NIS2 Nachweispflicht in der Logistik: Was Geschäftsführer und IT-Verantwortliche jetzt dokumentieren müssen
Inhaltsverzeichnis
Veröffentlicht: 06. November 2026 · Lesezeit: ca. 14 Minuten
Nur rund 11.500 von geschätzten 29.500 betroffenen Unternehmen haben sich bis zum Fristende beim BSI registriert – das entspricht knapp 39 Prozent (itsecops.cloud, Oktober 2026). Die übrigen 61 Prozent begehen damit einen eigenständigen Bußgeldtatbestand, auch wenn sie alle weiteren Sicherheitspflichten bereits erfüllen. Für Speditions- und Logistikunternehmen ist das besonders brisant: Wer als Zulieferer oder Transportdienstleister für regulierte Großunternehmen fährt, spürt den Druck schon durch die Lieferkette – lange bevor das BSI selbst aktiv wird. Und wer Telematik, TMS oder EDI-Anbindungen im Einsatz hat, verfügt bereits über meldepflichtige IT-Systeme, die im Ernstfall dokumentiert sein müssen.
Die NIS2 Nachweispflicht ist keine abstrakte Compliance-Übung – sie beschreibt konkret, was die Geschäftsleitung gegenüber dem BSI oder einem Prüfer belegen können muss: funktionierende Risikomanagementmaßnahmen, dokumentierte Sicherheitskonzepte und nachvollziehbare Reaktionsprozesse bei Vorfällen. Wer das nicht vorlegen kann, riskiert nicht nur Bußgelder, sondern auch den Verlust von Aufträgen.
Für Logistik- und Speditionsunternehmen kommt erschwerend hinzu, dass ihre IT-Landschaft besonders verwundbar ist: Disponenten arbeiten in Echtzeit, Fahrer sind mobil und zeitweise offline, und Auftraggeber verlangen durchgehende Sendungsverfolgung. Ein Ausfall des Transport-Management-Systems legt den gesamten Fuhrpark still – genau das ist der Kern des branchenspezifischen Risikos, das NIS2 adressiert.
Dieser Beitrag zeigt anhand von acht konkreten Prüfpunkten, was Ihr Unternehmen jetzt dokumentieren und umsetzen muss – von der BSI-Registrierung über technische Mindestanforderungen bis zur Auditsvorbereitung. Die Checkliste am Ende hilft beim sofortigen Einstieg.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Vom NIS2UmsuCG betroffene Unternehmen in Deutschland | ca. 29.500 | Proliance.ai, 2025 |
| Registrierte Unternehmen beim BSI zum Fristende (6. März 2026) | ca. 11.500 (≈ 39 %) | itsecops.cloud, Oktober 2026 |
| Als „besonders wichtig“ eingestufte Einrichtungen (Nachweisfrist bis Dez. 2028) | ca. 8.100 | Mittelstandsbund, 2024 |
| Nachfrist BSI-Registrierung (eigenständiger Bußgeldtatbestand bei Versäumnis) | 31. Juli 2026 (abgelaufen) | maconia.de, Oktober 2026 |
Was auf dem Spiel steht – und warum Speditionen besonders hinschauen sollten
Das deutsche NIS2-Umsetzungsgesetz (BSIG) trifft Einrichtungen ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in definierten Sektoren – darunter Verkehr und Transport. Viele Speditions- und Logistikunternehmen erfüllen diese Schwellen, ohne es bereits konkret geprüft zu haben. Wer direkt reguliert ist, trägt die volle NIS2 Nachweispflicht. Wer als Subunternehmer für einen regulierten Auftraggeber fährt, bekommt die Anforderungen zunehmend vertraglich weitergereicht.
Der Bußgeldrahmen liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Hinzu kommt die persönliche Haftung der Geschäftsleitung nach § 38 BSIG – nicht als theoretische Größe, sondern als reale Konsequenz, wenn Risikomanagementmaßnahmen nachweislich fehlen. Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH sehen wir, dass die meisten Betriebe nicht an Technik scheitern, sondern an fehlender Dokumentation.
Besonders heikel ist die Lage in der Logistik, weil die IT-Systeme direkt betriebskritisch sind:
- Das Transport-Management-System (TMS) steuert die gesamte Disposition – fällt es aus, stehen Fahrer und Auftraggeber ohne Informationen da.
