Această pagină detaliază obligațiile specifice ale operatorilor de transport, companiilor de curierat și furnizorilor de logistică clasificați ca entități importante sub NIS2 în România. Veți afla ce sisteme trebuie securizate, cum să raportați incidentele și ce riscuri de conformitate trebuie să evitați.
Operatorii de transport rutier, companiile de curierat, furnizorii de servicii last-mile și gestionar de depozite cu cel puțin 50 de angajați sau cu venituri anuale de minimum 10 milioane EUR sunt clasificați ca entități importante conform OUG 155/2024. Aceasta include operatorii care gestionează flote de vehicule cu sisteme de urmărire conectate, depozite cu management automatizat, sau care procesează date de customs și documente de transport.
Toate sistemele IoT de urmărire GPS, aplicațiile de dispozitiv mobil pentru șoferi și platformele de management al depozitelor trebuie să îndeplinească cerințele de criptare și autentificare multifactor. Acestea sunt sisteme critice pentru continuitatea lanțului de aprovizionare; orice compromitere afectează direct livrarea și vânzările. Implementați protocoale de comunicare securizate (TLS 1.2 minimum) și schimbați credențialele implicite ale tuturor dispozitivelor IoT înainte de punerea în exploatare.
Contractele cu transportatori subcontractanți, depozitele terțe și furnizorii de software de management trebuie să conțină clauze explicite privind cerințele de securitate cibernetică și obligații de raportare a incidentelor. Auditați cel puțin trimestrial securitatea informatică a subcontractanților critici, inclusiv politicile de acces și managementul patchurilor. Nu trebuie să delegați responsabilitatea conformității — rămâneți responsabil pentru lanțul dvs. de aprovizionare.
Orice incident care afectează continuitatea operațiunilor de transport, depozitare sau livrare (cum ar fi indisponibilitatea sistemelor de tracking, accesul neautorizat la date de livrare, sau cifrarea datelor de customs) trebuie raportate organului de reglementare DNSC în termen de 24 de ore (avertisment timpuriu) și 72 de ore (notificare completă). Intreruperea serviciilor pentru mai mult de o oră necesită raportare; nu așteptați ca incidentul să se rezolve de la sine.
Informațiile de urmărire a coletelor, adresele de destinație, datele clientului și documentele customs sunt date sensibile care trebuie criptate în tranzit și în repaus. Implementați controle de acces pe bază de rol, jurnalizarea accesului și monitorizarea anomaliilor pentru orice persoană care accesează aceste informații. Rețineți că pierderea unui colet sau interceptarea unei expedieri nu este doar un risc operațional — este o încălcare de securitate care trebuie raportată dacă implică o violare de date.
Depozitele și sistemele centrale de management trebuie să aibă copii de siguranță regulare (zilnic minimum) stocate în locații geografice separate, cu un RTO (Recovery Time Objective) de maximum 4 ore. Testați cel puțin o dată pe an restaurarea completă din backup-uri pentru a verifica că planul funcționează efectiv. Incidentele cibernetice care cauzează pierderea datelor de transport sau întreruperea depozitării pentru mai mult de 2 ore declanșează obligația de raportare.
Sistemele de urmărire GPS a flotei, platformele de management al depozitelor, aplicațiile mobile ale șoferilor și bazele de date cu date de expediere și customs sunt critice. Acestea trebuie să aibă autentificare multifactor, criptare TLS 1.2 minimum, și planuri de recuperare cu RTO de 4 ore. Evaluați care sisteme, dacă ar fi indisponibili pentru 2 ore, ar bloca livrări sau ar cauza pierderi financiare directe — acelea sunt prioritare.
Trebuie să trimiteți un avertisment timpuriu către DNSC în termen de 24 de ore de la detectare (chiar dacă investigația nu e încheiată), urmat de o notificare detaliată în termen de 72 de ore care să includă descrierea incidentului, sistemele afectate, datele compromise și acțiunile luate. Folosiți platforma de raportare oficială DNSC sau contactați direct autoritatea; nu puteți neglija acest termen chiar dacă incidentul pare minor.
Pentru entități importante (categoria dvs.), penalitățile pot ajunge la 7 milioane EUR sau 1,4% din cifra de afaceri anuală globală, oricare este mai mare. Adăugați la aceasta costurile operaționale ale unei breșe (pierdere de clienți, întrerupere a livrărilor) și stakeholder liability dacă subcontractanții sunt compromși. Implementarea conformității acum costă mult mai puțin decât să gestionați o amendă și recuperarea unei breșe.