NIS2 Entsorgungswirtschaft und Postdienste: Wer fällt unter das BSIG?

Ein Entsorgungsunternehmen in Nordrhein-Westfalen mit 90 Beschäftigten betreibt Tourenplanung, Fahrzeugwaage und Abrechnung auf drei vernetzten Systemen. Das Kurierdepot nebenan hängt an einer einzigen Sortierplattform und einem Cloud-Portal für die Sendungsverfolgung. Keiner der beiden Inhaber hat je eine Meldung ans BSI gemacht. Beide gehören inzwischen zu einem Bereich, den die EU als "kritisch" einstuft, und ihre Kunden fragen längst danach.

Das ist die Frage hinter NIS2 in der Entsorgungswirtschaft und bei Postdiensten. Beide Sektoren stehen in Anhang II der Richtlinie (EU) 2022/2555, den "sonstigen kritischen Sektoren". In Deutschland setzt das NIS2UmsuCG sie um, in Kraft seit dem 6. Dezember 2025, mit Änderungen im BSI-Gesetz (BSIG). Die Formulierung ist enger, als Kunden fürchten, und weiter, als sie hoffen.

Was Anhang II tatsächlich erfasst

Nummer 1 des Anhangs sind Post- und Kurierdienste: Postdienstleister im Sinne von Artikel 2 Nummer 1a der Richtlinie 97/67/EG, "einschließlich Anbietern von Kurierdiensten". Kurierdienste sind also ausdrücklich genannt. Paketnetze, Last-Mile-Kuriere und klassische Postbetreiber fallen unter denselben Eintrag.

Nummer 3 ist die Abfallbewirtschaftung: Unternehmen, die Abfallbewirtschaftung im Sinne von Artikel 3 Nummer 9 der Richtlinie 2008/98/EG betreiben. Dazu zählen Sammlung, Beförderung, Verwertung und Beseitigung von Abfällen. Ein Sammler, ein Transporteur, eine Sortieranlage und ein Deponiebetreiber können alle erfasst sein. Im BSIG finden Sie die Sektoren in Anlage 2.

Die Ausnahme, die die meisten Entsorgungsfälle entscheidet

Der Abfall-Eintrag schließt Unternehmen aus, "für die die Abfallbewirtschaftung nicht die wichtigste wirtschaftliche Tätigkeit ist". Das ist der nützlichste Satz für Ihre Mandantengespräche.

Ein Hersteller, der eigene Produktionsabfälle behandelt, fällt deshalb nicht darunter. Ein Schrotthändler, dessen Hauptgeschäft Sammlung und Aufbereitung von Abfall ist, möglicherweise schon. Stellen Sie eine Frage: Verdient das Unternehmen sein Geld überwiegend mit Abfallbewirtschaftung? Dokumentieren Sie die Antwort samt Belegen.

Für Postdienste gibt es keine solche Ausnahme. Wer Post- oder Kurierdienste gewerblich anbietet, prüft direkt die Größenschwellen.

Die Größenschwelle: mittel und größer

NIS2 gilt für mittlere und große Einrichtungen in den genannten Sektoren. In der Praxis heißt das: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Kleinst- und Kleinunternehmen fallen grundsätzlich heraus.

Einrichtungen aus Anhang II sind wichtige Einrichtungen, keine besonders wichtigen. Das betrifft die Aufsicht: Das BSI kann anlassbezogen eingreifen, etwa nach einem Vorfall, statt routinemäßig zu prüfen. Die Pflichten werden dadurch nicht leichter.

Eine deutsche Besonderheit: § 28 Abs. 3 BSIG erlaubt es, Geschäftstätigkeiten außer Acht zu lassen, die im Verhältnis zur gesamten Tätigkeit "vernachlässigbar" sind. Eine feste Definition fehlt. Begründen Sie diese Bewertung schriftlich.

Was eine wichtige Einrichtung leisten muss

Das BSIG verlangt Registrierung beim BSI (§ 33), Risikomanagementmaßnahmen (§ 30) und die Meldung erheblicher Sicherheitsvorfälle (§ 32). Die Registrierung ist innerhalb von drei Monaten nach Entstehen der Pflicht fällig. Für Einrichtungen, die schon bei Inkrafttreten betroffen waren, lief diese Frist am 6. März 2026 ab. Sprechen Sie bei Mandanten ohne Registrierung zuerst darüber, nicht über die Maßnahmen.

