NIS2 für Post- und Kurierdienste: Anforderungen für Logistikdienstleister

Post-, Kurier- und Expressdienste (KEP) sind die digitale Lebensader des modernen E-Commerce. Nach Zahlen der Bundesnetzagentur wurden in Deutschland im Jahr 2023 rund 4,36 Milliarden Pakete befördert – gesteuert von automatisierten Sortieranlagen, Echtzeit-Track-and-Trace-Systemen und zunehmend KI-gestützter Routenoptimierung. Diese hochgradige Digitalisierung macht KEP-Dienste zu einem attraktiven Ziel für Cyberkriminelle – wie der NotPetya-Angriff auf TNT Express, eine Tochter von FedEx, im Jahr 2017 eindrücklich zeigte.

Die NIS2-Richtlinie (EU) 2022/2555 erkennt dieses Risiko: Post- und Kurierdienste sind in Anhang II der Richtlinie unter den „sonstigen kritischen Sektoren“ aufgeführt. In Deutschland gelten erfasste Anbieter nach dem BSI-Gesetz (BSIG, Anlage 2) als wichtige Einrichtungen. Mittlere und große Unternehmen dieser Branche müssen damit in der Regel verhältnismäßige Cybersicherheitsmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden und sich beim BSI registrieren.

Dieser Leitfaden erläutert, welche Unternehmen konkret betroffen sind, wie sich Post- und Kurierdienste von Transportunternehmen abgrenzen, welche IT-Systeme im Fokus der NIS2 stehen und was bei Verstößen droht.

Post- und Kurierdienste als wichtiger Sektor nach Anhang II NIS2

Die NIS2-Richtlinie unterscheidet zwei Gruppen von Sektoren; im deutschen Recht entsprechen ihnen die Anlagen 1 und 2 des BSIG:

Anhang I – Sektoren mit hoher Kritikalität: unter anderem Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur und Weltraum. Große Einrichtungen dieser Sektoren gelten in Deutschland in der Regel als besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG), mittlere als wichtige. Gegenüber besonders wichtigen Einrichtungen kann das BSI die Einhaltung der Anforderungen auch ohne konkreten Anlass überprüfen (§ 61 BSIG).

Anhang II – Sonstige kritische Sektoren: Hier sind Post- und Kurierdienste eingeordnet, neben Abfallbewirtschaftung, Chemie, Lebensmitteln, verarbeitendem Gewerbe, Anbietern digitaler Dienste und Forschung. Einrichtungen dieser Sektoren sind – auch wenn sie groß sind – wichtige Einrichtungen (§ 28 Abs. 2 BSIG). Das BSI wird hier anlassbezogen tätig: Rechtfertigen Tatsachen die Annahme, dass Pflichten nicht oder nicht richtig umgesetzt werden, kann es die Einhaltung überprüfen und Anordnungen treffen (§ 62 BSIG).

Was gilt als Post- oder Kurierdienst im Sinne der NIS2?

Anhang II verweist auf „Anbieter von Postdiensten im Sinne des Artikels 2 Nummer 1a der Richtlinie 97/67/EG, einschließlich Anbieter von Kurierdiensten“. Postdienste sind dort die Dienste im Zusammenhang mit der Abholung, dem Sortieren, dem Transport und der Zustellung von Postsendungen; zu den Postsendungen zählen neben Briefen auch Postpakete. Das deutsche Recht knüpft an „Anbieter von Postdienstleistungen nach § 3 Nummer 15 PostG“ an (Anlage 2 Nr. 1.1.1 BSIG) – also an die gewerbsmäßige Beförderung von Briefsendungen, Paketen (adressierte Sendungen bis 31,5 kg), Warensendungen sowie unter Umständen Büchern, Katalogen, Zeitungen und Zeitschriften. „Beförderung“ umfasst nach § 3 Nr. 4 PostG das Abholen, Sortieren, Weiterleiten oder Zustellen. Erfasst sein können damit insbesondere:

• Brief- und Paketdienstleister, die Sendungen abholen, sortieren, weiterleiten und zustellen
• Kurier- und Expressdienste, die Anhang II ausdrücklich nennt
• Anbieter, die nur einzelne Schritte der Postzustellkette übernehmen – nach Erwägungsgrund 12 der NIS2-Richtlinie genügt „mindestens einer der Schritte“, etwa Sortierung oder Zustellung

