NIS-2 in der Logistik: 5 Schritte vom Leser am Werkstor zum Compliance-Nachweis

Ratgeber zu NIS-2 in der Logistik beginnen oft bei den IT-Systemen: TMS-Plattformen, APIs und Cloud-Verträgen. Das Werkstor kommt dabei zu kurz. Diese fünf Schritte machen den Zutritt an Werkstor, Betriebshof und Rampe zu einem Nachweis, den Sie Prüfenden zeigen können.

1. Klären Sie, ob NIS-2 für Ihren Logistikstandort gilt

Ja, wenn Ihre Organisation eine in NIS-2 aufgeführte Transporttätigkeit ausübt und die Größenkriterien erfüllt. Lagerei allein ist möglicherweise keine aufgeführte Tätigkeit. Jeder Mitgliedstaat setzt NIS-2 in nationales Recht um, und manche nationalen Auslegungen sind enger gefasst. Prüfen Sie Ihr nationales Recht oder fragen Sie Ihre Rechtsberatung, bevor Sie entscheiden.

Ihre Einstufung als wesentliche oder wichtige Einrichtung bestimmt dann, welche Pflichten und Audit-Erwartungen gelten. Klären Sie sie zuerst. Alle weiteren Schritte richten sich danach.

NIS-2 ist die EU-Richtlinie, die Pflichten zum Cybersicherheits-Risikomanagement und zur Meldung von Vorfällen für wesentliche und wichtige Einrichtungen festlegt. Den größeren Zusammenhang erklärt der NIS-2-Überblick von Primion.

2. Machen Sie aus Lesern am Werkstor einen NIS-2-Compliance-Nachweis

Ein Leser, der Zutritte protokolliert, liefert nicht automatisch einen Compliance-Nachweis. Der Unterschied liegt im Abruf. Können Sie auf Anfrage zeigen, wer wann und mit welcher Berechtigung Zutritt hatte, ohne es von Hand zusammenzusetzen?

Ein Protokoll am Werkstor wird zum Nachweis, wenn Sie innerhalb von Minuten zeigen können, wer wann und mit welcher Berechtigung Zutritt hatte. Nutzen Sie das als Maßstab für NIS-2-Nachweise aus Zutrittsprotokollen.

Solange Sie die Antwort nicht in Minuten statt Tagen abrufen können, ist ein Leser nur eine Datenquelle. Alle weiteren Schritte bauen darauf auf.

Sie können außerdem Zutrittskontrolle und Besuchermanagement verbinden, um stets zu wissen, wer sich auf dem Gelände befindet.

3. Weiten Sie die NIS-2-Zutrittskontrolle auf Subunternehmen und Frachtführer aus

NIS-2 verlangt von Einrichtungen, Sicherheitsrisiken in der Lieferkette zu steuern. In der Logistik gehört dazu der physische Zutritt von Transportunternehmen, Fahrpersonal von Subunternehmen und externen Frachtführern, nicht nur der Ihrer eigenen Beschäftigten. Wie weit das reicht, hängt von Ihrer Risikobewertung und vom nationalen Recht ab.

Ein Subunternehmen, dessen Zutritt am Werkstor niemand im Blick hat, ist eine Compliance-Lücke in Warnweste. Geben Sie dem Zutritt von Frachtführern und Subunternehmen dieselbe Transparenz und denselben Prüfrhythmus wie dem Ihrer eigenen Belegschaft.

4. Halten Sie Daten zu Betriebshof und Rampe jederzeit abrufbereit

Das Werkstor ist nur die erste Grenze. Was passiert, sobald ein Auflieger den Betriebshof, die Laderampe oder ein bestimmtes Verladetor erreicht, sollte denselben Standard erfüllen.

Wenn die Antwort auf die Frage „Wer war letzten Dienstag an Rampe 3?“ einen Tag dauert, entdecken Sie die Lücke erst, wenn Prüfende danach fragen. Legen Sie an Betriebshof und Rampe denselben Abrufstandard an wie am Werkstor.

Sehen Sie, wie Primion für Handel und Logistik Werkstore, Betriebshöfe und Rampen angeht.

