Digitaler Omnibus : EU-Digitalgesetze: Was sich für Logistiker ändern soll

Transport und Logistik sind technologie- und datengetriebene Branchen. Zu den prägenden Entwicklungen der letzten Jahre zählt zweifellos die digitale Automatisierung, die auf Datenanalysen basiert und nun dank KI neue Impulse erhält. Zugleich wachsen die Cyberrisiken. Nicht wenige Logistikunternehmen gehören zu den kritischen Infrastrukturen und sind deshalb für Cyberkriminelle ein besonders interessantes Ziel. Herausfordernde geopolitische Entwicklungen machen die Lage nicht einfacher und verlangen zunehmend nach digitaler Resilienz und Souveränität.

In dieses Spannungsfeld greift die EU-Kommission mit zahlreichen Verordnungen ein. Ihr Ziel ist es, mit der digitalen Gesetzgebung einen sicheren, fairen und wettbewerbsfähigen digitalen Binnenmarkt zu schaffen. Digitale Dienste sollen grenzüberschreitend funktionieren, ohne dass dabei Grundrechte, Verbraucherschutz oder ein fairer Wettbewerb zu kurz kommen. Das ist wichtig, sorgt aber in der Praxis für die Unternehmen für bürokratischen Aufwand und zu einer oft unüberschaubaren Flut an Regulierungen.

Die bekannteste digitale EU-Rechtsverordnung ist wahrscheinlich die DSGVO, die den Umgang mit personenbezogenen Daten reguliert. Zahlreiche weitere sind in den letzten Jahren dazugekommen, wie beispielsweise der AI Act, der Data Governance Act, der Data Act und der Cyber Resiliance Act. Hinzu kommen Sicherheitsgesetze wie der Digital Service Act, NIS2 und branchenspezifische Regelungen wie eFTI. So passiert es, dass dieselben Datenflüsse die Vorgaben verschiedener Verordnungen erfüllen und Verstöße, etwa bei Cyberangriffen, verschiedenen Behörden gemeldet werden müssen.

Im Alltag eines Logistikunternehmens werden immense Datenmengen verarbeitet. Für die Tourenplanung werden u.a. die Auftragsdaten aus dem ERP sowie die Standort- und Zustandsdaten der Fahrzeuge benötigt. Für die Optimierung der Routen werden, neben den Live-Telematik-Daten, öffentliche zugängliche Verkehrsdaten oder die eines Dienstleisters genutzt. Bei Kontrollen sollen die Frachtinformationen digital zur Verfügung stehen. Bei der Zustellung der Güter wird ein digitaler Nachweis gespeichert, der seinerseits Markierungen oder weitere Aktionen in anderen Systemen auslöst. Die Vernetzung mit anderen Unternehmen zu digitalen Supply Chains oder für Dienstleistungen, die extern erbracht werden, sorgen für weitere Datenverbindungen über die Grenzen des eigenen Unternehmens hinaus.

Schon dieser vereinfachte Überblick zeigt, um welche Fülle an unterschiedlichen Daten es in logistischen Prozessen geht. Je nach Art der Daten, wie sie erfasst werden und wem sie gehören, können verschiedene Verordnungen gelten: Live-Telematik- und Kundendaten sind personenbezogen und müssen gemäß DSGVO verarbeitet werden. Bei vernetzten Fahrzeugen regelt der Data Act, wer die Daten nutzen und weitergeben darf, etwa wenn das Logistikunternehmen sie für Wartung oder Flottenservices nutzen möchte. Für bestimmte gesetzlich relevante Frachtinformationen schafft eFTI einen Rahmen für den elektronischen Austausch zwischen Unternehmen und zuständigen Behörden. Als Teil der kritischen Infrastruktur fällt das Unternehmen unter NIS2 und bei der geplanten Einführung einer KI-gestützten Prozessoptimierung gilt es, sich mit dem AI Act auseinanderzusetzen.

Das Beispiel ist natürlich zugespitzt und verallgemeinert. Die Verordnungen der EU enthalten keine wahllos ausgesuchten, zusätzlichen Maßnahmen. Sie bilden einen Rahmen für digitale Prozesse und die meisten Vorgaben erfüllen Unternehmen schon aus ganz eigenem Schutzinteresse. Dennoch beklagen einige Organisationen Doppelregulierungen und Inkonsistenzen in der Gesetzgebung. Diese will die Kommission nun mindern.

