Eine Woche vor Schluss: Was Sie jetzt noch unbedingt tun müssen

Liebe Unternehmer der sicheren Lieferkette,

nächsten Montag, am 30. Juni 2025, läuft die finale Frist ab. Dann müssen die LBA-zugelassenen Beteiligten der sicheren Lieferkette ihre Cybersicherheitsmaßnahmen vollständig umgesetzt haben. Keine Diskussionen, keine Ausreden mehr.

Wer ist betroffen?

• Die neuen Anforderungen zur Cybersicherheit betrifft bekannte Versender, reglementierte Beauftragte und reglementierte Lieferanten.
• Behördlich zugelassene Transporteure sind von dieser Regelung ausgenommen!

Was ist der Hintergrund?

1. Seit dem 1. Januar 2025 gelten neue gesetzliche Anforderungen im Bereich der Cybersicherheit für Unternehmen der sicheren Lieferkette.
2. Das Luftfahrt-Bundesamt hatte den betroffenen Unternehmen eine Übergangszeit bis Ende Juni eingeräumt, weil die konkreten Anforderungen erst kurz vor Weihnachten 2024 bekannt gegeben wurden. Diese Frist läuft jetzt ab – und es war ohnehin nur eine inoffizielle Frist. Mehr dazu lesen Sie weiter unten!

Was wir gerade in der Praxis erleben

In den letzten Wochen haben wir in Gesprächen mit Unternehmen sehr unterschiedliche Eindrücke bekommen. Kaum ein Unternehmen scheint schon vollständig vorbereitet.

Dabei kristallisieren sich drei typische Situationen heraus:

Situation 1: Totale Panik bricht aus

Manche Unternehmen haben bisher überhaupt nichts gemacht. Jetzt, wenige Tage vor dem 30, Juni, bricht die totale Panik aus. Die Geschäftsführer oder Sicherheitsbeauftragten rufen uns verzweifelt an und fragen, was passiert, wenn Sie vom LBA ohne Umsetzung der Maßnahmen erwischt werden.

Nun, mit der Umsetzung hätte man früher beginnen müssen! Aber auch für diese Unternehmen ist noch nicht alles verloren – wenn sie jetzt sofort handeln.

Situation 2: Durchpfriemeln ohne Durchblick

Andere Unternehmen haben zwar angefangen, pfriemeln sich aber irgendwie durch die Anforderungen durch, ohne wirklich zu verstehen, worum es geht.

Das Problem: In vielen Firmen gibt es eben keine eigene IT-Abteilung und keine IT-Experten. Und selbst dort, wo ein IT-Experte vorhanden ist, ist dieser ja nicht automatisch auch ein Cybersecurity-Spezialist in der Tiefe, die hier erforderlich ist.

Die Anforderungen der Ministerien überfordern eigentlich alle Beteiligten. Siehe zum Beispiel hier und hier. Die Dokumentation ist hochkomplex und setzt Fachwissen voraus, das in normalen Unternehmen einfach nicht vorhanden ist.

Situation 3: Prinzip Hoffnung

Und dann gibt es noch diejenigen, die vom „Prinzip Hoffnung“ leben. Sie vertrauen darauf, dass das LBA ihnen auch im zweiten Halbjahr eine weitere Frist einräumen wird.

Unser klarer Rat: Rechnen Sie nicht damit! Wir erwarten keine weitere Verlängerung. Das LBA hat bereits sehr viel Kulanz gezeigt – mehr wird wohl nicht kommen.

Sind die LBA-Mitarbeiter selbst überfordert?

So ganz unter uns: Wir vermuten, dass das LBA in Sachen Cybersicherheit genauso überfordert ist wie die Unternehmen selbst.

Beim Luftfahrt-Bundesamt arbeiten ja auch ganz normale Menschen. Für die Prüfer ist die anspruchsvolle Cybersicherheits-Dokumentation der Ministerien vielleicht genauso schwer zu verstehen wie für die Mitarbeiter in den betroffenen Unternehmen.

Wenn wir damit richtig liegen, ist das für Sie eine halbwegs gute Nachricht. Denn das bedeutet, dass die Prüfer des LBA Ihr Cybersicherheitsprogramm wohl nicht bis ins kleinste Detail analysieren und bewerten. Eben, weil sie selbst nicht die dafür notwendige Fachkenntnis haben.

Den Prüfern könnte es also genügen, wenn Sie zu jedem Punkt der Anforderungen (siehe weiter unten) überhaupt etwas vorlegen können.

Das bedeutet für Sie, dass Sie jetzt nicht vor jedem kleinen Detail zittern müssen.

