NIS-2 in der Luftsicherheit – Pflichten, Fristen, Praxis
Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) trifft Bekannte Versender, Reglementierte Beauftragte und Transporteure ab einer bestimmten Unternehmensgröße zusätzlich zu den bestehenden Cyber-Vorgaben der DVO (EU) 2015/1998. Dieser Hub fasst zusammen, wer betroffen ist, welche Pflichten konkret entstehen und wie sich NIS-2 sauber in ein vorhandenes Sicherheitsprogramm nach § 8 LuftSiG integrieren lässt.
Worum geht es bei NIS-2?
Die NIS-2-Richtlinie (EU) 2022/2555 ist die zweite Generation der europäischen Cybersicherheits-Richtlinie. Sie wurde in Deutschland durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt und ist am 6. Dezember 2025 in Kraft getreten.
Im Sektor Verkehr – Teilsektor Luftfahrt sind erstmals auch klassische Luftsicherheits-Akteure direkt erfasst, sofern sie die Schwellen für mittlere Unternehmen überschreiten (ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz). Wer darunter bleibt, ist trotzdem nicht „frei": Die BMV-Cyber-Grundsätze Version 3 (gültig ab 01.01.2026) konkretisieren die DVO (EU) 2015/1998 und gelten zwingend für jede zugelassene Stelle – unabhängig von der Unternehmensgröße.
Wer ist betroffen?
NIS-2 trifft jeden Akteur der sicheren Lieferkette anders. Hier die Praxis für die drei wichtigsten Rollen:
Bekannter Versender
Ab 50 Mitarbeitenden oder 10 Mio. € Umsatz zusätzlich zur DVO (EU) 2015/1998 NIS-2-pflichtig. Cyber-Grundsätze des BMV gelten unabhängig davon für jede Zulassung.
Mehr zu Bekannter VersenderReglementierter Beauftragter
Cargo-Handler, Spediteure und Lufttransport-Dienstleister überschreiten die NIS-2-Schwelle regelmäßig. Risikomanagement und Lieferanten-Audits werden zur Compliance-Pflicht.
Mehr zu Reglementierter BeauftragterTransporteur
Mit der DVO (EU) 2026/247 wird die EU-weite Zulassung 2027 Pflicht – NIS-2 kommt parallel dazu, sobald die Unternehmensgröße erreicht ist.
Mehr zu TransporteurKonkrete Pflichten unter NIS-2
Die vier zentralen Pflichtenfelder, an denen die BSI-Aufsicht ansetzt:
Risikomanagement
Dokumentiertes ISMS, Backup-Strategie, Notfall-Plan, Zugriffskontrolle, Verschlüsselung, Multi-Faktor-Authentifizierung – als verbindliche Mindestmaßnahmen.
Meldepflichten
24 h Frühwarnung, 72 h qualifizierte Meldung, 1 Monat Abschlussbericht an das BSI. Parallel LBA-Meldung nach § 9 LuftSiG, wenn die Luftsicherheit betroffen ist.
Schulungspflicht Leitungsebene
Geschäftsführung muss nachweislich zu Cybersicherheit geschult sein und haftet persönlich für die Umsetzung. Reine Delegation an die IT entlastet nicht.
Lieferanten-Audits
Cyber-Risiken in der Lieferkette müssen aktiv geprüft werden – inklusive Cloud-Dienstleister, IT-Wartung und Sub-Unternehmer mit Systemzugang.
Schnittmenge mit § 8 LuftSiG
NIS-2 und das luftsicherheitsrechtliche Sicherheitsprogramm nach § 8 LuftSiG überschneiden sich erheblich – Risikomanagement, Schulung der Leitungsebene, Vorfallsmeldung, Lieferanten-Audits. Wer beide Welten getrennt dokumentiert, produziert Doppelarbeit und Inkonsistenzen, die bei BSI- und LBA-Prüfungen sofort auffallen.
Empfohlene Praxis: Ein integriertes Sicherheitsprogramm, in dem NIS-2-Anforderungen als eigener Abschnitt geführt werden – mit klarer Schnittstellen-Definition zwischen BSI- und LBA-Meldewegen.