- Telematik-Einheiten im Fahrzeug übertragen Positionsdaten, Lenk- und Ruhezeiten – deren Ausfall erzeugt nicht nur operative, sondern auch rechtliche Probleme.
- EDI/EDIFACT-Schnittstellen zu Auftraggebern sind oft ungepflegt und schlecht dokumentiert, aber bei einem Vorfall sofort meldepflichtig.
Wer diese Systeme im Einsatz hat, braucht eine prüffähige Antwort auf die Frage: Was passiert, wenn eines davon ausfällt oder kompromittiert wird – und wer hat das schriftlich festgehalten? Genau das ist der Kern der NIS2 Nachweispflicht.
Die Prüfung der eigenen Betroffenheit ist der erste und wichtigste Schritt. Die BSI-Selbstauskunft ist kostenlos; eine ergänzende rechtliche Einschätzung kostet erfahrungsgemäß zwischen 300 und 800 Euro – und erspart im Zweifelsfall deutlich mehr.
Prüfpunkt 1 & 2: BSI-Registrierung und Verantwortlichkeiten im Unternehmen
Beide Registrierungsfristen – der 6. März 2026 und die Nachfrist zum 31. Juli 2026 – sind abgelaufen. Wer noch nicht registriert ist, begeht einen eigenständigen Bußgeldtatbestand, unabhängig davon, ob alle anderen Sicherheitsmaßnahmen bereits umgesetzt sind. Die Nachholung ist weiterhin möglich und bleibt dringend geboten (maconia.de, Oktober 2026). Das BSI-Meldeportal ist über die offizielle BSI-Website erreichbar.
Prüfpunkt 1 – BSI-Registrierung:
- Stellen Sie fest, ob Ihr Unternehmen die Schwellenwerte (50 MA oder 10 Mio. € Umsatz) in einem der betroffenen Sektoren erfüllt.
- Prüfen Sie mithilfe der BSI-Selbstauskunft für Unternehmen, ob Ihre Einrichtung als „wichtig“ oder „besonders wichtig“ eingestuft wird.
- Registrieren Sie Ihr Unternehmen unverzüglich über das BSI-Meldeportal, falls das noch nicht geschehen ist.
- Bewahren Sie den Registrierungsnachweis und das Datum der Einreichung revisionssicher auf.
Prüfpunkt 2 – Interne Zuständigkeiten:
Die NIS2 Nachweispflicht verlangt, dass die Geschäftsleitung Risikomanagementmaßnahmen nicht nur anordnet, sondern deren Wirksamkeit überwacht. Das setzt klare interne Verantwortlichkeiten voraus – schriftlich, nicht nur mündlich abgesprochen.
- Benennen Sie eine verantwortliche Person für IT-Sicherheit (intern oder extern) mit dokumentiertem Auftrag.
- Legen Sie schriftlich fest, wer im Falle eines Sicherheitsvorfalls das BSI informiert – die Erstmeldung muss innerhalb von 24 Stunden erfolgen.
- Stellen Sie sicher, dass die Geschäftsleitung regelmäßig (mindestens quartalsweise) über den Sicherheitsstatus informiert wird und das dokumentiert ist.
- Hinterlegen Sie Vertretungsregeln: Was passiert, wenn die zuständige Person im Urlaub oder krank ist?
Die IT-Sicherheitslösungen der TTG GmbH umfassen auch die Begleitung bei der Strukturierung solcher Zuständigkeiten – ein Aspekt, der in der Praxis oft unterschätzt wird, aber bei einer Prüfung als Erstes gefragt wird.
Prüfpunkt 3 & 4: Technische Mindestanforderungen für Logistik-IT
Hier wird es konkret technisch – und genau das ist gewollt. Die NIS2 Nachweispflicht fordert keine perfekte IT-Infrastruktur, aber sie fordert nachweisbare Mindestmaßnahmen. Für Logistik- und Speditionsunternehmen betrifft das insbesondere Systeme, die rund um die Uhr laufen müssen: TMS, Telematik-Backend, EDI-Schnittstellen und Lagerscanner-Infrastruktur.
