Verkehr ist einer der zehn Anlage-1-Sektoren, die als „besonders wichtige Einrichtung" eingestuft werden können, und deckt gleich vier Teilbereiche ab: Luft-, Schienen-, Wasser- und Straßenverkehr. Erfasst sind je nach Teilbereich Betreiber von Infrastruktur (etwa Flughäfen, Bahnnetze, Häfen) ebenso wie Verkehrsunternehmen und Betreiber intelligenter Verkehrssysteme. Ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro gilt ein Verkehrsunternehmen als „wichtige Einrichtung", die höhere Schwelle für „besonders wichtig" liegt bei 250 Beschäftigten oder entsprechend höherem Umsatz und Bilanzsumme.
Die Bandbreite innerhalb des Sektors ist groß: Ein regionales Busunternehmen und ein Hafenbetreiber unterliegen derselben Richtlinie, aber sehr unterschiedlichen operativen Risiken. Gemeinsam ist beiden die Pflicht, Sicherheitsvorfälle innerhalb von 24 Stunden vorläufig und binnen 72 Stunden detailliert an die zuständige Behörde zu melden - in Deutschland an das BSI.
- Bahn- und ÖPNV-Betreiber
- Speditionen und Logistikunternehmen mit eigener Fahrzeugflotte
- Hafen- und Flughafenbetreiber
- Anbieter intelligenter Verkehrssysteme (Verkehrsleitsysteme, Mautsysteme)
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Zählt ein klassisches Speditionsunternehmen zum NIS2-Sektor Verkehr?
Das hängt von der genauen Tätigkeit ab, die Anhang I für den Verkehrssektor definiert - reine Straßentransportunternehmen sind erfasst, sofern sie die Größenschwellen erreichen. Reine Vermittlungsplattformen ohne eigenen Transport fallen unter Umständen eher in den Sektor „Digitale Anbieter".
Gilt für Verkehrsunternehmen dieselbe Meldefrist wie für Energieversorger?
Ja, die dreistufige Meldepflicht (24 Stunden Frühwarnung, 72 Stunden detaillierte Meldung, ein Monat Abschlussbericht) gilt sektorübergreifend für besonders wichtige und wichtige Einrichtungen gleichermaßen.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar