Post- und Kurierdienste gehören zu den sieben Anlage-2-Sektoren des BSIG, die als „wichtige Einrichtung" gelten - im Unterschied zu Anlage-1-Sektoren ist eine Einstufung als „besonders wichtig" hier ausgeschlossen, unabhängig von der Unternehmensgröße. Erfasst sind Anbieter, die Postdienste im Sinne der Postdiensterichtlinie erbringen, ebenso wie klassische Kurier- und Expressdienste. Die Einstufung greift in der Regel ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro.
Der Sektor hat sich durch den Online-Handel stark gewandelt: Paketdienstleister verarbeiten heute große Mengen personenbezogener Sendungsdaten und sind über ihre Zustell- und Sortierlogistik eng mit anderen NIS2-Sektoren wie Verkehr verzahnt. Ein Vorfall in der Sortier-IT kann sich damit unmittelbar auf die Lieferkette anderer Unternehmen auswirken.
- Klassische Postdienstleister mit Universaldienst
- Paket- und Expressdienstleister
- Kurierdienste für zeitkritische Sendungen
- Betreiber von Sortier- und Verteilzentren
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Was bedeutet der Unterschied zwischen „besonders wichtiger" und „wichtiger" Einrichtung für Postdienstleister konkret?
Für Post- und Kurierdienste stellt sich die Frage praktisch nicht: Als Anlage-2-Sektor ist der Bereich auf „wichtige Einrichtung" gedeckelt, eine Einstufung als „besonders wichtig" ist ausgeschlossen. In Anlage-1-Sektoren liegt der Unterschied vor allem in der Aufsicht: besonders wichtige Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen in der Regel erst anlassbezogen, etwa nach einem Vorfall oder Hinweisen auf Verstöße.
Sind lokale Kurierdienste mit wenigen Fahrern auch betroffen?
Kleine, lokale Kurierdienste unterschreiten die Größenschwellen von 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz häufig deutlich und fallen damit meist nicht unter NIS2.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar