Branchen · Logistik und Transport
NIS2 in der Logistik: BSIG, Kurierdienste und Kundenfragebögen
Das BSIG nennt Luftverkehr, Schienenverkehr, Schifffahrt und Häfen, im Straßenverkehr aber nur Verkehrsbeeinflussung und intelligente Verkehrssysteme. Post- und Kurierdienste stehen in Anlage 2. Eine Spedition oder ein Lager ohne diese Tätigkeiten spürt NIS2 meist über die Fragebögen der Kunden. Wir klären, wo Sie stehen, und beantworten die Fragen mit Nachweisen.
// Kurz gesagt
Im Gesetz oder in der Lieferkette
Anlage 1 des BSIG umfasst Luftverkehr, Schienenverkehr, Schifffahrt samt Häfen und im Straßenverkehr nur Betreiber von Verkehrsbeeinflussungsanlagen und intelligenten Verkehrssystemen. Anlage 2 nennt Post- und Kurierdienste. Eine Spedition, ein Frachtführer oder ein Lagerbetreiber ohne diese Tätigkeiten fällt in der Regel nicht direkt unter das BSIG, wohl aber unter die Anforderungen seiner Kunden.
Stand: 24. September 2026. Quellen: Anlage 1 BSIG, Anlage 2 BSIG.
Transport und Verkehr im BSIG
| Verkehrsträger | Wer genannt ist |
|---|---|
| Luftverkehr | Luftfahrtunternehmen für gewerbliche Zwecke, Flughafenleitungsorgane und Flughäfen samt Einrichtungen, die dort zugehörige Anlagen betreiben, ATM/ANS-Anbieter |
| Schienenverkehr | Betreiber von Eisenbahninfrastruktur, Eisenbahnverkehrsunternehmen einschließlich Betreibern einer Serviceeinrichtung |
| Schifffahrt | Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, Leitungsorgane von Häfen mit ihren Hafenanlagen, Einrichtungen, die in Häfen Anlagen und Ausrüstung betreiben, Betreiber von Anlagen für den sicheren Betrieb einer Wasserstraße |
| Straßenverkehr | Betreiber von Anlagen oder Systemen zur Verkehrsbeeinflussung, etwa Verkehrs- und Tunnelleitzentralen, und Betreiber intelligenter Verkehrssysteme nach IVSG. Der Straßengüterverkehr selbst steht nicht in der Liste |
Nah an der Logistik: Anlage 2
- Post- und Kurierdienste: Anbieter von Postdienstleistungen nach § 3 Nr. 15 PostG, ausdrücklich einschließlich Anbieter von Kurierdiensten.
- Abfallbewirtschaftung: Unternehmen, für die sie die Hauptwirtschaftstätigkeit ist.
- Lebensmittel: Lebensmittelunternehmen im Großhandel.
- Chemie: Hersteller und Importeure chemischer Stoffe und Gemische mit REACH-Registrierungspflicht (NACE 20).
Einrichtungen aus Anlage 1 sind ab 250 Beschäftigten oder über 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro Jahresbilanzsumme besonders wichtig, ab 50 Beschäftigten oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro wichtig. Einrichtungen aus Anlage 2 sind ab dieser zweiten Schwelle wichtig. Quelle: § 28 BSIG.
// Kundenfragebögen
Nicht im Gesetz, und trotzdem kam der Fragebogen
Ein Hersteller, ein Lebensmittelgroßhändler oder ein Hafenbetreiber unter NIS2 muss in seinen Maßnahmen die Sicherheit der Lieferkette berücksichtigen, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern (§ 30 Abs. 2 Nr. 4 BSIG). Deshalb fragt er Sie nach MFA, Backups, Meldezeiten bei Vorfällen, Zugängen von Subunternehmern und Schnittstellen zu seinen Systemen.
- Jede Antwort verknüpfen wir mit einem Nachweis: Konfiguration, Log oder datiertes Testergebnis
- Wo etwas fehlt, schreiben wir das offen und nennen einen Termin, statt ein ungedecktes Ja einzutragen
- Die Antworten landen in einer Bibliothek, der nächste Fragebogen beginnt dort
Risiken, nach denen Kunden fragen, und die Nachweise, die meist fehlen
Schnittstellen zu Verladern und Frachtführern
EDI, APIs und Partnerportale, oft mit einem Schlüssel für mehrere Firmen. Es fehlt ein Verzeichnis der Verbindungen mit Verantwortlichem, Datenumfang und Datum des letzten Schlüsselwechsels.
Konten von Subunternehmern, Fahrern und Lagerteams
Zugänge zu TMS und WMS für Dritte, mobile Apps, ein gemeinsamer Login je Schicht für die Scanner. Es fehlt eine Kontenliste mit letzter Anmeldung und MFA-Status.
Ausfall von WMS und TMS
Fällt das WMS aus, steht das Lager, und der Plan für den manuellen Betrieb existiert nur auf Papier. Es fehlt das Ergebnis eines Wiederherstellungstests mit der Zeit bis zum Wiederanlauf.
Fernzugriff der Systemlieferanten
Der Anbieter von WMS, Sortieranlage oder Telematik wählt sich ein, wann er will. Es fehlen Freigabe je Sitzung, persönliches Konto und Protokoll.
Viele Standorte, viele Standards
Jedes Lager hat ein eigenes Netz, einen eigenen Administrator und eigene Abläufe. Es fehlt ein gemeinsames Verzeichnis der Systeme und Lieferanten für das ganze Unternehmen.
Beginnen Sie mit dem Fragebogen auf Ihrem Tisch
Der erste Fragebogen eines Kunden unter NIS2 zeigt die Lücken genauer als ein allgemeines Audit. Dieselbe Liste hilft Ihnen, falls Sie später selbst unter das BSIG fallen.
