Array( [0] => Array ( [0] => 21477 [id] => 21477 [1] => [domain] => [2] => de [lang] => de [3] => upload_69a59cdecade9 [upload] => upload_69a59cdecade9 [4] => sp-2026-036.pdf [original] => sp-2026-036.pdf [5] => [name] => [6] => sp-2026-036.pdf [title] => sp-2026-036.pdf [7] => [keywords] => [8] => 2026-03-02 14:21:18 [date] => 2026-03-02 14:21:18 [9] => 0 [intranet] => 0 [10] => ja [individuell1] => ja [11] => SP [individuell2] => SP [12] => NIS-2-Umsetzungsgesetz (NIS2UmsuCG) – Pflichten für Betreiber wichtiger und besonders wichtiger Einrichtungen [individuell3] => NIS-2-Umsetzungsgesetz (NIS2UmsuCG) – Pflichten für Betreiber wichtiger und besonders wichtiger Einrichtungen [13] => SP 36/2026 [individuell4] => SP 36/2026 [14] => ___________________ ____________________________________________________________________________________________ ________ Verein Hamburger Spediteure e.V. Vorsitzer: Axel Plaß Geschäftsführer: Stefan Saß Uhlandstraße 68 22087 Hamburg E-Mail: info@vhsp.de Telefon : 040 37 47 64 - 0 Telefax : 040 37 47 64 - 75 Web: www.vhsp.de Sitz der Gesellschaft: Hamburg Amtsgericht Hamburg, VR 3860 Steuer -Nr.: 17/438/01004 HASPA: Kto. 1280 109 800 BLZ 200 505 50 BIC: HASPDEHH XXX IBAN: DE22 2005 0550 1280 1098 00 Rundschreiben SP 036 /20 26 Hamb urg, den 5. März 20 26 (DSLV 026 /2026/c ) rs An unsere Mitglieder! – Geschäftsleitung – NIS -2-Umsetzungsgesetz (NIS2UmsuCG) – Pflichten für Betreiber wichtiger und besonders wichtiger Einrichtungen Sehr geehrte Damen und Herren, mit dem Gesetz zur Umsetzung der NIS -2-Richtlinie ( NIS2UmsuCG 1) ist am 6. De- zember 2025 ein neuer, verbindlicher Rechtsrahmen zur Stärkung der Cybersicherheit in Kraft getreten ( vgl. Rundschreiben SP 162/2025 2). Das NIS2UmsuCG novelliert ins- besondere das BSI -Gesetz ( BSIG 3) grundlegend. Kernziel ist die Stärkung der digita- len Resilienz von Einrichtungen, die für das Funktionieren von Wirtschaft und Gesell-schaft bedeutsam sind. Die Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Der DSLV Bundesverband Spedition und Logistik hat in seinem Leitfaden vom 4. Feb-ruar 2026 ( vgl. Rundschreiben SP 019/2026 4) klargestellt, dass das NIS2UmsuCG keine pauschale Regulierung der Logistikbranche vorsieht. Eine Betroffenheit kann je-doch im Einzelfall vorliegen, wenn gewisse Voraussetzungen erfüllt sind. Der Leitfaden dient der strukturierten Prüfung dieser Konstella tionen. Während der Leitfaden die Frage der Betroffenheit systematisch aufbereitet, stellt die-ses Rundschreiben die Rechtsfolgen einer festgestellten Einordnung als besonders wichtige oder wichtige Einrichtung in den Mittelpunkt. Eine Betroffenheit ist anhand von § 28 BSIG insbesondere dann zu prüfen, wenn das Unternehmen: ◼ Tätigkeiten in einer der in Anlage 1 oder 2 BSIG definierten Einrichtungskate-gorien ausübt und ◼ die gesetzlichen Größenkriterien erfüllt. Die Einordnung erfolgt dabei wie folgt: 1 https://www.recht.bund.de/bgbl/1/2025/301/regelungstext.pdf?__blob=publicationFile&v=3 2 https://www.vhsp.de/rundschreiben/SP/2025/sp -2025 -162.pdf 3 https://www.gesetze -im-internet.de/bsig_2025/BJNR12D0B0025.html 4 https://www.vhsp.de/rundschreiben/SP/2026/sp -2026 -019.pdf2 Als besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG) gilt ein Unternehmen, wenn es einer Einrichtungsart nach Anlage 1 zuzuordnen ist und ◼ regelmäßig mindestens 250 Beschäftigte hat oder ◼ einen Jahresumsatz von mehr als 50 Millionen Euro und zugleich eine Jahres- bilanzsumme von mehr als 43 Millionen Euro aufweist. Als wichtige Einrichtung (§ 28 Abs. 2 BSIG) gilt ein Unternehmen, wenn es einer Einrichtungsart nach Anlage 1 oder 2 zuzuordnen ist und ◼ regelmäßig mindestens 50 Beschäftigte hat oder ◼ einen Jahresumsatz und zugleich eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweist. Unabhängig hiervon gelten Betreiber kritischer Anlagen im Sinne der BSI -KritisV kraft Gesetzes als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG). Nur