NIS2 Verkehr: Luft, Schiene, Wasser, Straße

NIS2 gilt für Verkehrsbetreiber eines in Anhang I aufgeführten Typs: Luftfahrtunternehmen, Flughäfen, Flugverkehrskontrolle, Betreiber der Infrastruktur und Eisenbahnunternehmen, Schifffahrtsunternehmen, Häfen, Schiffsverkehrsdienste, Straßenverkehrsbehörden und Betreiber intelligenter Verkehrssysteme (IVS). Große Betreiber sind wesentliche Einrichtungen, mittelgroße wichtige Einrichtungen, kleinere sind in der Regel nicht erfasst. Straßengüterverkehrsunternehmen und Busunternehmen sind nicht aufgeführt.

Dieser Leitfaden behandelt die Einrichtungstypen je Teilsektor, was nicht erfasst ist, die Einstufung als wesentlich oder wichtig, die Sektorregeln neben NIS2, was die Umsetzung verlangt, Lieferkette und OT in der Praxis sowie eine Checkliste.

Teilsektor	Einrichtungstypen in Anhang I	Definiert in	Sektorregeln neben NIS2
Luftverkehr	Gewerbliche Luftfahrtunternehmen; Flughafenleitungsorgane, Flughäfen und Einrichtungen, die dort zugehörige Einrichtungen betreiben; Betreiber der Flugverkehrskontrolle	VO (EG) 300/2008, RL 2009/12/EG, VO (EG) 549/2004	EASA Part-IS; Luftsicherheit, DVO (EU) 2015/1998 Nummer 1.7
Schienenverkehr	Betreiber der Infrastruktur; Eisenbahnunternehmen, einschließlich Betreiber von Serviceeinrichtungen	RL 2012/34/EU	CLC/TS 50701 (eine Norm, kein Gesetz)
Schifffahrt	Beförderungsunternehmen der Binnen-, See- und Küstenschifffahrt (nicht die einzelnen Schiffe); Leitungsorgane von Häfen, Hafenanlagen und Betreiber von Anlagen und Ausrüstung in Häfen; Schiffsverkehrsdienste	VO (EG) 725/2004, RL 2005/65/EG, RL 2002/59/EG	Gefahrenabwehr auf Schiffen und in Hafenanlagen (ISPS); IMO MSC.428(98)
Straßenverkehr	Straßenverkehrsbehörden, die für Verkehrsmanagement und Verkehrssteuerung verantwortlich sind, ausgenommen öffentliche Stellen, für die dies ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist; IVS-Betreiber	Del. VO (EU) 2015/962, RL 2010/40/EU	IVS-Rahmen (kein Cybersicherheitsgesetz)

Welche Verkehrsbetreiber fallen unter NIS2?

Verkehr ist einer der 11 Sektoren mit hoher Kritikalität in Anhang I. Maßgeblich ist der Typ der Einrichtung, und die meisten Typen sind durch Verweis auf einen anderen EU-Rechtsakt definiert. Lesen Sie diese Definition, nicht Ihre eigene Beschreibung Ihrer Tätigkeit.

Luftverkehr

Luftfahrtunternehmen, die für gewerbliche Zwecke genutzt werden, im Sinne der Verordnung (EG) Nr. 300/2008 über die Sicherheit in der Zivilluftfahrt.
Flughafenleitungsorgane und Flughäfen im Sinne der Richtlinie 2009/12/EG, einschließlich der nach der Verordnung (EU) Nr. 1315/2013 aufgeführten Flughäfen des Kernnetzes, sowie Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben.
Betreiber von Verkehrsmanagement- und Verkehrssteuerungssystemen, die Flugverkehrskontrolldienste bereitstellen, im Sinne der Verordnung (EG) Nr. 549/2004.

Aufgeführt ist nur die Flugverkehrskontrolle, nicht jeder Anbieter von Flugsicherungsdiensten. Instandhaltungsorganisationen, CAMOs und Ausbildungsorganisationen sind ebenfalls keine Typen aus Anhang I, obwohl alle unter EASA Part-IS fallen.