Nicht unter Postdienste fallen nach Erwägungsgrund 12 „Transportdienste, die nicht in Verbindung mit einem dieser Schritte erbracht werden“. Reine Fracht-, Stückgut- und Ladungsverkehre, Kontraktlogistik und Lagerhaltung ohne Zustellkomponente sind deshalb in der Regel nicht als Post- und Kurierdienst erfasst. Ein Grenzfall sind Transportunternehmen, die im Auftrag eines Paketdienstes Sendungen nur zwischen Paketzentren befördern: Erwägungsgrund 12 nennt den Transport als Schritt der Postzustellkette, das Postgesetz behandelt Unternehmen, die Postsendungen lediglich transportieren und über eine Erlaubnis nach dem Güterkraftverkehrsgesetz verfügen, dagegen nicht als „Anbieter“ (§ 3 Nr. 2 Buchst. b PostG). Hier ist eine individuelle Prüfung des Anwendungsbereichs erforderlich.

Welche Unternehmen fallen unter NIS2? Größenschwellen für KEP-Dienste

Die NIS2 gilt nicht für jedes Paketunternehmen. Ausschlaggebend sind die Größenschwellen des § 28 BSIG, die sich an der KMU-Empfehlung der EU-Kommission (2003/361/EG) orientieren:

Unternehmensgröße	Schwellenwerte	NIS2-Einstufung
Großes Unternehmen	≥ 250 Beschäftigte ODER > 50 Mio. € Umsatz UND > 43 Mio. € Bilanzsumme	Wichtige Einrichtung (Anlage 2 BSIG)
Mittleres Unternehmen	≥ 50 Beschäftigte ODER Jahresumsatz UND Jahresbilanzsumme von jeweils > 10 Mio. €	Wichtige Einrichtung (Anlage 2 BSIG)
Kleines Unternehmen	< 50 Beschäftigte und Jahresumsatz oder Jahresbilanzsumme ≤ 10 Mio. €	In der Regel nicht erfasst

In der Praxis bedeutet dies: Die großen bundesweit tätigen Paket- und Briefdienstleister überschreiten die Schwellen in aller Regel deutlich. Maßgeblich ist jeweils die rechtliche Einheit, die die Postdienstleistungen erbringt; Daten von Partner- oder verbundenen Unternehmen werden grundsätzlich mitgezählt (§ 28 Abs. 4 BSIG), sodass auch eine kleine Tochtergesellschaft eines großen Konzerns erfasst sein kann. Auch mittelgroße regionale Paket- und Kurierdienste mit mindestens 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro unterliegen in der Regel den Anforderungen. Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).

Für Deutschland gilt das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist und das BSIG neu gefasst hat. Zuständige nationale Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Ob Ihr Unternehmen im Anwendungsbereich liegt, lässt sich systematisch über den Leitfaden zum Anwendungsbereich der NIS2 und die Online-Betroffenheitsprüfung des BSI prüfen.

Abgrenzung: Post- und Kurierdienste vs. Transport und Verkehr

Eine häufige Frage in der Praxis: Was ist der Unterschied zwischen einem Post-/Kurierdienst nach Anhang II und einer Einrichtung des Sektors Transport und Verkehr nach Anhang I? Wichtig ist zunächst: Anhang I erfasst nicht „Transportunternehmen“ allgemein, sondern nur bestimmte Einrichtungsarten – etwa Luftfahrtunternehmen, Flughäfen, Eisenbahninfrastruktur- und Eisenbahnverkehrsunternehmen, Häfen und Schifffahrtsunternehmen sowie im Straßenverkehr nur Betreiber von Verkehrsbeeinflussungsanlagen und intelligenten Verkehrssystemen (Anlage 1 Nr. 2 BSIG). Das BSIG ordnet Post- und Kurierdienste in Anlage 2 übrigens ebenfalls dem Sektor „Transport und Verkehr“ zu, aber als Branche wichtiger Einrichtungen. Die Einordnung hat Konsequenzen für Aufsichtsintensität und Bußgeldrahmen.

