NIS2 in Logistik & Transport

Sektor 2 Transport umfasst vier Verkehrsträger: Luft, Schiene, Schifffahrt, Straße. Pflichtig sind ab 50 MA oder 10 Mio EUR Umsatz: Speditionen aller Größenklassen, Kurier-Express-Paket-Dienstleister (KEP), Hafenbetreiber und Hafenagenturen, Frachtflughäfen und Bodenabfertigungs-Dienstleister, Schiffsmakler und Reeder im Frachtbereich, Eisenbahn-Verkehrsunternehmen (EVU), Logistik-Dienstleister mit eigenen Warehouses und Distribution. Besonders wichtig (besonders strenge Pflichten) sind klassische KRITIS-Betreiber: große Häfen, große Flughäfen, große EVU. Lieferketten-Effekt: Auch wer selbst unter der Schwelle liegt, wird vom Auftraggeber zur NIS2-äquivalenten Nachweis-Erbringung gezwungen - das ist gelebte Praxis bei Lufthansa Cargo, DB Cargo, Maersk, Kühne+Nagel, DHL, Hellmann.

Logistiker stehen 2026 zwischen zwei Compliance-Sphären, die sich überlagern. NIS2 (seit 6. Dezember 2025) verlangt von Logistikern selbst die Umsetzung der § 30 BSIG-Mindestmaßnahmen plus Lieferketten-Sicherheit gegenüber den eigenen IT- und TMS-Dienstleistern. Das Lieferkettensorgfaltspflichtengesetz (LkSG, ab 1.000 MA seit 2024) verlangt eine breitere Sorgfaltspflicht in der gesamten Lieferkette - inkl. Datenschutz, Integrität und Cybersicherheit der Sub-Auftragnehmer. Auch wer selbst unter 1.000 MA liegt, wird vom Auftraggeber (BMW, BASF, Siemens) zur LkSG-äquivalenten Nachweis-Erbringung gezwungen. Praktisches Vorgehen: NIS2-Risikoanalyse als Single Source of Truth aufsetzen, LkSG-Lieferketten-Audit darauf aufbauen, Sub-Auftragnehmer-Verträge (TMS-Anbieter, Telematik-Provider, IT-Dienstleister) mit kombinierten NIS2/LkSG-Klauseln nachverhandeln. Dokumentation in einem Compliance-Tool ist 2026 quasi Pflicht - manuelle Excel-Pflege skaliert nicht.

Die zehn Mindestmaßnahmen nach § 30 BSIG bedeuten für Logistiker konkret: 1. Risiko-Inventar mit TMS, WMS, ERP, Telematik-Provider, EDI-Schnittstellen. 2. Incident-Response-Prozess mit 24/7-Erreichbarkeit - Spediteure sind oft 24/7-Operationen, das NOC muss mithalten. 3. Backup-Strategie nach 3-2-1 für TMS-Daten, Frachtbriefe, Zollpapiere - inkl. dokumentierter Wiederherstellungs-Tests. 4. Lieferanten-Sicherheit für alle IT-Dienstleister, TMS-Anbieter, Telematik-Provider. 5. Patch-Management für TMS, WMS, Telematik-Hardware. 6. Wirksamkeitsmessung durch interne Audits und Pentests. 7. Awareness gegen BEC und Phishing - besonders für Disposition und Buchhaltung. 8. Verschlüsselung von Frachtbriefen, Zollpapieren und Telematik-Daten in Übertragung und Speicherung. 9. Privileged Access Management für TMS-Admin, Telematik-Server, Zoll-Schnittstellen. 10. MFA für TMS, Telematik-Frontend, Zoll-Portale, E-Mail - BEC-Schutz beginnt bei MFA.