Prüfpunkt 3 – Multi-Faktor-Authentifizierung (MFA) und Zugriffssteuerung:
- Aktivieren Sie MFA für alle privilegierten Accounts – Administratoren, Dispatcher-Zugänge ins TMS, Remote-Zugänge per TeamViewer oder ähnlichen Tools. Aktuell schließt TeamViewer hochriskante Lücken, die Codeschmuggel ermöglichen (heise Security, Oktober 2026) – wer dieses Tool für Fernwartung nutzt, sollte sofort aktualisieren und MFA erzwingen.
- Setzen Sie das Least-Privilege-Prinzip um: Fahrer-Apps und Scanner-Clients erhalten nur die Rechte, die sie für ihre Funktion benötigen.
- Dokumentieren Sie alle privilegierten Zugänge in einem Berechtigungskonzept – dieses Dokument ist bei einer Prüfung nach §39 BSIG zwingend vorzulegen.
Prüfpunkt 4 – Patch-Management und Netzwerkkomponenten:
Ungepatchte Netzwerkkomponenten sind aktuell eines der größten Einfallstore. Aktiv ausgenutzte Sicherheitslücken in weit verbreiteten Netzwerkswitches zeigen, wie konkret dieses Risiko ist – Angreifer nutzen bekannte Schwachstellen, bevor Betriebe zum Patchen kommen (heise Security, November 2026).
- Inventarisieren Sie alle Netzwerkkomponenten – Switch, Firewall, Access Point – mit Firmware-Version und letztem Patch-Datum.
- Legen Sie einen Patch-Zyklus fest: kritische Patches innerhalb von 72 Stunden, reguläre Updates monatlich.
- Prüfen Sie, ob eingesetzte Managementsysteme noch mit Sicherheitsupdates versorgt werden – Hersteller stellen den Support mitunter ohne großes Aufsehen ein.
- Halten Sie das Patch-Protokoll schriftlich: Datum, betroffenes System, Versionsnummer vorher/nachher – das ist der Nachweis, den die NIS2 Nachweispflicht fordert.
Die sichere IT-Infrastruktur für KMU von TTG GmbH schließt strukturiertes Patch-Management ein – inklusive Protokollierung für Prüfzwecke.
Prüfpunkt 5 & 6: Datensicherung, Verschlüsselung und Datenschutz im Transportbetrieb
Im Logistikbetrieb entstehen täglich sensible Daten: Frachtpapiere, Lenk- und Ruhezeiten-Nachweise, Kundendaten in der Sendungsverfolgung, Fahrerdaten aus Telematik-Einheiten. Diese Daten sind gleichzeitig DSGVO-relevant und im Kontext der NIS2 Nachweispflicht als schützenswerte Informationen einzustufen. Wer hier keine strukturierte Sicherung vorweisen kann, hat bei einer Prüfung ein Problem.
Prüfpunkt 5 – Backup nach 3-2-1-Regel:
Die 3-2-1-Regel ist der Mindeststandard: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außer Haus (oder in einer isolierten Cloud-Umgebung). Für Logistikunternehmen bedeutet das konkret:
- TMS-Datenbank täglich sichern – Backup-Jobs mit Veeam Backup & Replication oder vergleichbaren Lösungen automatisieren und protokollieren.
- Telematik-Rohdaten und Tachographen-Auswertungen separat archivieren – die gesetzlichen Aufbewahrungsfristen für Lenk- und Ruhezeiten-Nachweise (§ 21a ArbZG, in der Regel 2 Jahre) müssen eingehalten und die Archivierung nachweisbar sein.
- Backup-Wiederherstellung mindestens halbjährlich tatsächlich testen und das Ergebnis dokumentieren – ein Backup, das noch nie erfolgreich zurückgespielt wurde, zählt bei einer Prüfung nicht als wirksame Maßnahme.
- Offline- oder Air-Gap-Backup für besonders kritische Systeme (TMS, ERP) einrichten, um Ransomware-Angriffe zu überleben.
Prüfpunkt 6 – Verschlüsselung und Datentrennung:
- Stellen Sie sicher, dass Fahrerdaten aus der Telematik verschlüsselt übertragen und gespeichert werden – das ist sowohl DSGVO- als auch NIS2-Anforderung.
- EDI/EDIFACT-Verbindungen zu Auftraggebern sollten ausschließlich über verschlüsselte Kanäle (TLS 1.2 oder höher) laufen – prüfen Sie bestehende Verbindungen auf veraltete Protokolle.
