NIS2 einfach erkläert: Wat Transportfirme fir 2026 wësse mussen

NIS2 ass d'Cybersécherheetsgesetz vun der EU fir Firmen, déi d'Wirtschaft um Lafe behalen. Et gëllt fir mëttelgrouss a grouss Organisatiounen an opgelëschte Secteuren, mécht hir Direktioun verantwortlech fir Cyberrisiken, verlaangt eng Rei vu grondleeënde Sécherheetsmesuren a gëtt hinnen 24 Stonnen Zäit, fir no engem schwéieren Tëschefall Alarm ze schloen. Déi meescht Stroossentransporteuren a Spediteure ginn doran net direkt genannt. Vill vun hire Clienten awer schonn, an déi Cliente sinn elo gesetzlech verpflicht, d'Sécherheet vun hire Fournisseuren ze préiwen, Transportfirmen a Software abegraff.

Dëse leschte Punkt ass dee wichtegsten. Fir eng typesch Transportfirma kënnt NIS2 manner als Bréif vun enger Reguléierungsautoritéit un, mee éischter als Froebou vun engem Chargeur.

Wat NIS2 ass, einfach erkläert

NIS2 ass d'Direktiv (EU) 2022/2555. Si huet déi éischt NIS-Direktiv vun 2016 ersat, déi vill manner Entreprisen ëmfaasst huet a vu Land zu Land ganz ënnerschiddlech ëmgesat gouf. Well et eng Direktiv ass an net eng Veruerdnung, verflicht se d'Firmen net direkt: All Memberstaat iwwerdréit se a säin eegent nationaalt Recht, a sollt dat bis de 17. Oktober 2024 gemaach hunn.

Net all Land huet dësen Termin agehalen. Am Juli 2026 huet d'Europäesch Kommissioun Irland, Spuenien, Frankräich an Holland virum Geriichtshaff verklot, well se d'Direktiv net ëmgesat hunn, an huet d'Geriicht ëm e Pauschalbetrag an deeglech Zwangsgelder gefrot, bis se et maachen (Pressematdeelung vun der Kommissioun IP/26/1499, gekuckt den 29. September 2026).

Polen war 2026 fäerdeg. D'Gesetz vum 23. Januar 2026 zur Ännerung vum Gesetz iwwer den nationale Cybersécherheetssystem gouf den 2. Mäerz 2026 am Gesetzblat verëffentlecht (Dz.U. 2026 poz. 252) a gëllt zanter dem 3. Abrëll 2026 (Dziennik Ustaw 2026 poz. 252, gekuckt den 29. September 2026). Am polnesche Recht heeschen déi zwou NIS2-Kategorië podmiot kluczowy (wesentlech Entitéit) a podmiot ważny (wichteg Entitéit).

Nach een Datum fir d'Vollstännegkeet: Den 20. Januar 2026 huet d'Kommissioun am Kader vun engem méi breede Cybersécherheetspak geziilt Ännerunge vun NIS2 virgeschloen. Dëst ass awer just eng Propositioun, dofir sinn d'Reegelen, déi hei ënnendrënner beschriwwe ginn, déi, déi haut gëllen.

Wien ënner NIS2 fält

Zwee Krittäre sinn entscheedend: de Secteur, an deem Dir schafft, an d'Gréisst vun Ärer Firma.

D'Secteure stinn an zwee Annexe gelëscht. Déi éischt, "Secteure mat héijer Kriteschkeet", ëmfaasst Energie, Transport, Bankwiesen, Gesondheet, Drénkwaasser, digital Infrastruktur, verwalt IT-Servicer an ëffentlech Verwaltung. Déi zweet, "aner kritesch Secteuren", ëmfaasst Post- a Courriersdéngschter, Offallwirtschaft, Chimie, Liewensmëttelproduktioun, -veraarbechtung a -grousshandel, souwéi d'Hierstellung vu Saache wéi Maschinnen, Elektronik, Motorween an Unhänger.