Merkmal	Transport und Verkehr (Anhang I)	Post- und Kurierdienste (Anhang II)
Einrichtungskategorie	Besonders wichtige Einrichtung (ab 250 Beschäftigten oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme) oder wichtige Einrichtung (mittlere Unternehmen)	Wichtige Einrichtung (mittlere und große Unternehmen)
Aufsicht durch BSI	Bei besonders wichtigen Einrichtungen auch anlassunabhängige Überprüfungen möglich (§ 61 BSIG)	Anlassbezogen, wenn Tatsachen auf Pflichtverstöße hindeuten (§ 62 BSIG)
Bußgeldrahmen	Besonders wichtige Einrichtungen: bis zu 10 Mio. €; bei > 500 Mio. € Gesamtumsatz bis zu 2 % des Gesamtumsatzes (§ 65 BSIG)	Bis zu 7 Mio. €; bei > 500 Mio. € Gesamtumsatz bis zu 1,4 % des Gesamtumsatzes (§ 65 BSIG)
Typische Einrichtungen	Luftfahrtunternehmen, Flughäfen, Eisenbahninfrastruktur und Eisenbahnverkehrsunternehmen, Häfen und Schifffahrt, Betreiber von Verkehrsbeeinflussungsanlagen und intelligenten Verkehrssystemen	Brief-, Paket-, Kurier- und Expressdienstleister, auch regionale KEP-Dienste
Sicherheitsmaßnahmen	10 Mindestmaßnahmen nach § 30 Abs. 2 BSIG (Art. 21 NIS2)	Identisch – 10 Mindestmaßnahmen nach § 30 Abs. 2 BSIG (Art. 21 NIS2)

Die entscheidende Abgrenzung in der Praxis: Ein Straßengüterverkehrsunternehmen wird nicht schon dadurch zu einer Einrichtung nach Anhang I, dass es Güter befördert – reine Lkw-Transporte sind weder in Anhang I noch in Anhang II als Einrichtungsart genannt. Ein Subunternehmer, der für einen Paketdienst Sendungen abholt oder zustellt, kann dagegen selbst Postdienstleistungen erbringen und damit unter Anhang II fallen, wenn er die Größenschwellen erreicht. Das Postgesetz verlangt dafür auch die Eintragung des beauftragten Anbieters in das Anbieterverzeichnis der Bundesnetzagentur (§ 4 Abs. 1 PostG).

Integrierte Logistikunternehmen, die neben KEP-Leistungen etwa eigene Frachtflugzeuge, Schienengüterverkehr oder See- und Binnenschifffahrt betreiben, können zusätzlich einer Einrichtungsart nach Anlage 1 zuzuordnen sein. Erreichen sie die Schwellen für große Unternehmen (mindestens 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme), gelten sie als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4 BSIG); vernachlässigbare Nebentätigkeiten bleiben dabei außer Betracht (§ 28 Abs. 3 BSIG). Die spezifischen Anforderungen für Unternehmen des Transportsektors beschreibt unser Leitfaden zu NIS2 für Transport und Logistik.

Die inhaltlichen Pflichten – Risikomanagement (§ 30 BSIG), Meldepflichten (§ 32), Registrierung (§ 33) und Geschäftsleitungspflichten (§ 38) – sind für beide Kategorien im Wesentlichen identisch. Die Unterschiede liegen vor allem in Aufsichtsintensität und Bußgeldrahmen.

Kritische IT-Systeme: Wo die Cyberrisiken im KEP-Bereich liegen

Post- und Kurierdienste gehören zu den stark digitalisierten Branchen. Ihre operative Leistungsfähigkeit hängt weitgehend von vernetzten IT-Systemen ab – und genau diese Abhängigkeit macht sie zum Angriffsziel.

Sortieranlagen und ihre Steuerungssysteme

Große Paketzentren sind für bis zu 50.000 Pakete pro Stunde ausgelegt – gesteuert durch SCADA-ähnliche Leittechnik, Barcode- und QR-Scanner-Netzwerke sowie Fördertechniksteuerungen. Ein Ransomware-Angriff auf das Leitsystem kann die gesamte Sortierung lahmlegen. Der NotPetya-Angriff vom 27. Juni 2017 beeinträchtigte die weltweiten Abläufe von TNT Express über Wochen erheblich; FedEx bezifferte die Belastung im ersten Halbjahr seines Geschäftsjahres 2018 auf rund 400 Millionen US-Dollar – ein reales Beispiel für das Ausmaß solcher Vorfälle.

Track-and-Trace-Systeme

Echtzeit-Sendungsverfolgungssysteme verarbeiten kontinuierlich Positionsdaten, Scannerereignisse und API-Calls von Millionen Sendungen gleichzeitig. Diese Systeme sind über APIs mit Online-Händlern, Empfängern und internen Systemen verbunden. Angriffsvektoren umfassen die Manipulation von Sendungsstatus-Daten, die Exfiltration personenbezogener Empfängerdaten sowie Angriffe auf API-Schnittstellen zu E-Commerce-Plattformen.