- Trennen Sie Netzwerksegmente: Büro-IT, Lagerscanner und Fahrzeug-Telematik sollten in separaten VLANs laufen, damit ein kompromittiertes Gerät nicht den gesamten Betrieb gefährdet.
Die IT-Dienstleistungen der TTG GmbH decken Backup-Konzeption, Netzwerksegmentierung und Verschlüsselungs-Audits ab – als dokumentierbare Einzelmaßnahmen, die direkt in Ihre Nachweisführung einfließen.
Prüfpunkt 7 & 8: Vorfallmanagement und laufende Dokumentation
Sicherheitsmaßnahmen zu haben reicht nicht – die NIS2 Nachweispflicht verlangt, dass diese Maßnahmen nachweislich wirksam sind und kontinuierlich überprüft werden. Das unterscheidet einen Einmal-Aufwand von einem dauerhaften Prozess. Für die Geschäftsleitung bedeutet das: Sie müssen bei einer Prüfung nicht nur beschreiben, was das Unternehmen tut, sondern belegen, dass es wirklich getan wird.
Prüfpunkt 7 – Vorfallmanagement und Meldeprozesse:
Das BSIG schreibt vor, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden als Erstmeldung beim BSI anzuzeigen. Ohne einen vorab definierten Prozess ist das in der Praxis kaum einzuhalten – besonders wenn der Vorfall nachts oder am Wochenende eintritt und der Disponent oder Fahrer den ersten Hinweis meldet.
- Erstellen Sie einen schriftlichen Incident-Response-Plan: Wer wird wann informiert? Wer meldet ans BSI? Wer koordiniert die technische Reaktion?
- Definieren Sie Schwellenwerte, ab wann ein Ereignis als „erheblicher Vorfall“ gilt – z. B. Ausfall des TMS für mehr als zwei Stunden, Datenverlust aus dem Telematik-Backend, unbefugter Zugriff auf Frachtdaten.
- Schulen Sie Disponenten und Fahrer in der Erstreaktion: Welche Nummer rufen sie an? Was dürfen sie selbst tun, was nicht?
- Führen Sie ein Vorfallsprotokoll – auch für Ereignisse, die kein BSI-Meldetatbestand sind. Dieses Protokoll zeigt dem Prüfer, dass Ihr Risikomanagement lebt.
Prüfpunkt 8 – Laufende Dokumentation:
Bestehende DSGVO-Dokumentation ist ein guter Ausgangspunkt. BSI-Grundschutz-Vorlagen sind kostenlos verfügbar und helfen beim strukturierten Aufbau. Die TTG GmbH als regionaler IT-Partner unterstützt dabei, vorhandene Dokumente NIS2-konform zu erweitern.
- Dokumentieren Sie alle Sicherheitsmaßnahmen in einem zentralen Sicherheitskonzept – Risikoanalyse, Maßnahmenliste, Zuständigkeiten, Revisionsdatum.
- Versionieren Sie das Dokument und halten Sie fest, wer es wann freigegeben hat – das belegt die Einbindung der Geschäftsleitung.
- Planen Sie jährliche Revisionen ein und tragen Sie sie als feste Termine im Kalender ein.
Was tun, wenn ein Prüfpunkt nicht erfüllt ist? NIS2 Nachweispflicht nach Risiko priorisieren
Kein Betrieb erfüllt beim ersten Durchlauf alle acht Prüfpunkte vollständig. Die entscheidende Frage ist nicht, ob Lücken bestehen – sondern welche zuerst geschlossen werden müssen. Die NIS2 Nachweispflicht setzt dafür eine klare Priorität: Was unmittelbar bußgeldbewehrt ist, kommt zuerst; was die Auditbereitschaft bis Dezember 2028 sichert, danach.
Priorität 1 – Sofort (innerhalb von 2 Wochen):
- BSI-Registrierung nachholen, falls noch nicht erfolgt – das ist der einzige Punkt, bei dem bereits jetzt ein eigenständiger Bußgeldtatbestand besteht.
- MFA für alle privilegierten Zugänge aktivieren – das ist technisch schnell umsetzbar und reduziert das Angriffsrisiko sofort spürbar.
- Zuständigkeit für IT-Sicherheit schriftlich benennen.