diejenigen Unternehmensteile sind in die Betroffenheitsprüfung einzubeziehen, die tatsächlich Tätigkeiten in einer der in Anlage 1 oder 2 BSIG genannten Einrich-tungskategorien ausüben. Eine untergeordnete oder vernachlässigbare Tätigkeit in ei-nem regul ierten Bereich löst keine Betroffenheit des gesamten Unternehmens aus. 1. Pflichten bei festgestellter Betroffenheit Sowohl wichtige als auch besonders wichtige Einrichtungen unterliegen im Grundsatz denselben materiellen Pflichten. Die Unterschiede betreffen vor allem die Intensität der staatlichen Aufsicht und das Sanktionsniveau . ◼ Aufsicht Besonders wichtige Einrichtungen unterliegen einer weitergehenden, auch pro- aktiven Aufsicht durch das BSI. Dieses kann insbesondere Prüfungen, Audits oder die Vorlage von Nachweisen anordnen (§ 61 BSIG). Bei wichtigen Einrichtungen erfolgt die Überprüfung demgegenüber grundsätz-lich anlassbezogen , wenn Tatsachen die Annahme rechtfertigen, dass gesetz- liche Pflichten nicht erfüllt werden (§ 62 BSIG). ◼ Bußgeldrahmen Für besonders wichtige Einrichtungen gelten höhere Bußgeldobergrenzen (§ 65 BSIG) als für wichtige Einrichtungen. Stellt ein Unternehmen fest, dass es als besonders wichtige oder wichtige Einrichtung einzustufen ist, gelten ansonsten folgende Pflichten: 1.1 Registrierung beim BSI (§ 33 BSIG) Die Registrierung ist spätestens drei Monate nach erstmaliger oder erneuter Betrof-fenheit vorzunehmen (§ 33 Abs. 1 BSIG). Für Unternehmen, die bereits mit Inkrafttre-ten am 6. Dezember 2025 betroffen waren, endet die Dreimonatsfrist am 6. März 2026 .3 Betroffene Unternehmen müssen sich über das BSI -Meldeportal 5 registrieren. Die Re- gistrierung erfolgt über das System " Mein Unternehmenskonto 6" (MUK). 1.2 Risikomanagement und Sicherheitsmaßnahmen (§ 30 BSIG) § 30 BSIG verpflichtet betroffene Einrichtungen zur Umsetzung geeigneter, verhältnis-mäßiger und wirksamer technischer und organisatorischer Maßnahmen zur Beherr-schung von Sicherheitsrisiken. Das Gesetz schreibt keinen maximalen, sondern einen angemessenen Sicherheitsstandard vor – maßgeblich sind Risikolage, Schutzwürdig- keit der betroffenen Dienste und Verhältnismäßigkeit. Die Mindestanforderungen um-fassen unter anderem: ◼ Risikoanalyse und Sicherheitskonzepte für Informationssysteme, ◼ Business Continuity Management (Backup, Krisenmanagement, Notfallpläne), ◼ Sicherheit der Lieferketten inklusive Sicherheitsanforderungen an Lieferanten und Dienstleister, ◼ Technische Maßnahmen: Netzwerksegmentierung, Multi -Faktor -Authentifizie- rung, Verschlüsselung, Schwachstellenmanagement, ◼ Schulungen und Sensibilisierung der Mitarbeitenden. Die Maßnahmen sind zu dokumentieren. Eine nachvollziehbare, reflektierte Entschei-dungsgrundlage – auch darüber, warum bestimmte Maßnahmen aus Gründen der Ver- hältnismäßigkeit nicht umgesetzt werden – ist im Aufsichts - und Haftungsfall entschei- dend. 1.3 Meldepflichten bei Sicherheitsvorfällen (§ 32 BSIG) Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG unverzüglich dem BSI zu melden. Ein Sicherheitsvorfall ist meldepflichtig, wenn er erhebliche Auswirkungen auf die Er-bringung der betroffenen Dienste hat oder haben kann. Maßgeblich sind insbesondere Dauer , Ausmaß und Reichweite der Beeinträchtigung. Das Gesetz sieht ein dreistufi- ges Verfahren vor: ◼ Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme, ◼ Folgemeldung innerhalb von 72 Stunden mit erster Ursachen - und Auswir- kungsanalyse, ◼ Abschlussbericht innerhalb eines Monats mit vollständiger Bewertung und Dar-stellung ergriffener Maßnahmen. Die gesetzliche Meldepflicht gilt jedoch frühestens ab Einrichtung des entsprechenden Meldewegs durch das BSI (§ 32 Abs. 1 BSIG). Unternehmen sollten interne Meldepro-zesse, Eskalationswege und Zuständigkeiten klar definieren und regelmäßig erproben. Nach E ingang einer Meldung bestätigt das BSI deren Erhalt und kann im weiteren Verlauf Rückmeldungen oder Handlungsempfehlungen erteilen (§ 36 BSIG). 