NIS2 für Logistik und Transport
Transport ist ein hochkritischer Sektor unter NIS2 Anhang I, Post- und Kurierdienste fallen unter Anhang II. Für Speditionen, Paketdienste und Logistikdienstleister ab 50 Mitarbeitern gelten die BSIG-Pflichten seit Dezember 2025.
Warum Logistik und Transport?
Die moderne Logistik ist vollständig digitalisiert: Transportmanagementsysteme steuern Aufträge, Telematik überwacht Fahrzeuge in Echtzeit, Lagerverwaltungssysteme koordinieren den Warenfluss und EDI-Schnittstellen verbinden Verlader, Spediteure und Empfänger. Ein Cyberangriff auf eines dieser Systeme bringt die Lieferkette zum Stillstand.
NIS2 erfasst den Transportsektor breit: Straßentransport und Logistik (Anhang I, hochkritisch), Post- und Kurierdienste (Anhang II, sonstig kritisch), sowie Luft-, Schienen- und Schifffahrt. Unternehmen ab 50 Mitarbeitern oder über 10 Mio. EUR Umsatz (bei über 10 Mio. EUR Bilanzsumme) sind betroffen.
Die Logistikbranche hat ein besonderes Risikoprofil: Die IT-Systeme sind hochgradig vernetzt – mit Kunden, Subunternehmern, Frachtbörsen und Behörden. Gleichzeitig ist die IT-Sicherheitsreife in vielen mittelständischen Speditionen gering. Shared-User-Accounts in der Disposition, fehlende Netzwerksegmentierung und ungesicherte Telematik-Schnittstellen sind verbreitet.
Transportmanagementsystem (TMS)
Systeme wie Transporeon, CarLo, Wanko oder TimoCom für Auftragsmanagement, Frachtenbuchung, Disposition und Sendungsverfolgung. Das TMS ist das Herzstück des operativen Geschäfts. Ein Ausfall bedeutet: Keine Auftragsdisposition, keine Sendungsverfolgung, keine Abrechnung.
Telematik und Fuhrparkmanagement
GPS-Tracking, Fahrtenschreiber-Auswertung, Lenk- und Ruhezeitenüberwachung, Reifendruckkontrolle und Kraftstoffmanagement. Systeme wie Fleetboard, TomTom WEBFLEET oder Trimble. Die Telematik verbindet jedes Fahrzeug mit der Zentrale – ein kompromittiertes System kann die gesamte Flotte betreffen.
Lagerverwaltungssystem (WMS)
SAP EWM, Manhattan Associates, Jungheinrich WMS oder Ehrhardt + Partner für die Steuerung von Wareneingang, Einlagerung, Kommissionierung und Versand. In automatisierten Lagern steuert das WMS auch Fördertechnik, Regalbedienperäte und Sortierer. Ein WMS-Ausfall bringt das Lager zum Stillstand.
ERP- und Abrechnungssystem
SAP, Microsoft Dynamics, proALPHA oder spezialisierte Speditionssoftware für Finanzbuchhaltung, Personalwesen und Rechnungsstellung. Die Schnittstellen zu TMS und WMS sind geschäftskritisch. Viele Logistikunternehmen wickeln tausende Transaktionen pro Tag über automatisierte EDI-Verbindungen ab.
Netzwerkinfrastruktur
Standortübergreifende Netzwerke zwischen Verwaltung, Lagerstandorten und ggf. Cross-Docking-Hubs. VPN-Verbindungen für Homeoffice und mobile Mitarbeiter. WLAN in Lagerhallen für Scanner und Tablets. Die Vernetzung zwischen Standorten ist die Grundlage für den Echtzeitbetrieb.
Endgeräte und Büro-IT
Disponenten-Arbeitsplätze, Handscanner im Lager (z.B. Zebra, Honeywell), Tablets für Fahrer (Unterschriften, Schadensmeldung), Standard-Büroarbeitsplätze. Grundschutz erlaubt Gruppierung: '80 Zebra-Handscanner' = 1 Asset-Eintrag.
1. Beim BSI registrieren
Die §33-BSIG-Registrierung über das MUK-Portal ist die sichtbarste Pflicht. Transport (Anhang I) führt bei großen Unternehmen zur Einstufung als besonders wichtige Einrichtung. Post/Kurier (Anhang II) als wichtige Einrichtung. Eigenständiger Bußgeldtatbestand bis 500.000 EUR.
2. Asset-Inventar aufbauen
Erfassen Sie alle Systeme, die Ihren Logistikbetrieb unterstützen. Vergessen Sie nicht die Telematik (jedes Fahrzeug ist ein vernetztes Endgerät) und die Lagertechnik. Für jedes Asset: Was tut es, wer betreibt es, was passiert bei 24h Ausfall?
3. Vorfallmeldung einrichten
Ein Ransomware-Angriff auf das TMS betrifft nicht nur Ihr Unternehmen, sondern die gesamte Lieferkette Ihrer Kunden. Definieren Sie den Meldeprozess (BSI: 24h/72h/1 Monat) und die interne Eskalation. In der Logistik müssen Sie zusätzlich Kunden informieren, deren Sendungen betroffen sind.
