NIS2-Konformität für den Verkehrssektor

Der Verkehrssektor bildet das Rückgrat des EU-Binnenmarkts und ermöglicht die grenzüberschreitende Beförderung von Personen und den Transport von Gütern. Da moderne Verkehrssysteme in hohem Maße auf digitale Infrastrukturen, Automatisierung und vernetzte Betriebstechnologien angewiesen sind, sind sie zunehmend Cyberbedrohungen ausgesetzt.

Die NIS2-Richtlinie legt EU-weite Cybersicherheitsanforderungen für wesentliche und wichtige Einrichtungen fest und erweitert den Anwendungsbereich des ursprünglichen NIS-Rahmens erheblich. Die NIS2-Compliance im Verkehrssektor spiegelt die strategische Bedeutung der Luftfahrt-, Schienen-, See- und Straßeninfrastruktur für wirtschaftliche Stabilität und öffentliche Sicherheit wider.

NIS2 erfasst vor allem mittlere und große Einrichtungen in regulierten Sektoren. Kleine und Kleinstunternehmen sind grundsätzlich ausgenommen, vorbehaltlich gesetzlicher Sonderfälle und nationaler Benennung.

Wenn Ihr Unternehmen im Verkehrssektor tätig ist, können Sie unter NIS2 als wesentliche oder wichtige Einrichtung eingestuft werden.

Anhang I bezeichnet Sektoren mit hoher Kritikalität; nicht jede Einrichtung in diesen Sektoren ist automatisch wesentlich. Nach Artikel 3 gilt grundsätzlich folgende größenabhängige Einstufung:

• Großunternehmen — wesentliche Einrichtungen: mindestens 250 Beschäftigte oder sowohl mehr als 50 Mio. € Jahresumsatz als auch mehr als 43 Mio. € Bilanzsumme.
• Mittlere Unternehmen — wichtige Einrichtungen: keine Großunternehmen, aber mindestens 50 Beschäftigte oder sowohl mehr als 10 Mio. € Jahresumsatz als auch mehr als 10 Mio. € Bilanzsumme.

Relevanter Anhang: Anhang I (Sektoren mit hoher Kritikalität)

Abdeckung der Untersektoren (Anhang I – Verkehr):

• Luftverkehr: Luftfahrtunternehmen; Flughafenbetreiber; Flughäfen; Anbieter von Flugsicherungsdiensten
• Schienenverkehr: Infrastrukturbetreiber; Eisenbahnverkehrsunternehmen
• Schifffahrt: Unternehmen des Binnen-, See- und Küstenschiffsverkehrs für Personen und Güter; Hafenbetreiber; Hafenanlagen; Anbieter von Schiffsverkehrsdiensten
• Straßenverkehr: Straßenverkehrsbehörden, die für das Verkehrsmanagement zuständig sind; Betreiber intelligenter Verkehrssysteme (ITS)

Die EU-KMU-Regeln gelten einschließlich der erforderlichen Einbeziehung von Partnerunternehmen und verbundenen Unternehmen (Empfehlung 2003/361/EG). Kleine und Kleinstunternehmen fallen nicht allein aufgrund ihrer Tätigkeit in einem Sektor des Anhangs I automatisch in den Anwendungsbereich. Gesetzliche Sonderfälle, die nationale Einstufung als wesentlich oder wichtig und die Identifizierung als kritische Einrichtung nach der CER-Richtlinie können die allgemeine Größenregel überlagern (Artikel 2 und 3).

Die NIS2-Compliance für den Verkehrssektor gilt für:

• Mittelgroße Unternehmen der EU (50 oder mehr Beschäftigte oder Jahresumsatz über 10 Mio. € und Jahresbilanzsumme über 10 Mio. €; Partner- und verbundene Unternehmen werden einberechnet)
• Großunternehmen, die diese Schwellen überschreiten
• Nach nationalem Recht als kritische Verkehrsbetriebe bezeichnete Einrichtungen, unabhängig von ihrer Größe (sofern zutreffend)

Flughäfen, Fluggesellschaften, Eisenbahnverkehrsunternehmen, Hafenbehörden, Betreiber von Verkehrsmanagementsystemen und Anbieter intelligenter Verkehrssysteme (ITS), die die Schwellenwerte erfüllen, fallen automatisch in den Anwendungsbereich.

Mittlere und große Einrichtungen in diesem Sektor erfüllen grundsätzlich den NIS2-Größentest. Kleine und Kleinstunternehmen sind in der Regel ausgenommen, sofern keine gesetzliche größenunabhängige Regel oder förmliche nationale Benennung greift. Die EU-KMU-Definition und die Einbeziehung von Partner- und verbundenen Unternehmen nach Empfehlung 2003/361/EG sind zu beachten, ebenso sektorspezifische Regeln und die nationale Umsetzung.

Nach Artikel 21 der NIS2-Richtlinie müssen Einrichtungen des Verkehrssektors angemessene und verhältnismäßige technische und organisatorische Maßnahmen umsetzen, um Cybersicherheitsrisiken zu steuern.

Obligatorische Maßnahmen umfassen:

• Risikomanagement-Rahmenwerk
• Verfahren zum Umgang mit Sicherheitsvorfällen
• Geschäftskontinuität & Notfallwiederherstellung
• Lieferkettensicherheit
• Sichere Entwicklung & Wartung
• Richtlinien zu Verschlüsselung und Kryptografie
• Zugangskontrolle und Mehrfaktor-Authentifizierung (MFA)
• Schwachstellenmanagement & Patch-Management
• Schulungen zur Cyberhygiene
• Einsatz sicherer Kommunikationsmittel

Für den Verkehrssektor müssen diese NIS2-Sicherheitsmaßnahmen sowohl IT-Systeme als auch Betriebstechnologie (OT) abdecken, einschließlich Signalsystemen, Flugverkehrskontrollsystemen, Hafenlogistikplattformen und intelligenten Verkehrssystemen.