5 https://portal.bsi.bund.de/ 6 https://www.elster.de/eportal/unternehmerorientiert/registrierungsprozess4 1.4 Unterrichtungspflichten (§ 35 BSIG) Neben der Meldepflicht gegenüber dem BSI kann dieses nach § 35 BSIG anordnen, dass betroffene Einrichtungen ihre Dienstempfänger über einen erheblichen Sicher-heitsvorfall unterrichten, sofern dieser die Erbringung der betroffenen Dienste erheb-lich beeinträ chtigt oder beeinträchtigen kann. Die Unterrichtung hat Art und Auswirkungen der Beeinträchtigung zu enthalten. 1.5 Verantwortung der Geschäftsleitung (§ 38 BSIG) § 38 BSIG normiert ausdrückliche Umsetzungs -, Überwachungs - und Schulungspflich- ten der Geschäftsleitung. Mitglieder der Geschäftsleitung sind verpflichtet, die Risiko-managementmaßnahmen nach § 30 BSIG zu billigen, deren Umsetzung zu überwa-chen und sich reg elmäßig im Bereich Cybersicherheit fortzubilden. Die Verantwortung ist nicht vollständig delegierbar. Operative Aufgaben können über-tragen werden; die strategische Letztverantwortung verbleibt jedoch beim Leitungsor-gan. Nach § 2 Nr. 13 BSIG ist Geschäftsleitung jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und Vertretung berufen ist. Maßgeblich ist die gesellschaftsrechtliche Organstellung, nicht eine funktionale Be-ze ichnung. In Konzernstrukturen ist die jeweils betroffene Einheit maßgeblich. Die Organpflichten treffen das für diese Einheit zuständige Leitungsorgan. Die Schulungspflicht gilt für jedes einzelne Organmitglied. 1.6 Sanktionen (§ 65 BSIG) § 65 BSIG normiert ein gestaffeltes Bußgeldregime. Bei Verstößen gegen die NIS -2- Pflichten drohen für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) an Bußgeld. Für wichtige Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Neben Bußgeldern gegen das Unternehmen kommt eine persönliche Organhaftung nach allgemeinen gesellschaftsrechtlichen Grundsät-zen in Betracht. 2. Zusätzliche Pflichten für Betreiber kritischer Anlagen nach BSI -KritisV Betreiber kritischer Anlagen nach BSI -KritisV 7 sind zugleich besonders wichtige Ein- richtungen, unterliegen jedoch zusätzlichen Anforderungen. Im Sektor „Transport und Verkehr“ erfasst die BSI -KritisV insbesondere Logistikzentren und zentrale IT -Systeme zur Logistiksteuerung. Maßgebliche Schwellenwerte sind 17,55 Millionen Tonnen pro Jahr oder 53,2 Millionen Sendungen pro Jahr. Aufgrund dieser hohen Schwellenwerte kommt eine Betroffenheit nur für eine begrenzte Zahl sehr großer Unternehmen in Be-tracht. 7 https://www.gesetze -im -internet.de/bsi -kritisv/5 Für diese Unternehmen gelten neben den allgemeinen Pflichten besonders wichtiger Einrichtungen zusätzliche, spezifische Anforderungen: 2.1 Erweiterte Registrierungspflicht (§ 33 Abs. 2 BSIG) Kritis -Betreiber haben im Rahmen der Registrierung gegenüber dem BSI weiterge- hende Angaben zu übermitteln. Hierzu zählen insbesondere: die kritische Dienstleis-tung, die Zuordnung zur jeweiligen Anlagenkategorie nach BSI -KritisV, Versorgungs- kennzahlen, der Standort der kritischen Anlage, relevante IP -Adressbereiche sowie eine Kontaktstelle. Die Kontaktstelle ist so zu benennen, dass eine jederzeitige Erreichbarkeit des Unter-nehmens für das BSI gewährleistet ist. Die Registrierung erfolgt über die vom BSI hier-für vorgesehenen elektronischen Verfahren. 