Priorität 2 – Innerhalb von 30 Tagen:
- Backup-Konzept auf 3-2-1-Regel prüfen und fehlende Komponenten ergänzen.
- Vorfallmanagement-Prozess schriftlich fixieren, inklusive BSI-Meldepfad.
- Patch-Protokoll einrichten und erste Bestandsaufnahme aller Netzwerkkomponenten durchführen.
Priorität 3 – Mittelfristig (bis 6 Monate):
- Vollständiges Sicherheitskonzept erstellen und von der Geschäftsleitung freigeben lassen.
- Netzwerksegmentierung (VLAN-Trennung zwischen Büro, Lagerscanner und Telematik) umsetzen.
- Auditformat festlegen: Sicherheitsaudit, Prüfung oder ISO 27001-Zertifizierung – abhängig von der Einstufung als „wichtig“ oder „besonders wichtig“.
Typisch ist folgende Konstellation, die wir regelmäßig antreffen: Ein mittelständischer Spediteur mit eigenem TMS und EDI-Anbindung an zwei Großkunden hat solide technische Systeme, aber kein schriftliches Sicherheitskonzept und keinen dokumentierten Meldeprozess. Der erste Großkunde fragt schriftlich nach einem Sicherheitsnachweis – und das Unternehmen hat nichts Vorzeigbares. In solchen Fällen hilft ein strukturierter Einstieg über den BSI-Lagebericht Cybersicherheit als Orientierungsrahmen. Die TTG GmbH begleitet Unternehmen in der Region Nordhausen und darüber hinaus bei genau diesem Schritt – von der Lückenanalyse bis zur prüffähigen Dokumentation, gestützt auf ihre ISO/IEC 27001-Zertifizierung. Jetzt unverbindlich Kontakt aufnehmen und einen ersten Termin vereinbaren.
Was jetzt, was in 30 Tagen, was langfristig – ein realistischer Zeitplan
Viele Unternehmen scheitern nicht am Willen, sondern an der Frage, womit sie anfangen sollen. Deshalb hier eine ehrliche Einschätzung: Nicht alles lässt sich gleichzeitig tun, und das ist auch nicht nötig. Die NIS2 Nachweispflicht bewertet den Reifegrad des Risikomanagements – wer zeigen kann, dass er strukturiert vorgeht, steht deutlich besser da als jemand, der hektisch alles auf einmal versucht.
Sofort (diese Woche):
- Betroffenheit endgültig klären – BSI-Selbstauskunft nutzen oder rechtliche Kurzberatung einholen.
- BSI-Registrierung prüfen und ggf. nachholen.
- MFA für Admin- und Dispatcher-Zugänge aktivieren – das dauert in den meisten Systemen weniger als einen halben Tag.
- TeamViewer und alle Fernwartungs-Tools auf den aktuellen Stand bringen.
Innerhalb von 30 Tagen:
- Inventar aller kritischen Systeme (TMS, Telematik-Backend, EDI-Schnittstellen, Netzwerkkomponenten) erstellen.
- Backup-Konzept dokumentieren und Wiederherstellungstest durchführen.
- Internen Vorfallmanagement-Prozess schriftlich festhalten und zuständige Personen schulen.
- Erste Risikoanalyse auf Basis der BSI-Grundschutz-Vorlagen erstellen – kostenlos verfügbar, strukturiert und prüfbar.
Langfristig (bis Dezember 2028 für besonders wichtige Einrichtungen):
- Auditformat festlegen: Ein ISO 27001-Zertifikat deckt einen großen Teil der NIS2-Anforderungen ab, ersetzt aber den spezifischen Nachweis nach § 39 BSIG nicht vollständig. Klären Sie mit einem Fachberater, welches Format für Ihren Unternehmenstyp geeignet ist.
- Jährliche Revisionszyklen für Sicherheitskonzept, Risikoanalyse und Vorfallsprotokoll etablieren.
- Lieferketten-Risiko aktiv managen: Prüfen Sie, ob Ihre Auftraggeber bereits Sicherheitsnachweise vertraglich einfordern – ein dokumentiertes Sicherheitskonzept schützt hier auch künftige Vertragsverhandlungen.
Unserer Erfahrung nach reicht ein einzelnes Dokument für die meisten Betriebe nicht aus. Was zählt, ist ein lebendiger Prozess – mit festgelegten Zuständigkeiten, regelmäßigen Überprüfungen und nachvollziehbaren Protokollen. Das ist machbar, auch ohne großes IT-Team.