Angesichts des sicherheitskritischen Charakters von Verkehrsabläufen muss das Risikomanagement Systemredundanzen, Failover-Fähigkeiten und sichere Kommunikation zwischen Infrastrukturbetreibern und öffentlichen Behörden einbeziehen. Die Einhaltung der NIS2 im Verkehrssektor erfordert daher eine integrierte Cybersicherheits-Governance über die digitale und physische Infrastruktur hinweg.

Einrichtungen im Verkehrssektor müssen bei erheblichen Sicherheitsvorfällen die Meldefristen der NIS2-Richtlinie einhalten.

Zu den Meldepflichten gehören:

Meldungen sind an das zuständige nationale CSIRT oder die zuständige Behörde zu übermitteln.

Da Verkehrssysteme die öffentliche Sicherheit und die grenzüberschreitende Mobilität unmittelbar betreffen, gelten Störungen von Signaltechnik, Verkehrssteuerung, Flugsicherung oder Hafenlogistik häufig als erheblich. Die 24-Stunden-Meldepflicht der NIS2-Richtlinie erfordert robuste interne Prozesse zur Erkennung und Eskalation.

Die Nichteinhaltung der vorgeschriebenen Fristen kann aufsichtsrechtliche Maßnahmen und finanzielle Sanktionen nach sich ziehen.

Die Einhaltung der NIS2-Richtlinie im Verkehrssektor hebt die Verantwortung für die Cybersicherheit auf die Ebene des Leitungsorgans.

Wesentliche Governance-Pflichten umfassen:

• Billigung von Risikomanagementmaßnahmen im Bereich der Cybersicherheit durch das Leitungsorgan
• Fortlaufende Überwachung der Umsetzung
• Verpflichtende Schulungen zur Cybersicherheit für Mitglieder des Leitungsorgans
• Mögliches persönliches Haftungsrisiko nach nationalem Recht

Cybersicherheit ist nicht mehr auf IT-Abteilungen beschränkt. Artikel 21 der NIS2-Richtlinie schreibt eine Verantwortung auf Ebene des Leitungsorgans für die Gewährleistung angemessener Kontrollen und Maßnahmen zur Risikominderung vor.

Für Verkehrsbetreiber, die sicherheitskritische Infrastruktur betreiben, können Governance-Versäumnisse operative, rechtliche und reputationsbezogene Folgen haben. Die Aufsicht durch das Leitungsorgan muss daher strukturiert, dokumentiert und regelmäßig überprüft werden.

Als Einrichtungen des Anhangs I unterliegen als wesentliche Einrichtungen eingestufte Verkehrsorganisationen einer proaktiven Aufsicht. Zuständige Behörden können Audits, Inspektionen und Sicherheitsbewertungen durchführen, unabhängig davon, ob ein Vorfall eingetreten ist.

Verwaltungsrechtliche Geldbußen bei Nichteinhaltung sind:

• Wesentliche Einrichtungen: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresgesamtumsatzes (je nachdem, welcher Betrag höher ist)

Nationale Umsetzungsgesetze können Aufsichtsverfahren präzisieren, doch die Richtlinie legt harmonisierte Mindestschwellen für Geldbußen in den Mitgliedstaaten fest.

Angesichts der grenzüberschreitenden Auswirkungen und der Bedeutung für die öffentliche Sicherheit von Störungen im Verkehrsbereich wird eine risikobasierte und aktive Durchsetzung erwartet.

Unternehmen im Verkehrssektor sollten einen strukturierten Ansatz für die NIS2-Compliance verfolgen:

1. Führen Sie eine NIS2-Lückenanalyse durch
2. Erfassen und dokumentieren Sie kritische Transportleistungen und digitale Abhängigkeiten
3. Formalisieren Sie ein dokumentiertes Risikomanagement-Rahmenwerk
4. Aktualisieren und testen Sie Vorfallreaktions- und Betriebskontinuitätspläne
5. Überprüfen Sie Verträge mit Lieferanten und Infrastrukturpartnern
6. Schulen Sie Geschäftsleitung und operative Führungskräfte
7. Richten Sie einen Meldeprozess für 24 h/72 h/1 Monat ein

Frühzeitige Vorbereitung verringert das Risiko behördlicher Durchsetzungsmaßnahmen und betrieblicher Störungen.

Unternehmen im Verkehrssektor sind unter NIS2 mit sektorspezifischen Risiken konfrontiert:

• Betriebsunterbrechungen: Cybervorfälle können Flüge, Züge, Hafenbetriebe oder Verkehrssysteme zum Stillstand bringen.
• Sicherheitsrisiken: Beeinträchtigte Signal- oder Steuerungssysteme können unmittelbare Sicherheitsgefährdungen verursachen.
• Kompromittierung der Lieferkette: Technologieanbieter und Dienstleister können Schwachstellen einbringen.
• Regulatorische Bußgelder: Nichteinhaltung kann Betreiber erheblichen finanziellen Sanktionen aussetzen.
• Reputationsschäden: Das öffentliche Vertrauen in die Zuverlässigkeit des Verkehrs ist äußerst empfindlich gegenüber Ausfällen.

Die Einhaltung von NIS2 ist für den Verkehrssektor daher sowohl eine regulatorische Anforderung als auch eine zentrale Verpflichtung zur Stärkung der Resilienz.