NIS2 für Transport und Logistik: Anforderungen für Verkehrsunternehmen

Der Transportsektor zählt in der NIS2-Richtlinie zu den elf Sektoren mit hoher Kritikalität – aufgeführt in Anhang I der Richtlinie (EU) 2022/2555. Deutschland hat die Richtlinie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt; die Pflichten stehen seit dem 6. Dezember 2025 im neu gefassten BSI-Gesetz (BSIG). Erfasst sind dabei nicht alle Verkehrsunternehmen, sondern die in Anlage 1 BSIG ausdrücklich genannten Einrichtungsarten der Luftfahrt, des Schienenverkehrs, der Schifffahrt und des Straßenverkehrs – sofern sie die Größenschwellen erreichen oder kritische Anlagen betreiben.

Dieser Leitfaden erklärt, welche Einrichtungsarten konkret genannt sind, wie die Einstufung in besonders wichtige und wichtige Einrichtungen funktioniert, welche Anforderungen umzusetzen sind – und wann Speditionen und Logistikdienstleister erfasst sein können.

Welche Unternehmen betrifft NIS2 im Transportsektor?

Der Sektor „Transport und Verkehr“ in Anlage 1 BSIG gliedert sich in vier Branchen: Luftverkehr, Schienenverkehr, Schifffahrt (See-, Küsten- und Binnenschifffahrt, Häfen, Wasserstraßen) und Straßenverkehr. Post- und Kurierdienste ordnet das BSIG ebenfalls dem Sektor „Transport und Verkehr“ zu, führt sie aber in Anlage 2 (Sektoren wichtiger Einrichtungen). Reguliert werden nur die dort definierten Einrichtungsarten; Straßengüterverkehr, Spedition und Kontraktlogistik sind als solche nicht aufgeführt.

Hinzu kommen die Größenschwellen nach § 28 BSIG, die sich an der KMU-Empfehlung 2003/361/EG orientieren: Wichtige Einrichtungen beschäftigen mindestens 50 Mitarbeitende oder weisen einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro auf. Besonders wichtige Einrichtungen beschäftigen mindestens 250 Mitarbeitende oder weisen einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro auf – diese Stufe steht über die Größe nur den Einrichtungsarten aus Anlage 1 offen. Unabhängig von der Unternehmensgröße gelten Betreiber kritischer Anlagen (KRITIS) als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG). Bis zum Inkrafttreten der neuen KRITIS-Verordnung gelten dafür die Schwellenwerte der bisherigen BSI-Kritisverordnung fort (§ 66 BSIG) – im Verkehr etwa 20 Millionen Passagiere oder 750.000 Tonnen Fracht pro Jahr an Flughäfen, 17.500 Flugbewegungen pro Jahr in der Flugsicherung, 3,27 Millionen Tonnen pro Jahr bei Umschlaganlagen in Häfen und 500.000 Nutzer bei intelligenten Verkehrssystemen. Einrichtungen der Bundesverwaltung fallen nicht unter § 28, sondern unter die Sonderregeln des § 29 BSIG.

Zur vollständigen Prüfung des Anwendungsbereichs der NIS2-Richtlinie und der geltenden Größenschwellen finden Sie detaillierte Informationen in unserem einführenden Leitfaden.

Teilsektor	Regulierte Einrichtungstypen	Typische NIS2-Kategorie
Luftverkehr	Gewerbliche Luftfahrtunternehmen, Flughafenleitungsorgane und Flughäfen, Betreiber zugehöriger Einrichtungen an Flughäfen, ATM/ANS-Anbieter (Flugsicherung)	Besonders wichtig / Wichtig – je nach Größe; KRITIS-Betreiber stets besonders wichtig
Schienenverkehr	Eisenbahninfrastrukturbetreiber (z. B. DB InfraGO), Eisenbahnverkehrsunternehmen, Betreiber von Serviceeinrichtungen	Besonders wichtig / Wichtig
See- und Küstenschifffahrt, Häfen	Passagier- und Frachtreedereien, Leitungsorgane von Häfen einschließlich Hafenanlagen, Betreiber von Anlagen und Ausrüstung in Häfen	Besonders wichtig / Wichtig
Binnenschifffahrt und Wasserstraßen	Binnenschifffahrtsunternehmen, Betreiber von Anlagen oder Systemen zum sicheren Betrieb einer Wasserstraße (§ 1 Abs. 6 Nr. 1 WaStrG)	Besonders wichtig / Wichtig; Bundesbehörden: § 29 BSIG
Straßenverkehr	Betreiber von Verkehrsbeeinflussungsanlagen (z. B. Verkehrs-, Betriebs- und Tunnelleitzentralen), Betreiber intelligenter Verkehrssysteme	Besonders wichtig / Wichtig
Post und Kurier (Anlage 2)	Anbieter von Postdienstleistungen einschließlich Kurierdiensten (z. B. große KEP-Dienstleister)	Wichtig (wE) – auch bei großen Anbietern, außer bei KRITIS-Betreibern

