Transport & Verkehr
Ihre Ware steht still, sobald Ihre Systeme stillstehen.
Luftfahrt, Bahn, Häfen, Verkehrsleitsysteme, Post- und Kurierdienste: Hier hängt der physische Betrieb direkt an der IT. Und selbst wer nicht direkt unter das Gesetz fällt, wird über die Lieferkette seiner Auftraggeber geprüft.
Fallen Sie darunter?
Anlage 1 · Sektor 2 (Post & Kurier: Anlage 2 · Sektor 1)
Sektor Transport und Verkehr
Luftverkehr (Luftfahrtunternehmen, Flughäfen, Flugsicherung), Schienenverkehr (Infrastruktur- und Eisenbahnverkehrsunternehmen), Schifffahrt (Passagier- und Frachtbeförderung, Häfen, Wasserstraßen) und Straßenverkehr — dort allerdings Betreiber von Verkehrsbeeinflussungs- und intelligenten Verkehrssystemen. Post- und Kurierdienste stehen in Anlage 2.
Besonders wichtige Einrichtung
mindestens 250 Mitarbeitende — oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Jahresbilanzsumme
Gilt für Einrichtungsarten aus Anlage 1 · § 28 Abs. 1, 2 BSIG
Wichtige Einrichtung
mindestens 50 Mitarbeitende — oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme
Gilt für Einrichtungsarten aus Anlage 1 und 2 · § 28 Abs. 1, 2 BSIG
Wichtig für Sie: Ehrlich gesagt: Die klassische Spedition mit eigenem Fuhrpark ist im Sektor Straßenverkehr NICHT genannt — dort geht es um Verkehrsleitsysteme, nicht um Transportunternehmen. Direkt betroffen sind Sie also meist nicht. Über die Lieferkettenpflicht Ihrer Auftraggeber (§ 30 Abs. 2 Nr. 4 BSIG) landen deren Anforderungen trotzdem auf Ihrem Tisch.
Ohne jede Größenschwelle betroffen sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1, 2 BSIG); Vertrauensdiensteanbieter gelten stets als wichtige Einrichtung (§ 28 Abs. 2 Nr. 1 BSIG). Mitarbeiterzahl und Finanzkennzahlen stehen zueinander im Oder-Verhältnis; bei den Finanzkennzahlen müssen beide Werte überschritten sein. Ob Ihr konkretes Unternehmen darunterfällt, ist eine Einzelfallfrage — dafür gibt es Anwältinnen und Anwälte.
Was in diesem Sektor typischerweise im Register steht
Diese Pflichten entscheiden bei Ihnen.
§ 30 Abs. 2 Nr. 4 BSIG
Die Lieferkette ist hier wörtlich gemeint
Sie hängen an Subunternehmern, Umschlagpartnern und Plattformen — und Ihre Auftraggeber prüfen inzwischen genau diese Kette. Sicherheitsanforderungen gehören in den Vertrag, nicht ins Vertrauen.
§ 30 Abs. 2 Nr. 1 BSIG
Risiken kennen, bevor sie rollen
Konzepte für Risikoanalyse und IT-Sicherheit sind die Grundlage, aus der alles andere seine Priorität bekommt — vom Telematik-Zugang bis zur Backup-Strategie.
§ 30 Abs. 2 Nr. 7 BSIG
Menschen sensibilisieren, die unterwegs sind
Grundlegende Schulungen und Sensibilisierung müssen auch die erreichen, die selten am Schreibtisch sitzen — mobil, kurz, verständlich.
Fallbeispiel (fiktiv): Die Spedition und der Lieferantenfragebogen
Eine mittelständische Spedition bewirbt sich um einen Rahmenvertrag mit einem Industriekonzern. Im dritten Gespräch kommt der Fragebogen: 40 Fragen zur Informationssicherheit, Rückmeldung binnen zehn Tagen, sonst fällt das Angebot aus der Wertung.
Die Spedition hat gute Technik, aber nichts davon dokumentiert. Vier Kolleginnen und Kollegen sammeln eine Woche lang Screenshots und Vertragsanlagen zusammen. Sie gewinnen den Auftrag knapp — und stellen fest, dass der nächste Fragebogen ohne geordnete Nachweise genauso teuer wird.
Frei erfundenes Beispiel zur Veranschaulichung — kein realer Kunde, kein Rechtsrat
So nimmt Compliverse Ihnen das ab.
- 1
Dienstleister und Subunternehmer landen im Register — mit Kritikalität, Sicherheitsanforderungen und AVV-Status.
- 2
Das Nachweis-Paket beantwortet Lieferantenfragebögen aus dem Stand statt aus dem Archiv.
- 3
Schulungen laufen auf dem Handy — für Fahrpersonal und Disposition gleichermaßen.
Häufige Fragen zu NIS2 in der Branche Transport & Verkehr
Ist mein Unternehmen aus der Branche Transport & Verkehr von NIS2 betroffen?
Ihre Branche ist im BSI-Gesetz erfasst: Anlage 1 · Sektor 2 (Post & Kurier: Anlage 2 · Sektor 1), Sektor Transport und Verkehr. Automatisch betroffen sind Sie damit nicht — dazu muss zusätzlich eine Größenschwelle erreicht sein (§ 28 Abs. 1, 2 BSIG). Einen Bescheid gibt es nicht: Sie prüfen die Einstufung selbst und registrieren sich, wenn sie zutrifft (§ 33 BSIG). Für Ihren Sektor gilt außerdem ein Sonderweg — er steht auf dieser Seite unter „Fallen Sie darunter?“. Die Würdigung Ihres Einzelfalls gehört zur Anwältin.
Ab welcher Größe gilt NIS2 für uns?
Als besonders wichtige Einrichtung gelten Sie ab mindestens 250 Mitarbeitende — oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Jahresbilanzsumme; als wichtige Einrichtung ab mindestens 50 Mitarbeitende — oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 1, 2 BSIG). Mitarbeiterzahl und Finanzkennzahlen stehen im Oder-Verhältnis — bei den Finanzkennzahlen müssen aber beide Werte überschritten sein. Einige Einrichtungsarten sind ohne jede Größenschwelle betroffen, etwa Betreiber kritischer Anlagen und qualifizierte Vertrauensdiensteanbieter.
Welche Behörde ist in Deutschland für uns zuständig?
Für Registrierung und Aufsicht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig (§ 33 BSIG). Sicherheitsvorfälle melden Sie aber nicht dorthin, sondern an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) — mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht (§ 32 BSIG). Das ist der häufigste Irrtum in diesem Gesetz: Aufsichtsstelle und Meldestelle sind nicht dieselbe Stelle.
Was passiert, wenn wir NIS2 nicht umsetzen?
Die Pflichten verschwinden nicht: Die Registrierung bleibt fällig (§ 33 BSIG), die Risikomanagementmaßnahmen ebenso (§ 30 Abs. 2 BSIG), und Meldefristen laufen ab dem ersten erheblichen Vorfall (§ 32 BSIG). Hinzu kommt § 38 BSIG: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen — persönlich. „Wusste ich nicht“ trägt an dieser Stelle nicht.
Klären Sie in dreißig Sekunden, was für Sie gilt.
Vier Fragen, eine ehrliche Ersteinschätzung — danach wissen Sie, mit welchem Modul Sie starten und was es kostet.
Was als Nächstes wichtig wird
Weitere Branchen
Rechtsstand geprüft am 01.09.2026 · Jede Aussage mit Fundstelle · Kein Rechtsrat