NIS2 für Verkehrsunternehmen in Deutschland: Wer betroffen ist und was jetzt zu tun ist

Kurze Antwort: Ist der Verkehrssektor in Deutschland betroffen?

Ja. Der Sektor Verkehr ist in Anlage 1 des BSI-Gesetzes (BSIG) als Einrichtungsart aufgeführt; wer einer dort bestimmten Einrichtungsart zuzuordnen ist, kann nach § 28 BSIG als besonders wichtige Einrichtung oder als wichtige Einrichtung gelten. Ob Ihr Unternehmen tatsächlich erfasst ist, entscheidet die Kombination aus Einrichtungsart (Anlage 1 oder Anlage 2) und den Größenkriterien nach § 28 Absatz 1 und 2 BSIG — Betreiber kritischer Anlagen gelten unabhängig davon als besonders wichtige Einrichtung (§ 28 Absatz 1 Satz 1 Nummer 1).

Der erste Schritt: Ordnen Sie Ihre Tätigkeiten einer Einrichtungsart nach Anlage 1 oder 2 zu und ermitteln Sie Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme nach den Vorgaben des § 28 Absatz 4 BSIG. Erst danach lässt sich sagen, welche Pflichten und welche Bußgeldrahmen für Sie gelten.

So benennt das BSIG den Sektor Verkehr

Maßgeblich ist der Wortlaut der Anlage 1 zum BSIG. Der Auszug für den Sektor Verkehr lautet dort:

> Verkehr 2.1 Luftverkehr 2.1.1 Luftfahrtunternehmen nach Artikel 3 Nummer 4 der Verordnung (EG) Nr. 300/2008, die für gewerbliche Zwecke genutzt werden 2.1.2 Flughafenleitungsorgane nach Artikel 2 Nummer 2 der Richtlinie 2009/12/EG, Flughäfen nach Artikel 2 Nummer 1 jener Richtlinie, einschließlich der in Anhang II

Daraus folgt für die Praxis:

• Erfasst sind ausdrücklich gewerblich genutzte Luftfahrtunternehmen im Sinne der genannten EU-Vorschrift.
• Ebenso erfasst sind Flughafenleitungsorgane und Flughäfen im Sinne der genannten Richtlinie.
• Nach § 28 Absatz 3 BSIG können bei der Zuordnung zu einer Einrichtungsart solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.

Für den genauen Wortlaut der übrigen Bereiche des Sektors Verkehr — etwa im Bahn-, Schifffahrts- oder Verkehrsmanagement-Bereich — prüfen Sie bitte die veröffentlichten Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI) als offizielle Quelle. Der oben zitierte Auszug bildet nur den Teil ab, der hier verbindlich belegt ist.

Besonders wichtige oder wichtige Einrichtung? Die Schwellenwerte nach § 28 BSIG

Das BSIG kennt zwei statutarische Klassen. Für Unternehmen, die anderen entgeltlich Waren oder Dienstleistungen anbieten, gilt vereinfacht:

Ausgenommen von der Klasse der wichtigen Einrichtungen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung (§ 28 Absatz 2 Satz 2).

Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme ist die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden. Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse von diesen unabhängig ist (§ 28 Absatz 4).

Kernpflichten: Risikomanagement, Geschäftsleitung, Registrierung

Das BSIG stellt an dieser Stelle keine gesonderten Verkehrspflichten auf: § 30 gilt gleichermaßen für besonders wichtige Einrichtungen und wichtige Einrichtungen.

Risikomanagementmaßnahmen (§ 30 BSIG, entsprechend art 21(2) der Richtlinie (EU) 2022/2555). Erforderlich sind geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die den Stand der Technik einhalten sollen und auf einem gefahrenübergreifenden Ansatz beruhen müssen. Sie umfassen mindestens:

• Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung, einschließlich Management und Offenlegung von Schwachstellen
• Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• grundlegende Schulungen und Sensibilisierungsmaßnahmen
• Konzepte und Prozesse für kryptographische Verfahren
• Konzepte für Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
• Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation

Die Einhaltung ist zu dokumentieren (§ 30 Absatz 1 Satz 3).

Verantwortung der Geschäftsleitung (§ 38 BSIG). Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzen sie diese Pflicht, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform. Zudem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen (§ 38 Absatz 3).

