NIS2 pentru companiile de logistică și transport
NIS2 acoperă tipuri specifice de entități de transport din Anexa I și serviciile poștale și de curierat din Anexa II. Transportatorii rutieri, expeditorii și operatorii de depozite nu se numără printre ele. Iată cine intră în domeniul de aplicare, cine nu și ce ajunge la ceilalți în calitate de furnizori.
Cărei companii de logistică i se aplică NIS2?
Logistica este coloana vertebrală a economiei fizice. Un atac cibernetic care oprește un furnizor major de logistică nu afectează doar o singură companie. El perturbă lanțurile de aprovizionare pentru zeci sau sute de clienți. UE listează transportul în Anexa I (sectoare de înaltă criticitate), dar numai tipuri specifice de entități din cadrul lui, nu logistica în ansamblu.
NIS2 nu acoperă transportul în general. Enumeră tipuri specifice de entități: transportatori aerieni, aeroporturi și controlul traficului aerian; administratori de infrastructură feroviară și întreprinderi feroviare; companii de transport pe căi navigabile interioare, maritim și de coastă, operatori de porturi și servicii de trafic naval; autorități rutiere responsabile de managementul traficului și operatori de sisteme inteligente de transport (Anexa I sectorul 2); și servicii poștale și de curierat (Anexa II sectorul 1). Prin urmare, companiile de transport feroviar de marfă și de transport maritim intră în domeniul de aplicare, transportul rutier de marfă nu. O companie de transport rutier, un expeditor sau un operator de depozit nu este unul dintre aceste tipuri, deci nu intră în domeniul de aplicare pentru acea activitate, indiferent de dimensiune. Poate primi totuși cerințe NIS2 în calitate de furnizor: clienții care intră în domeniul de aplicare trebuie să gestioneze securitatea furnizorilor lor direcți (articolul 21 alineatul (2) litera (d) NIS2, secțiunea 30 alin. (2) pct. 4 BSIG) și transmit adesea cerințele prin contractele lor. Asta nu face din furnizor o entitate. Pentru tipurile enumerate, companiile care ating pragul de mărime (50+ angajați sau o cifră de afaceri și un bilanț de peste 10 milioane de euro fiecare) intră în domeniul de aplicare. Companiile mari (250+ angajați) de un tip din Anexa I sunt clasificate ca entități esențiale. Companiile mijlocii (50-249 angajați) sunt entități importante (wichtige Einrichtungen), iar serviciile poștale și de curierat contează ca entități importante la orice dimensiune peste prag. Ambele se confruntă cu setul complet de obligații NIS2.
Companiile moderne de logistică funcționează pe sisteme IT interconectate. Sistemele de management al transportului (TMS) orchestrează expedierile. Managementul flotei urmărește vehiculele în timp real. Sistemele de management al depozitului (WMS) controlează inventarul și culegerea. Unitățile telematice din camioane transmit poziția, viteza, temperatura și datele șoferului. Dacă oricare dintre aceste sisteme cade, operațiunile se opresc sau devin periculos de ineficiente. Dacă firma dvs. este unul dintre tipurile de entități enumerate, NIS2 vă cere să identificați aceste dependențe și să gestionați sistematic riscurile de securitate cibernetică.
Sistem de management al transportului (TMS)
Sistemul central pentru planificarea expedierilor, managementul transportatorilor, optimizarea rutelor și facturarea transportului de marfă. Sistemele comune includ SAP TM, Oracle Transportation Management, Transporeon sau CargoWise. Dacă TMS-ul cade, nu puteți planifica sau expedia. O singură intrare de activ.
Managementul flotei și telematică
Urmărire GPS, diagnosticarea vehiculelor, înregistrarea orelor șoferului (integrare tahograf digital), managementul combustibilului și urmărirea rutelor. Unitățile telematice din fiecare vehicul transmit date continuu. Sisteme precum Webfleet, Trimble, Samsara sau soluții specifice flotelor. Compromiterea ar putea însemna pierderea vizibilității asupra vehiculelor, manipularea înregistrărilor șoferilor sau urmărirea neautorizată. Grupați ca un singur activ.
Sistem de management al depozitului (WMS)
Managementul inventarului, optimizarea culegerii, recepția și expedierea mărfurilor și integrarea cu TMS și ERP. Poate include scanere de coduri de bare/RFID, sisteme automate de stocare și recuperare și controale de transportoare. Sisteme precum SAP EWM, Manhattan Associates sau Korber. Dacă WMS-ul cade, operațiunile de depozit revin la procese manuale la o fracțiune din debitul normal.