Luftfahrt: Flughäfen, Airlines und Flugsicherung

In der Luftfahrt gelten neben dem BSIG eigene EU-Vorgaben zur Informationssicherheit (siehe Praxishinweis). Anlage 1 BSIG nennt drei Einrichtungsarten.

Flughafenbetreiber – genauer: Flughafenleitungsorgane und Flughäfen im Sinne der Richtlinie 2009/12/EG, ausdrücklich einschließlich der Flughäfen des TEN-V-Kernnetzes, sowie Einrichtungen, die zugehörige Einrichtungen innerhalb von Flughäfen betreiben – sind in Anlage 1 BSIG aufgeführt. Eine größenunabhängige Erfassung gibt es nicht: Maßgeblich sind die Schwellen des § 28 BSIG oder der KRITIS-Status. Großflughäfen wie Frankfurt, München, Düsseldorf oder Hamburg erreichen die Schwelle für besonders wichtige Einrichtungen in der Regel bereits über ihre Größe. Die operative IT dieser Flughäfen umfasst Airport Operations Centers (AOC), Passagier-Abfertigungssysteme (DCS/DPS), Gepäcksortieranlagen, Fluggastbrückensteuerung und Sicherheitssysteme – soweit sie für die Erbringung der Dienste genutzt werden, fallen sie unter die Risikomanagementpflichten des §30 BSIG.

Luftfahrtunternehmen (Airlines), die für gewerbliche Zwecke genutzt werden, gelten ab 250 Mitarbeitenden oder ab einem Jahresumsatz von über 50 Millionen Euro bei zugleich über 43 Millionen Euro Jahresbilanzsumme als besonders wichtige Einrichtungen. Kleinere Gesellschaften ab 50 Mitarbeitenden oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro fallen als wichtige Einrichtungen in den Geltungsbereich. Kritische digitale Systeme umfassen Reservierungs- und Global Distribution Systems (GDS wie Amadeus oder Sabre), Crew-Management-Systeme, Cargo-Tracking-Plattformen und die Schnittstellen zur Flugsicherung.

Flugsicherungsorganisationen – ATM/ANS-Anbieter nach der Durchführungsverordnung (EU) 2017/373, in Deutschland insbesondere die DFS Deutsche Flugsicherung GmbH – sind in Anlage 1 BSIG ausdrücklich genannt. Große Anbieter erreichen die Schwelle für besonders wichtige Einrichtungen. Ihre Kernsysteme, die Radarverarbeitung, Voice Communication Systems (VCS), Flight Data Processing (FDP) und Surface Movement Guidance (SMG), sind besonders schutzbedürftig. Ein Cyberangriff auf Flugsicherungssysteme hätte unmittelbare Konsequenzen für die öffentliche Sicherheit.

Praxishinweis: Neben den Pflichten nach §30 BSIG gelten in der Luftfahrt die EU-Vorgaben zum Informationssicherheitsmanagement („Part-IS“): die Delegierte Verordnung (EU) 2022/1645 (u. a. Flugplatzbetreiber und Anbieter von Vorfeldkontrolldiensten; gilt seit dem 16. Oktober 2025) und die Durchführungsverordnung (EU) 2023/203 (u. a. Luftfahrtunternehmen, Instandhaltungsbetriebe und ATM/ANS-Anbieter; gilt seit dem 22. Februar 2026). Das BSIG nimmt die Luftfahrt nicht aus – beide Regelwerke gelten nebeneinander; eine gemeinsame Gap-Analyse NIS2 gegenüber Part-IS kann Doppelarbeit vermeiden.