Schienenverkehr

Betreiber der Infrastruktur im Sinne der Richtlinie 2012/34/EU.
Eisenbahnunternehmen im Sinne derselben Richtlinie, einschließlich der Betreiber von Serviceeinrichtungen.

Schifffahrt

Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 für die Seeschifffahrt definiert sind, ohne die einzelnen von ihnen betriebenen Schiffe.
Leitungsorgane von Häfen im Sinne der Richtlinie 2005/65/EG, einschließlich ihrer Hafenanlagen, sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben.
Betreiber von Schiffsverkehrsdiensten im Sinne der Richtlinie 2002/59/EG.

Straßenverkehr

Straßenverkehrsbehörden im Sinne der Delegierten Verordnung (EU) 2015/962, die für Verkehrsmanagement und Verkehrssteuerung verantwortlich sind, ausgenommen öffentliche Stellen, für die das Verkehrsmanagement oder der Betrieb intelligenter Verkehrssysteme nur ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist.
Betreiber intelligenter Verkehrssysteme im Sinne der Richtlinie 2010/40/EU: Informations- und Kommunikationstechnologien, angewandt auf den Straßenverkehr, einschließlich Verkehrs- und Mobilitätsmanagement.

Autobahnbetreiber sind nur erfasst, wenn sie unter eine dieser Definitionen fallen, zum Beispiel als IVS-Betreiber. Die Ausnahme ist wichtig für Gemeinden und andere öffentliche Stellen, die die Verkehrssteuerung neben vielen anderen Aufgaben wahrnehmen. Prüfen Sie, wie Ihr nationales Recht sie anwendet.

Was gehört nicht zum Verkehrssektor?

Straßengüterverkehr, Logistik und Bus- oder Reisebusbetrieb sind keine Typen aus Anhang I. Ein solches Unternehmen kann dennoch über einen anderen Typ erfasst sein, etwa Kurierdienste in Anhang II.
Der städtische öffentliche Personenverkehr ist nicht aufgeführt. Ein Betreiber ist nur erfasst, wenn sein Mitgliedstaat ihn nach der CER-Richtlinie (EU) 2022/2557, die den öffentlichen Verkehr abdeckt, als kritische Einrichtung ermittelt; die Ermittlung war bis zum 17. Juli 2026 fällig. Er ist dann unabhängig von seiner Größe wesentlich (Artikel 2 Absatz 3 und Artikel 3 Absatz 1).
Hersteller von Fahrzeugen und sonstigen Verkehrsmitteln gehören in Anhang II zum verarbeitenden Gewerbe: Kraftwagen, Anhänger und Sattelanhänger (NACE C29) sowie sonstiger Fahrzeugbau (C30), der Schiffe, Schienenfahrzeuge und Luftfahrzeuge umfasst. Sind sie mindestens mittelgroß, sind sie in der Regel wichtige Einrichtungen.

Der NIS2-Betroffenheitscheck liefert eine erste Antwort. Die vollständige Methode einschließlich der Ausnahmen steht im Leitfaden zum NIS2-Anwendungsbereich.

Sind Verkehrsbetreiber wesentliche oder wichtige Einrichtungen?

Bei Typen aus Anhang I entscheidet die Größe nach der Empfehlung 2003/361/EG:

Große Unternehmen (250 oder mehr Beschäftigte oder Umsatz über 50 Mio. EUR und Bilanzsumme über 43 Mio. EUR): wesentlich.
Mittlere Unternehmen (50 oder mehr Beschäftigte oder Umsatz und Bilanzsumme beide über 10 Mio. EUR): wichtig.
Kleine und Kleinstunternehmen: nicht erfasst, es sei denn, der Mitgliedstaat bestimmt die Einrichtung, zum Beispiel als einzigen Anbieter eines wesentlichen Dienstes, oder sie ist eine kritische Einrichtung nach CER.