D'Gréisst ass den zweete Krittär. An der Reegel gëllt NIS2 fir Organisatiounen an dëse Secteuren, déi no der EU-Definitioun op d'mannst mëttelgrouss sinn: 50 oder méi Mataarbechter, oder e Joresëmsaz an e Bilan total vu béide méi wéi 10 Milliounen EUR. E puer Organisatioune falen onofhängeg vun hirer Gréisst drënner, zum Beispill den eenzege Fournisseur vun engem wesentleche Service an engem Land.

Am Anwendungsberäich gëtt et zwou Kategorien. Wesentlech Entitéite si meeschtens grouss Firmen an de Secteure mat héijer Kriteschkeet. Wichteg Entitéite sinn all déi aner am Beräich. Béid ënnerleien de selwechte Sécherheets- a Meldereegelen. Den Ënnerscheed läit bei der Iwwerwaachung an de Geldstrofen: D'Autoritéit kontrolléiert wesentlech Entitéite proaktiv, a wichteg Entitéiten eréischt am Nofollger, wann et Hiweiser op e Problem gëtt.

Gëllt NIS2 fir eng Transportfirma?

Normalerweis net direkt, an et lount sech, genee ze kucken firwat.

Transport ass zwar e Secteur mat héijer Kriteschkeet, mee d'Direktiv lëscht spezifesch Zorte vu Firme bannen dësem Secteur op. Beim Loft-, Schinnen- a Waassertransport nennt se Transportgesellschaften, Fluchhäfen, Eisebunnsbetriber, Reedereien an Hafenoperateuren. Beim Stroossentransport nennt se nëmmen zwéin: Stroossenautoritéiten, déi fir de Verkéiersmanagement zoustänneg sinn, an Operateure vun intelligente Verkéierssystemer. Déi polnesch Lëscht ass identesch a nennt de Stroosseverwalter (zarządca drogi) a Fournisseure vun ITS-Servicer. E Stroossentransporteur oder e Spediteur steet net drop.

Et gëtt Ausnamen, déi ee préiwe sollt. E mëttelgroussen oder grousse Courrier- oder Postoperateur fält ënner de Post- a Courrierssecteur. Schinnen-, Waasser- a Loftfrachtoperateure ginn direkt genannt. An eng Autoritéit kann eng Firma designéieren, där hir Stéierung e schwéiere Schued verursaache géif. Wann eppes dovun op Iech zoutreffe kéint, loosst en Affekot Är tatsächlech Struktur préiwen, well d'Klassifizéierung iwwer alles decidéiert, wat duerno kënnt.

Fir all aner ass de prakteschen Effekt indirekt, awer reell. NIS2 verlaangt vun all concernéierter Entreprise, d'„Sécherheet vun der Liwwerkette, inklusiv sécherheetsrelevant Aspekter betreffend d'Bezéiungen tëscht all Entitéit an hiren direkte Fournisseuren oder Déngschtleeschter“ (Artikel 21(2)(d)) ze geréieren. E Liewensmëttelgrousshändler oder eng Chimiefabréck, déi mat Iech transportéiert, muss elo driwwer nodenken, wéi Dir mat hiren Date ëmgeet, wie sech an d'Systemer alogge kann, iwwer déi hir Commandë lafen, a wat mat hire Liwwerunge geschitt, wann Dir Affer vun enger Ransomware-Attaque gitt. Stellt Iech drop an, datt dës Froen an Ausschreiwungen, Sécherheetsfroebéi an neie Vertragsklauselen opdauchen.

Wat concernéiert Entreprisë maache mussen

Artikel 21 fuerdert „ugemoossen a proportionéiert“ technesch, operativ an organisatoresch Moossnamen. Proportionéiert ass hei de Schlësselbegrëff: Vun engem regionale Liewensmëttel-Distributeur gëtt net erwaart, dee selwechte Programm ëmzesetzen ewéi vun engem Fluchhafen. D'Direktiv zielt duerno op, wat dës Moossnamen op d'mannst enthalen mussen:

1. Risikoanalysen a Richtlinne fir d'Informatiounssécherheet.
2. Bewältegung vun Tëschefäll.
3. Geschäftskontinuitéit, inklusiv Backups, Disaster Recovery a Krisemanagement.
4. Sécherheet vun der Liwwerkette, dat heescht d'Fournisseuren an Déngschtleeschter, vun deenen Dir ofhänkt.
5. Sécherheet beim Kaf, bei der Entwécklung a bei der Ënnerhalung vu Systemer, inklusiv dem Ëmgang mat Schwachplazen an hirer Offenleeung.
6. Methoden, fir ze préiwen, ob all dat uewendriwwer och wierklech funktionéiert.
7. Grondleeënd Cyberhygiène a Formatiounen a Cybersecurity.
8. Reegelen iwwer Kryptographie an, wou ubruecht, Verschlësselung.
9. Sécherheet vum Personal, Zougangskontroll an en Iwwerbléck doriwwer, wéi eng Apparater a Systemer Dir hutt.
10. Multi-Faktor-Authentifizéierung a geséchert Sprooch-, Video- an Textkommunikatioun, wou ubruecht.

Déi polnesch Versioun am Artikel 8 vum geännerte Gesetz verlaangt en Informatiounssécherheets-Managementsystem, deen déiselwecht Beräicher ofdeckt an e puer zousätzlech Punkten definéiert, wéi déi kontinuéierlech Iwwerwaachung vun de Systemer, déi fir d'Erbrénge vun der Déngschtleeschtung genotzt ginn, souwéi kierperlech Sécherheet mat Zougangskontroll.

D'Geschäftsféierung dréit heifir perséinlech d'Verantwortung. Ënner Artikel 20 genehmegt d'Gestiounsorgan d'Moossnamen, iwwerwaacht se a ka perséinlech haftbar gemaach ginn, wann d'Entreprise géint d'Reegele verstéisst. Membere vun der Direktioun mussen ausserdeem u Formatiounen a Cybersecurity deelhuelen. Dat polnescht Gesetz mécht dat konkret: De Chef vun enger wesentlecher oder wichteger Entitéit muss eemol pro Kalennerjoer eng Formatioun ofschléissen, an dës Formatioun muss dokumentéiert ginn.

Wéi séier Tëschefäll gemellt musse ginn

E bedeitenden Tëschefall ass een, deen eng schwéier Stéierung vum Service oder e finanzielle Verloscht fir d'Entreprise verursaacht huet oder verursaache kéint, oder e groussen Schued fir aner Persounen oder Betriber mat sech bréngt. Fir dës Fäll leet NIS2 dräi Schrëtt fest:

• eng Fréiwarnung bannent 24 Stonnen, nodeems een dervu gewuer ginn ass, mat der Informatioun, ob et no enger Attaque ausgesäit an ob aner Länner betraff kéinte sinn;
• eng Meldung vum Tëschefall bannent 72 Stonnen, mat enger éischter Bewäertung vum Schwéiergrad a vun den Auswierkungen;
• e Schlussbericht bannent engem Mount no dëser Meldung, an deem d'Ursaach duergestallt gëtt a wat dogéint ënnerholl gouf.

A Polen ginn dës Berichter un de zoustännegen CSIRT geschéckt, an d'Auer leeft ab dem Moment vun der Detektioun. Véieranzwanzeg Stonnen si kuerz. Entreprisen, déi dës Frist anhale kënnen, leeën am Viraus fest, wie en Tëschefall deklaréiert, wie wiem urifft a wou d'Kontaktdaten ze fanne sinn, wann ausgerechent den E-Mail-Server ausgefall ass.

Strofen

Fir Verstéiss géint d'Sécherheets- oder d'Meldereegelen definéiert d'Direktiv Buessgeld-Plafongen vu mindestens:

• EUR 10 Milliounen oder 2% vum weltwäite Gesamtjoresëmsaz, jee nodeem, wat méi héich ass, fir wesentlech Entitéiten;
• EUR 7 Milliounen oder 1.4% vum weltwäite Gesamtjoresëmsaz, jee nodeem, wat méi héich ass, fir wichteg Entitéiten.

Fir wesentlech Entitéiten, déi Uuerdnungen ignoréieren, kënnen d'Autoritéiten och nach méi wäit goen a bei engem Geriicht ufroen, datt dem Generaldirekter zäitweis verbuede gëtt, d'Entreprise ze leeden.