// So helfen wir
Leistungen für Logistik und Transport
01Fragebögen
Antworten mit Nachweisen
Wir beantworten den Sicherheitsfragebogen Ihres Kunden mit Ihnen, Frage für Frage, und hinterlassen eine Antwortbibliothek.
Compliance und AuditErster Schritt, 5 Wochen
Ein Fragebogen, mit Nachweisen beantwortet
- Ein Nachweis zu jeder Antwort, wo die Kontrolle läuft
- Liste der Lücken mit Verantwortlichen und Terminen
- Antwortbibliothek für die nächsten Fragebögen
Zentrales Ergebnis: Fragebogen an den Kunden zurück, mit Nachweisen überall dort, wo die Kontrolle läuft
02Schnittstellen
Tests von APIs, Portalen und mobilen Apps
Wir prüfen Kundenschnittstellen, das Sendungsverfolgungsportal und die Fahrer-App: Berechtigungen, API-Schlüssel und ob ein Partner die Daten eines anderen sieht.
- Datentrennung zwischen Partnern
- Umfang und Rotation der API-Schlüssel
- Sendungsverfolgung und Fahrer-App
03Betrieb
Notfallplan für das Lager
Business-Impact-Analyse, Plan für den manuellen Betrieb und ein Wiederherstellungstest von WMS oder TMS mit einem Ergebnis, das Sie Kunden zeigen können.
Business Continuity04NIS2
Wenn Sie unter das BSIG fallen
Für Häfen, Bahnunternehmen, Kurierdienste und Unternehmen aus Anlage 2: Registrierung, Maßnahmen nach § 30, Meldewege und Schulung der Geschäftsleitung.
NIS2-Umsetzung
// Umfang
Was wir tun und was nicht
Umfang und Termin vereinbaren wir vor dem Start schriftlich.
Wir machen
- Betroffenheitsprüfung nach Anlage 1 und 2 und § 28 BSIG
- Antworten auf Sicherheitsfragebögen von Kunden, mit Nachweisen
- Tests von APIs, Portalen und mobilen Apps
- Test des Notfallplans für das Lager
Wir machen nicht
- Ein „Ja“ im Fragebogen, wo die Kontrolle im System fehlt
- Flottenüberwachung oder Telematikdienste
- Weiterverkauf von Lizenzen für Werkzeuge
Die FutureCode Evidence Box ist unter anderem für Logistik und Transport entwickelt: Sie sammelt Nachweise aus Systemen nur lesend und erstellt ein Nachweisverzeichnis, das Sie Kunden zeigen können.
// FAQ
Fragen aus Logistik und Transport
Wir sind ein Transportunternehmen. Fallen wir unter NIS2?
Im Straßenverkehr nennt Anlage 1 nur Betreiber von Verkehrsbeeinflussungsanlagen und intelligenten Verkehrssystemen, der Gütertransport selbst reicht also in der Regel nicht. Prüfen Sie aber Ihre übrigen Tätigkeiten: Kurierdienste, Abfalltransport als Haupttätigkeit und Lebensmittelgroßhandel stehen in Anlage 2. Ab 50 Beschäftigten oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro sind Sie dann eine wichtige Einrichtung.
Wir betreiben einen Kurierdienst. Was gilt?
Anlage 2 nennt Anbieter von Postdienstleistungen ausdrücklich einschließlich Anbieter von Kurierdiensten. Ab der Schwelle für wichtige Einrichtungen registrieren Sie sich beim BSI, setzen die Maßnahmen nach § 30 BSIG um und melden erhebliche Sicherheitsvorfälle: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung einen Monat nach der Meldung (§ 32). Stand: 24. September 2026.
Ein Kunde hat uns einen Sicherheitsfragebogen geschickt. Müssen wir antworten?
Das BSIG verpflichtet Ihren Kunden, nicht Sie. Er muss aber die Sicherheit seiner Lieferkette steuern, also landen die Anforderungen im Vertrag. Antworten Sie ehrlich und mit Nachweisen, mit einem Termin dort, wo noch etwas fehlt. Das ist besser als ein Ja, das Sie nach einem Vorfall erklären müssen.
Wir sind in einem Hafen tätig. Ändert das etwas?
Möglicherweise. Anlage 1 nennt neben den Leitungsorganen der Häfen und ihren Hafenanlagen auch Einrichtungen, die innerhalb von Häfen Anlagen und Ausrüstung betreiben. Wer dort Umschlaggeräte oder Terminalanlagen betreibt, sollte die Betroffenheit anhand seiner Tätigkeiten und Verträge mit dem Hafen prüfen.
Wir haben auch eine Gesellschaft in Polen. Was gilt dort?
Das polnische KSC-Gesetz. Im Straßenverkehr nennt es nur den Verwalter der Nationalstraßen (GDDKiA) und Anbieter von ITS-Diensten, in Häfen auch Unternehmen mit Tätigkeiten der NACE-Klasse 52.22. Postbetreiber stehen in Anhang 2. Die Pflichten aus Kapitel 3 gelten ab dem 3. April 2027. Mehr: KSC für Standorte in Polen.
Aus dem Blog: Prozesse und Zugriffe
Schicken Sie uns den Fragebogen, der auf Antwort wartet
In 30 Minuten klären wir, ob das BSIG für Sie gilt und welche Fragen Sie sofort mit einem Nachweis beantworten können.
30-Minuten-Gespräch vereinbarenLieber zuerst etwas Schriftliches?
Beschreiben Sie Ihr Unternehmen und den Fragebogen, den Sie bekommen haben. Wir schicken Ihnen Umfang und Termin des ersten Schritts. Wir antworten innerhalb eines Arbeitstages.
Ersten Schritt anfragen