Flottensicherheit unter NIS2

Eine Firewall reicht nicht mehr aus

„Wir haben eine Firewall und aktuelle Antivirensoftware — wir sind abgesichert." Sicherheitsexperten hören das regelmäßig in mittelständischen Unternehmen. Unter NIS2 ist diese Annahme rechtlich nicht mehr vertretbar.

Mit Wirkung vom 6. Dezember 2025 definieren das NIS2-Umsetzungsgesetz und das KRITIS-Dachgesetz (in Kraft ab 17. März 2026) Sicherheitspflichten, die weit über IT-Perimeter hinausgehen: in physische Infrastruktur, Lieferketten und Flottenoperationen.

Was ist NIS2 und wen betrifft es?

NIS2 ist die aktualisierte EU-Richtlinie zur Netz- und Informationssicherheit. Deutschland hat sie im November 2025 in nationales Recht umgesetzt. Die Regulierung richtet sich an Organisationen, die in 18 kritischen Sektoren tätig sind, darunter Energie, Verkehr, Gesundheitswesen, Lebensmittelproduktion und digitale Infrastruktur.

Der Anwendungsbereich ist breiter als die meisten Unternehmen erwarten:

• Kritische Einrichtungen: 250+ Mitarbeiter oder 50 Mio. € + Umsatz mit 43 Mio. € + Bilanzsumme. Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
• Wichtige Einrichtungen: 50+ Mitarbeiter oder 10 Mio. € + Umsatz. Bußgelder bis zu 7 Millionen Euro oder 1,4 % des Umsatzes.

Rund 30.000 Organisationen in Deutschland fallen in den Anwendungsbereich, verglichen mit nur 4.500 zuvor regulierten Unternehmen. Bis zur Meldefrist im März 2026 hatten sich lediglich etwa 11.500 beim BSI registriert.

Warum Flottenmanagement jetzt ein Compliance-Thema ist

Fahrzeugschlüssel ermöglichen den Zugang zu Unternehmensgeländen, Laderampen, Lagerhäusern, Kunden und sensiblen Lieferketten. Unter NIS2’s „Defense in Depth"-Modell ist nicht protokollierter physischer Zugang zu Fahrzeugen eine dokumentierte Sicherheitslücke, und ein Compliance-Versagen.

Die Anforderung ist klar: Jedes Zugriffsereignis muss aufgezeichnet, zuordenbar und prüfbar sein. Ein Schlüsselkasten an der Wand ohne Protokoll erfüllt diesen Standard nicht.

Drei verbindliche Pflichten unter NIS2

1. BSI-Registrierung

Die Registrierungsfrist vom 6. März 2026 ist abgelaufen. Wenn Ihre Organisation sich noch nicht registriert hat, handeln Sie unverzüglich. Es gibt keine Schonfrist.

2. Risikomanagement und Schutzmaßnahmen

Erforderliche Maßnahmen umfassen Multi-Faktor-Authentifizierung, Backup-Management, Lieferkettensicherheit, physische Zugangskontrolle und vollständige Dokumentation über alle Systeme, einschließlich des Flottenaccounts.

3. Vorfallsmeldung

Frühwarnung an das BSI innerhalb von 24 Stunden. Vollständiger Vorfallsbericht innerhalb von 72 Stunden. Abschlussbericht innerhalb von 30 Tagen.

Persönliche Haftung der Geschäftsführung

NIS2 ist eindeutig: Leitungsorgane tragen persönliche Haftung für Compliance-Versagen, unabhängig von unternehmensrechtlichen Sanktionen. Aktive Überwachung, verpflichtende Schulungsteilnahme und direkte Verantwortlichkeit für Sicherheitsmängel in der Flotte sind jetzt gesetzlich vorgeschrieben.

Elektronisches Schlüsselmanagement als praktische Lösung

Intelligente Schlüsselkabinette, wie die Traka-Systeme, die sich direkt in Commander integrieren, protokollieren jedes Zugriffsereignis nach Identität (PIN, RFID oder biometrisch), Zeitstempel und Fahrzeug. Sie beschränken den Zugang auf autorisiertes Personal und erzeugen die revisionssichere Dokumentation, die NIS2 verlangt. Der vollständige Buchungs-, Schlüsselausgabe- und Rückgabezyklus wird automatisch erfasst.

Das ist kein komplexes Infrastrukturprojekt. Für kleinere Flotten sind mittlerweile kostengünstige Systeme verfügbar. Ein richtig konfiguriertes Schlüsselmanagementsystem macht die Flotten-Compliance schnell erreichbar, und die Daten fließen direkt in Commander ein, damit operative Transparenz und Compliance-Nachweis Hand in Hand gehen.