Zur Größe zählen verbundene und Partnerunternehmen, sodass eine kleine Hafentochter eines großen Konzerns als groß gelten kann. Alle vier Teilsektoren des Verkehrs, einschließlich Straßenverkehr, waren bereits in NIS1 enthalten. Sofern der Mitgliedstaat dies vorsieht, sind Betreiber wesentlicher Dienste, die vor dem 16. Januar 2023 nach NIS1 ermittelt wurden, wesentliche Einrichtungen (Artikel 3 Absatz 1 Buchstabe g).

Beide Kategorien haben dieselben Pflichten. Aufsicht und Bußgelder unterscheiden sich: Höchstbußgelder von mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und von mindestens 7 Mio. EUR oder 1,4 % für wichtige, je nachdem, welcher Betrag höher ist. Einzelheiten unter wesentliche und wichtige Einrichtungen im Vergleich. Der Vorschlag COM(2026) 13 würde kleine Unternehmen mittlerer Kapitalisierung (Small Mid-Caps) aus Anhang I grundsätzlich zu wichtigen Einrichtungen machen; er ist kein geltendes Recht.

Wie passt NIS2 zu den Regeln für Luftfahrt, Bahn, Schifffahrt und Straße?

Luftfahrt: Part-IS und Luftsicherheit

EASA Part-IS verlangt ein Informationssicherheits-Managementsystem für Risiken mit potenziellen Auswirkungen auf die Flugsicherheit. Es gilt seit dem 16. Oktober 2025 für Flugplätze sowie Entwicklungs- und Herstellungsorganisationen und seit dem 22. Februar 2026 für Luftfahrtunternehmen, Instandhaltungsorganisationen und Anbieter von Flugsicherungsdiensten.

Laut EASA ist Part-IS keine Lex specialis im Sinne von Artikel 4 der NIS2. Eine Airline oder ein Flughafen, die unter beide Regelwerke fallen, muss daher beide einhalten. Die Anrechnung wirkt in beide Richtungen, aber nicht automatisch. Artikel 5 der Durchführungsverordnung (EU) 2023/203 und Artikel 4 der Delegierten Verordnung (EU) 2022/1645 lassen die Einhaltung gleichwertiger NIS-Sicherheitsanforderungen, heute als NIS2 zu lesen (Artikel 44), als Erfüllung von Part-IS gelten. Nach Erwägungsgrund 29 der NIS2 „könnte“ die Einhaltung der Sicherheitsanforderungen der Verordnungen (EG) Nr. 300/2008 und (EU) 2018/1139 von den zuständigen Behörden als Einhaltung der entsprechenden NIS2-Anforderungen erachtet werden.

Die Luftsicherheit bringt eine dritte Ebene hinzu. Nummer 1.7 der Durchführungsverordnung (EU) 2015/1998, 2019 eingefügt, verpflichtet Flughafenbetreiber, Luftfahrtunternehmen und im nationalen Sicherheitsprogramm für die Zivilluftfahrt benannte Stellen, kritische IKT-Systeme und Daten zu ermitteln und vor Cyberangriffen zu schützen, die die Sicherheit der Zivilluftfahrt beeinträchtigen könnten.

Ein einzelner Sicherheitsvorfall kann daher an das CSIRT oder die Behörde nach NIS2 (24 und 72 Stunden) und an die Luftfahrtbehörde nach Part-IS (innerhalb von 72 Stunden) gehen. Was Part-IS für Zulieferer bedeutet, steht in EASA Part-IS erklärt.

Bahn: CLC/TS 50701 ist eine Norm, kein Gesetz

Die bahnspezifische Referenz für Cybersicherheit ist CLC/TS 50701, eine Technische Spezifikation von CENELEC, die erstmals 2021 veröffentlicht wurde. ENISA beschreibt sie als Anwendung von IEC 62443 auf Kommunikation, Signaltechnik, Datenverarbeitung, Schienenfahrzeuge und ortsfeste Anlagen der Bahn. Sie ist kein Gesetz. Artikel 21 Absatz 1 der NIS2 verlangt nur, dass die Maßnahmen gegebenenfalls einschlägige europäische und internationale Normen berücksichtigen.