Sistem ERP și financiar
Managementul clienților, administrarea contractelor, facturarea, achizițiile și raportarea financiară. De obicei SAP, Microsoft Dynamics sau Sage. În logistică, ERP-ul se integrează adesea strâns cu TMS pentru facturare și portaluri pentru clienți. Compromiterea afectează veniturile, relațiile cu clienții și raportarea financiară. O singură intrare de activ.
Infrastructură de rețea
Rețeaua care conectează birourile, depozitele și telematica vehiculelor. Include legături WAN între locații, conexiuni VPN pentru lucrătorii mobili și șoferi, Wi-Fi în depozite și conexiuni celulare pentru telematica flotei. Companiile de logistică au adesea rețele distribuite în multe locații. Infrastructura fiecărui sit ar trebui documentată. Grupați după tipul de sit.
Puncte terminale și dispozitive mobile
PC-uri de birou, terminale de depozit, scanere portabile, tablete pentru șoferi și smartphone-uri. Logistica are o proporție mai mare de dispozitive mobile și ruginizate decât majoritatea sectoarelor. Includeți managementul dispozitivelor mobile (MDM) dacă este folosit. Grundschutz permite gruparea: '60 de scanere portabile de depozit' este o intrare. Includeți de asemenea tabletele șoferilor ca o intrare grupată separată.
1. Înregistrați-vă la BSI
Finalizați înregistrarea dvs. conform Secțiunii 33 BSIG dacă firma dvs. este unul dintre tipurile de entități enumerate. Transportul este un sector din Anexa I, deci companiile mari de un tip enumerat se confruntă cu o supraveghere proactivă din partea BSI. Înregistrați-vă în portalul BSI (portal.bsi.bund.de). Vă autentificați cu un certificat de organizație ELSTER de la 'Mein Unternehmenskonto' (MUK). Înregistrarea este o obligație de sine stătătoare, cu trei luni de la momentul în care vă numărați prima dată ca entitate (§ 33 alin. (1) BSIG).
2. Construiți-vă inventarul de active
Cartografiați TMS-ul, managementul flotei, WMS-ul, ERP-ul și infrastructura de susținere. Pentru fiecare sistem, documentați ce face, unde rulează, cine îl gestionează și ce se întâmplă dacă este indisponibil timp de 4 ore (logistica este sensibilă la timp). Acordați o atenție specială telematicii. Zeci sau sute de dispozitive conectate pe teren reprezintă o suprafață de atac unică.
3. Configurați raportarea incidentelor
Logistica operează pe programe strânse. Un atac cibernetic care întârzie expedierile chiar și cu câteva ore poate avea consecințe contractuale și financiare. Definiți ce contează ca incident semnificativ, stabiliți lanțul de raportare către BSI (24h/72h/1 lună) și creați proceduri interne de escaladare care țin cont de natura 24/7 a operațiunilor logistice. Includeți scenarii de weekend și de tură de noapte.
4. Documentați relațiile cu furnizorii
Companiile de logistică se bazează puternic pe IT-ul terț: TMS găzduit în cloud, furnizori de telematică SaaS, parteneri EDI și platforme de transportatori. Documentați fiecare furnizor IT, ce date accesează și ce măsuri de securitate își asumă. Furnizorul dvs. de TMS are probabil mai mult acces la datele dvs. operaționale decât orice angajat individual. Includeți-i în evaluarea securității lanțului dvs. de aprovizionare conform Secțiunii 30(2)(4) BSIG.
5. Revizuiți controalele de acces
Logistica are o forță de muncă distribuită: personal de birou, lucrători de depozit, șoferi și dispeceri. Fiecare are nevoie de un acces diferit la sisteme. Implementați controale de acces bazate pe roluri, impuneți MFA pentru accesul de la distanță și administrativ și asigurați-vă că conturile șoferilor și ale lucrătorilor temporari sunt dezactivate prompt când se încheie angajarea. Conturile partajate pe terminalele de depozit sunt comune, dar ar trebui înlocuite cu autentificări individuale acolo unde este fezabil.
Companiile de logistică operează unul dintre cele mai distribuite medii IT din orice sector. Activele nu se află într-o singură clădire. Sunt răspândite pe birouri, depozite, centre de distribuție și sute de vehicule pe șosea. Fiecare camion cu o unitate telematică este un punct terminal conectat. Fiecare scaner de depozit este un dispozitiv în rețeaua dvs. Această amprentă distribuită face securitatea tradițională de perimetru mai puțin eficace și crește importanța managementului dispozitivelor, a segmentării rețelei și a controalelor de acces bazate pe identitate.