Machen Sie alle Schritte so gut, wie Sie es im ersten Anlauf können. Wenn Sie alle Punkte abgehakt haben, können Sie ggf. in den Folgemonaten an die Verbesserung der komplexeren Details gehen.

Offizielle vs. inoffizielle Fristen – ein wichtiger Unterschied!

Hier müssen wir einen wichtigen Punkt klarstellen: Die Frist zum 30. Juni 2025 wurde vielen Unternehmen bei LBA-Kontrollen mitgeteilt, aber sie war nie offiziell für alle Unternehmen kommuniziert worden.

In allen offiziellen LBA-Informationen steht: Ab dem 1. Januar 2025 muss alles umgesetzt sein. Die Frist bis zum 30. Juni war somit eher inoffiziell – eine Nachbearbeitungsfrist für diejenigen, die bei Kontrollen „erwischt“ wurden und noch nicht alles umgesetzt hatten.

Bei Unternehmen, die bisher nicht kontrolliert wurden, geht das LBA davon aus, dass bereits alles umgesetzt ist – bis sie bei der nächsten Kontrolle das Gegenteil feststellen.

Die große Unbekannte: Was passiert nach dem 30. Juni?

Wir wissen nicht, ob Unternehmen, die nach dem 30. Juni bei einer Kontrolle keine ausreichenden Cybersicherheitsmaßnahmen vorlegen können, ebenfalls noch eine Frist zur Nachbearbeitung bekommen. Wie oben gesagt, rechnen wir nicht damit.

Möglicherweise erfolgen dann gleich härtere Maßnahmen wie ein Entzug oder eine vorübergehende Aussetzung des Status. Das ist derzeit völlig ungewiss. Wir empfehlen Ihnen, kein Risiko einzugehen.

Jetzt handeln – keine Zeit mehr verlieren!

Falls Sie noch nicht alle fünf unten genannten Punkte abhaken können, sollten Sie jetzt sofort alle offenen Themen umsetzen. Eine Woche ist knapp, aber noch machbar – wenn Sie konsequent dranbleiben. Unsere Betreuungskunden können ja auch auf unserer Hilfe zählen.

Das LBA prüft konkret, ob in Ihrem Unternehmen:

1. kritische informations- und kommunikationstechnische Systeme (KIKS) identifiziert wurden.
2. ein Risikomanagement gemäß der Grundsätze durchgeführt wurde.
3. Cybersicherheitsmaßnahmen im Cybersicherheitsprogramm dokumentiert sind.
4. der Schulungsbedarf der Mitarbeiter bewertet wurde.
5. die erforderlichen Cybersicherheitsschulungen für das Personal durchgeführt und dokumentiert wurden.

Schnelle Hilfe: Unsere Cybersicherheitsschulungen

Bei einem Punkt können wir Ihnen sofort und unkompliziert helfen: den Schulungen für Ihr Personal. Über unsere Online-Plattform können Sie auch kurzfristig die benötigten Cybersicherheitsschulungen absolvieren lassen.

Wir bieten sowohl die „Standard“-Schulung als auch die „Erweiterte“Cybersicherheitsschulung an – je nachdem, welche Funktion Ihre Mitarbeiter im Unternehmen haben.

Nach erfolgreicher Absolvierung der Schulung erhält jeder Teilnehmer eine Teilnahmebescheinigung. Die Teilnahmebescheinigung kann sofort gespeichert und ausgedruckt werden. Damit ist dann eine der LBA-Anforderungen direkt erfüllt.

Alle Informationen zu unseren Cybersicherheitsschulungen finden Sie hier:
https://fcmanagement.de/schulungen/luftsicherheit/cybersicherheit/

Die Schulungen sind als Online-Kurs verfügbar und können von jedem internetfähigen PC aus absolviert werden – an jedem Tag und zu jeder Uhrzeit.

Perfekt für die Last-Minute-Umsetzung!

Unser Fazit: Keine Experimente mehr!

Eine Woche vor Fristablauf ist nicht die Zeit für Abwarten oder Hoffen auf Kulanz. Setzen Sie jetzt alle noch offenen Punkte konsequent um. Bei den Schulungen können wir Ihnen sofort helfen – für die anderen Bereiche sollten Sie professionelle Unterstützung in Anspruch nehmen, falls Sie nicht selbst über die nötige Expertise verfügen.

Wer in der Luftsicherheit von der First Class Management GmbH betreut wird, hat’s definitiv leichter – aber auch alle anderen können es noch schaffen, wenn sie jetzt handeln statt hoffen.

Für Rückfragen oder weitere Unterstützung stehen wir Ihnen jederzeit zur Verfügung!