Transportul este în anexa nr. 1 a OUG 155/2024, printre sectoarele cu grad ridicat de criticitate. Scorul de risc standard este 85 de puncte pentru o organizație mică, 170 pentru una mijlocie și 255 pentru una mare. La transportul rutier, legea vizează autoritățile care gestionează traficul și operatorii de sisteme de transport inteligente, nu firmele de transport de marfă.
Cine intră sub NIS2 în transport
Lista din anexa nr. 1 vine din Directiva NIS2 și acoperă patru moduri de transport:
- transport aerian: transportatorii aerieni folosiți în scopuri comerciale, administratorii aeroporturilor și entitățile care operează instalații auxiliare din aeroporturi, operatorii de control al traficului aerian;
- transport feroviar: administratorii de infrastructură și operatorii de transport feroviar, inclusiv operatorii infrastructurilor de servicii;
- transport pe apă: companiile de transport de pasageri și de mărfuri pe căile navigabile interioare, maritim și de coastă, organismele de gestionare a porturilor, inclusiv instalațiile portuare, și operatorii serviciilor de trafic al navelor;
- transport rutier: autoritățile rutiere responsabile cu controlul gestionării traficului și operatorii de sisteme de transport inteligente.
Mărimea se stabilește după Legea nr. 346/2004: de regulă, 50–249 de angajați pentru o firmă mijlocie și de la 250 pentru una mare. Firmele mici și micro intră doar în cazurile speciale din lege.
Ce nivel de asigurare rezultă
| Mărimea organizației | Tipul entității | Scor de risc standard | Nivel de asigurare | La autoevaluare |
|---|---|---|---|---|
| Mică sau micro | în afara NIS2, cu excepțiile din lege | 85 | de bază | 34 de controale, prag 2,5 |
| Mijlocie | importantă | 170 | important | 133 de controale, prag 3 |
| Mare | esențială | 255 | esențial | 218 controale, prag 3,5 și minimum 3 pe fiecare categorie |
Scorul standard este valoarea DNSC pentru sector, înmulțită cu 1, 2 sau 3 după mărime. Dacă activezi în mai multe sectoare, se aplică scorul cel mai mare.
Află-ți nivelul și scorul de maturitate în câteva minute. Calculatorul pornește cu sectorul „Transport” deja ales; tu alegi mărimea și răspunzi la 12 întrebări.
Calculează nivelul pentru transportCe sisteme intră de obicei în evaluare
Evaluarea și auditul privesc rețelele și sistemele informatice de care depinde serviciul de transport. În funcție de subsector, intră de obicei:
- dispeceratul, planificarea curselor și urmărirea flotei;
- vânzarea de bilete, rezervările și aplicațiile pentru călători;
- sistemele de control al traficului, de semnalizare și de comunicații operaționale;
- sistemele aeroportuare și portuare: check-in, bagaje, gestionarea terminalelor și a mărfii;
- echipamentele industriale și de automatizare, tratate separat de rețeaua de birou;
- accesul de la distanță al furnizorilor și al echipelor de mentenanță.
Transportul rutier de marfă: intră sau nu?
Întrebarea vine des de la firmele de transport și de logistică. Anexa nr. 1 nu include ca atare firmele de transport rutier de marfă: la rutier intră doar autoritățile care controlează gestionarea traficului și operatorii de sisteme de transport inteligente.
O firmă de transport sau de logistică poate intra totuși sub NIS2 pe altă cale: ca furnizor de servicii poștale și de curierat, din anexa nr. 2, dacă face curierat, sau dacă DNSC o desemnează.
Iar dacă lucrează pentru o entitate esențială sau importantă, aceasta îi va cere măsuri de securitate prin contract. Securitatea lanțului de aprovizionare este una dintre măsurile minime din art. 13 al OUG 155/2024.
Ce urmează
- notificarea către DNSC, în 30 de zile de la data la care OUG 155/2024 devine aplicabilă organizației; prima amendă DNSC a sancționat chiar acest termen;
- evaluarea nivelului de risc, în 60 de zile de la decizia DNSC;
- autoevaluarea, în următoarele 60 de zile, pe controalele nivelului tău;
- auditul, făcut de un auditor atestat DNSC.
Cum ajută TRU
În transport, o întrerupere oprește cursele și blochează mărfuri și călători. Începem de obicei cu:
- PenTest extern și intern pentru rețeaua IT, cu rapoarte în 48 de ore de la finalizarea scanării; mediile OT se discută separat;
- SOC 24/7/365, pentru detecție și răspuns și noaptea, când rulează multe dintre operațiuni;
- Proton Workspace, pentru comunicarea cu partenerii și documentele de transport, criptate în tranzit și în stocare.
Prin CIO-as-a-Service coordonăm inventarul, relația cu furnizorii și planul de remediere. Auditul îl fac auditori atestați DNSC, parteneri TRU.
Întrebări frecvente
O companie de curierat intră la transport?
Nu. Curieratul intră în sectorul servicii poștale și de curierat, din anexa nr. 2. O companie mijlocie sau mare de curierat este entitate importantă, cu scorul standard 100 sau 150, deci nivelul important.
Ce sunt sistemele de transport inteligente?
Sisteme care folosesc tehnologia informației și comunicațiile în transportul rutier: managementul traficului, informarea călătorilor sau taxarea electronică, de exemplu. Operatorii lor intră în anexa nr. 1.
Echipamentele industriale intră în evaluare?
Da, dacă susțin serviciul de transport. Le treci în inventar și le separi de rețeaua de birou. Testarea lor se planifică separat, cu operatorul, ca să nu afecteze funcționarea.
Surse
OUG 155/2024 · Directiva (UE) 2022/2555 · Metodologia DNSC de evaluare a nivelului de risc.