2.2 Systeme zur Angriffserkennung (§ 31 Abs. 2 BSIG) Kritis -Betreiber sind als einzige Einrichtungskategorie gesetzlich verpflichtet, Systeme zur Angriffserkennung (SzA) einzusetzen. Diese Systeme müssen den laufenden Be-trieb der IT - und OT -Infrastruktur (Operational Technology) kontinuierlich überwachen und Angriffe automatisiert identifizieren. Das BSI konkretisiert die technischen Anfor- derungen in einer Orientierungshilfe 8 zu SzA. Für sonstige besonders wichtige oder wichtige Einrichtungen besteht diese Pflicht nicht – der Einsatz solcher Systeme kann jedoch im Rahmen des allgemeinen Risikomanagements nach § 30 BSIG geboten sein. 2.3 Proaktive Nachweispflicht (§ 39 BSIG) Kritis -Betreiber haben dem BSI regelmäßig – grundsätzlich im Dreijahresrhythmus – Nachweise über die Umsetzung der Maßnahmen nach §§ 30 und 31 BSIG vorzulegen (§ 39 BSIG). Zulässige Nachweise sind insbesondere Sicherheitsaudits, Prüfungen oder geeignete Zertifiz ierungen (zum Beispiel ISO 27001). Für sonstige besonders wichtige Einrichtungen besteht demgegenüber keine regelmä-ßige Vorlagepflicht. Das BSI kann jedoch die Vorlage von Nachweisen anordnen (§ 61 BSIG). Bei wichtigen Einrichtungen erfolgt eine solche Anordnung regelmäßig anlass-bezogen (§ 62 BSIG). Für Betreiber, die bereits nach § 8a BSIG a. F. nachweispflichtig waren, gelten Über-gangsregelungen. § 39 Abs. 3 BSIG legt den nächsten Nachweiszeitpunkt frühestens drei Jahre nach dem zuletzt erbrachten Nachweis nach § 8a Abs. 3 BSIG a. F. fest. Diese ges etzliche Regelung stellt sicher, dass der Dreijahresrhythmus des neuen Nachweissystems an den bisherigen Nachweis anknüpft. 3. Ausblick: KRITIS -Dachgesetz (KRITIS -DachG) Parallel zum NIS2UmsuCG, das die IT -Sicherheit kritischer Anlagen regelt, befindet sich das KRITIS -DachG derzeit noch im parlamentarischen Verfahren. Das Gesetz soll den physischen Schutz kritischer Infrastrukturen verbindlich regeln. Der Bundestag hat 8 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh -sza.pdf?__blob=publication- File&v=186 das Gesetz am 28. Januar 2026 verabschiedet. Der Innenausschuss des Bundesrates hat jedoch – Stand 26. Februar 2026 – empfohlen, dem Gesetz nicht zuzustimmen und stattdessen den Vermittlungsausschuss einzuberufen. In welcher Form das KRI-TIS -DachG in Kraft tritt, ist damit derzeit offen. Der DSLV beobachtet das Verfahren aufmerksam und wird seine Mitglieder über den weiteren Verlauf und etwaige neue Pflichten für seine Mitgliedsunternehmen informieren. 4. Fazit Der DSLV empfiehlt die folgenden Maßnahmen zu ergreifen: ◼ Betroffenheitsprüfung durchführen: Prüfen Sie anhand Ihrer Beschäftigtenzahl, Ih-res Jahresumsatzes und Ihrer Tätigkeitsfelder, ob Ihr Unternehmen in den Anwen-dungsbereich des BSIG fällt. Ziehen Sie hierfür bei Bedarf den DSLV -Leitfaden heran, der die für d ie Logistikbranche relevanten Einrichtungskategorien differen- ziert aufbereitet. Hierzu der Hinweis, dass der DSLV Leitfaden lediglich eine Inter-pretationshilfe darstellt und keine rechtsverbindliche Auslegung der entsprechen-den Tatbestände. Das BSI stellt zusätzlich ein Online -Tool 9 zur Betroffenheitsprüfung zur Verfügung. Dieses ist jedoch auf eine breite Anwendung ausgelegt und kann im Einzelfall zu einer pauschalen Betroffenheitsanzeige führen, die einer rechtlichen Prüfung nach Ansicht des DSLV nicht standhält. Dokumentie-ren Sie das Ergebnis Ihrer Prüfung in jedem Fall schriftlich. ◼ Registrierung vorbereiten: Betroffene Unternehmen müssen sich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit über das BSI -Portal registrie- ren. Für Unternehmen, die bereits mit Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffen wa ren, endet die Frist am 6. März 2026. ◼ Gap -Analyse durchführen: Ermitteln Sie, welche der gesetzlichen Anforderungen (§ 30 BSIG) bereits erfüllt sind und wo Handlungsbedarf besteht. ◼ Lieferkette im Blick behalten: Auch nicht unmittelbar betroffene Unternehmen kön-nen über vertragliche Anforderungen ihrer Auftraggeber zur Einhaltung von NIS -2- Standards verpflichtet werden. ◼ Bestehende Managementsysteme nutzen: Unternehmen mit einer ISO -27001 -Zer- tifizierung oder ähnlichen Strukturen können diese als Grundlage nutzen und ge-zielt um NIS -2-Anforderungen erweitern. Für Rückfragen zu diesem Rundschreiben und zum NIS2UmsuCG steht Ihnen der DSLV gerne zur Verfügung. Die konkrete Einordnung eines einzelnen Unternehmens als wichtige oder besonders wichtige Einrichtung ist jedoch stets anhand der individu-ellen Tätigkeiten