Schienenverkehr: Infrastrukturbetreiber und Eisenbahnverkehrsunternehmen

Im Schienenverkehr nennt Anlage 1 BSIG zwei Einrichtungsarten: Betreiber von Eisenbahninfrastruktur und Eisenbahnverkehrsunternehmen (EVUs).

Eisenbahninfrastrukturbetreiber nach § 2 Abs. 6 und 6a AEG – einschließlich zentraler Einrichtungen, die den Zugbetrieb vorausschauend und bei unerwartet eintretenden Ereignissen disponieren – sind ausdrücklich erfasst. Die DB InfraGO AG, die seit Januar 2024 das Schienennetz der Deutschen Bahn betreibt, erreicht die Schwelle für besonders wichtige Einrichtungen bereits über ihre Größe. Der moderne Infrastrukturbetrieb umfasst hochvernetzte Leit- und Sicherungstechnik: Elektronische Stellwerke (ESTW/DSTW), das europäische Zugkontrollsystem ETCS (European Train Control System), Kommunikationssysteme (GSM-R, künftig FRMCS) und digitale Betriebszentralen.

Eisenbahnverkehrsunternehmen (EVUs) nach § 2 Abs. 3 AEG – einschließlich der Betreiber von Serviceeinrichtungen – unterliegen NIS2, sobald sie die Größenschwellen erreichen. Große EVUs des Personen- und Güterverkehrs erreichen in der Regel die Schwelle für besonders wichtige Einrichtungen. Regionale Güterbahnen und Regionalbahnen ab 50 Mitarbeitenden oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro fallen als wichtige Einrichtungen in den Geltungsbereich.

Die OT/IT-Konvergenz ist im Schienenverkehr besonders kritisch: Stellwerke, Weichen, Bahnübergangssicherungen und Fahrzeugleitsysteme wurden historisch als isolierte Systeme konzipiert. Wachsende IP-Vernetzung – insbesondere durch den Übergang zu ETCS Level 2 ohne Streckensignalisierung – schafft Angriffsflächen, die von klassisch auf physische Sicherheit fokussierten Bahnunternehmen noch nicht vollständig adressiert werden. §30 BSIG erfasst alle informationstechnischen Systeme, Komponenten und Prozesse, die eine Einrichtung für die Erbringung ihrer Dienste nutzt – die Risikoanalyse sollte daher auch Operational-Technology-Systeme einschließen.

Häfen und Schifffahrt: Reedereien, Häfen und Wasserstraßen

In der Schifffahrt nennt Anlage 1 BSIG Reedereien der Binnen-, See- und Küstenschifffahrt, Leitungsorgane von Häfen samt Hafenanlagen und Betreibern von Anlagen in Häfen sowie Betreiber von Anlagen zum sicheren Betrieb einer Wasserstraße. Die Kategorie folgt der Größe oder dem KRITIS-Status – nicht dem Teilbereich.

Hafen- und Terminalbetreiber wie die Hamburger Hafen und Logistik AG (HHLA) oder Eurogate erreichen in der Regel die Schwelle für besonders wichtige Einrichtungen. Ihre digitale Infrastruktur ist komplex: Hafenmanagementsysteme (HMS), Terminal Operating Systems (TOS), Port Community Systems (PCS), die Steuerung automatisierter Containerbrücken und fahrerloser Transportfahrzeuge (AGVs) sowie Sicherheitssysteme bilden ein hochvernetztes Geflecht. Weitgehend automatisierte Terminals wie das CTA in Hamburg sind auf vernetzte Steuerungstechnik angewiesen – ein Ausfall hätte unmittelbare Konsequenzen für die gesamte Supply Chain.

Für Häfen besonders relevant: Supply-Chain-Angriffe über IT-Dienstleister. Der NotPetya-Vorfall bei Maersk im Jahr 2017 legte nach Recherchen von WIRED den Betrieb an 17 der 76 Terminals der Maersk-Tochter APM Terminals lahm – und zeigte eindrucksvoll, wie ein einziger Einfallspunkt globale Lieferketten unterbrechen kann. Die Sicherheit der Lieferkette ist nach § 30 Abs. 2 Nr. 4 BSIG (Art. 21 Abs. 2 Buchst. d NIS2) Pflichtbestandteil des Risikomanagements aller regulierten Einrichtungen. Detaillierte Anforderungen beschreibt unser Leitfaden zur Lieferkettensicherheit nach NIS2.

