NIS2 sind die aktualisierten Cybersicherheitsanforderungen der EU. Für die meisten Spediteure ist es keine direkte gesetzliche Pflicht — aber Sie werden es trotzdem spüren. Hier erfahren Sie, was Sie wissen müssen.
Was ist die NIS2-Richtlinie?
NIS2 — Network and Information Security Directive 2 — trat in Dänemark am 1. November 2024 in Kraft. Sie führt strengere Anforderungen an IT-Sicherheit, Risikobewertung und den Umgang mit Sicherheitsvorfällen in Unternehmen kritischer Sektoren ein — einschließlich Transport.
Die drei wichtigsten Änderungen gegenüber der vorherigen Richtlinie:
- Breiterer Geltungsbereich: Deutlich mehr Unternehmen und Sektoren sind jetzt direkt betroffen, einschließlich Straßengütertransport.
- Strengere Anforderungen: Anforderungen an Risikomanagement, Vorfallsreaktion und Lieferantensicherheit.
- Höhere Bußgelder: Bis zu 10 Mio. EUR oder 2 % des weltweiten Umsatzes für direkt betroffene Einrichtungen.
Wer ist direkt von NIS2 betroffen?
Wahrscheinlich nicht Ihr Unternehmen — wenn Sie ein typischer dänischer Spediteur sind. NIS2 gilt direkt für:
- Wesentliche Einrichtungen: Über 250 Mitarbeiter ODER über 50 Mio. EUR Umsatz.
- Wichtige Einrichtungen: Über 50 Mitarbeiter ODER über 10 Mio. EUR Umsatz.
Die meisten Spediteure mit unter 50 Mitarbeitern und unter 75 Mio. DKK Umsatz fallen nicht direkt unter NIS2.
Aber — und das ist wichtig: NIS2 verpflichtet die großen direkt betroffenen Unternehmen, Sicherheitsanforderungen an ihre Lieferanten zu stellen. Wenn Sie für große Hersteller, Einzelhandelsketten oder Logistikunternehmen transportieren, werden diese wahrscheinlich IT-Sicherheitsanforderungen an Sie stellen. Es ist indirekt, aber es ist real.
Was verlangt NIS2 konkret?
Für direkt betroffene Unternehmen sind die Anforderungen klar:
- Dokumentierte Sicherheitsrichtlinien und Risikobewertungen — die Geschäftsführung trägt persönliche Verantwortung.
- Vorfallsmeldung innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (vollständiger Bericht).
- Zugriffskontrolle und Verschlüsselung von Daten und Systemen.
- Lieferantensicherheit: Sie müssen die IT-Sicherheit Ihrer Lieferanten bewerten — genau diese Anforderung sickert zu Spediteuren als Subunternehmern durch.
- Backup- und Notfallpläne für Sicherheitsvorfälle.
Was sollten Sie als Spediteur jetzt tun?
- Prüfen Sie, ob Sie direkt betroffen sind. Über 50 Mitarbeiter oder 10 Mio. EUR Umsatz? Ja → Sie sind eine wichtige Einrichtung. Nein → Sie sind wahrscheinlich nicht direkt betroffen, spüren es aber möglicherweise indirekt.
- Erwarten Sie Anforderungen Ihrer Kunden. Fragen Sie proaktiv, ob Ihre großen Kunden IT-Sicherheitsanforderungen an Sie stellen werden.
- Überprüfen Sie Ihre Systeme. Sind sie aktuell? Nutzen Sie starke Passwörter und Zwei-Faktor-Authentifizierung? Werden Daten gesichert?
- Wählen Sie sichere Lieferanten. Ihr TMS muss modernen Sicherheitsstandards entsprechen. DORA läuft auf moderner Cloud-Infrastruktur mit Verschlüsselung und Zugriffskontrolle.
- Sprechen Sie mit Ihren Mitarbeitern. Eine kurze Einführung in Phishing und sichere Passwörter ist das Einfachste und Effektivste, was Sie tun können.
Sanktionen bei Nichteinhaltung
Für direkt betroffene Unternehmen sind die Bußgelder hoch: bis zu 10 Mio. EUR oder 2 % des weltweiten Umsatzes. Die Geschäftsführung kann in extremen Fällen vorübergehend an der Ausübung ihrer Funktionen gehindert werden.
Für die meisten Spediteure ist das eigentliche Risiko nicht Bußgelder von Behörden — sondern der Verlust von Verträgen mit Kunden, die keine Lieferanten einsetzen können, die ihre Sicherheitsanforderungen nicht erfüllen.
Häufig gestellte Fragen zu NIS2 und Transport
Ist mein Speditionsunternehmen direkt von NIS2 betroffen?
Wahrscheinlich nicht, wenn Sie unter 50 Mitarbeiter und unter 10 Mio. EUR (ca. 75 Mio. DKK) Umsatz haben. Aber Sie können es indirekt spüren, wenn Ihre Kunden direkt betroffen sind und Anforderungen durch die Lieferkette stellen.
Was ist die Frist für die Vorfallsmeldung?
Für direkt betroffene Einrichtungen: Frühwarnung innerhalb von 24 Stunden, vollständiger Bericht innerhalb von 72 Stunden. Die Meldung erfolgt in Dänemark an das Centre for Cyber Security (CFCS).
Was passiert, wenn ich NIS2 nicht einhalte?
Für direkt betroffene Unternehmen: Bußgelder bis zu 10 Mio. EUR oder 2 % des weltweiten Umsatzes, Anordnungen zur Nachbesserung — und möglicherweise vorübergehendes Verbot der Geschäftsführung, ihre Funktionen auszuüben. Für die meisten Spediteure ist das größere Risiko der Verlust von Kundenverträgen.
