NIS2 yra atnaujinti ES kibernetinio saugumo reikalavimai. Daugumai vežėjų tai nėra tiesioginis teisinis reikalavimas — bet tai pajusite vis tiek. Štai ką turite žinoti.
Kas yra NIS2 direktyva?
NIS2 — Tinklų ir informacinių sistemų saugumo direktyva 2 — įsigaliojo 2024 m. lapkričio 1 d. Ji nustato griežtesnius reikalavimus IT saugumui, rizikos vertinimui ir saugumo incidentų valdymui įmonėse kritiniuose sektoriuose — įskaitant transportą.
Trys svarbiausi pokyčiai palyginti su ankstesne direktyva:
- Platesnė taikymo sritis: Daug daugiau įmonių ir sektorių dabar tiesiogiai taikoma, įskaitant krovinių vežimą keliais.
- Griežtesni reikalavimai: Reikalavimai rizikos valdymui, incidentų reagavimui ir tiekėjų saugumui.
- Didesnės baudos: Iki 10 mln. EUR arba 2 % pasaulinės apyvartos tiesiogiai taikomoms organizacijoms.
Kam tiesiogiai taikoma NIS2?
Tikriausiai ne jūsų įmonei — jei esate tipiškas vežėjas. NIS2 tiesiogiai taikoma:
- Esminės organizacijos: Virš 250 darbuotojų ARBA virš 50 mln. EUR pajamų.
- Svarbios organizacijos: Virš 50 darbuotojų ARBA virš 10 mln. EUR pajamų.
Dauguma vežėjų su mažiau nei 50 darbuotojų ir mažiau nei 10 mln. EUR pajamų tiesiogiai nepatenka po NIS2.
Bet — ir tai svarbu: NIS2 reikalauja, kad didelės tiesiogiai taikomos įmonės keltų saugumo reikalavimus savo tiekėjams. Jei vežate dideliems gamintojams, mažmeninės prekybos tinklams ar logistikos įmonėms, jie greičiausiai kels IT saugumo reikalavimus jums. Tai netiesioginis, bet realus poveikis.
Ko konkrečiai reikalauja NIS2?
Tiesiogiai taikomoms įmonėms reikalavimai aiškūs:
- Dokumentuotos saugumo politikos ir rizikos vertinimai — vadovybė yra asmeniškai atsakinga.
- Incidentų pranešimas per 24 valandas (ankstyvasis perspėjimas) ir 72 valandas (pilna ataskaita).
- Prieigos kontrolė ir šifravimas duomenų ir sistemų.
- Tiekėjų saugumas: Turite įvertinti savo IT tiekėjų saugumą — būtent šis reikalavimas pereina vežėjams kaip subrangovams.
- Atsarginių kopijų ir nenumatytų atvejų planai saugumo incidentams.
Ką turėtumėte daryti kaip vežėjas dabar?
- Patikrinkite, ar jums tiesiogiai taikoma. Virš 50 darbuotojų arba 10 mln. EUR pajamų? Taip → esate svarbi organizacija. Ne → tikriausiai tiesiogiai netaikoma, bet galite pajusti netiesiogiai.
- Tikėkitės reikalavimų iš klientų. Proaktyviai paklauskite, ar jūsų dideli klientai kels IT saugumo reikalavimus jums.
- Patikrinkite savo sistemas. Ar jos atnaujintos? Ar naudojate stiprius slaptažodžius ir dviejų faktorių autentifikavimą? Ar duomenys yra archyvuojami?
- Rinkitės saugius tiekėjus. Jūsų TMS turi atitikti šiuolaikinius saugumo standartus. DORA veikia šiuolaikinėje debesų infrastruktūroje su šifravimu ir prieigos kontrole.
- Kalbėkite su darbuotojais. Trumpas supažindinimas su sukčiavimu el. paštu ir saugiais slaptažodžiais yra lengviausias ir efektyviausias dalykas, kurį galite padaryti.
Sankcijos už neatitiktį
Tiesiogiai taikomoms įmonėms baudos didelės: iki 10 mln. EUR arba 2 % pasaulinės apyvartos. Vadovybei kraštutiniais atvejais gali būti laikinai uždrausta eiti pareigas.
Daugumai vežėjų tikroji rizika yra ne baudos iš institucijų — o sutarčių praradimas su klientais, kurie negali naudoti tiekėjų, neatitinkančių jų saugumo reikalavimų.
Dažnai užduodami klausimai apie NIS2 ir transportą
Ar mano transporto įmonei tiesiogiai taikoma NIS2?
Tikriausiai ne, jei turite mažiau nei 50 darbuotojų ir mažiau nei 10 mln. EUR pajamų. Bet galite pajusti netiesiogiai, jei jūsų klientai tiesiogiai taikomi ir kelia reikalavimus per tiekimo grandinę.
Koks incidentų pranešimo terminas?
Tiesiogiai taikomoms organizacijoms: ankstyvasis perspėjimas per 24 valandas, pilna ataskaita per 72 valandas.
Kas nutiks, jei neatitinksite NIS2?
Tiesiogiai taikomoms įmonėms: baudos iki 10 mln. EUR arba 2 % pasaulinės apyvartos, nurodymai ištaisyti — ir galimai laikinas draudimas vadovybei eiti pareigas. Daugumai vežėjų didesnė rizika yra klientų sutarčių praradimas.