Binnenschifffahrt und Wasserstraßen: Erfasst sind Binnenschifffahrtsunternehmen der Passagier- und Frachtbeförderung sowie Betreiber von Anlagen oder Systemen zum sicheren Betrieb einer Wasserstraße im Sinne von § 1 Abs. 6 Nr. 1 WaStrG – also bundeseigener Schifffahrtsanlagen wie Schleusen, Schiffshebewerke und Wehre. Diese Anlagen werden in Deutschland in der Regel von der Wasserstraßen- und Schifffahrtsverwaltung des Bundes (WSV) betrieben; deren Behörden fallen nicht unter § 28 BSIG, sondern unter die Regeln für Einrichtungen der Bundesverwaltung (§ 29 BSIG). Ein Ausfall von Schleusensteuerung oder Verkehrsinformationssystemen wie River Information Services (RIS) hätte direkte operative und Sicherheitsfolgen.

Straßenverkehr: Verkehrsbehörden und Intelligente Transportsysteme

Im Straßenverkehr konzentriert sich NIS2 nicht auf klassische Spediteure oder Lkw-Unternehmen, sondern auf Betreiber von Verkehrsinfrastruktur und digitalen Verkehrsmanagement-Systemen.

Betreiber von Verkehrsbeeinflussungsanlagen – Anlage 1 BSIG erfasst Betreiber einer Anlage oder eines Systems zur Verkehrsbeeinflussung im Straßenverkehr einschließlich der in § 1 Abs. 4 Nr. 1, 3 und 4 FStrG genannten Einrichtungen, zum Beispiel Verkehrs-, Betriebs- und Tunnelleitzentralen, Entwässerungsanlagen, intelligente Verkehrssysteme, Fachstellen für Informationstechnik und -sicherheit im Straßenbau sowie die Telekommunikationsnetze der Bundesautobahnen. Dazu zählen Verkehrsmanagementzentralen (VMZ), Streckenbeeinflussungsanlagen (SBA), Tunnelleittechnik und Brückenüberwachungssysteme. Ob und in welcher Kategorie eine Behörde oder Gesellschaft erfasst ist, hängt u. a. von Organisationsform, Entgeltlichkeit der Leistungen, Größe und KRITIS-Status ab; Bundesbehörden unterliegen § 29 BSIG. Ein Cyberangriff auf Tunnelmanagementsysteme kann unmittelbar zur Streckensperrung und damit zur Gefährdung der öffentlichen Sicherheit führen.

Betreiber Intelligenter Verkehrssysteme (ITS) im Sinne von § 2 Nr. 1 IVSG fallen bei Erreichen der Größenschwellen in den NIS2-Geltungsbereich. Moderne ITS-Systeme verknüpfen Fahrzeugsensoren, Erfassungsgeräte, GPS-Tracking und Cloud-Backends zu einem integrierten System, das bei einem Cyberangriff Verkehrsinformation und potenziell die Verkehrsflusssteuerung beeinträchtigen kann. Ob ein konkretes System – etwa ein Mautsystem – als ITS im Sinne des IVSG einzuordnen ist, sollte im Einzelfall geprüft werden.

Für Straßenverkehrsbetreiber ist das Business Continuity Management (BCM) nach §30 Abs. 2 Nr. 3 BSIG – Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement – besonders relevant: Kritische Verkehrsinfrastruktur sollte auch im Angriffsfall betriebsfähig bleiben; Ausweichverfahren sollten vorab definiert und regelmäßig getestet werden.

Spedition und Logistik: Welche Logistikdienstleister unter NIS2 fallen

Spedition, Lagerlogistik und Straßengüterverkehr sind als solche keine Einrichtungsart der Anlage 1 BSIG – im Straßenverkehr erfasst der Sektor „Transport und Verkehr“ nur Betreiber von Verkehrsbeeinflussungsanlagen und intelligenten Verkehrssystemen. Logistikdienstleister können dennoch auf drei Wegen unter das BSIG fallen.

