NIS2 para empresas de Logística e Transportes
A NIS2 abrange tipos específicos de entidades de transporte no Anexo I e os serviços postais e de estafeta no Anexo II. Os transportadores rodoviários, os transitários e os operadores de armazém não se contam entre eles. Eis quem está no âmbito, quem não está, e o que chega aos restantes como fornecedores.
A que empresas de logística se aplica a NIS2?
A logística é a espinha dorsal da economia física. Um ciberataque que pare um grande operador logístico não afeta apenas uma empresa. Perturba cadeias de abastecimento de dezenas ou centenas de clientes. A UE enumera o transporte no Anexo I (setores de elevada criticidade), mas apenas tipos específicos de entidades dentro dele, não a logística no seu conjunto.
A NIS2 não abrange o transporte em geral. Enumera tipos específicos de entidades: transportadoras aéreas, aeroportos e controlo do tráfego aéreo; gestores de infraestruturas ferroviárias e empresas ferroviárias; empresas de transporte por vias navegáveis interiores, marítimo e costeiro, operadores portuários e serviços de tráfego de navios; autoridades rodoviárias responsáveis pela gestão do tráfego e operadores de sistemas de transporte inteligentes (Anexo I, setor 2); e serviços postais e de estafeta (Anexo II, setor 1). As empresas de transporte ferroviário de mercadorias e de transporte marítimo estão, por isso, no âmbito; o transporte rodoviário de mercadorias não. Uma empresa de transporte rodoviário, um transitário ou um operador de armazém não é um destes tipos, pelo que não está no âmbito para essa atividade, seja qual for a sua dimensão. Pode ainda receber requisitos da NIS2 como fornecedor: os clientes que estão no âmbito têm de gerir a segurança dos seus fornecedores diretos (artigo 21.o, n.o 2, alínea d), da NIS2, Secção 30(2)(4) BSIG) e muitas vezes transmitem os requisitos através dos contratos. Isso não torna o fornecedor uma entidade. Para os tipos enumerados, as empresas que cumprem o limiar de dimensão (50+ trabalhadores, ou mais de 10 milhões de euros tanto de volume de negócios como de balanço) estão no âmbito. As grandes empresas (250+ trabalhadores) de um tipo do Anexo I são classificadas como entidades essenciais. As empresas médias (50 a 249 trabalhadores) são entidades importantes (wichtige Einrichtungen), e os serviços postais e de estafeta contam como entidades importantes em qualquer dimensão acima do limiar. Ambas enfrentam o conjunto completo de obrigações NIS2.
As empresas de logística modernas funcionam com sistemas de TI interligados. Os Sistemas de Gestão de Transportes (TMS) orquestram os envios. A gestão de frota localiza os veículos em tempo real. Os Sistemas de Gestão de Armazém (WMS) controlam o inventário e a recolha. As unidades de telemática nos camiões transmitem posição, velocidade, temperatura e dados do condutor. Se algum destes sistemas falhar, as operações param ou tornam-se perigosamente ineficientes. Se a sua empresa é um dos tipos de entidade enumerados, a NIS2 exige que identifique estas dependências e que gira os riscos de cibersegurança de forma sistemática.
Sistema de Gestão de Transportes (TMS)
O sistema central para planeamento de envios, gestão de transportadoras, otimização de rotas e faturação de frete. Sistemas comuns incluem SAP TM, Oracle Transportation Management, Transporeon ou CargoWise. Se o TMS falhar, não pode planear nem despachar envios. Uma entrada de ativo.
Gestão de frota e telemática
Localização GPS, diagnóstico de veículos, registo de horas dos condutores (integração de tacógrafo digital), gestão de combustível e localização de rotas. As unidades de telemática em cada veículo transmitem dados em contínuo. Sistemas como Webfleet, Trimble, Samsara ou soluções específicas de frota. Um comprometimento pode significar perda de visibilidade do veículo, manipulação de registos do condutor ou localização não autorizada. Agrupe como um ativo.
Sistema de Gestão de Armazém (WMS)
Gestão de inventário, otimização de recolha, receção e expedição de mercadorias, e integração com o TMS e o ERP. Pode incluir leitores de código de barras/RFID, sistemas automáticos de armazenamento e recolha, e controlos de transportadores. Sistemas como SAP EWM, Manhattan Associates ou Korber. Se o WMS falhar, as operações de armazém revertem para processos manuais a uma fração do débito normal.