Depot-Management-Systeme (DMS)

Die digitale Steuerung von Zustellzentren – Lagerplatzverwaltung, Touren- und Personalplanung, Fahrzeugzuweisung – ist oft cloudbasiert und damit von Drittanbieterdiensten abhängig. Aus NIS2-Perspektive fällt diese Abhängigkeit unter die Sicherheit der Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG): Die Cybersicherheit der Anbieter dieser Systeme sollte daher bewertet werden.

Routenoptimierungssoftware

KI-gestützte Systeme zur Berechnung optimaler Zustellrouten verarbeiten Echtzeit-Daten zu Verkehr, Paketvolumen und Fahrerverfügbarkeit. Viele dieser Systeme sind als SaaS-Lösungen konzipiert und bringen Drittanbieterrisiken mit sich, die unter die Sicherheit der Lieferkette nach Art. 21 Abs. 2 Buchst. d NIS2 bzw. § 30 Abs. 2 Nr. 4 BSIG fallen.

Fahrzeugtelematik und mobile Geräte

Scannersysteme der Zusteller, mobile Endgeräte für die Unterschriftenerfassung und Fahrzeugtelematik kommunizieren direkt mit Backend-Systemen. Diese Endpunkte werden in klassischen IT-Sicherheitskonzepten häufig vernachlässigt, obwohl sie einen direkten Zugangspfad in die Unternehmens-IT bieten können.

Die zehn NIS2-Anforderungen nach Art. 21 – branchenspezifisch für KEP-Dienste

Artikel 21 der NIS2-Richtlinie, in Deutschland umgesetzt in § 30 BSIG in der Fassung des NIS2UmsuCG, verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Risikomanagementmaßnahmen. Für Post- und Kurierdienste bedeuten die zehn Kategorien konkret:

1. Risikoanalyse und Sicherheitsrichtlinien
Systematische Identifikation und Bewertung aller Cyberrisiken – mit besonderem Fokus auf Sortierleitsysteme, Track-and-Trace-Backends und Depot-Management-Systeme. Basis kann ISO 27001 oder der BSI IT-Grundschutz sein.

2. Vorfallmanagement und Meldepflichten (§ 32 BSIG)
Einführung eines Incident-Response-Prozesses mit klaren Eskalationswegen. Meldepflicht bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussmeldung spätestens einen Monat nach der Meldung – über das BSI-Portal an die gemeinsame Meldestelle von BSI und BBK.

3. Business Continuity und Krisenmanagement
Notfallpläne für den Ausfall zentraler IT-Systeme. Für KEP-Dienste besonders kritisch: manuelle Rückfallverfahren für Sortierung und Zustellung bei vollständigem IT-Ausfall.

4. Lieferkettensicherheit
Bewertung der Cybersicherheit aller relevanten Lieferanten: Sortieranlage-Software-Anbieter, Fahrzeugtelematik-Dienstleister, Cloud-Provider für DMS und Routenoptimierung, SaaS-Anbieter. Vertragliche Sicherheitsanforderungen sind ein gängiges Mittel, um die sicherheitsbezogenen Aspekte dieser Lieferantenbeziehungen zu regeln.

5. Sicherheit bei Erwerb und Wartung von Systemen
Sicherheitsanforderungen bei der Beschaffung neuer Sortieranlage-Software, Track-and-Trace-Systeme oder mobiler Endgeräte. Security by Design als Vergabekriterium.

6. Wirksamkeit der Sicherheitsmaßnahmen
Regelmäßige Überprüfung durch interne Audits, Penetrationstests oder Zertifizierungen. Penetrationstests für Track-and-Trace-APIs und Sortier-Leitsysteme sind besonders empfehlenswert.

7. Cyberhygiene und Schulungen
Sensibilisierungsschulungen für alle Mitarbeiter, besonders für Depot-Personal – ein häufiges Ziel von Phishing-Angriffen über gefälschte Paketverfolgungsbenachrichtigungen. Schulungen sollten regelmäßig wiederholt werden; die Geschäftsleitung muss nach § 38 Abs. 3 BSIG selbst regelmäßig an Schulungen teilnehmen.

8. Kryptographie und Verschlüsselung
Verschlüsselung von Sendungsdaten und Empfängerinformationen in Transit und at rest. Besonders relevant für Track-and-Trace-Datenbanken mit personenbezogenen Daten.