Post- und Kurierdienste sind in Anlage 2 BSIG genannt: Anbieter von Postdienstleistungen nach § 3 Nr. 15 PostG – der gewerbsmäßigen Beförderung von Briefsendungen, Paketen und Warensendungen – einschließlich Anbietern von Kurierdiensten. Große KEP-Dienstleister wie DHL, UPS, FedEx, DPD und Hermes fallen damit bei Erreichen der Größenschwellen als wichtige Einrichtungen in den Geltungsbereich; da Anlage 2 keine Einstufung als besonders wichtig über die Größe vorsieht, gilt das auch für sehr große Anbieter (Ausnahme: Betreiber kritischer Anlagen). Reine Frachtführer, die Postsendungen nur mit einer Erlaubnis nach dem Güterkraftverkehrsgesetz transportieren, sind nach § 3 Nr. 2 PostG keine „Anbieter“ – maßgeblich ist der Einzelfall.

Tätigkeiten in Häfen, an Flughäfen und auf der Schiene: Wer Terminals in Häfen, zugehörige Einrichtungen an Flughäfen oder eine Serviceeinrichtung betreibt, als EVU oder Reederei tätig ist, kann über diese Tätigkeit unter Anlage 1 fallen; vernachlässigbare Nebentätigkeiten bleiben nach § 28 Abs. 3 BSIG unberücksichtigt.

Großlogistiker als Betreiber kritischer Anlagen: Die bis zum Inkrafttreten der neuen KRITIS-Verordnung fortgeltende BSI-Kritisverordnung kennt im Sektor Transport und Verkehr ausdrücklich den Bereich Logistik. Anlagen zum Betrieb eines Logistikzentrums sowie Anlagen oder IT-Systeme zur Logistiksteuerung oder -verwaltung in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und Luftfracht gelten ab 17,55 Millionen Tonnen oder 53,2 Millionen Sendungen pro Jahr als kritische Anlagen. Wer solche Anlagen betreibt – das betrifft nur sehr große Logistiknetzwerke –, gilt unabhängig von Anlage 1 als besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG). Besonders exponiert sind Transport-Management-Systeme (TMS), Lagerverwaltungssysteme (WMS) und Zollabwicklungsplattformen.

Die Lieferkettensicherheit nach NIS2 ist für Logistikdienstleister kein abstraktes Compliance-Thema: Auch wer selbst nicht reguliert ist, erhält als IT-Dienstleister, Frachtführer oder Zollagent regulierter Einrichtungen häufig Sicherheitsanforderungen von seinen Auftraggebern – in Form von Vertragsklauseln, Sicherheitsfragebögen und Auditrechten –, weil diese ihre Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG absichern müssen.

NIS2-Anforderungen nach Artikel 21: Gemeinsame Pflichten für alle Verkehrsunternehmen

Unabhängig vom Teilsektor gelten für besonders wichtige und wichtige Einrichtungen dieselben inhaltlichen Mindestanforderungen nach §30 BSIG (Art. 21 NIS2-Richtlinie). Die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG gelten für beide Kategorien; die Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein, wobei u. a. Risikoexposition, Größe der Einrichtung und Umsetzungskosten zu berücksichtigen sind.

Maßnahmenbereich (§30 Abs. 2 BSIG)	Transportspezifische Relevanz
1. Risikoanalyse und Sicherheitskonzepte	OT-Systeme (Stellwerke, ATM, HMS) in die Risikoanalyse einbeziehen
2. Bewältigung von Sicherheitsvorfällen	Erkennung und Reaktion; Meldungen nach § 32 BSIG: 24h-Erstmeldung, 72h-Meldung, Abschlussmeldung nach einem Monat
3. Aufrechterhaltung des Betriebs und Krisenmanagement	Ausweichbetrieb für Flugsicherung, Stellwerke, Hafenleitsysteme definieren; Backup und Wiederherstellung
4. Sicherheit der Lieferkette	IT-Dienstleister, Systemintegratoren, Softwarelieferanten prüfen
5. Sicherheit bei Erwerb, Entwicklung und Wartung inkl. Schwachstellenmanagement	Patch-Management für eingebettete Systeme; koordinierte Offenlegung; Transport-OT häufig proprietäre Systeme mit langen Lebenszyklen
6. Bewertung der Wirksamkeit	Regelmäßige Überprüfung der Maßnahmen, z. B. durch Audits und Notfallübungen im Leitstellenbetrieb
7. Schulungen und Sensibilisierung	Grundlegende Cyberhygiene für Leitstellen-, Stellwerks- und Terminalpersonal
8. Kryptografie	Verschlüsselung für Buchungs-, Logistik- und Kommunikationssysteme
9. Personalsicherheit, Zugriffskontrolle und Anlagenmanagement	Zugangskontrolle für kritische OT-Bereiche; Inventar der IKT- und OT-Systeme; IT/OT-Segmentierung
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation	MFA für Fernzugriff auf Leit- und Steuerungstechnik; gesicherte Sprach-, Daten- und ggf. Notfallkommunikation