4. Lieferanten und Schnittstellen dokumentieren
Logistikunternehmen sind hochgradig vernetzt: EDI-Verbindungen zu Kunden, Frachtbörsen, Subunternehmer mit Zugang zum TMS, Telematik-Anbieter. Dokumentieren Sie alle Schnittstellen, den Datenfluss und die Sicherheitsmaßnahmen. Besonders kritisch: Subunternehmer mit Zugang zu Ihren Systemen.
5. Zugangskontrollen verstärken
In der Disposition werden oft gemeinsam genutzte Konten verwendet. Fahrer haben Zugang zu Apps mit Kundendaten. Subunternehmer loggen sich in Ihr TMS ein. Führen Sie individuelle Konten, MFA für Fernzugriffe und regelmäßige Zugriffsprüfungen ein. Deaktivieren Sie Zugänge ausgeschiedener Fahrer und Subunternehmer sofort.
Logistikunternehmen sind Knotenpunkte in Lieferketten. Ein Cyberangriff auf eine größere Spedition betrifft nicht nur das Unternehmen selbst, sondern hunderte Kunden, deren Waren nicht mehr transportiert werden können. Diese Kaskadeneffekte machen Logistikunternehmen zu attraktiven Zielen für Cyberkriminelle. Die NotPetya-Attacke auf Maersk 2017 hat gezeigt, was passiert, wenn ein großer Logistiker ausfällt.
Die Branche hat eine hohe Abhängigkeit von Subunternehmern und externen Schnittstellen. Viele Speditionen arbeiten mit Dutzenden von Subunternehmern, die Zugang zu TMS und Auftragsdaten haben. EDI-Verbindungen übertragen automatisiert Aufträge, Statusmeldungen und Rechnungen. Jede dieser Schnittstellen ist ein potenzieller Angriffsvektor. Unter NIS2 müssen Sie diese Lieferkettenrisiken systematisch bewerten.
Mobile Assets (Fahrzeuge, Handscanner, Fahrer-Tablets) stellen eine besondere Herausforderung dar. Anders als stationäre Büro-IT sind diese Geräte physisch schwer zu kontrollieren: Sie sind unterwegs, werden von wechselnden Fahrern genutzt und verbinden sich über öffentliche Mobilfunknetze. Device-Management, Fernlöschung und Verschlüsselung sind hier entscheidende Maßnahmen.
Häufig gestellte Fragen
Wir sind eine Spedition mit 80 Mitarbeitern. Fallen wir unter Anhang I oder II?
Das hängt von Ihrem genauen Tätigkeitsfeld ab. Straßentransport und Logistik fallen unter Anhang I (hochkritisch) – große Unternehmen werden als besonders wichtige Einrichtung eingestuft. Post- und Kurierdienste fallen unter Anhang II (sonstig kritisch) – hier ist die Einstufung als wichtige Einrichtung. Bei gemischten Tätigkeiten gilt die höhere Einstufung. Mit 80 Mitarbeitern im Transportsektor sind Sie in jedem Fall betroffen.
Unsere Subunternehmer haben Zugang zum TMS. Ist das ein Problem?
Es ist ein Risiko, das adressiert werden muss. Subunternehmer mit TMS-Zugang sehen Auftragsdaten, Kundenadressen und möglicherweise Preise. Unter NIS2 müssen Sie diesen Zugang dokumentieren, auf das Notwendige beschränken und vertraglich Sicherheitsanforderungen vereinbaren. Best Practice: Eigene Subunternehmer-Zugangsstufe mit eingeschränkten Berechtigungen, individuelle Konten statt geteilter Zugänge, und Deaktivierung bei Vertragsende.
Was ist mit den Telematik-Daten unserer Fahrzeuge?
Telematik-Daten (GPS-Position, Fahrverhalten, Fahrzeugdiagnose) sind geschäftskritische Daten und gehören ins Risikomanagement. Prüfen Sie, wo die Daten gespeichert werden (beim Telematik-Anbieter oder lokal), wer darauf Zugriff hat und wie die Übertragung gesichert ist. Die Telematik-Plattform selbst ist ein Asset mit hohem Schutzbedarf – ein Kompromittierung könnte die gesamte Flottenüberwachung lahmlegen.
Wie lange dauert die NIS2-Umsetzung für ein Logistikunternehmen?
Für ein Unternehmen mit 80 bis 200 Mitarbeitern rechnen Sie mit 3 bis 6 Monaten für eine solide Grundlage. BSI-Registrierung (Woche 1), Asset-Inventar und Risikobewertung (Wochen 2 bis 6), Vorfallmeldeprozess (Wochen 4 bis 8), Zugangskontrolle und Lieferantendokumentation (Wochen 6 bis 12), Richtlinien (fortlaufend). Die Logistik-IT-Landschaft ist überschaubar – der größte Aufwand liegt in der Dokumentation der vielen Schnittstellen und Subunternehmerbeziehungen.