Schifffahrt: ISPS und IMO

Die Verordnung (EG) Nr. 725/2004 überführt den ISPS-Code der IMO in EU-Recht, und die Richtlinie 2005/65/EG regelt die Gefahrenabwehr in Häfen. Die Verordnung 725/2004 richtet sich allgemein gegen vorsätzliche rechtswidrige Handlungen und wurde nicht als Cybersicherheitsgesetz geschrieben. Beide sind hier wichtig, weil Anhang I sie nutzt, um festzulegen, wer erfasst ist.

An Bord gilt der Weg über die IMO. Die Entschließung MSC.428(98) vom Juni 2017 ermutigt die Verwaltungen sicherzustellen, dass Cyberrisiken in den Sicherheitsmanagementsystemen nach dem ISM-Code spätestens bei der ersten jährlichen Überprüfung des Zeugnisses über die Erfüllung der Vorschriften (Document of Compliance) des Unternehmens nach dem 1. Januar 2021 berücksichtigt werden. Die aktuellen Leitlinien sind MSC-FAL.1/Circ.3/Rev.3 vom 4. April 2025.

Straße: IVS und Verkehrssteuerung

Die Richtlinie 2010/40/EU setzt den Rahmen für die Einführung intelligenter Verkehrssysteme. Sie ist ein Einführungsrahmen, kein Cybersicherheitsgesetz: Die Pflichten zu Risikomanagement und Meldung kommen aus NIS2. In der Praxis geht es um Verkehrsleitzentralen, Tunnel- und Signalsteuerung, Wechselverkehrszeichen und Verkehrsdaten-Feeds.

Was verlangt die NIS2-Umsetzung im Verkehrssektor?

Dasselbe wie in anderen Sektoren:

Governance (Artikel 20). Das Leitungsorgan billigt und überwacht die Maßnahmen, nimmt an Schulungen teil und kann haftbar gemacht werden.
Maßnahmen (Artikel 21). Die zehn Mindestmaßnahmen, nach einem gefahrenübergreifenden Ansatz, der auch die physische Umwelt abdeckt. Ein überfluteter Stellwerksraum zählt dazu, wie der gefahrenübergreifende Ansatz zeigt.
Meldung (Artikel 23). Frühwarnung innerhalb von 24 Stunden, nachdem Sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangt haben, Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
Registrierung (Artikel 3 Absatz 4). Kontaktdaten, IP-Adressbereiche, Sektor und Teilsektor, Änderungen innerhalb von zwei Wochen.

Die Pflichten gelten über nationales Recht, und am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie keine Umsetzungsmaßnahmen mitgeteilt haben. Prüfen Sie, was dort gilt, wo Sie tätig sind. Die Programmsicht finden Sie auf der Seite zur NIS2-Compliance.

Lieferkette, OT und Zugriff von Auftragnehmern: was NIS2 offenlässt

Artikel 21 Absatz 2 Buchstabe d und Absatz 3 verlangen eine Sicherheit der Lieferkette, die die spezifischen Schwachstellen jedes unmittelbaren Anbieters, die Qualität seiner Produkte und seine Cybersicherheitspraxis einschließlich sicherer Entwicklung sowie die Ergebnisse koordinierter Risikobewertungen auf EU-Ebene berücksichtigt. Zu Signaltechnik, Flugverkehrskontrollsystemen oder Hafenkränen sagen sie nichts, und genau dort ist die Lücke am größten.

In der Praxis entscheiden drei Dinge über Programme im Verkehrssektor:

OT läuft jahrzehntelang. Stellwerks-, Verkehrssteuerungs- und Terminalsysteme überdauern den Patch-Zyklus ihres Herstellers, und Änderungen können eine sicherheitstechnische Zulassung erfordern. Segmentierung, Überwachung und eingeschränkter Zugriff tragen die Last, die das Patchen nicht tragen kann.
Auftragnehmer haben die Schlüssel. Wartungsdienstleister verbinden sich aus der Ferne mit OT, oft über dauerhafte VPNs und gemeinsam genutzte Konten. Konzepte für die Zugriffskontrolle (Artikel 21 Absatz 2 Buchstabe i) und, soweit angemessen, MFA (Artikel 21 Absatz 2 Buchstabe j) lassen sich auf diesem Weg kaum bestreiten.
Die Bewertung ist nicht die Kontrolle. Ein Fragebogen hält eine Richtlinie fest. Er zeigt nicht, wer sich letzten Dienstag im Netz der Signaltechnik angemeldet hat.

