Cybersicherheit in Seehäfen: NIS2 und der Cyber Resilience Act

Kurze Antwort: Seehäfen und Hafenbetreiber fallen unter NIS2 (Richtlinie (EU) 2022/2555), die den Verkehrssektor erfasst und Risikomanagementmaßnahmen, eine Verantwortung der Leitungsorgane und eine Meldepflicht für Vorfälle auferlegt. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) richtet sich auf die Produkte: Er stellt Cybersicherheitsanforderungen an Hardware und Software mit digitalen Elementen, darunter viele Systeme, die in Hafenketten eingesetzt werden.

NIS2: der Hafen als Einrichtung

NIS2 (Richtlinie (EU) 2022/2555) ersetzte die alte NIS-Richtlinie und erweiterte den Anwendungsbereich auf eine Vielzahl von Sektoren, darunter Verkehr. Darunter fällt der Verkehr auf dem Wasserweg und die zugehörige Infrastruktur, wie Seehäfen und Hafenanlagen. Einrichtungen werden als wesentlich oder wichtig eingestuft, mit unterschiedlichen Aufsichts- und Durchsetzungsregimen.

Für einen Hafen, der unter NIS2 fällt, gelten unter anderem Risikomanagementmaßnahmen (Art. 21) — etwa Risikoanalyse, Vorfallbewältigung, Sicherheit der Lieferkette und Kontinuitätsmanagement — und eine ausdrückliche Verantwortung der Leitungsorgane (Art. 20): Die Leitung muss die Maßnahmen billigen und überwacht ihre Umsetzung. Daneben gilt eine gestufte Meldepflicht für erhebliche Vorfälle. Die Mitgliedstaaten mussten NIS2 bis spätestens 17. Oktober 2024 in nationales Recht umsetzen; die genaue Ausgestaltung und die Benennung der zuständigen Aufsichtsbehörde unterscheiden sich je Mitgliedstaat.

Der Cyber Resilience Act: die Produkte in der Kette

Wo sich NIS2 auf Organisationen richtet, richtet sich der Cyber Resilience Act (Verordnung (EU) 2024/2847) auf Produkte mit digitalen Elementen — Hardware und Software, die mit einem Netzwerk oder einem anderen Gerät verbunden werden können. Die Verordnung legt Herstellern, Importeuren und Händlern Sicherheitsanforderungen über den Lebenszyklus auf, einschließlich des Schwachstellenmanagements.

In einer Hafenumgebung sind das etwa Sensoren, Kaimess- und Schleusensysteme, Terminal-Operating-Software und industrielle Steuerungssysteme, die in der Betriebstechnik eingesetzt werden. Der CRA gilt gestuft; die vollständige Geltung ist für den 11. Dezember 2027 vorgesehen, mit früheren Daten für bestimmte Pflichten. Für Häfen bedeutet dies, dass die Wahl und der Beschaffungsprozess digitaler Geräte mittelfristig mit von der CRA-Konformität der Lieferanten bestimmt werden.

Wie NIS2 und der CRA zusammenkommen

NIS2 und der CRA ergänzen einander: NIS2 verpflichtet den Hafen als Organisation zur Sicherheit — einschließlich der Sicherheit der Lieferkette —, während der CRA die Sicherheit der beschafften Produkte an der Quelle regelt. Ein Hafen, der unter NIS2 fällt, kann die CRA-Konformität der Lieferanten als Baustein für die eigenen Risikomanagementmaßnahmen nutzen. Beide Rahmen sind nun festgelegt; die genauen Pflichten hängen von der Einstufung der Einrichtung, der nationalen Umsetzung von NIS2 und dem gestuften Zeitplan des CRA ab.

Lesen Sie auch: Transport & Logistik. Machen Sie den Scan.