Questa guida illustra gli obblighi specifici del D.Lgs. 138/2024 per imprese di logistica, trasporto merci e gestione magazzini classificate come entità importante (Allegato II). Scopri come implementare la sicurezza cibernetica nella tracciabilità flotta, nei sistemi warehouse e nella catena di approvvigionamento.
Rientrano nel perimetro NIS2 gli spedizionieri internazionali, i corrieri (nazionali e transfrontalieri), gli operatori di logistica urbana e gli operatori di magazzini automatizzati che gestiscono flussi critici per il trasporto merci europeo. Si applicano soglie di turnover minimo e criticità operativa determinati dall'ACN; l'Agenzia pubblica l'elenco delle entità importanti con aggiornamento annuale.
Dovete implementare controlli di accesso, crittografia end-to-end e autenticazione multi-fattore sui sistemi GPS, IoT tracker e piattaforme di fleet management. Tutti i device di localizzazione devono essere configurati con credenziali forti e non devono utilizzare impostazioni di default. Includete questi sistemi nel piano di backup e disaster recovery, garantendo la continuità operativa in caso di attacco cibernetico.
Nei contratti con vettori subappaltati, corrieri partner e fornitori di servizi logistici dovete inserire clausole obbligatorie di cybersecurity e richiedere audit periodici della loro postura di sicurezza. Ogni accordo deve specificare responsabilità in caso di incident, livelli di servizio SLA relativi alla disponibilità, e procedure di notifica degli incidenti entro 24 ore. Mantenete un inventario aggiornato di tutti i fornitori critici e della loro classificazione di rischio.
I dati relativi a lettere di vettura, dichiarazioni doganali, manifesti di carico e informazioni sui destinatari devono essere crittografati a riposo e in transito. Implementate controlli di accesso basati sui ruoli per limitare la visibilità dei dati sensibili solo al personale autorizzato. Definite una policy di retention e cancellazione sicura dei dati personali e commerciali, conforme al GDPR e ai requisiti NIS2.
I sistemi di gestione magazzino (WMS), i robot di picking e i convogliatori automatizzati devono essere integrati nella vostra strategia di cybersecurity. Segmentate la rete operativa (OT) dalla rete IT mediante firewall e DMZ. Applicate patch di sicurezza regolari, monitorate gli accessi admin e includete esplicitamente questi asset nei vostri piani di backup, continuità e testing del disaster recovery.
Dovete segnalare all'ACN qualsiasi incidente cibernetico che impatti la continuità della fornitura logistica entro 24 ore dalla scoperta (con comunicazione preliminare entro il primo giorno). Entro 72 ore dalla prima notifica, fornite una relazione completa con descrizione tecnica dell'attacco, numero di spedizioni compromesse e misure di mitigazione intraprese. Conservate un registro di tutti gli incidenti, anche minori, per 12 mesi.
Ogni dispositivo deve supportare crittografia TLS 1.2 o superiore per i dati in transito, autenticazione OAuth 2.0 o certificati X.509 per l'accesso, e non deve utilizzare credenziali di default. Implementate una policy di change password ogni 90 giorni, segmentate i device IoT su una VLAN dedicata e monitorate i tentativi di accesso falliti. Verificate che il produttore fornisca patch di sicurezza per almeno 5 anni dal rilascio del device.
No, senza un accordo scritto di responsabilità cibernetica e audit di sicurezza. Dovete aggiungere al contratto requisiti vincolanti: incident reporting entro 24 ore, backup crittografato, autenticazione multi-fattore, e audit annuale (interno o esterno). Fino a quando il vostro partner non dimostra conformità, dovete classificarlo come 'fornitore ad alto rischio' e implementare controlli compensativi (es. monitoraggio aggiuntivo, backup ridondante dei dati da lui gestiti).
Per omessa registrazione o violazione degli obblighi di sicurezza, le sanzioni amministrative vanno fino a €7 milioni o il 1,4% del vostro fatturato annuale (D.Lgs. 138/2024). Per ritardo nella notifica incidenti oltre le 24 ore, potete incorrere in sanzioni graduali fino a €500.000. Vi consigliamo di registrarvi entro gennaio 2025 e di implementare un sistema di alert automatico per incident reporting.