5. Verknüpfen Sie physische Vorfälle mit Ihrer NIS-2-Meldefrist

Nach Artikel 23 der Richtlinie (EU) 2022/2555 beginnt die Meldefrist, sobald Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangen. Sie wartet nicht auf den Bericht. Die gestaffelten Fristen:

• Frühwarnung: unverzüglich, in jedem Fall innerhalb von 24 Stunden nach Kenntniserlangung.
• Meldung des Vorfalls: innerhalb von 72 Stunden nach Kenntniserlangung.
• Abschlussbericht: innerhalb eines Monats nach der Meldung des Vorfalls.

Ein gewaltsames Eindringen oder ein Fahrzeug, das am Werkstor oder auf dem Betriebshof unberechtigt hinter einem anderen einfährt, kann dieselbe Frist auslösen wie ein Cybervorfall. Das gilt, wenn der Vorfall Ihre Netz- und Informationssysteme oder Dienste betrifft. Welche Behörde die Meldung entgegennimmt, legt Ihr nationales Recht fest.

Zwei getrennte Meldewege, einer physisch und einer für Cybervorfälle, können Zeit kosten, die Sie nicht haben. Konvergente Sicherheit vereint physische, OT- und IT-Sicherheit. Sie ist eine Möglichkeit, beide Wege in einer Ansicht zusammenzuführen.

Wo Sie anfangen

Diese Schritte beginnen nicht mit neuer Hardware am Werkstor. Sie beginnen damit, das, was Ihr Werkstor schon erfasst, als Nachweis zu behandeln und nicht als Protokoll, das niemand prüft, bis etwas schiefgeht.

Starten Sie noch diese Woche mit Schritt 2. Rufen Sie das Protokoll der letzten Woche ab und stoppen Sie die Zeit, die Sie für diese Frage brauchen: Wer hat am Dienstag um 15 Uhr das Gelände betreten?

Dauert es Minuten, haben Sie bei NIS-2 in der Logistik den größten Teil schon geschafft. Dauert es einen Anruf und eine Tabelle, haben Sie Ihren Startpunkt gefunden.

Protect what matters. Das gilt am Werkstor, auf dem Betriebshof und an der Rampe.

Sehen Sie, wie konvergente Sicherheit zu Ihrem Standort passt.

Entdecken Sie unsere Lösungen

Häufig gestellte Fragen

Gilt NIS2 für Logistik- und Lagerunternehmen?

Das hängt von Ihrer Tätigkeit, Ihrer Größe und Ihrem nationalen Recht ab. NIS2 nennt bestimmte Transporttätigkeiten, Lagerei allein ist möglicherweise nicht aufgeführt. Jeder Mitgliedstaat setzt NIS2 selbst um, und manche nationalen Auslegungen sind enger. Prüfen Sie Schritt 1 und klären Sie es dann mit Ihrer Rechtsberatung.

Deckt NIS2 den physischen Zutritt am Werkstor ab oder nur IT-Systeme?

Teilweise ja. Artikel 21 der Richtlinie (EU) 2022/2555 verlangt Risikomanagementmaßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes. Dieser Ansatz schützt Netz- und Informationssysteme und deren physische Umgebung. Zutritt an Werkstor, Betriebshof und Rampe gehört in den Geltungsbereich, soweit er diese Systeme schützt. Mehr dazu: Was NIS2 für Ihre physische Zutrittskontrolle bedeutet.

Muss für Subunternehmen und Frachtführer dieselbe Zutrittskontrolle gelten wie für unser eigenes Personal?

Planen Sie damit. NIS2 verlangt von Einrichtungen, Sicherheitsrisiken in der Lieferkette zu steuern, und Frachtführer mit physischem Zutritt gehören zu diesem Risiko. Wie weit das genau reicht, hängt von Ihrer Risikobewertung und vom nationalen Recht ab. Geben Sie den Berechtigungen von Frachtführern und Subunternehmen dieselbe Transparenz und denselben Prüfzyklus wie denen Ihrer eigenen Belegschaft.

Brauchen wir neue Hardware am Werkstor, um diese Anforderungen zu erfüllen?

In der Regel nicht. Ihre Leser und Protokolle erfassen die Daten oft schon. Die Lücke liegt meist im Abruf: einen bestimmten Zutrittsdatensatz auf Anfrage vorzulegen.