Pole benotzt déiselwecht Plaffongen, mat Mindestbuessen vu PLN 20,000 fir eng wesentlech Entitéit a PLN 15,000 fir eng wichteg, a bis zu PLN 100 Milliounen, wann e Verstouss eng eescht Gefor duerstellt, zum Beispill fir déi ëffentlech Sécherheet. De Chef vun der Entreprise ka perséinlech bestrooft ginn, mat bis zu 300% vu sengem monatleche Gehalt. Et gëtt och eng Iwwergangsfrist: Déi regulär Buessen fir Entreprisen an hir Manager kënnen eréischt zwee Joer nodeems d'Gesetz a Kraaft getrueden ass fir d'éischt verhaange ginn, also vum 3 April 2028 un.

De polneschen Zäitplang

Wann Är Entreprise d'Krittäre vum 3 April 2026 erfëllt huet, sinn dat Är Datumer:

D'Zäitfënster fir d'Registréierung schléisst e Samschdeg, den 3. Oktober 2026. Eng Entreprise, déi d'Krittäre méi spéit erfëllt, huet ab deem Dag sechs Méint Zäit fir d'Demande ze maachen. D'Demande gëtt elektronesch agereecht an ëmfaasst eng Erklärung vun der Entreprisesleedung, ënner Strofverantwortung ofginn, datt d'Donnéeë wouer sinn.

Wat e Transportënnerhuelen elo maache sollt

Wann Dir betraff sidd, ass d'Lëscht hei uewen Äre Projet, an den Aschreiwungsdatum ass dës Woch. Wann Dir net betraff sidd, ass déi sënnvoll Aarbecht déi selwecht, ugepasst un Är eege Gréisst, well et dat ass, no deem Är Clienten nofroe wäerten:

• Aktivéiert den Zwee-Faktor-Login fir E-Mail, Online-Banking, Ären TMS an all Telematikportal. Dann ass e geklaute Passwuert eleng net méi genuch fir sech anzeloggen.
• Wësst, wie Zougang zu wat huet. Wann een d'Firma verléisst, ginn hir Konten dee selwechten Dag zougemaach, och déi gedeelten.
• Test eng Restauréierung. E Backup, deen Dir nach ni restauréiert hutt, ass eng Hoffnung, kee Plang.
• Schreift en Tëschefallplang op enger Säit. Wie decidéiert, wie rufft d'Versécherung an d'Cliente un, a wou d'Telefonsnummeren offline versuergt ginn.
• Maacht eng Lëscht vun Äre Liwweranten. Fir jidderee vun hinnen: wéi eng Donnéeë si hunn a wéi Dir een Dag ouni si weiderschaffe kënnt.
• Halt d'Software aktuell, a gitt dem Büro zwanzeg Minutten iwwer gefälscht Bankdaten-Ännerungen a verdächteg Uschlëss.

Näischt dovunner brauch e Beroder. All dat hëlleft Iech, e Sécherheetsfroebou auszefëllen ouni ze roden.

Wéi LiteTMS Är NIS2-Kontrolle vun der Liwwerkette ënnerstëtzt

Wann Är Cliente betraff sinn, ass Ären TMS en Deel vun der Liwwerkette, déi si kontrolléiere mussen. Wann Dir selwer betraff sidd, ass en Deel vun Ärer eegener. Well NIS2 keng Software zertifizéiert, ass déi sënnvoll Fro un all Fournisseur, wat hie virweise kann. Hei ass, wat LiteTMS haut virweise kann, gemooss un de Moossnamen, déi hei uewe genannt goufen.

