NIS2-Check / Post und Kurierdienste

NIS2 für Post- und Kurierdienste

Post- und Kurierdienste stehen in Anlage 2 des BSIG. Für KEP-Dienstleister ab mittlerer Größe entstehen damit erstmals unmittelbare Cybersicherheitspflichten.

Betroffenheit kostenlos prüfen

Anlage 2 Nr. 1 BSIG erfasst Anbieter von Post- und Kurierdiensten. Gemeint sind Unternehmen, die Postsendungen oder Pakete gewerblich befördern, einschließlich der Express- und Kurierdienstleister.

Größenschwelle

Ab 50 Beschäftigten oder bei mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme sind Sie wichtige Einrichtung. Wer als Subunternehmer für einen großen Anbieter fährt, wird eigenständig geprüft: Der Auftraggeber überträgt seine Einstufung nicht auf Sie, wohl aber seine vertraglichen Sicherheitsanforderungen.

Anlage 2 heißt: höchstens wichtige Einrichtung. Über die Größe allein erreicht ein Sektor der Anlage 2 nie die Kategorie besonders wichtig. Das ändert sich nur, wenn zusätzlich eine der größenunabhängigen Sonderrollen nach § 28 Abs. 1 BSIG zutrifft, etwa als Betreiber einer Kritischen Anlage.

Wo das Risiko wirklich liegt

In der KEP-Branche hängt alles an Sendungsverfolgung, Scannerinfrastruktur, Tourenplanung und den Schnittstellen zu Versendern und Zollsystemen. Ein Ausfall dieser Systeme legt den Betrieb faktisch still, auch wenn Fahrzeuge und Personal verfügbar sind. Die Mindestmaßnahmen des § 30 BSIG zu Notfallmanagement, Backup und Aufrechterhaltung des Betriebs zielen genau darauf.

Adressdaten sind sensibel

Kunden- und Zustelldaten sind personenbezogene Daten. Ein Sicherheitsvorfall kann deshalb gleichzeitig eine Meldung nach § 32 BSIG an das BSI und eine Meldung nach der Datenschutz-Grundverordnung an die Datenschutzaufsicht auslösen. Die beiden Meldewege haben unterschiedliche Adressaten und Fristen und sollten vorab in einem Ablauf zusammengeführt werden.

Beide Registrierungsfristen sind abgelaufen. Die gesetzliche Frist endete am 6. März 2026, die vom BSI kommunizierte Nachfrist am 31. Juli 2026. Wer betroffen und nicht registriert ist, sollte die Registrierung jetzt nachholen und den Zeitpunkt der eigenen Prüfung dokumentieren.

Einstufung klären

Der kostenlose NIS2-Check zeigt Ihre Kategorie und die Registrierungspflicht in unter einer Minute.

Häufige Fragen

Sind Subunternehmer betroffen?

Sie werden eigenständig nach Sektor und Größe geprüft. Zusätzlich erhalten sie in der Regel vertragliche Anforderungen vom Auftraggeber.

Gilt das auch für reine Lebensmittellieferdienste?

Die Zuordnung zu Post- und Kurierdiensten ist dann ein Grenzfall. Oft ist eher der Lebensmittelsektor einschlägig.

Müssen wir Vorfälle doppelt melden?

Wenn personenbezogene Daten betroffen sind, können Meldepflichten nach BSIG und nach der Datenschutz-Grundverordnung nebeneinander bestehen.

Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.

Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.

Betroffenheit prüfen

Keine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.