Die Risikomanagementmaßnahmen folgen Artikel 21 der Richtlinie mit zehn Bereichen: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Sicherheit der Lieferkette, sichere Beschaffung und Wartung, Wirksamkeitsbewertung, Cyberhygiene und Schulung, Kryptografie, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung oder gesicherte Kommunikation. Siehe unseren Leitfaden zu den zehn Maßnahmen nach Artikel 21.

Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und wird geschult (§ 38 BSIG). Für ein familiengeführtes Fuhrunternehmen oder einen regionalen Postdienstleister ist das oft das erste Mal, dass ein Geschäftsführer formal für IT-Risiken einsteht.

Wo diese Sektoren verwundbar sind

Betriebstechnik in der Entsorgung wird leicht übersehen. Fahrzeugwaagen, Pressensteuerungen, Deponiegas-Überwachung und Flottentelematik hängen alle am Netz. Ein Ransomware-Angriff, der die Wiegeabrechnung lahmlegt, stoppt am selben Tag die Einnahmen aus der Sammlung.

Bei Post- und Kurierdiensten liegt der Druckpunkt in der Sortier- und Tracking-Plattform. Viele Kurierdienste laufen auf einem einzigen SaaS-Anbieter. Fällt er aus, steht das Depot. Das ist eine Lieferkettenfrage nach Artikel 21 Absatz 2 Buchstabe d, und sie prüft der Kundenfragebogen als Erstes.

Beide Sektoren stützen sich zudem auf Subunternehmer: selbstständige Kuriere, Transportpartner, externe Routenplanungstools. Eine schriftliche Lieferantenliste mit Sicherheitsklauseln im Vertrag ist günstig und fehlt fast immer. Unser Beitrag zur NIS2-Lieferkettensicherheit zeigt den Aufbau.

Die Meldung eines Vorfalls läuft gleich

Ein erheblicher Vorfall erfordert eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und einen Abschlussbericht nach einem Monat (Artikel 23). Mandanten haben meist keinen Prozess für die erste Stunde, geschweige denn für den ersten Tag. Eine kurze Tabletop-Übung zu den Meldefristen lohnt sich hier sofort.

Bußgelder für wichtige Einrichtungen

Artikel 34 der Richtlinie setzt für wichtige Einrichtungen Höchstbeträge von mindestens 7 Millionen Euro oder mindestens 1,4 % des weltweiten Jahresumsatzes fest, je nachdem, welcher Betrag höher ist. Das sind Obergrenzen der Richtlinie, die endgültigen Beträge bestimmt das nationale Recht. Das ganze Bild finden Sie in unserem Beitrag zu NIS2-Bußgeldern.

Die Umsetzung unterscheidet sich je Land

Die Richtlinie gilt überall gleich, die Pflichten Ihres Mandanten hängen aber vom nationalen Gesetz und der Aufsicht ab. In Deutschland ist das NIS2UmsuCG in Kraft. Andere Mitgliedstaaten hinken hinterher. Hat Ihr Mandant Standorte in Österreich, Frankreich oder Spanien, prüfen Sie den aktuellen Stand je Land. Die EU-Umsetzungsübersicht ist ein guter Startpunkt.

Eine praktische Reihenfolge für diese Mandanten

Beginnen Sie mit dem Anwendungsbereich. Schreiben Sie einen Vermerk von einer Seite mit Sektoreintrag, Prüfung der wichtigsten Tätigkeit bei Abfall, Größenzahlen und Ergebnis. Aufsicht und Kunden fragen genau danach.

Machen Sie danach eine Gap-Analyse gegen die zehn Maßnahmen und priorisieren Sie Lieferantenübersicht, Meldekontakte und Backup-Tests. Dort sind die meisten Entsorgungs- und Postmandanten am schwächsten. Für eine schnelle Ausgangsbasis liefert der Quick-Scan von NIS2Certify ein Readiness-Assessment, das Sie in einem Termin mit dem Mandanten durchgehen.

Legen Sie schließlich die Meldeuhr schriftlich fest: Wer entscheidet, was erheblich ist, wer ruft beim BSI an, wer schreibt die 72-Stunden-Meldung. Ein getesteter Plan auf einer Seite schlägt ein Richtliniendokument mit 40 Seiten, das niemand liest.

Der Anwendungsbereich hängt von Einrichtung, Land und Fakten ab. Ihre Aufgabe ist, die Entscheidung belastbar zu machen. Wenn die Chemiebranche Beratern etwas gezeigt hat, dann dies: Anhang-II-Fragen gewinnt man mit Dokumentation, nicht mit Annahmen. Für einen ersten allgemeinen Check: gilt NIS2 für meine Organisation.