Typische Stolperfallen bei der Umsetzung – und wie Sie sie umgehen
Die NIS2 Nachweispflicht scheitert in der Praxis selten an technischen Problemen. Die häufigsten Fehler sind organisatorischer Natur – und sie sind vermeidbar, wenn man sie kennt.
Stolperfalle 1: Registrierung delegiert, aber nicht nachverfolgt. Wer die BSI-Registrierung an die IT-Abteilung oder einen externen Dienstleister übergibt, ohne den Eingang zu prüfen, riskiert, dass sie schlicht nicht stattgefunden hat. Fordern Sie immer eine Bestätigung an und bewahren Sie diese revisionssicher auf.
Stolperfalle 2: Backup vorhanden, aber nie getestet. Ein TMS-Backup, das seit 18 Monaten läuft, aber noch nie zurückgespielt wurde, ist kein Nachweis wirksamer Datensicherung – sondern ein blinder Fleck. Planen Sie Wiederherstellungstests als Pflichttermin, nicht als optionale Aufgabe.
Stolperfalle 3: EDI-Schnittstellen vergessen. EDIFACT-Verbindungen zu Auftraggebern laufen oft seit Jahren stabil und werden deshalb nicht als IT-Sicherheitsrisiko wahrgenommen. Dabei sind sie häufig schlecht dokumentiert, laufen über veraltete Protokolle und sind im Ernstfall als erste betroffen. Nehmen Sie diese Verbindungen explizit in Ihre Risikoanalyse auf.
Stolperfalle 4: ISO 27001 als Ersatz missverstehen. Eine ISO 27001-Zertifizierung ist wertvoll und deckt viele NIS2-Anforderungen ab. Aber sie ersetzt den spezifischen Nachweis nach § 39 BSIG für besonders wichtige Einrichtungen nicht vollständig. Wer das erst kurz vor der Nachweisfrist im Dezember 2028 feststellt, hat zu wenig Zeit für Nachbesserungen.
Stolperfalle 5: Lieferkettendruck unterschätzt. Auch Unternehmen, die selbst nicht direkt vom BSIG erfasst sind, geraten über ihre Auftraggeber in die Nachweispflicht. Wenn ein Großkunde seine eigene NIS2 Nachweispflicht ernst nimmt, wird er Zulieferer und Transportdienstleister vertraglich in die Pflicht nehmen. Ein undokumentiertes Sicherheitskonzept wird dann zum Vertragsproblem – und im schlimmsten Fall zum Ausschlusskriterium bei Ausschreibungen.
- Prüfen Sie bestehende Rahmenverträge mit Auftraggebern auf Klauseln zu IT-Sicherheit und Datenschutz.
- Erstellen Sie eine knappe Zusammenfassung Ihrer Sicherheitsmaßnahmen, die Sie auf Anfrage vorlegen können.
- Reagieren Sie auf Sicherheitsfragebögen von Auftraggebern strukturiert – eine vorbereitete Antwortvorlage spart Zeit und zeigt Professionalität.
Ihre Checkliste: So starten Sie jetzt
- Prüfen Sie Ihre Betroffenheit: Erfüllt Ihr Unternehmen die Schwellenwerte (50 MA oder 10 Mio. € Umsatz) in einem NIS2-relevanten Sektor? Nutzen Sie die BSI-Selbstauskunft oder holen Sie eine rechtliche Einschätzung ein (ca. 300–800 €).
- Holen Sie die BSI-Registrierung nach, falls noch nicht erfolgt – bewahren Sie den Bestätigungsnachweis revisionssicher auf.
- Aktivieren Sie Multi-Faktor-Authentifizierung für alle privilegierten Zugänge: TMS-Administratoren, Dispatcher-Accounts, Fernwartungs-Tools wie TeamViewer.
- Aktualisieren Sie alle Netzwerkkomponenten und Fernwartungs-Software auf den aktuellen Firmware- und Softwarestand – und protokollieren Sie Datum und Versionsstand.
- Dokumentieren Sie Ihr Backup-Konzept nach der 3-2-1-Regel und führen Sie einen Wiederherstellungstest durch – halten Sie das Ergebnis schriftlich fest.