Sistema ERP e financeiro
Gestão de clientes, administração de contratos, faturação, aquisições e reporte financeiro. Comummente SAP, Microsoft Dynamics ou Sage. Na logística, o ERP integra-se muitas vezes de forma estreita com o TMS para faturação e portais de cliente. Um comprometimento afeta as receitas, as relações com clientes e o reporte financeiro. Uma entrada de ativo.
Infraestrutura de rede
A rede que liga escritórios, armazéns e telemática de veículos. Inclui ligações WAN entre localizações, ligações VPN para trabalhadores móveis e condutores, Wi-Fi nos armazéns, e ligações celulares para a telemática de frota. As empresas de logística têm muitas vezes redes distribuídas por várias localizações. A infraestrutura de cada local deve ser documentada. Agrupe por tipo de local.
Postos de trabalho e dispositivos móveis
PCs de escritório, terminais de armazém, leitores portáteis, tablets de condutores e smartphones. A logística tem uma proporção mais alta de dispositivos móveis e robustecidos do que a maioria dos setores. Inclua a gestão de dispositivos móveis (MDM) se for usada. O Grundschutz permite agrupar: '60 leitores portáteis de armazém' é uma entrada. Inclua também os tablets de condutores como uma entrada agrupada separada.
1. Registe-se junto do BSI
Complete o seu registo nos termos do § 33 BSIG se a sua empresa for um dos tipos de entidade enumerados. O transporte é um setor do Anexo I, pelo que as grandes empresas de um tipo enumerado enfrentam supervisão proativa do BSI. Registe-se no portal do BSI (portal.bsi.bund.de). Inicia sessão com um certificado de organização ELSTER do «Mein Unternehmenskonto» (MUK). O registo é um dever próprio, com três meses a contar do momento em que passa a contar como entidade (§ 33(1) BSIG).
2. Construa o seu inventário de ativos
Mapeie o seu TMS, gestão de frota, WMS, ERP e a infraestrutura de suporte. Para cada sistema, documente o que faz, onde corre, quem o gere e o que acontece se ficar indisponível durante 4 horas (a logística é sensível ao tempo). Preste atenção especial à telemática. Dezenas ou centenas de dispositivos ligados no terreno representam uma superfície de ataque única.
3. Estabeleça a comunicação de incidentes
A logística opera em horários apertados. Um ciberataque que atrase envios por apenas algumas horas pode ter consequências contratuais e financeiras. Defina o que conta como incidente significativo, estabeleça a cadeia de comunicação ao BSI (24h/72h/1 mês), e crie procedimentos internos de escalonamento que tenham em conta a natureza 24/7 das operações logísticas. Inclua cenários de fim de semana e de turno noturno.
4. Documente as relações com fornecedores
As empresas de logística dependem muito de TI de terceiros: TMS alojado em cloud, fornecedores de telemática SaaS, parceiros EDI e plataformas de transportadoras. Documente cada fornecedor de TI, a que dados acede e que medidas de segurança assume. O seu fornecedor de TMS tem provavelmente mais acesso aos seus dados operacionais do que qualquer trabalhador isolado. Inclua-os na sua avaliação de segurança da cadeia de abastecimento ao abrigo do § 30(2)(4) BSIG.
5. Reveja os controlos de acesso
A logística tem uma força de trabalho distribuída: pessoal de escritório, trabalhadores de armazém, condutores e despachantes, cada um a precisar de acessos diferentes ao sistema. Implemente controlos de acesso baseados em funções, imponha MFA para acesso remoto e administrativo, e garanta que as contas de condutores e trabalhadores temporários são desativadas prontamente quando o vínculo termina. As contas partilhadas em terminais de armazém são comuns mas devem ser substituídas por inícios de sessão individuais sempre que viável.
As empresas de logística operam um dos ambientes de TI mais distribuídos de qualquer setor. Os ativos não estão num só edifício. Estão espalhados por escritórios, armazéns, centros de distribuição e centenas de veículos na estrada. Cada camião com uma unidade de telemática é um posto ligado. Cada leitor de armazém é um dispositivo na sua rede. Esta presença distribuída torna a segurança de perímetro tradicional menos eficaz e aumenta a importância da gestão de dispositivos, da segmentação de rede e dos controlos de acesso baseados em identidade.