Sinnvoll ist ein Register wie dieses, das jedes Quartal überprüft wird. Die Methode dahinter beschreibt NIS2-Sicherheit der Lieferkette.

ZUGRIFFSREGISTER AUFTRAGNEHMER VERKEHR (eine Zeile je Zugriffsweg)

Auftragnehmer      : Unternehmen, Vertragsreferenz, Kritikalität
Erreichtes System  : z. B. Stellwerk, ATC, Hafenterminal, Verkehrssteuerung
Zone               : IT oder OT, erreichtes Netzsegment
Zugriffsmethode    : VPN, Jump-Host, Herstellerportal, Laptop vor Ort
Konten             : nur namentlich benannte Personen, keine Sammelkonten
Authentifizierung  : MFA ja / nein, Methode
Zugriffsfenster    : dauerhaft / auf Anfrage / befristet (Stunden)
Freigabe           : wer gibt jede Sitzung frei
Protokollierung    : Sitzung aufgezeichnet? Wo werden die Logs gespeichert?
Vorfallklausel     : Auftragnehmer meldet Ihnen innerhalb von [x] Stunden
Letzte Prüfung     : Datum, Prüfer, Ergebnis

Von Hand gepflegt, ist es in der Woche nach der Prüfung veraltet. Aus Zugangs-Gateway, Identitätsanbieter und Ticketsystem erfasst, mit einer Person, die Ausnahmen prüft, bleibt es aktuell. So arbeitet die CloudSoul-Plattform: automatisiert, mit Human-in-the-Loop-Expertise.

NIS2-Checkliste für den Verkehrssektor

Ordnen Sie jede juristische Person anhand der Definition im verwiesenen Rechtsakt einem Typ aus Anhang I zu.
Berechnen Sie die Größe einschließlich verbundener und Partnerunternehmen und dokumentieren Sie das Ergebnis.
Prüfen Sie, ob Sie eine kritische Einrichtung nach CER sind oder Betreiber wesentlicher Dienste nach NIS1 waren.
Registrieren Sie sich bei Ihrer zuständigen Behörde und halten Sie die Angaben aktuell.
Erfassen Sie alle Meldewege für einen einzelnen Vorfall: NIS2, Part-IS, Luftsicherheit und Aufsichtsbehörden für die Betriebssicherheit.
Listen Sie jeden Auftragnehmer mit Fernzugriff auf OT auf, mit MFA und Protokollierung auf jedem Weg.
Nehmen Sie Sicherheits- und Meldeklauseln für Sicherheitsvorfälle in die Verträge mit kritischen Lieferanten auf.
Testen Sie Wiederherstellung und manuellen Rückfallbetrieb für Verkehr, Signaltechnik oder Hafenbetrieb.