Mit dem Digitalen Omnibus, einem umfassenden Reformpaket, das derzeit finalisiert wird, sollen mehrere Digitalrechtsakte gleichzeitig angepasst werden. So wird z. B. ein zentraler Meldeweg für Unternehmen eingerichtet, um den Behörden Sicherheits- und Datenschutzvorfälle zu melden. Außerdem könnten künftig mehrere Verordnungen im Data Act zusammenfließen: der bisherige Data Act (mit Regelungen für den Zugang zu den Daten vernetzter Produkte), der Data Governance Act (Austausch von Daten über Datenvermittlungsdienste), die Open Data Directive (Verwendung von daten öffentlicher Stellen) und die Verordnung über den freien Verkehr von nicht-personenbezogenen Daten innerhalb der EU. Damit würden bürokratische Hürden abgebaut und die unternehmensinternen Richtlinien für die Datennutzung vereinfacht. Die Harmonisierung der digitalen EU-Rechtslage ändert allerdings nichts an den grundsätzlichen Pflichten für Unternehmen.

Das Beispiel zeigt noch etwas anderes auf: Datengetriebene und umfassend vernetzte Prozesse sind ein Sicherheitsrisiko. Ein Cyberangriff oder Ausfall an einer Stelle gefährdet die gesamte digitale Prozesskette. Unternehmen müssen sich also ohnehin damit beschäftigen, wie sie mit einem geeigneten Sicherheits- und Security-Konzept ihr Geschäft wirksam absichern. Wer dabei strukturiert arbeitet und sich nach international etablierten Standards richtet, kann dabei eine valide Grundlage für die Erfüllung der EU-Vorschriften legen.

ISO/IEC 27001 ist so ein internationaler Standard. Er bietet einen strukturierten und ganzheitlichen Ansatz dafür, wie eine Organisation ein Informationssicherheits-Managementsystem (ISMS) einführt und gibt konkrete Empfehlungen, wie sich IT-Sicherheit verbessern lässt. Neben klassischen technischen Maßnahmen geht es darum, die Risiken für Anwendungen und Prozesse systematisch zu erkennen und mit ihnen umzugehen. Dafür wird empfohlen, zunächst festzulegen, welche Daten und Systeme geschützt werden sollen und zu bewerten, wie wahrscheinlich ein Sicherheitsvorfall ist und welche Folgen er hätte. Darauf basierend können passende Maßnahmen, Zuständigkeiten und Fristen festgelegt werden, regelmäßige Prüfungen inklusive.

ISO-Managementsysteme unterstützen Unternehmen bei der Einhaltung von Datenschutz- und Cybersicherheitsvorgaben, indem sie die Anforderungen in konkrete, wiederholbare Abläufe übersetzen. Der DSGVO-konforme Umgang mit personenbezogenen Daten aus der Routenoptimierung wird so zur internen Richtlinie. Diese legt etwa fest, wer Zugriff auf Kundendaten und Fahrzeugstandorte hat, wie Zugriffsrechte vergeben werden und was bei einem Datenschutzvorfall zu passieren hat. Eine ISO-Zertifizierung ist keine Pflicht und sorgt auch nicht automatisch für Gesetzeskonformität. Sie ist jedoch ein wertvoller Nachweis strukturierter Vorgehensweise.

Mit KI führen Unternehmen eine Technologie ein, die enorme Potenziale insbesondere für die Automatisierung von Prozessen und die Analyse von Daten mit sich bringt. KI hilft z. B. bei der dynamischen Routen- und Kapazitätsplanung, Markttrends zu erkennen und Nachfrageprognosen zu erstellen oder Lagerprozesse effizienter und kontextabhängig zu steuern. Mit der Technologie kommen neue Fragen nach Datenschutz, Transparenz und Regulierung ins Unternehmen.

Wer mit einem ISMS arbeitet, kann die notwendigen Anpassungen an Daten- und Sicherheitskonzepte nun ebenso strukturiert aufsetzen. Während ISO/IEC 27001 einen systematischen Rahmen für das Management der Informationssicherheit bietet, unterstützt ISO/IEC 42001 mit einem KI-Managementsystem (AIMS) die verantwortungsvolle Entwicklung und Nutzung von KI. Zahlreiche Anforderungen des AI Acts können damit bereits abgedeckt werden.