Für Betreiber kritischer Anlagen kommt die Nachweispflicht nach §39 BSIG hinzu: Sie müssen die Umsetzung der Maßnahmen zu einem vom BSI festgelegten Zeitpunkt und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Von anderen besonders wichtigen Einrichtungen kann das BSI Nachweise frühestens ab Dezember 2028 anordnen (§ 61 Abs. 3 BSIG). Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO/IEC 27001 – ergänzt um IEC 62443 für OT-Umgebungen – kann eine gute Grundlage für solche Nachweise bilden. Alle Anforderungen im Detail beschreibt unser Leitfaden zu den NIS2-Anforderungen nach Artikel 21.

Meldepflichten bei Sicherheitsvorfällen. Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle nach §32 BSIG an die gemeinsame Meldestelle von BSI und BBK melden: frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, Meldung innerhalb von 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung. Erheblich ist ein Vorfall nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen erheblich schädigen kann.

Physische Resilienz. Die physische Resilienz kritischer Anlagen regelt getrennt davon das KRITIS-Dachgesetz (in Kraft seit dem 17. März 2026). Dessen Registrierungs- und Resilienzpflichten knüpfen an eine noch nicht in Kraft getretene Rechtsverordnung des BMI an; eine Registrierungspflicht beim BBK besteht daher derzeit noch nicht.

OT/IT-Konvergenz: Die besondere Herausforderung für Transport-Infrastruktur

Verkehrsunternehmen stehen vor einer strukturellen Besonderheit: Ihre kritischsten Systeme sind häufig Operational-Technology-Systeme (OT) – also industrielle Steuer- und Leittechnik, die historisch isoliert von IT-Netzwerken betrieben wurde. Stellwerke sind auf Betriebsdauern von mehreren Jahrzehnten ausgelegt, Flugsicherungssysteme wurden über Jahrzehnte mit proprietären Protokollen entwickelt, Hafenterminal-Steuerungen laufen in Schichtbetrieb rund um die Uhr.

Heute ist die strikte OT/IT-Trennung vielerorts aufgehoben: Stellwerke kommunizieren über IP-Netzwerke, Flughafen-Ground-Handling-Systeme sind teils cloud-basiert, und Hafenterminal-Systeme laufen vielfach auf Standard-Servern mit Netzanbindung. Die klassischen IT-Sicherheitsprinzipien greifen im OT-Bereich nicht direkt: Patch-Zyklen sind länger, Wartungsfenster enger, und viele Systeme können weder im laufenden Betrieb aktualisiert noch neu gestartet werden.

§30 BSIG erfasst alle informationstechnischen Systeme, Komponenten und Prozesse, die für die Erbringung der Dienste genutzt werden – OT wird nicht eigens genannt, gehört in der Praxis aber dazu. Für die praktische Umsetzung haben sich folgende Maßnahmen bewährt:

• Netzwerksegmentierung zwischen IT und OT durch DMZ-Architekturen und unidirektionale Daten-Dioden an kritischen Übergängen
• OT-spezifisches Monitoring mit Lösungen, die industrielle Protokolle (z. B. Modbus/TCP, PROFINET, DNP3, IEC 60870-5-104) nativ erkennen
• IEC 62443 als ergänzender Sicherheitsstandard für OT-Umgebungen neben ISO/IEC 27001
• Lieferantenverträge mit expliziten OT-Sicherheitsklauseln (§ 30 Abs. 2 Nr. 4 BSIG, Art. 21 Abs. 2 Buchst. d NIS2)
• Getrennte Zugangspfade für IT-Fernwartung und OT-Fernwartung mit MFA an beiden Segmentgrenzen

Häufige Fragen

Gilt NIS2 für jedes Transportunternehmen in Deutschland?

Nein. NIS2 gilt für Verkehrsunternehmen, die erstens einer in Anlage 1 oder 2 BSIG genannten Einrichtungsart zuzuordnen sind und zweitens die Größenschwellen erreichen (mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro). Ein Logistikunternehmen mit 30 Mitarbeitenden, dessen Umsatz und Bilanzsumme nicht jeweils über 10 Millionen Euro liegen, fällt in der Regel nicht unter NIS2 – es sei denn, es betreibt eine kritische Anlage nach der BSI-Kritisverordnung. Mittelbar können Anforderungen allerdings über Verträge mit regulierten Auftraggebern entstehen.