9. Personalmanagement und Zugriffskontrollen
Rollenbasierte Zugriffsrechte für Depot- und IT-Personal nach dem Least-Privilege-Prinzip. Strikte Trennung von administrativen und operativen Zugriffsrechten.

10. Mehrfaktor-Authentifizierung (MFA)
§ 30 Abs. 2 Nr. 10 BSIG nennt Lösungen zur Multi-Faktor- oder kontinuierlichen Authentifizierung. Empfehlenswert ist MFA mindestens für alle administrativen Zugänge zu kritischen Systemen – Sortieranlage-Leitsysteme, Track-and-Trace-Backend, Depot-DMS, Cloud-Portale.

Eine vollständige Erläuterung der zehn Maßnahmenkategorien und der konkreten Umsetzungsanforderungen nach deutschem Recht findet sich im Leitfaden zu den NIS2-Anforderungen nach Art. 21.

Umsetzungsfahrplan für Post- und Kurierdienste

Die Pflichten gelten seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 ohne Übergangsfrist. Der folgende Fahrplan dient daher der Priorisierung offener Punkte, nicht als Aufschub:

Phase 1 (0–3 Monate): Grundlagen schaffen

• Registrierung im BSI-Portal (§ 33 BSIG) – die Frist endete am 6. März 2026; wer noch nicht registriert ist, sollte dies unverzüglich nachholen
• Benennung eines IT-Sicherheitsverantwortlichen (CISO oder vergleichbare Rolle) – gesetzlich nicht vorgeschrieben, aber empfehlenswert
• Inventarisierung aller kritischen IT-Systeme: Sortierung, Tracking, DMS, Telematik
• MFA für alle privilegierten Zugänge sofort aktivieren

Phase 2 (3–6 Monate): Risikoanalyse und Prozesse

• Formale Risikoanalyse gemäß ISO 27001 oder BSI IT-Grundschutz
• Incident-Response-Plan erstellen und Meldeprozess für das BSI-Portal aufbauen
• Vertragliche Sicherheitsklauseln mit IT-Lieferanten und Cloud-Providern einführen
• Notfallhandbuch für IT-Ausfall in Sortierzentren erstellen

Phase 3 (6–12 Monate): ISMS und Nachweise

• Implementierung eines vollständigen Informationssicherheitsmanagementsystems (ISMS)
• Mitarbeiterschulungen für alle Hierarchieebenen, einschließlich der Schulungspflicht der Geschäftsleitung (§ 38 Abs. 3 BSIG)
• Penetrationstest für Track-and-Trace-API und Depot-Management-Systeme
• Lieferantenaudits für alle kritischen IT-Dienstleister

Sanktionen: Was bei Nichteinhaltung droht

Als wichtige Einrichtungen sind Post- und Kurierdienste nach § 65 BSIG folgendem Rahmen ausgesetzt:

• Geldbuße: Für Verstöße etwa gegen Risikomanagement- oder Meldepflichten bis zu 7.000.000 EUR; bei einem Gesamtumsatz von mehr als 500 Mio. EUR bis zu 1,4 % des weltweiten Gesamtumsatzes. Für andere Verstöße gelten niedrigere Obergrenzen, z. B. bis zu 500.000 EUR bei unterlassener Registrierung
• Haftung der Geschäftsleitung: Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen und überwachen (§ 38 Abs. 1 BSIG). Verletzen sie diese Pflichten schuldhaft, haften sie ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 38 Abs. 2 BSIG); ein eigener Bußgeldtatbestand gegen Geschäftsleiter für § 38 ist in § 65 BSIG nicht vorgesehen
• Behördliche Maßnahmen: Rechtfertigen Tatsachen die Annahme von Pflichtverstößen, kann das BSI die Einhaltung überprüfen und Maßnahmen nach § 61 BSIG treffen, etwa Anordnungen zur Umsetzung oder zur Mängelbeseitigung (§ 62 BSIG); Zwangsgelder können bis zu 100.000 EUR betragen (§ 63 BSIG)

Zum Vergleich: Große Einrichtungen des Sektors Transport und Verkehr nach Anlage 1 (besonders wichtige Einrichtungen) riskieren höhere Bußgelder von bis zu 10 Mio. EUR bzw. – bei mehr als 500 Mio. EUR Gesamtumsatz – bis zu 2 % des Gesamtumsatzes. Die inhaltlichen Sicherheitspflichten sind jedoch im Wesentlichen identisch.