Quellen

Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23, 34 und 44, Erwägungsgrund 29, Anhänge I und II, EUR-Lex. Artikeltext: Artikel 21, Erwägungsgründe 21 bis 30.
Richtlinie (EU) 2016/1148 (NIS1), Anhang II, Verkehr, legislation.gov.uk.
Richtlinie (EU) 2022/2557 (CER-Richtlinie), Artikel 2 und 6, EUR-Lex, und Delegierte Verordnung (EU) 2023/2450 der Kommission (Liste wesentlicher Dienste), EUR-Lex.
Empfehlung 2003/361/EG der Kommission (KMU-Definition), EUR-Lex.
Delegierte Verordnung (EU) 2022/1645 der Kommission (Part-IS), Artikel 2, 4 und 8, EUR-Lex, und Durchführungsverordnung (EU) 2023/203, Artikel 2, 5 und 16 und Punkt IS.I.OR.230, EUR-Lex; EASA, Informationssicherheitsvorschriften und Geltungsbeginn und FAQ 139289 zu Part-IS und NIS2.
Durchführungsverordnung (EU) 2019/1583 der Kommission zur Änderung der Durchführungsverordnung (EU) 2015/1998 in Bezug auf Maßnahmen zur Cybersicherheit, Nummer 1.7, EUR-Lex.
Verordnung (EG) Nr. 725/2004 zur Erhöhung der Gefahrenabwehr auf Schiffen und in Hafenanlagen, EUR-Lex.
Richtlinie 2010/40/EU (intelligente Verkehrssysteme), Artikel 4, EUR-Lex.
IMO, maritime Cyberrisiken: Entschließung MSC.428(98), IMO, und Leitlinien für das maritime Cyberrisikomanagement, MSC-FAL.1/Circ.3/Rev.3, 4. April 2025, IMO.
ENISA, Railway cybersecurity: good practices in cyber risk management, 25. November 2021, ENISA.
Vorschlag COM(2026) 13 zur Änderung der Richtlinie (EU) 2022/2555, 20. Januar 2026, Europäische Kommission.
Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof, 8. Juli 2026, Europäische Kommission.

Häufige Fragen

Gilt NIS2 für den Verkehrssektor?

Ja. Verkehr ist einer der Sektoren mit hoher Kritikalität in Anhang I, mit vier Teilsektoren: Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr. Eine Einrichtung eines aufgeführten Typs fällt unter NIS2, wenn sie mindestens mittelgroß und in der EU tätig ist. Große Einrichtungen sind wesentliche, mittlere wichtige Einrichtungen.

Gilt NIS2 für die Bahn?

Ja. Anhang I nennt Betreiber der Infrastruktur und Eisenbahnunternehmen im Sinne der Richtlinie 2012/34/EU, einschließlich der Betreiber von Serviceeinrichtungen. CLC/TS 50701, die Technische Spezifikation zur Cybersicherheit im Bahnbereich, ist eine Norm, keine gesetzliche Anforderung.

Fallen Straßentransportunternehmen und Logistikunternehmen unter NIS2?

Nicht als Einrichtungen des Verkehrssektors. Der Teilsektor Straßenverkehr umfasst Straßenverkehrsbehörden, die für Verkehrsmanagement und Verkehrssteuerung verantwortlich sind, und Betreiber intelligenter Verkehrssysteme. Ein Logistikunternehmen kann dennoch über einen anderen Typ erfasst sein, etwa Kurierdienste in Anhang II, und von erfassten Kunden als Lieferant bewertet werden.

Ersetzt EASA Part-IS die NIS2 für Airlines und Flughäfen?

Nein. Laut EASA ist Part-IS keine Lex specialis im Sinne von Artikel 4 der NIS2, sodass Organisationen, die unter beide Regelwerke fallen, beide einhalten. Part-IS lässt die Einhaltung gleichwertiger NIS-Sicherheitsanforderungen als Erfüllung von Part-IS gelten, und nach Erwägungsgrund 29 der NIS2 könnten die Behörden die Einhaltung der Sicherheitsanforderungen des Luftverkehrsrechts als Einhaltung der NIS2 erachten. Beides geschieht jedoch nicht automatisch.

Fallen Unternehmen des öffentlichen Nahverkehrs unter NIS2?

Der städtische öffentliche Personenverkehr ist kein Typ aus Anhang I. Ein Unternehmen des öffentlichen Verkehrs fällt unter NIS2, wenn sein Mitgliedstaat es nach der CER-Richtlinie als kritische Einrichtung ermittelt. Dann ist es unabhängig von seiner Größe eine wesentliche Einrichtung. Die Mitgliedstaaten mussten ihre kritischen Einrichtungen bis zum 17. Juli 2026 ermitteln.

NIS2 im Verkehrssektor: welche Betreiber in Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr erfasst sind und was gilt