und Strukturen eigenverantwortlich zu prüfen und kann durch den DSLV nicht verbindlich bewertet werden. Mit freundlichen Grüßen VEREIN HAMBURGER SPEDITEURE E .V. St. Saß Ramon Specht GESCHÄFTSFÜHRER REFE RENT 9 https://betroffenheitspruefung -nis -2.bsi.de/ [individuell5] => ___________________ ____________________________________________________________________________________________ ________ Verein Hamburger Spediteure e.V. Vorsitzer: Axel Plaß Geschäftsführer: Stefan Saß Uhlandstraße 68 22087 Hamburg E-Mail: info@vhsp.de Telefon : 040 37 47 64 - 0 Telefax : 040 37 47 64 - 75 Web: www.vhsp.de Sitz der Gesellschaft: Hamburg Amtsgericht Hamburg, VR 3860 Steuer -Nr.: 17/438/01004 HASPA: Kto. 1280 109 800 BLZ 200 505 50 BIC: HASPDEHH XXX IBAN: DE22 2005 0550 1280 1098 00 Rundschreiben SP 036 /20 26 Hamb urg, den 5. März 20 26 (DSLV 026 /2026/c ) rs An unsere Mitglieder! – Geschäftsleitung – NIS -2-Umsetzungsgesetz (NIS2UmsuCG) – Pflichten für Betreiber wichtiger und besonders wichtiger Einrichtungen Sehr geehrte Damen und Herren, mit dem Gesetz zur Umsetzung der NIS -2-Richtlinie ( NIS2UmsuCG 1) ist am 6. De- zember 2025 ein neuer, verbindlicher Rechtsrahmen zur Stärkung der Cybersicherheit in Kraft getreten ( vgl. Rundschreiben SP 162/2025 2). Das NIS2UmsuCG novelliert ins- besondere das BSI -Gesetz ( BSIG 3) grundlegend. Kernziel ist die Stärkung der digita- len Resilienz von Einrichtungen, die für das Funktionieren von Wirtschaft und Gesell-schaft bedeutsam sind. Die Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Der DSLV Bundesverband Spedition und Logistik hat in seinem Leitfaden vom 4. Feb-ruar 2026 ( vgl. Rundschreiben SP 019/2026 4) klargestellt, dass das NIS2UmsuCG keine pauschale Regulierung der Logistikbranche vorsieht. Eine Betroffenheit kann je-doch im Einzelfall vorliegen, wenn gewisse Voraussetzungen erfüllt sind. Der Leitfaden dient der strukturierten Prüfung dieser Konstella tionen. Während der Leitfaden die Frage der Betroffenheit systematisch aufbereitet, stellt die-ses Rundschreiben die Rechtsfolgen einer festgestellten Einordnung als besonders wichtige oder wichtige Einrichtung in den Mittelpunkt. Eine Betroffenheit ist anhand von § 28 BSIG insbesondere dann zu prüfen, wenn das Unternehmen: ◼ Tätigkeiten in einer der in Anlage 1 oder 2 BSIG definierten Einrichtungskate-gorien ausübt und ◼ die gesetzlichen Größenkriterien erfüllt. Die Einordnung erfolgt dabei wie folgt: 1 https://www.recht.bund.de/bgbl/1/2025/301/regelungstext.pdf?__blob=publicationFile&v=3 2 https://www.vhsp.de/rundschreiben/SP/2025/sp -2025 -162.pdf 3 https://www.gesetze -im-internet.de/bsig_2025/BJNR12D0B0025.html 4 https://www.vhsp.de/rundschreiben/SP/2026/sp -2026 -019.pdf2 Als besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG) gilt ein Unternehmen, wenn es einer Einrichtungsart nach Anlage 1 zuzuordnen ist und ◼ regelmäßig mindestens 250 Beschäftigte hat oder ◼ einen Jahresumsatz von mehr als 50 Millionen Euro und zugleich eine Jahres- bilanzsumme von mehr als 43 Millionen Euro aufweist. Als wichtige Einrichtung (§ 28 Abs. 2 BSIG) gilt ein Unternehmen, wenn es einer Einrichtungsart nach Anlage 1 oder 2 zuzuordnen ist und ◼ regelmäßig mindestens 50 Beschäftigte hat oder ◼ einen Jahresumsatz und zugleich eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweist. Unabhängig hiervon gelten Betreiber kritischer Anlagen im Sinne der BSI -KritisV kraft Gesetzes als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG). Nur diejenigen Unternehmensteile sind in die Betroffenheitsprüfung einzubeziehen, die tatsächlich Tätigkeiten in einer der in Anlage 1 oder 2 BSIG genannten Einrich-tungskategorien ausüben. Eine untergeordnete oder vernachlässigbare Tätigkeit in ei-nem regul ierten Bereich löst keine Betroffenheit des gesamten Unternehmens aus. 1. Pflichten bei festgestellter Betroffenheit Sowohl wichtige als auch besonders wichtige Einrichtungen