Häufige Fragen zu NIS2 für Post- und Kurierdienste

Gilt NIS2 auch für Amazon Logistics und vergleichbare Fulfillment-Dienste?

Maßgeblich ist nicht der Name des Unternehmens, sondern die Tätigkeit: Wer adressierte Pakete oder andere Postsendungen gewerbsmäßig abholt, sortiert, weiterleitet oder zustellt, erbringt Postdienstleistungen (§ 3 Nr. 4 und 15 PostG) und ist bei Erreichen der Größenschwellen erfasst. Das Postgesetz nimmt allerdings Unternehmen aus dem Anbieterbegriff aus, die ausschließlich eigene Sendungen befördern (§ 3 Nr. 2 Buchst. a PostG). Reine Lagerhaltung und Intralogistik ohne Zustellkomponente sind ebenfalls nicht erfasst. Ob ein konkretes Unternehmen betroffen ist, hängt daher von seinem Geschäftsmodell ab und sollte im Einzelfall geprüft werden.

Muss ein regionaler Paketdienst mit 80 Mitarbeitern NIS2 einhalten?

In der Regel ja. Ein Unternehmen, das Postdienstleistungen erbringt und mindestens 50 Beschäftigte hat (oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro), gilt als wichtige Einrichtung (§ 28 Abs. 2 Nr. 3 BSIG) – unabhängig davon, ob es bundesweit oder nur regional tätig ist. Prüfen Sie zusätzlich, ob die Postdienstleistungen nur eine vernachlässigbare Nebentätigkeit sind (§ 28 Abs. 3 BSIG).

Sind Subunternehmer, die für große KEP-Dienste Pakete ausfahren, auch NIS2-pflichtig?

Kleine Subunternehmer mit weniger als 50 Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens 10 Mio. € sind in der Regel nicht direkt NIS2-pflichtig – es sei denn, sie gehören zu einer größeren Unternehmensgruppe (§ 28 Abs. 4 BSIG). Subunternehmer oberhalb dieser Schwellen, die selbst Sendungen abholen oder zustellen, sollten prüfen, ob sie selbst Postdienstleistungen erbringen und damit als wichtige Einrichtung gelten. Unabhängig davon müssen die beauftragenden KEP-Dienste die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 Abs. 2 Nr. 4 BSIG) – was häufig zu vertraglichen Sicherheitsanforderungen an Subunternehmer führt, auch wenn diese selbst nicht reguliert sind.

Welche Behörde ist in Deutschland zuständig?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Aufsichtsbehörde für NIS2-regulierte Unternehmen in Deutschland. Betroffene Einrichtungen müssen sich über das BSI-Portal registrieren und dabei unter anderem aktuelle Kontaktdaten angeben (§ 33 BSIG); erhebliche Sicherheitsvorfälle melden sie ebenfalls über das BSI-Portal (§ 32 BSIG). Gegenüber wichtigen Einrichtungen hat das BSI anlassbezogene Prüf- und Anordnungsbefugnisse (§ 62 BSIG).

Wie hängen NIS2 und DSGVO für Post- und Kurierdienste zusammen?

NIS2 regelt die Cybersicherheit operativer IT-Systeme und Infrastrukturen; die DSGVO schützt personenbezogene Daten. Bei Track-and-Trace-Systemen, die Empfängeradressen, Zustellnachweise und GPS-Daten verarbeiten, gelten beide Rechtsrahmen parallel. Ein Datenleck aus einem Track-and-Trace-Backend kann sowohl NIS2-Meldepflichten (erheblicher Sicherheitsvorfall) als auch DSGVO-Meldepflichten (Datenpanne nach Art. 33 DSGVO) gleichzeitig auslösen.

Quellen

1. NIS2-Richtlinie (EU) 2022/2555, Erwägungsgrund 12, Anhang I und II, Artikel 21 und 23 – EUR-Lex, Amt für Veröffentlichungen der EU
2. BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, §§ 28, 30, 32, 33, 38, 61–65 und Anlagen 1 und 2 – gesetze-im-internet.de
3. Postgesetz (PostG) vom 15. Juli 2024, § 3 Begriffsbestimmungen – gesetze-im-internet.de
4. Bundesnetzagentur: Veröffentlichung der Zahlen für den Brief- und Paketmarkt 2023 (Pressemitteilung vom 2. April 2025)
5. BSI: NIS-2-Betroffenheitsprüfung – Bundesamt für Sicherheit in der Informationstechnik