Ein wenig beachtetes, aber existenzkritisches Risiko für Logistiker: Die Frachtführerhaftung nach § 380 ff. HGB greift auch bei Cyber-bedingter Lieferunfähigkeit. Wird die Spedition durch einen Ransomware-Befall handlungsunfähig, kommt es zu Verzug, Frachtschäden oder Vertragsstrafen - der Versicherungsnehmer haftet gegenüber Auftraggeber, Empfänger und ggf. Endkunde nach den Regeln des Frachtrechts. Klassische Spediteur-Haftpflicht-Versicherungen decken solche cyberbedingten Frachtschäden oft nicht ausdrücklich - hier braucht es eine kombinierte Lösung aus Cyberpolice (BU, Wiederherstellung) und Spediteur-Haftpflicht mit ausdrücklicher Cyber-Klausel. Wer hier nicht aufpasst, hat im Schadenfall eine Deckungslücke: Die Cyber-Police zahlt die BU, die Verkehrshaftpflicht zahlt nicht (weil Cyber-Ausschluss) - der Spediteur bleibt auf der Frachtführerhaftung sitzen. Pflicht-Prüfung mit dem eigenen Versicherungsmakler.

Eine NIS2- und LkSG-konforme Cyberversicherung für Spediteure und KEP-Dienstleister muss vier Bausteine abdecken. Erstens Betriebsunterbrechung mit Branchen-Klausel: Maersk-Style Stillstand erzeugt schnell Wochen-BU-Schäden im sechs- bis siebenstelligen Bereich. Versicherungssumme unter 1 Mio EUR ist für jeden mittelständischen Spediteur zu niedrig. Zweitens Frachtführer-Haftpflicht mit ausdrücklicher Cyber-Klausel: Wer haftet, wenn Ihre Spedition wegen Cyber-Ausfall in Verzug gerät? Klassische Verkehrshaftpflicht schließt Cyber-Ursachen oft aus - hier braucht es eine ausdrückliche Klausel oder eine Cyber-Police, die Frachtführerhaftung in der Drittschaden-Klausel mitversichert. Drittens Cyber-Diebstahl und BEC-Schaden: Wenn Angreifer per BEC Frachten umleiten oder Geld unterschlagen, ist das oft als Vermögensschaden gestaltet - nicht jeder Cyber-Tarif zahlt. Vorab-Prüfung der Sub-Limits ist Pflicht. Viertens Krisenkommunikation und 24/7-IR mit Logistik-Erfahrung: TMS, WMS, EDI-Schnittstellen sind nicht jedermanns Spezialgebiet - klassische Office-Forensiker können hier nichts. Anbieter mit Logistik-Erfahrung: Allianz, Hiscox und HDI sind typischerweise gut aufgestellt - unser Anbieter-Vergleich zeigt die Unterschiede.

Phase 1 (Tag 1-30): NIS2-Betroffenheitsprüfung dokumentieren, BSI-Registrierung falls noch nicht erfolgt, NIS2-Kontaktstelle 24/7 benennen, TMS- und WMS-Inventar erstellen. Phase 2 (Tag 31-60): § 30 BSIG-Gap-Analyse mit Disposition und Buchhaltung als Schwerpunkt (BEC-Risiko), Incident-Response-Prozess mit 24h-Meldekette ans BSI, Sub-Auftragnehmer-Vertrags-Review (TMS-Anbieter, Telematik, IT-Dienstleister) mit kombinierten NIS2/LkSG-Klauseln. Phase 3 (Tag 61-90): MFA für TMS, Telematik-Frontend, E-Mail und Zoll-Portale ausrollen, BEC-Awareness-Schulungen für Disposition und Buchhaltung, Backup-Strategie für TMS-Daten testen, Verkehrshaftpflicht-Police mit Versicherungsmakler auf Cyber-Klausel prüfen. Phase 4 (Tag 91-120): Geschäftsführer-Schulung nach § 38 BSIG durchführen und dokumentieren, Cyberpolice-Vergleich mit Logistik-Spezialisten abschließen, jährlichen Audit-Zyklus aufsetzen. Danach: halbjährliche Tabletop-Exercises mit Disposition-Ausfall-Szenario, Quartals-Updates des Sub-Auftragnehmer-Audits.