unterliegen im Grundsatz denselben materiellen Pflichten. Die Unterschiede betreffen vor allem die Intensität der staatlichen Aufsicht und das Sanktionsniveau . ◼ Aufsicht Besonders wichtige Einrichtungen unterliegen einer weitergehenden, auch pro- aktiven Aufsicht durch das BSI. Dieses kann insbesondere Prüfungen, Audits oder die Vorlage von Nachweisen anordnen (§ 61 BSIG). Bei wichtigen Einrichtungen erfolgt die Überprüfung demgegenüber grundsätz-lich anlassbezogen , wenn Tatsachen die Annahme rechtfertigen, dass gesetz- liche Pflichten nicht erfüllt werden (§ 62 BSIG). ◼ Bußgeldrahmen Für besonders wichtige Einrichtungen gelten höhere Bußgeldobergrenzen (§ 65 BSIG) als für wichtige Einrichtungen. Stellt ein Unternehmen fest, dass es als besonders wichtige oder wichtige Einrichtung einzustufen ist, gelten ansonsten folgende Pflichten: 1.1 Registrierung beim BSI (§ 33 BSIG) Die Registrierung ist spätestens drei Monate nach erstmaliger oder erneuter Betrof-fenheit vorzunehmen (§ 33 Abs. 1 BSIG). Für Unternehmen, die bereits mit Inkrafttre-ten am 6. Dezember 2025 betroffen waren, endet die Dreimonatsfrist am 6. März 2026 .3 Betroffene Unternehmen müssen sich über das BSI -Meldeportal 5 registrieren. Die Re- gistrierung erfolgt über das System " Mein Unternehmenskonto 6" (MUK). 1.2 Risikomanagement und Sicherheitsmaßnahmen (§ 30 BSIG) § 30 BSIG verpflichtet betroffene Einrichtungen zur Umsetzung geeigneter, verhältnis-mäßiger und wirksamer technischer und organisatorischer Maßnahmen zur Beherr-schung von Sicherheitsrisiken. Das Gesetz schreibt keinen maximalen, sondern einen angemessenen Sicherheitsstandard vor – maßgeblich sind Risikolage, Schutzwürdig- keit der betroffenen Dienste und Verhältnismäßigkeit. Die Mindestanforderungen um-fassen unter anderem: ◼ Risikoanalyse und Sicherheitskonzepte für Informationssysteme, ◼ Business Continuity Management (Backup, Krisenmanagement, Notfallpläne), ◼ Sicherheit der Lieferketten inklusive Sicherheitsanforderungen an Lieferanten und Dienstleister, ◼ Technische Maßnahmen: Netzwerksegmentierung, Multi -Faktor -Authentifizie- rung, Verschlüsselung, Schwachstellenmanagement, ◼ Schulungen und Sensibilisierung der Mitarbeitenden. Die Maßnahmen sind zu dokumentieren. Eine nachvollziehbare, reflektierte Entschei-dungsgrundlage – auch darüber, warum bestimmte Maßnahmen aus Gründen der Ver- hältnismäßigkeit nicht umgesetzt werden – ist im Aufsichts - und Haftungsfall entschei- dend. 1.3 Meldepflichten bei Sicherheitsvorfällen (§ 32 BSIG) Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG unverzüglich dem BSI zu melden. Ein Sicherheitsvorfall ist meldepflichtig, wenn er erhebliche Auswirkungen auf die Er-bringung der betroffenen Dienste hat oder haben kann. Maßgeblich sind insbesondere Dauer , Ausmaß und Reichweite der Beeinträchtigung. Das Gesetz sieht ein dreistufi- ges Verfahren vor: ◼ Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme, ◼ Folgemeldung innerhalb von 72 Stunden mit erster Ursachen - und Auswir- kungsanalyse, ◼ Abschlussbericht innerhalb eines Monats mit vollständiger Bewertung und Dar-stellung ergriffener Maßnahmen. Die gesetzliche Meldepflicht gilt jedoch frühestens ab Einrichtung des entsprechenden Meldewegs durch das BSI (§ 32 Abs. 1 BSIG). Unternehmen sollten interne Meldepro-zesse, Eskalationswege und Zuständigkeiten klar definieren und regelmäßig erproben. Nach E ingang einer Meldung bestätigt das BSI deren Erhalt und kann im weiteren Verlauf Rückmeldungen oder Handlungsempfehlungen erteilen (§ 36 BSIG). 5 https://portal.bsi.bund.de/ 6 https://www.elster.de/eportal/unternehmerorientiert/registrierungsprozess4 1.4 Unterrichtungspflichten (§ 35 BSIG) Neben der Meldepflicht gegenüber dem BSI kann dieses nach § 35 BSIG anordnen, dass betroffene Einrichtungen ihre Dienstempfänger über einen erheblichen Sicher-heitsvorfall unterrichten, sofern dieser die Erbringung der betroffenen Dienste erheb-lich beeinträ chtigt oder beeinträchtigen kann. Die Unterrichtung hat Art und Auswirkungen der Beeinträchtigung zu enthalten. 