A sensibilidade ao tempo da logística cria um desafio único de resposta a incidentes. Numa empresa industrial, pode conseguir tolerar uma indisponibilidade de sistema de 24 horas. Na logística, 4 horas de indisponibilidade do TMS significam janelas de entrega perdidas, penalizações contratuais e atrasos em cascata. O seu plano de resposta a incidentes precisa de ter isto em conta: que procedimentos manuais de recurso existem? Os despachantes conseguem encaminhar envios por telefone? As operações de armazém conseguem continuar com recolha em papel? Estas questões de continuidade de negócio são tão importantes como o plano técnico de recuperação.
As empresas de logística estão também profundamente integradas com os sistemas dos seus clientes e transportadoras via EDI (Intercâmbio Eletrónico de Dados), ligações de API e plataformas partilhadas. Uma falha de segurança na sua empresa pode propagar-se aos clientes através destas ligações, e vice-versa. A sua avaliação de segurança da cadeia de abastecimento deve cobrir não só os seus fornecedores de TI mas também as ligações eletrónicas com os seus parceiros de negócio. Proteger estas interfaces (autenticação adequada, transmissão cifrada, validação de entradas) é um requisito NIS2 para as empresas no âmbito e uma medida de proteção do negócio para todas.
Perguntas frequentes
Somos uma empresa de carga rodoviária com 80 camiões. Somos essenciais ou importantes?
Provavelmente nenhuma das duas. O transporte rodoviário de mercadorias não é um tipo de entidade nos termos da NIS2 nem do BSIG: no transporte rodoviário, o Anexo I abrange apenas as autoridades rodoviárias responsáveis pela gestão do tráfego e os operadores de sistemas de transporte inteligentes. Verifique se presta também serviços postais ou de estafeta (Anexo II) ou se explora um sistema de transporte inteligente. Se não, o número de camiões ou de trabalhadores não importa. Os clientes que estão no âmbito podem ainda transmitir-lhe requisitos de segurança através dos contratos, porque têm de gerir a segurança dos seus fornecedores diretos (artigo 21.o, n.o 2, alínea d), da NIS2). Isso não faz de si uma entidade.
As unidades de telemática dos nossos camiões são consideradas 'ativos' ao abrigo da NIS2?
Se a sua empresa é um dos tipos de entidade enumerados, sim. Qualquer sistema que apoie os seus serviços críticos de transporte é um ativo. As unidades de telemática transmitem localização em tempo real, velocidade, temperatura (para transporte refrigerado) e dados de horas do condutor. São dispositivos ligados na sua rede. Agrupe-as como uma entrada de ativo, por exemplo '80 unidades de telemática Webfleet' em vez de 80 entradas separadas. Os riscos-chave são: acesso não autorizado aos dados de localização do veículo, manipulação dos registos do tacógrafo, e uso potencial como ponto de entrada na rede.
Usamos um TMS baseado na cloud. Isso é problema nosso ou do fornecedor?
De ambos, mas se a sua empresa está no âmbito, a obrigação legal é sua. Ao abrigo do § 30 BSIG, pode externalizar operações mas não a responsabilidade. O seu fornecedor de TMS em cloud é um fornecedor crítico nos termos do § 30(2)(4). Tem de: documentar o fornecedor na sua avaliação de segurança da cadeia de abastecimento, incluir requisitos de cibersegurança no contrato, verificar que o fornecedor tem medidas de segurança adequadas (certificações, relatórios de auditoria, compromissos de notificação de incidentes), e ter um plano de contingência caso o fornecedor sofra uma falha ou indisponibilidade.
Qual a relação da NIS2 com as regras do tacógrafo digital?
A NIS2 e as regras do tacógrafo (Regulamento (UE) n.o 165/2014) são leis distintas que se sobrepõem na segurança de dados. As regras do tacógrafo exigem o registo inviolável dos dados do condutor. Para as entidades no âmbito, a NIS2 acrescenta a camada de gestão de cibersegurança: proteger os sistemas de TI que processam e transmitem estes dados. A conformidade com a NIS2 reforça a sua posição em ambas porque um ambiente de TI bem protegido protege a integridade dos dados regulados.
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
