Serviciile poștale și de curierat sunt primul sector din anexa nr. 2, cea a sectoarelor critice. Firmele mijlocii și mari sunt entități importante; niciuna nu este esențială din oficiu. Scorul standard este 50 pentru o organizație mică, 100 pentru una mijlocie și 150 pentru una mare, așa că ambele ajung la nivelul important, cu 133 de controale.
Cine intră sub NIS2 în poștă și curierat
Sectorul vine din Directiva NIS2, care trimite la definiția furnizorului de servicii poștale din legislația europeană. Intră:
- furnizorii de servicii poștale, adică firmele care colectează, sortează, transportă și livrează trimiteri poștale;
- furnizorii de servicii de curierat, inclusiv cei care livrează coletele magazinelor online;
- orice furnizor mijlociu sau mare, fără să conteze dacă are sau nu obligația de serviciu universal.
Mărimea se stabilește după Legea nr. 346/2004: de regulă, 50–249 de angajați pentru o firmă mijlocie și de la 250 pentru una mare. Firmele mici și micro intră doar în cazurile speciale din lege.
Ce nivel de asigurare rezultă
| Mărimea organizației | Tipul entității | Scor de risc standard | Nivel de asigurare | La autoevaluare |
|---|---|---|---|---|
| Mică sau micro | în afara NIS2, cu excepțiile din lege | 50 | de bază | 34 de controale, prag 2,5 |
| Mijlocie | importantă | 100 | important | 133 de controale, prag 3 |
| Mare | importantă | 150 | important | 133 de controale, prag 3 |
Scorul standard este valoarea DNSC pentru sector, înmulțită cu 1, 2 sau 3 după mărime. Dacă activezi în mai multe sectoare, se aplică scorul cel mai mare.
Nici o firmă mare de curierat nu ajunge la nivelul esențial: scorul ei standard, 150, rămâne sub pragul de 200.
Află-ți nivelul și scorul de maturitate în câteva minute. Calculatorul pornește cu sectorul „Servicii poștale și de curierat” deja ales; tu alegi mărimea și răspunzi la 12 întrebări.
Calculează nivelul pentru curieratUnde este riscul la o firmă de curierat
O firmă de curierat funcționează doar cât timp funcționează urmărirea coletelor. Intră de obicei:
- sistemul de urmărire a coletelor și integrările cu magazinele online, prin API;
- centrele de sortare automată și scanerele;
- aplicațiile curierilor și terminalele mobile;
- rețeaua de lockere și de puncte de ridicare;
- plata ramburs, facturarea și decontarea cu clienții;
- notificările prin SMS și e-mail către destinatari, ale căror modele sunt copiate des în phishing.
Royal Mail, ianuarie 2023
Pe 10 ianuarie 2023, un atac ransomware al grupării LockBit a lovit sistemele Royal Mail pentru trimiterile internaționale. Aproximativ șase săptămâni, compania nu a mai putut expedia normal colete și scrisori în străinătate. Atacatorii au cerut 80 de milioane de dolari și au publicat apoi o parte din datele furate.
Royal Mail nu s-a oprit în întregime: livrările interne au continuat. Atacul a lovit un singur sistem, cel pentru exporturi, dar fără el o parte din afacere a stat pe loc. Pentru NIS2, asta înseamnă să știi ce sistem susține ce serviciu și să ai pentru fiecare un plan de continuitate.
Al doilea risc este numele tău. Mesajele false de tipul „coletul tău așteaptă plata unei taxe” folosesc numele firmelor de curierat. Un domeniu protejat cu SPF, DKIM și DMARC și o pagină clară despre cum arată mesajele oficiale reduc numărul celor păcăliți.
Ce urmează
- notificarea către DNSC, în 30 de zile de la data la care OUG 155/2024 devine aplicabilă organizației; prima amendă DNSC a sancționat chiar acest termen;
- evaluarea nivelului de risc, în 60 de zile de la decizia DNSC;
- autoevaluarea, în următoarele 60 de zile, pe controalele nivelului tău;
- auditul, făcut de un auditor atestat DNSC.
Cum ajută TRU
Firmele de curierat au mulți utilizatori pe teren și multe integrări cu clienții. Începem cu:
- PenTest extern pe API-urile și portalurile folosite de clienți și de curieri, cu rapoarte în 48 de ore de la finalizarea scanării;
- SOC 24/7/365, pentru că sortarea și livrările rulează și noaptea, și în weekend;
- Proton Workspace, pentru e-mailul echipelor și al dispeceratelor, criptat în tranzit și în stocare, cu Proton Pass pentru parolele partajate.
Prin CIO-as-a-Service coordonăm inventarul, relația cu furnizorii și planul de remediere. Auditul îl fac auditori atestați DNSC, parteneri TRU.
Întrebări frecvente
O firmă de transport de marfă intră la curierat?
Doar dacă oferă servicii de curierat. Transportul rutier de marfă nu apare ca atare în anexele NIS2; am explicat diferența în ghidul despre NIS2 în transport.
Un magazin online care își livrează singur coletele intră?
De regulă, nu. Livrarea propriilor produse face parte din activitatea de comerț și nu este serviciu poștal pentru alții.
Ce se întâmplă dacă firma are exact 50 de angajați?
Devine, de regulă, firmă mijlocie, deci entitate importantă, cu scorul standard 100 și nivelul important. Verifică însă și cifra de afaceri, activele și firmele partenere sau legate, după Legea nr. 346/2004.
Surse
OUG 155/2024 · Directiva (UE) 2022/2555 · Metodologia DNSC de evaluare a nivelului de risc · TechCrunch, atacul asupra Royal Mail, 23 februarie 2023 (în engleză).