• Donnéeë vun all Entreprise gi getrennt gehalen. Déi operativ Donnéeë vun enger Entreprise leien an enger eegener, separater Datebank mat engem eegenen Datebank-Konto, net a gemeinsamen Tabellen nieft den Date vun anere Clienten.
• Multifaktor-Login an Zougangskontroll. All Benotzer kann d'Verifizéierung an zwee Schrëtt mat enger Authentifizéierungs-App oder SMS-Coden aktivéieren, an d'Administrateure kënnen an der Benotzerlëscht gesinn, wie se ageschalt huet. Rollen a Berechtegunge bestëmmen, wat all Persoun opmaache kann, an den Zougang kann op bestëmmt Filialë limitéiert ginn.
• E geschützte Login. Widderhuelt Feelversich gi fir eng Zäit blockéiert, d'Benotzer kréien eng E-Mail, wann hire Kont sech vun engem neien Apparat umellt, Sessiounen enden no enger gewëssener Inaktivitéit, an d'Ännere vun engem Passwuert mellt déi aner Sessiounen of.
• E Protokoll doriwwer, wie wat gemaach huet. Sécherheetsevenementer wéi Umellungen, feelgeschloen Umellungen, Ännerunge vu Berechtegungen an Daten-Exporter ginn protokolléiert, an Administrateure mat der richteger Berechtegung kënnen dëse Protokoll am Administratiounsberäich nokucken.
• Verschlësselung. D'Verbindunge si verschlësselt, d'Browser ginn ugewisen, onverschlësselt Verbindungen ofzeleenen, a sensibel Informatioune wéi Zwee-Faktor-Schlësselen a Kaarten-PINe ginn a verschlësselter Form gespäichert.
• Kontinuitéit an e Wee eraus. Backupe ginn automatiséiert erstallt an isoléiert vum Live-System versuergt, an eng Entreprise kann en Export vun hire Mataarbechter-, Gefier-, Trailer- an Ënneropdragshueler-Dateie mat de verbonnene Fichieren ufroen. Mir hu separat doriwwer geschriwwen, wéi Import an Export funktionéieren.
• Ëmgank mat Sécherheetslücken. Bei all Deployment ginn eng statesch Code-Analys, automatiséiert Tester an e Verglach vun Drëttubidder-Bibliothéike mat bekannte Sécherheetslücken duerchgefouert. Updates vun Ofhängegkeete ginn all Dag iwwerwaacht, de Code gëtt no geleakten Donnéeë gescannt, a Sécherheetsfuerscher kënnen eng Schwachstell vertraulech un security@litetms.eu mellen, wéi et an eiser security.txt-Datei publizéiert ass.
• Schrëftlech Verflichtungen. Eisen Optragsveraarbechtungsvertrag lëscht déi wichtegst technesch an organisatoresch Moossnamen a sengem Annexe op, nennt d'Ënneroptraghueler, gesäit eng Frist vun op d'mannst 14 Deeg vir, éier en neien ufänkt, erlaabt en Audit eemol d'Joer a verflicht eis, eng Verletzung vum Schutz vu perséinlechen Donnéeën ouni onberechtegt Verzögerung ze mellen, mat dem Zil vun enger éischter Notifikatioun bannent 48 Stonnen, wa méiglech. De Kär vum Hosting a vun der Späicherung ass an der EU.

Dat ass d'Material, no deem e Fournisseursfroebou normalerweis freet, an et läit prett fir iwwerginn ze ginn. Wann Dir dat mat där Persoun wëllt duerchgoen, déi dës Froebéi ausfëllt, oder et bei engem vun Ären eegenen Transportopträg an der Praxis gesi wëllt, da kontaktéiert eis, a mir arrangéieren dat.

Quellen

• Direktiv (EU) 2022/2555 (NIS2), EUR-Lex. Iwwerpréift den 29. September 2026.
• NIS2-Direktiv: Sécherheet vun Netzwierk- an Informatiounssystemer, Europäesch Kommissioun. Iwwerpréift den 29. September 2026.
• Kommissioun verklot Irland, Spuenien, Frankräich an Holland virum Geriichtshaff wéinst Net-Ëmsetzung vun de Reegele fir d'Cybersécherheet, Europäesch Kommissioun, Juli 2026. Iwwerpréift den 29. September 2026.
• Gesetz vum 23. Januar 2026 zur Ännerung vum Gesetz iwwer den nationale Cybersécherheetssystem, Dz.U. 2026 poz. 252, Dziennik Ustaw. Iwwerpréift den 29. September 2026.
• Matdeelung vum Minister fir Digitaliséierung iwwer den Zäitplang vun der Registréierung, Dz.Urz. MC 2026 poz. 7, gov.pl. Iwwerpréift den 29. September 2026.
• Ännerung vum Gesetz iwwer den nationale Cybersécherheetssystem, gov.pl. Iwwerpréift den 29. September 2026.