NIS2 im Verkehrssektor: Wo Luftfahrt-, Bahn- und Seeverkehrsrecht auf Artikel 21 trifft

Ein regionaler Spediteur mit 180 Beschäftigten erklärte uns, sein Anwalt habe NIS2 für nicht anwendbar erklärt. Die Begründung: Man sei keine Fluggesellschaft, kein Hafen und kein Eisenbahnunternehmen. Sechs Wochen später schickte der größte Kunde — eine Hafenverwaltung — einen Lieferantenfragebogen mit 40 Sicherheitsfragen und eine Vertragsklausel mit Verweis auf Artikel 21(2)(d).

Verkehr ist der NIS2-Sektor, in dem der Anwendungsbereich am häufigsten falsch eingeschätzt wird. Nicht weil der Text unklar wäre, sondern weil "Verkehr" in Anhang I vier getrennte Regulierungswelten sind, die in einen Eintrag gepresst wurden — jede mit einem eigenen bestehenden Sicherheitsregime, von dem Kunden annehmen, es decke sie bereits ab.

Das tut es nicht.

Anhang I behandelt Verkehr als vier Sektoren, nicht als einen

Anhang I der NIS2 führt Verkehr als Sektor mit hoher Kritikalität und teilt ihn dann in vier Teilsektoren mit jeweils eigener Liste von Einrichtungstypen auf.

Luft. Luftfahrtunternehmen, die zu gewerblichen Zwecken eingesetzt werden. Flughafenleitungsorgane, einschließlich Kernflughäfen, und Einrichtungen, die Nebenanlagen an Flughäfen betreiben. Verkehrsmanagementkontrollbetreiber, die Flugverkehrskontrolle erbringen.

Schiene. Infrastrukturbetreiber. Eisenbahnunternehmen, einschließlich Betreiber von Serviceeinrichtungen.

Wasser. Binnenschifffahrts-, See- und Küstenschifffahrtsunternehmen für Personen- und Güterverkehr. Hafenleitungsorgane, einschließlich Hafenanlagen und Einrichtungen, die Anlagen und Ausrüstung in Häfen betreiben. Betreiber von Schiffsverkehrsdiensten.

Straße. Straßenverkehrsbehörden, die für Verkehrsmanagement und -kontrolle zuständig sind. Betreiber intelligenter Verkehrssysteme.

Aus dieser Liste folgen zwei Dinge, und beide werden von Beratern übersehen.

Erstens ist der Straßenverkehr weit enger gefasst, als Kunden erwarten. Eine Spedition, die Güter per Lkw befördert, fällt nicht unter Straßenverkehr in Anhang I. Eine Behörde, die Verkehrsmanagement betreibt, schon. Ein ITS-Betreiber ebenfalls. Das Transportunternehmen ist nur dann erfasst, wenn es an anderer Stelle landet — etwa als Lieferant innerhalb der Lieferkettenpflichten nach Artikel 21(2)(d) einer anderen Einrichtung. Genau das ist dem Spediteur oben passiert.

Zweitens ist der Wasserverkehr weit breiter, als Kunden erwarten. "Einrichtungen, die Anlagen und Ausrüstung in Häfen betreiben" zieht Terminalbetreiber, Kran- und Portalkranbetreiber sowie Instandhaltungsbetriebe hinein, die sich nie als regulierte Infrastruktur verstanden haben.

Gilt NIS2 für Ihre Organisation?
1
Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja▼
Nein▼
2
Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
✗
NIS2 gilt nicht unmittelbar für Ihre Organisation.
Ja▼
Nein▼
✓
NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
3
Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja▼
!
NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
1
Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja ↓Nein →
2
Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
Ja ↓Nein →
3
Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja ↓Nein →
✗
NIS2 gilt nicht unmittelbar für Ihre Organisation.
✓
NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
!
NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
Gilt
Gilt möglicherweise
Gilt nicht

Die Größe entscheidet über das Aufsichtsregime — mit einer Ausnahme im Verkehr

Die Grundregel ist mechanisch. In einem Anhang-I-Sektor ist ein großes Unternehmen — 250 oder mehr Beschäftigte oder ein Umsatz über 50 Mio. € und eine Bilanzsumme über 43 Mio. € — eine wesentliche Einrichtung. Ein mittleres Unternehmen, ab 50 Beschäftigten oder 10 Mio. € Umsatz, ist eine wichtige Einrichtung.

Wesentlich bedeutet proaktive Aufsicht: Vor-Ort-Inspektionen, regelmäßige Audits, Sicherheitsscans und Nachweisanforderungen, ohne dass ein Vorfall eingetreten sein muss. Wichtig bedeutet reaktive Aufsicht, ausgelöst durch einen Vorfall oder eine Beschwerde. Bußgelder reichen bis 10 Mio. € oder 2 % des weltweiten Umsatzes bei wesentlichen Einrichtungen und bis 7 Mio. € oder 1,4 % bei wichtigen.

