faktor-Authentifizierung für externe Zugänge und die Absicherung der EDI-Verbindungen sind die technischen Hauptposten.

Was die Aufsicht typischerweise sehen will. Die Einstufung mit Begründung — gerade bei der Abgrenzung zwischen Anlage 1 und Anlage 2 —, die Risikoanalyse mit Telematik und Lagerautomatik im Betrachtungsumfang, den Nachweis eines geübten Notbetriebs, die Übersicht der Subunternehmerverträge mit Sicherheitsanforderungen und die Schulungsnachweise.

Der Sonderaufwand: Subunternehmersteuerung. Bei wechselnden Partnern ist die Einzelfallprüfung nicht praktikabel. Der realistische Weg ist ein Mindeststandard als fester Vertragsbestandteil plus eine stichprobenartige Überprüfung, deren Umfang und Ergebnis dokumentiert wird. Genau danach fragt die Lieferkettenanforderung des § 30 Abs. 2 BSIG.

Was Sie sich sparen können. Eine flächendeckende Absicherung jedes Fahrzeugs mit aufwendiger Technik ist nicht verhältnismäßig. Priorisieren Sie die Systeme, deren Ausfall den Betrieb stoppt — TMS, Lagerverwaltung, EDI —, und begründen Sie die niedrigere Priorität der übrigen dokumentiert.