Registrierung (§ 33 BSIG). Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die gemeinsam vom BSI und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit melden. Zu übermitteln sind unter anderem Name und Rechtsform, Anschrift und Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, der relevante Sektor nach Anlage 1 oder 2, die betroffenen EU-Mitgliedstaaten sowie die zuständigen Aufsichtsbehörden. Änderungen sind unverzüglich, spätestens binnen zwei Wochen, mitzuteilen (§ 33 Absatz 5). Die Registrierung von Betreibern kritischer Anlagen erfolgt nach § 8 des KRITIS-Dachgesetzes.

Meldepflichten und Fristen gegenüber dem BSI

Erhebliche Sicherheitsvorfälle sind an die gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe zu melden (§ 32 Absatz 1 BSIG). Es gilt eine gestufte Meldekette:

1. Frühe Erstmeldung — unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung; darin ist anzugeben, ob der Verdacht rechtswidriger oder böswilliger Handlungen besteht oder grenzüberschreitende Auswirkungen möglich sind. 2. Meldung — unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung; sie bestätigt oder aktualisiert die Erstmeldung und enthält eine erste Bewertung einschließlich Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren. 3. Zwischenmeldung — auf Ersuchen des Bundesamtes. 4. Abschlussmeldung — spätestens einen Monat nach Übermittlung der Meldung nach Nummer 2, mit ausführlicher Beschreibung, Angaben zur Ursache, zu getroffenen und laufenden Abhilfemaßnahmen sowie gegebenenfalls zu grenzüberschreitenden Auswirkungen.

Dauert der Vorfall zu diesem Zeitpunkt noch an, ist zunächst eine Fortschrittsmeldung und nach abschließender Bearbeitung die Abschlussmeldung vorzulegen (§ 32 Absatz 2). Betreiber kritischer Anlagen übermitteln zusätzlich Angaben zur betroffenen Anlage, zur kritischen Dienstleistung und zu den Auswirkungen (§ 32 Absatz 3).

Zuständig ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) — als Aufsichtsbehörde für die NIS2-Pflichten (§ 59) sowie als nationale Verbindungsstelle und zentrale Melde- und Anlaufstelle (§ 40 Absatz 1). Die Einzelheiten des Meldeverfahrens legt das Bundesamt fest und veröffentlicht sie auf seiner Internetseite (§ 32 Absatz 4).

Bußgelder nach § 65 BSIG

Verstöße können als Ordnungswidrigkeit geahndet werden (§ 65 BSIG):

• Besonders wichtige Einrichtungen nach § 28 Absatz 1 Satz 1: Geldbuße bis zu zehn Millionen Euro (§ 65 Absatz 5 Satz 1 Nummer 1 Buchstabe a).
• Wichtige Einrichtungen nach § 28 Absatz 2 Satz 1: Geldbuße bis zu sieben Millionen Euro (§ 65 Absatz 5 Satz 1 Nummer 1 Buchstabe b).
• Je nach Art des Verstoßes gelten weitere Stufen bis zu fünf, zwei beziehungsweise einer Million Euro sowie bis zu fünfhunderttausend oder hunderttausend Euro (§ 65 Absatz 5).
• Bei einem Gesamtumsatz von mehr als 500 Millionen Euro: bis zu 2 Prozent des Gesamtumsatzes bei besonders wichtigen Einrichtungen (§ 65 Absatz 6) und bis zu 1,4 Prozent bei wichtigen Einrichtungen (§ 65 Absatz 7). Gesamtumsatz ist die Summe aller weltweit erzielten Umsatzerlöse des vorangegangenen Geschäftsjahres (§ 65 Absatz 8).

Erfasst sind unter anderem das Nichtergreifen von Maßnahmen nach § 30 Absatz 1 Satz 1, die fehlende Dokumentation nach § 30 Absatz 1 Satz 3, nicht rechtzeitige Meldungen nach § 32 sowie unterlassene Angaben nach § 33. Verwaltungsbehörde ist in der Regel das Bundesamt (§ 65 Absatz 10).

Hinzu kommen Aufsichts- und Durchsetzungsbefugnisse: Bei besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen anordnen und die Einhaltung vor Ort überprüfen (§ 61); bei wichtigen Einrichtungen kann es tätig werden, wenn Tatsachen die Annahme einer nicht oder nicht richtigen Umsetzung rechtfertigen (§ 62).