Im Verkehr zählt die Ausnahme. Artikel 2(2) erlaubt es den Mitgliedstaaten, Einrichtungen unterhalb der Größenschwellen unabhängig von der Beschäftigtenzahl einzubeziehen, und der Verkehr ist der klassische Fall: ein Betreiber eines Schiffsverkehrsdienstes mit 30 Beschäftigten oder ein kleiner ITS-Betreiber, dessen Ausfall einen nationalen Korridor stören würde, kann benannt werden, weil er der einzige Anbieter eines für gesellschaftliche Tätigkeiten wesentlichen Dienstes ist.

Führen Sie nicht nur den Größentest durch und hören dann auf. Prüfen Sie zuerst die nationale Benennungsliste. In mehreren Mitgliedstaaten wurden die Verkehrsbenennungen getrennt von den allgemeinen Registrierungshinweisen veröffentlicht — steht Ihr Kunde darauf, ist der Größentest irrelevant. Welche Behörde diese Liste veröffentlicht, hängt vom Niederlassungsort ab; die Zuständigkeitsregeln haben wir in Artikel 26: Welche Aufsichtsbehörde Ihren Kunden tatsächlich beaufsichtigt behandelt.

Part-IS in der Luftfahrt schaltet NIS2 nicht ab

Das ist derzeit das teuerste Missverständnis in der Verkehrs-Compliance.

Seit dem 16. Oktober 2025 gilt EASA Part-IS — Delegierte Verordnung (EU) 2022/1645 — für Flugplatzbetreiber, Entwicklungs- und Herstellungsbetriebe sowie Anbieter von Vorfeldkontrolldiensten. Die Durchführungsverordnung (EU) 2023/203 erweiterte den Rahmen ab Februar 2026 auf weitere Organisationstypen. Luftfahrtkunden lesen das und schließen daraus, NIS2 sei erledigt.

Artikel 4 der NIS2 sieht dies vor. Wo ein sektorspezifischer Unionsrechtsakt Risikomanagementmaßnahmen im Bereich der Cybersicherheit oder Meldepflichten vorschreibt, die in ihrer Wirkung mindestens gleichwertig sind, gelten die entsprechenden NIS2-Bestimmungen nicht. Das ist eine echte Ausnahme.

Aber sie ist enger, als das Marketing darum herum suggeriert. DORA ist der saubere Fall: Artikel 1(2) der Verordnung (EU) 2022/2554 stellt im eigenen Text fest, dass sie für Zwecke des Artikels 4 als sektorspezifischer Rechtsakt gilt. Etwas Vergleichbares fehlt in den Part-IS-Verordnungen. Die Leitlinien der Kommission zur Anwendung von Artikel 4(1) und (2) listen die Rechtsakte auf, die aus ihrer Sicht in den Anwendungsbereich fallen; die Position zur Luftfahrt wird seither offen diskutiert — unter anderem im Community-Forum der EASA selbst.

Die praktische Haltung für einen Berater: Gehen Sie davon aus, dass beide gelten, bis die zuständige nationale Behörde des Kunden schriftlich etwas anderes sagt.

Das ist weniger schmerzhaft, als es klingt, denn die Rahmenwerke widersprechen sich nicht. Part-IS erfasst Informationssicherheitsrisiken mit möglicher Auswirkung auf die Flugsicherheit. NIS2 Artikel 21 erfasst Risiken für Netz- und Informationssysteme, die den Dienst tragen. Die Überschneidung ist groß, die Ränder unterscheiden sich — Part-IS verlangt keinen Nachweis der Lieferkettensicherheit über Ihre kommerzielle IT-Landschaft, und NIS2 verlangt nicht, jede Feststellung auf ein Sicherheitsergebnis zurückzuführen.

Bilden Sie beides ab, markieren Sie gemeinsame Maßnahmen einmal und dokumentieren Sie die Differenz. Prüfer akzeptieren eine gemappte Maßnahme, die zwei Regime bedient. Sie akzeptieren nicht "wir sind durch Part-IS abgedeckt" als Antwort auf eine Nachweisanforderung nach Artikel 21.

Der Seeverkehr hat dieselbe Struktur unter anderen Namen. ISPS und die Leitlinien der IMO zum maritimen Cyber-Risikomanagement stehen neben NIS2, nicht an deren Stelle. Hafenleitungsorgane legen routinemäßig ihren ISPS-Hafenanlagen-Sicherheitsplan vor, wenn NIS2-Nachweise verlangt werden. Das ist ein gutes Dokument. Es ist keine Risikomanagementpolitik nach Artikel 21(2)(a).