1.5 Verantwortung der Geschäftsleitung (§ 38 BSIG) § 38 BSIG normiert ausdrückliche Umsetzungs -, Überwachungs - und Schulungspflich- ten der Geschäftsleitung. Mitglieder der Geschäftsleitung sind verpflichtet, die Risiko-managementmaßnahmen nach § 30 BSIG zu billigen, deren Umsetzung zu überwa-chen und sich reg elmäßig im Bereich Cybersicherheit fortzubilden. Die Verantwortung ist nicht vollständig delegierbar. Operative Aufgaben können über-tragen werden; die strategische Letztverantwortung verbleibt jedoch beim Leitungsor-gan. Nach § 2 Nr. 13 BSIG ist Geschäftsleitung jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und Vertretung berufen ist. Maßgeblich ist die gesellschaftsrechtliche Organstellung, nicht eine funktionale Be-ze ichnung. In Konzernstrukturen ist die jeweils betroffene Einheit maßgeblich. Die Organpflichten treffen das für diese Einheit zuständige Leitungsorgan. Die Schulungspflicht gilt für jedes einzelne Organmitglied. 1.6 Sanktionen (§ 65 BSIG) § 65 BSIG normiert ein gestaffeltes Bußgeldregime. Bei Verstößen gegen die NIS -2- Pflichten drohen für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) an Bußgeld. Für wichtige Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Neben Bußgeldern gegen das Unternehmen kommt eine persönliche Organhaftung nach allgemeinen gesellschaftsrechtlichen Grundsät-zen in Betracht. 2. Zusätzliche Pflichten für Betreiber kritischer Anlagen nach BSI -KritisV Betreiber kritischer Anlagen nach BSI -KritisV 7 sind zugleich besonders wichtige Ein- richtungen, unterliegen jedoch zusätzlichen Anforderungen. Im Sektor „Transport und Verkehr“ erfasst die BSI -KritisV insbesondere Logistikzentren und zentrale IT -Systeme zur Logistiksteuerung. Maßgebliche Schwellenwerte sind 17,55 Millionen Tonnen pro Jahr oder 53,2 Millionen Sendungen pro Jahr. Aufgrund dieser hohen Schwellenwerte kommt eine Betroffenheit nur für eine begrenzte Zahl sehr großer Unternehmen in Be-tracht. 7 https://www.gesetze -im -internet.de/bsi -kritisv/5 Für diese Unternehmen gelten neben den allgemeinen Pflichten besonders wichtiger Einrichtungen zusätzliche, spezifische Anforderungen: 2.1 Erweiterte Registrierungspflicht (§ 33 Abs. 2 BSIG) Kritis -Betreiber haben im Rahmen der Registrierung gegenüber dem BSI weiterge- hende Angaben zu übermitteln. Hierzu zählen insbesondere: die kritische Dienstleis-tung, die Zuordnung zur jeweiligen Anlagenkategorie nach BSI -KritisV, Versorgungs- kennzahlen, der Standort der kritischen Anlage, relevante IP -Adressbereiche sowie eine Kontaktstelle. Die Kontaktstelle ist so zu benennen, dass eine jederzeitige Erreichbarkeit des Unter-nehmens für das BSI gewährleistet ist. Die Registrierung erfolgt über die vom BSI hier-für vorgesehenen elektronischen Verfahren. 2.2 Systeme zur Angriffserkennung (§ 31 Abs. 2 BSIG) Kritis -Betreiber sind als einzige Einrichtungskategorie gesetzlich verpflichtet, Systeme zur Angriffserkennung (SzA) einzusetzen. Diese Systeme müssen den laufenden Be-trieb der IT - und OT -Infrastruktur (Operational Technology) kontinuierlich überwachen und Angriffe automatisiert identifizieren. Das BSI konkretisiert die technischen Anfor- derungen in einer Orientierungshilfe 8 zu SzA. Für sonstige besonders wichtige oder wichtige Einrichtungen besteht diese Pflicht nicht – der Einsatz solcher Systeme kann jedoch im Rahmen des allgemeinen Risikomanagements nach § 30 BSIG geboten sein. 2.3 Proaktive Nachweispflicht (§ 39 BSIG) Kritis -Betreiber haben dem BSI regelmäßig – grundsätzlich im Dreijahresrhythmus – Nachweise über die Umsetzung der Maßnahmen nach §§ 30 und 31 BSIG vorzulegen (§ 39 BSIG). Zulässige Nachweise sind insbesondere Sicherheitsaudits, Prüfungen oder geeignete Zertifiz ierungen (zum Beispiel ISO 27001). Für sonstige besonders wichtige Einrichtungen besteht