Unterscheiden sich die Pflichten für Luftfahrt und Schienenverkehr?

Die inhaltlichen Pflichten nach §30 BSIG (Art. 21 NIS2) sind für alle regulierten Verkehrsunternehmen gleich – alle zehn Maßnahmenbereiche gelten; in der Luftfahrt kommen die Part-IS-Vorgaben der EU hinzu. Unterschiede bestehen vor allem in der Aufsicht: Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen auch ohne konkreten Anlass anordnen (§ 61 BSIG), gegenüber wichtigen Einrichtungen nur, wenn Tatsachen die Annahme rechtfertigen, dass sie ihre Pflichten nicht oder nicht richtig umsetzen (§ 62 BSIG).

Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung im Transportsektor?

Besonders wichtige Einrichtungen (bwE, im EU-Recht „wesentliche Einrichtungen“) sind große Anlage-1-Einrichtungen (ab 250 Mitarbeitenden oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme) sowie Betreiber kritischer Anlagen – etwa große Flughäfen, DB InfraGO, große Hafenbetreiber und Flugsicherungsorganisationen. Wichtige Einrichtungen (wE) sind mittelgroße Unternehmen der Anlage-1-Einrichtungsarten (ab 50 Mitarbeitenden oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro) sowie Post- und Kurierdienste nach Anlage 2 ab diesen Schwellen. Beide Kategorien müssen dieselben Maßnahmen nach § 30 BSIG umsetzen; Unterschiede bestehen bei der Aufsichtstiefe (§§ 61, 62 BSIG) und bei den Bußgeldrahmen (bis zu 10 Millionen Euro bzw. bis zu 7 Millionen Euro; bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes).

Wie werden OT-Systeme in Transportinfrastrukturen unter NIS2 behandelt?

§30 BSIG erfasst alle informationstechnischen Systeme, Komponenten und Prozesse, die eine Einrichtung für die Erbringung ihrer Dienste nutzt. Das Gesetz nennt OT nicht ausdrücklich; industrielle Steuerungssysteme (ICS), SCADA-Systeme sowie Leit- und Sicherungstechnik, die Transport-Kernprozesse steuern, gehören in der Praxis aber dazu – unabhängig davon, ob sie mit dem Internet verbunden sind. Einrichtungen, die OT-Systeme bisher aus dem IT-Sicherheitskonzept ausgenommen haben, sollten dies überprüfen.

Was gilt für Spediteure und Logistikdienstleister ohne eigene Infrastruktur?

Reine Spediteure und Logistikdienstleister sind nicht als Verkehrsunternehmen nach Anlage 1 BSIG erfasst. Erfasst sein können sie als Post- oder Kurierdienst (Anlage 2), über Tätigkeiten einer Anlage-1-Einrichtungsart (z. B. Anlagen in Häfen) oder als Betreiber einer kritischen Logistikanlage nach der BSI-Kritisverordnung. Zudem müssen NIS2-regulierte Auftraggeber ihre Lieferkette absichern – was Spediteure mittelbar mit vertraglichen Anforderungen konfrontiert, auch wenn sie selbst nicht reguliert sind.

Quellen

1. NIS2-Richtlinie (EU) 2022/2555 – EUR-Lex, Anhang I und II, Artikel 3, 21, 23
2. BSI-Gesetz (BSIG) – Gesetze im Internet, insbesondere §§ 28–32, 39, 61, 62, 66 und Anlagen 1 und 2
3. BSI-Kritisverordnung, Anhang 7: Anlagenkategorien und Schwellenwerte im Sektor Transport und Verkehr – Gesetze im Internet
4. BSI: NIS-2-regulierte Unternehmen – Bundesamt für Sicherheit in der Informationstechnik
5. Durchführungsverordnung (EU) 2023/203 (Part-IS) – EUR-Lex
6. Delegierte Verordnung (EU) 2022/1645 (Part-IS für Flugplatzbetreiber) – EUR-Lex
7. ENISA Transport Threat Landscape (2023) – Europäische Agentur für Cybersicherheit
8. WIRED: The Untold Story of NotPetya, the Most Devastating Cyberattack in History