Die Maßnahmen des Artikels 21 wirken in einer operativen Umgebung anders

Die zehn Maßnahmen sind in jedem Sektor gleich. Was sich ändert, ist, wo die Nachweise liegen.

Im Verkehr erzeugen drei davon regelmäßig Feststellungen.

Artikel 21(2)(c), Betriebskontinuität und Krisenmanagement. Verkehrsbetreiber haben hervorragende Kontinuitätspläne — für physische Störungen. Wetter, Streiks, blockierte Korridore. Fast keiner hat ein Szenario getestet, in dem das Planungs- oder Dispositionssystem verschlüsselt und vier Tage nicht verfügbar ist. Genau danach fragt die Aufsicht.

Artikel 21(2)(d), Sicherheit der Lieferkette. Verkehr läuft auf gemeinsam genutzten operativen Systemen: Terminal Operating Systems, Gepäckabfertigung, Signaltechniklieferanten, Anbieter von Wartungstelemetrie. Jeder davon ist ein namentlich benannter Dritter, dessen Sicherheitslage Ihr Kunde beschreiben können muss. Einen Fragebogen die Kette hinunterzureichen genügt für sich allein nicht — die Pflicht besteht darin, zu bewerten und auf das Ergebnis zu reagieren. Siehe warum Lieferantenverträge jetzt Teil der NIS2-Compliance sind.

Artikel 21(2)(i), Zugriffskontrolle und Anlagenmanagement. Operative Technik im Verkehr ist alt, räumlich verteilt und wird häufig von externen Technikern mit dauerhaftem Fernzugriff gewartet. Ein vollständiges Asset-Inventar, das Anlagen an Gleis, Kai und Vorfeld umfasst, ist die schwierigste Einzelleistung in diesem Sektor — und das Erste, was ein Inspektor sehen will.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
🛡️
Artikel 21
10 Cybersicherheitsmaßnahmen
📊
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
🚨
Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
🔗
Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
🔐
Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
👥
Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Das IT/OT-Grenzproblem ist hier dasselbe wie bei Herstellern, mit einem Unterschied: Im Verkehr steht die OT oft gar nicht auf dem Gelände Ihres Kunden.

Vorfallmeldung: zwei Uhren, zwei Behörden

Verkehrsbetreiber melden bereits. Die Luftfahrt meldet Ereignisse nach Verordnung (EU) 376/2014. Die Bahn meldet an nationale Sicherheitsbehörden. Der Seeverkehr meldet nach eigenem Regime.

Nichts davon erfüllt Artikel 23.

NIS2 verlangt eine Frühwarnung an das CSIRT oder die zuständige Behörde innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls, eine Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Gemeinsame Vorlagen, die die NIS2-Kooperationsgruppe im Mai 2026 angenommen hat, haben die Format-Ausrede beseitigt.

Der Fehlermodus ist vorhersehbar: Der Sicherheitsbericht geht rechtzeitig raus, der Cyber-Bericht nicht, weil niemand in der Leitstelle weiß, dass es die 24-Stunden-Uhr gibt. Bauen Sie den Auslöser in den bestehenden Ereignismeldeprozess ein statt daneben, und lassen Sie die Checkliste des Diensthabenden eine zusätzliche Frage stellen — könnte das in einem Netz- oder Informationssystem entstanden sein? Die Meldefristen sind hier im Detail beschrieben.

Was in den nächsten 30 Tagen zu tun ist

Für jeden Verkehrskunden, in dieser Reihenfolge:

1. Bestätigen Sie Teilsektor und Einrichtungstyp nach Anhang I schriftlich, mit dem tatsächlichen Wortlaut der Liste statt einer Zusammenfassung.
2. Prüfen Sie die nationale Benennungsliste für Einrichtungen unterhalb der Schwelle, bevor Sie den Größentest anwenden.
3. Bei Luftfahrt oder Seeverkehr: Erstellen Sie ein Control Mapping zwischen Sektorregime und Artikel 21 — und markieren Sie die Lücken, statt Abdeckung zu unterstellen.
4. Ziehen Sie das Asset-Inventar für operative Technik. Existiert es nicht, ist das Ihr erstes Projekt, nicht Ihr letztes.
5. Verdrahten Sie die 24-Stunden-Uhr der NIS2 mit dem bestehenden operativen Vorfallprozess.

Alles danach ist Dokumentationsdisziplin; was Inspektoren tatsächlich verlangen, haben wir in der Nachweis-Checkliste für Aufsichtsaudits dargelegt.

Wenn Sie einen strukturierten Startpunkt für einen Verkehrskunden wollen, führen Sie einen kostenlosen NIS2 Quick Scan durch — er liefert in etwa zehn Minuten eine Gap-Analyse gegen die Maßnahmen des Artikels 21. Das genügt, um zu erkennen, ob das Sektorregime, auf das sich der Kunde verlässt, das Gewicht tatsächlich trägt.