demgegenüber keine regelmä-ßige Vorlagepflicht. Das BSI kann jedoch die Vorlage von Nachweisen anordnen (§ 61 BSIG). Bei wichtigen Einrichtungen erfolgt eine solche Anordnung regelmäßig anlass-bezogen (§ 62 BSIG). Für Betreiber, die bereits nach § 8a BSIG a. F. nachweispflichtig waren, gelten Über-gangsregelungen. § 39 Abs. 3 BSIG legt den nächsten Nachweiszeitpunkt frühestens drei Jahre nach dem zuletzt erbrachten Nachweis nach § 8a Abs. 3 BSIG a. F. fest. Diese ges etzliche Regelung stellt sicher, dass der Dreijahresrhythmus des neuen Nachweissystems an den bisherigen Nachweis anknüpft. 3. Ausblick: KRITIS -Dachgesetz (KRITIS -DachG) Parallel zum NIS2UmsuCG, das die IT -Sicherheit kritischer Anlagen regelt, befindet sich das KRITIS -DachG derzeit noch im parlamentarischen Verfahren. Das Gesetz soll den physischen Schutz kritischer Infrastrukturen verbindlich regeln. Der Bundestag hat 8 https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KRITIS/oh -sza.pdf?__blob=publication- File&v=186 das Gesetz am 28. Januar 2026 verabschiedet. Der Innenausschuss des Bundesrates hat jedoch – Stand 26. Februar 2026 – empfohlen, dem Gesetz nicht zuzustimmen und stattdessen den Vermittlungsausschuss einzuberufen. In welcher Form das KRI-TIS -DachG in Kraft tritt, ist damit derzeit offen. Der DSLV beobachtet das Verfahren aufmerksam und wird seine Mitglieder über den weiteren Verlauf und etwaige neue Pflichten für seine Mitgliedsunternehmen informieren. 4. Fazit Der DSLV empfiehlt die folgenden Maßnahmen zu ergreifen: ◼ Betroffenheitsprüfung durchführen: Prüfen Sie anhand Ihrer Beschäftigtenzahl, Ih-res Jahresumsatzes und Ihrer Tätigkeitsfelder, ob Ihr Unternehmen in den Anwen-dungsbereich des BSIG fällt. Ziehen Sie hierfür bei Bedarf den DSLV -Leitfaden heran, der die für d ie Logistikbranche relevanten Einrichtungskategorien differen- ziert aufbereitet. Hierzu der Hinweis, dass der DSLV Leitfaden lediglich eine Inter-pretationshilfe darstellt und keine rechtsverbindliche Auslegung der entsprechen-den Tatbestände. Das BSI stellt zusätzlich ein Online -Tool 9 zur Betroffenheitsprüfung zur Verfügung. Dieses ist jedoch auf eine breite Anwendung ausgelegt und kann im Einzelfall zu einer pauschalen Betroffenheitsanzeige führen, die einer rechtlichen Prüfung nach Ansicht des DSLV nicht standhält. Dokumentie-ren Sie das Ergebnis Ihrer Prüfung in jedem Fall schriftlich. ◼ Registrierung vorbereiten: Betroffene Unternehmen müssen sich spätestens drei Monate nach erstmaliger oder erneuter Betroffenheit über das BSI -Portal registrie- ren. Für Unternehmen, die bereits mit Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffen wa ren, endet die Frist am 6. März 2026. ◼ Gap -Analyse durchführen: Ermitteln Sie, welche der gesetzlichen Anforderungen (§ 30 BSIG) bereits erfüllt sind und wo Handlungsbedarf besteht. ◼ Lieferkette im Blick behalten: Auch nicht unmittelbar betroffene Unternehmen kön-nen über vertragliche Anforderungen ihrer Auftraggeber zur Einhaltung von NIS -2- Standards verpflichtet werden. ◼ Bestehende Managementsysteme nutzen: Unternehmen mit einer ISO -27001 -Zer- tifizierung oder ähnlichen Strukturen können diese als Grundlage nutzen und ge-zielt um NIS -2-Anforderungen erweitern. Für Rückfragen zu diesem Rundschreiben und zum NIS2UmsuCG steht Ihnen der DSLV gerne zur Verfügung. Die konkrete Einordnung eines einzelnen Unternehmens als wichtige oder besonders wichtige Einrichtung ist jedoch stets anhand der individu-ellen Tätigkeiten und Strukturen eigenverantwortlich zu prüfen und kann durch den DSLV nicht verbindlich bewertet werden. Mit freundlichen Grüßen VEREIN HAMBURGER SPEDITEURE E .V. St. Saß Ramon Specht GESCHÄFTSFÜHRER REFE RENT 9 https://betroffenheitspruefung -nis -2.bsi.de/ [15] => 36 [individuell6] => 36 [16] => [individuell7] => [17] => [individuell8] => [18] => [individuell9] => [19] => [individuell10] => [multisort] => SP 36/2026 ))
SP36/2026