- Erstellen Sie einen schriftlichen Vorfallmanagement-Plan: Wer informiert wen? Wer meldet ans BSI? Wer koordiniert die technische Reaktion bei Ausfall des TMS?
- Nehmen Sie EDI/EDIFACT-Schnittstellen und Telematik-Systeme in Ihre Risikoanalyse auf – diese Verbindungen werden bei Prüfungen häufig als Lücke entdeckt.
- Klären Sie mit einem Fachberater, welches Auditformat für Ihre Einstufung geeignet ist – Sicherheitsaudit, Prüfung oder ISO 27001-Zertifizierung.
Häufig gestellte Fragen
Gilt NIS2 auch für unser Speditionsunternehmen mit 60 Mitarbeitern?
Möglicherweise ja. Der Sektor Verkehr und Transport ist im BSIG explizit genannt. Wenn Ihr Unternehmen 50 oder mehr Beschäftigte hat oder einen Jahresumsatz von mindestens 10 Millionen Euro erzielt, sollten Sie die Betroffenheit prüfen. Auch wenn Sie selbst knapp unter der Schwelle liegen, können Ihre Auftraggeber die Anforderungen vertraglich weitergeben. Eine BSI-Selbstauskunft klärt die Frage in der Regel innerhalb weniger Stunden.
Was passiert, wenn unser TMS bei einer Prüfung nicht dokumentiert ist?
Das Transport-Management-System gilt als kritisches Betriebssystem – sein Ausfall würde die gesamte Disposition lahmlegen. Fehlt eine Risikoanalyse und ein Backup-Konzept für das TMS, wertet das ein Prüfer als fehlende Risikomanagementmaßnahme. Das ist kein formaler Mangel, sondern ein substanzieller Nachweis-Fehlbestand, der im Rahmen der NIS2 Nachweispflicht bußgeldrelevant sein kann. Besser: TMS, Telematik-Backend und EDI-Schnittstellen explizit in das Sicherheitskonzept aufnehmen.
Können wir unsere bestehende DSGVO-Dokumentation für NIS2 nutzen?
Ja, als Ausgangspunkt. DSGVO-Dokumente wie Verarbeitungsverzeichnis, Datenschutzfolgenabschätzungen und technische Schutzmaßnahmen decken sich inhaltlich mit Teilen der NIS2-Anforderungen. Sie müssen aber ergänzt werden – insbesondere um Risikoanalysen für operative IT-Systeme, Vorfallmanagement-Prozesse und Nachweise zur Netzwerksicherheit. Die DSGVO-Erfahrung Ihres Teams ist ein echter Vorteil beim Einstieg in die NIS2 Nachweispflicht.
Wie läuft ein Audit nach § 39 BSIG in der Praxis ab – und wer darf es durchführen?
Das BSIG unterscheidet zwischen Sicherheitsaudit, Prüfung und Zertifizierung. Ein Sicherheitsaudit kann durch geeignete Stellen durchgeführt werden, die das BSI anerkennt – das schließt akkreditierte Zertifizierungsstellen ein, aber auch qualifizierte Prüfunternehmen mit entsprechenden Nachweisen. Interne Selbstauskünfte ohne unabhängige Prüfung reichen für besonders wichtige Einrichtungen nicht aus. Wer bis Dezember 2028 auditbereit sein muss, sollte die Prüferauswahl nicht auf das letzte Jahr verschieben.
Was kostet die Umsetzung der NIS2 Nachweispflicht realistischerweise?
Das hängt stark vom Ausgangszustand ab. Betriebe mit solider DSGVO-Dokumentation, vorhandenem Backup und gepflegter IT kommen mit überschaubarem Aufwand (einige Projekttage plus ggf. Tool-Kosten) weit. Wer komplett neu ansetzt, muss mit mehr rechnen – aber auch dann sind erste prüfbare Maßnahmen wie MFA, Backup-Konzept und Registrierung in wenigen Wochen umsetzbar, ohne hohe Einmalkosten. Lassen Sie eine Lückenanalyse machen, bevor Sie über Budgets entscheiden.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie gerade, was Ihr Unternehmen im Fall eines TMS-Ausfalls dem BSI oder Ihrem Auftraggeber vorlegen könnte – und wie lange es dauern würde, diesen Nachweis zusammenzustellen?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