Sensibilitatea la timp a logisticii creează o provocare unică de răspuns la incidente. Într-o companie de producție, ați putea tolera o întrerupere a sistemului de 24 de ore. În logistică, 4 ore de indisponibilitate a TMS-ului înseamnă ferestre de livrare ratate, penalități contractuale și întârzieri în cascadă. Planul dvs. de răspuns la incidente trebuie să țină cont de asta: ce proceduri manuale de rezervă există? Pot dispecerii direcționa expedierile prin telefon? Pot continua operațiunile de depozit cu culegere pe hârtie? Aceste întrebări de continuitate a activității sunt la fel de importante ca planul tehnic de recuperare.
Companiile de logistică sunt de asemenea profund integrate cu sistemele clienților și ale transportatorilor lor prin EDI (Electronic Data Interchange), conexiuni API și platforme partajate. O breșă de securitate la compania dvs. se poate propaga la clienți prin aceste conexiuni, și viceversa. Evaluarea securității lanțului dvs. de aprovizionare ar trebui să acopere nu doar furnizorii dvs. IT, ci și conexiunile electronice cu partenerii dvs. de afaceri. Securizarea acestor interfețe (autentificare corespunzătoare, transmitere criptată, validarea intrărilor) este o cerință NIS2 pentru companiile din domeniul de aplicare și o măsură de protecție a afacerii pentru toți ceilalți.
Întrebări frecvente
Suntem o companie de transport rutier de marfă cu 80 de camioane. Suntem esențiali sau importanți?
Probabil niciuna. Transportul rutier de marfă nu este un tip de entitate în sensul NIS2 sau BSIG: în transportul rutier, Anexa I acoperă doar autoritățile rutiere responsabile de managementul traficului și operatorii de sisteme inteligente de transport. Verificați dacă furnizați și servicii poștale sau de curierat (Anexa II) sau operați un sistem inteligent de transport. Dacă nu, numărul de camioane sau de angajați nu contează. Clienții care intră în domeniul de aplicare vă pot transmite totuși cerințe de securitate prin contractele lor, deoarece trebuie să gestioneze securitatea furnizorilor lor direcți (articolul 21 alineatul (2) litera (d) NIS2). Asta nu face din dvs. o entitate.
Unitățile telematice ale camioanelor noastre sunt considerate 'active' conform NIS2?
Dacă firma dvs. este unul dintre tipurile de entități enumerate, da. Orice sistem care vă susține serviciile critice de transport este un activ. Unitățile telematice transmit locația în timp real, viteza, temperatura (pentru transportul refrigerat) și datele despre orele șoferului. Sunt dispozitive conectate în rețeaua dvs. Grupați-le ca o singură intrare de activ. De exemplu, '80 de unități telematice Webfleet' în loc de 80 de intrări separate. Riscurile-cheie sunt: accesul neautorizat la datele de urmărire a vehiculelor, manipularea înregistrărilor tahografului și utilizarea potențială ca punct de intrare în rețea.
Folosim un TMS bazat pe cloud. Este asta problema noastră sau a furnizorului?
Ambele, dar dacă firma dvs. intră în domeniul de aplicare, obligația legală este a dvs. Conform Secțiunii 30 BSIG, puteți externaliza operațiunile, dar nu și răspunderea. Furnizorul dvs. de TMS cloud este un furnizor critic conform Secțiunii 30(2)(4). Trebuie să: documentați furnizorul în evaluarea securității lanțului dvs. de aprovizionare, includeți cerințe de securitate cibernetică în contract, verificați că furnizorul are măsuri de securitate adecvate (certificări, rapoarte de audit, angajamente de notificare a incidentelor) și aveți un plan de contingență dacă furnizorul suferă o breșă sau o întrerupere.
Cum se raportează NIS2 la reglementările privind tahograful digital?
NIS2 și reglementările privind tahograful (Regulamentul (UE) nr. 165/2014) sunt legi separate care se suprapun în privința securității datelor. Reglementările privind tahograful cer înregistrarea inviolabilă a datelor șoferului. Pentru entitățile din domeniul de aplicare, NIS2 adaugă stratul de management al securității cibernetice: securizarea sistemelor IT care prelucrează și transmit aceste date. Conformitatea cu NIS2 vă întărește poziția pe ambele fronturi, pentru că un mediu IT bine securizat protejează integritatea datelor reglementate.
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
