NIS2 per trasporti, corrieri e logistica: chi rientra davvero

Trasporti e logistica compaiono due volte nella NIS2: i trasporti nell'allegato I, tra i settori ad alta criticità, e i servizi postali e di corriere nell'allegato II. In mezzo c'è una parte grande del settore, fatta di autotrasportatori, spedizionieri e magazzini, che spesso si chiede se la legge la riguardi. La risposta dipende meno dal mezzo che usate e più dal servizio che offrite.

Questa guida mette in fila chi è dentro, chi di solito resta fuori e i casi in cui la linea di confine passa da un'autorizzazione che molte imprese di logistica hanno già.

I trasporti dell'allegato I

Il settore trasporti dell'allegato I non comprende «chiunque trasporti qualcosa», ma tipologie precise, definite dalle norme europee di ciascun modo di trasporto:

Notate cosa manca nella riga della strada: il trasporto di merci su strada come tale non c'è. E l'ACN chiarisce che chi si limita a usare servizi ITS di terzi, per esempio la telematica di flotta, non diventa per questo un gestore di ITS (FAQ A1.2.d.2).

Il trasporto pubblico locale è nell'allegato IV: entra solo se l'ACN individua l'azienda con una comunicazione, a prescindere dalla dimensione (art. 3, c. 8).

Corrieri e servizi postali: l'allegato II

L'allegato II, punto 1, comprende i fornitori di servizi postali, compresi i corrieri. Per l'ACN è fornitore di servizi postali chi svolge al pubblico almeno una delle fasi di raccolta, smistamento, trasporto e distribuzione degli invii postali, pacchi compresi (FAQ A2.1.2, che rinvia al d.lgs. 261/1999).

La stessa FAQ traccia il confine che interessa a molte imprese di logistica:

• sono fuori le prestazioni interne e strumentali e le attività di solo trasporto;
• sono dentro, se superano la soglia della piccola impresa, i titolari di abilitazioni postali, comprese le imprese di autotrasporto, di spedizione o di corriere che raccolgono, smistano, trasportano e consegnano pacchi.

In pratica: se avete un titolo abilitativo postale e offrite al pubblico un servizio di ritiro e consegna di pacchi, verificate con attenzione, perché probabilmente siete soggetto NIS anche se vi considerate un autotrasportatore.

Chi di solito resta fuori, e le eccezioni

Senza abilitazione postale e senza le attività dell'allegato I, restano di regola fuori:

• l'autotrasporto di merci in conto terzi di solo trasporto;
• la logistica di magazzino per conto dei clienti, che non è un'attività elencata in sé;
• lo spedizioniere che organizza trasporti affidandoli ad altri, senza fasi postali proprie.

Ci sono però altre strade per entrare, da controllare una per una:

• i rifiuti: chi raccoglie e trasporta rifiuti può rientrare nella gestione dei rifiuti (allegato II, punto 2), dove però conta l'attività principale (FAQ AMB.GE.4);
• il gruppo: se gestite l'informatica o la sicurezza di una società del gruppo che è soggetto NIS, siete dentro a prescindere dalla dimensione (art. 3, c. 10);
• l'individuazione dell'ACN, per esempio come anello critico della catena di approvvigionamento di altri soggetti NIS (art. 3, c. 9).

Anche chi resta fuori, poi, lavora spesso per clienti che sono dentro: di questo parliamo più sotto.

Status e autorità di settore

Per entrambi gli allegati vale la regola dimensionale: si entra dalla media impresa in su (art. 3, c. 2), contando il gruppo. Lo status però cambia:

Per un soggetto essenziale la vigilanza può essere anche «ex ante», con ispezioni e audit periodici, e le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale; per un importante si ferma a 7 milioni o all'1,4% (le sanzioni). La registrazione è per tutti sul Portale ACN, dal 1° gennaio al 28 febbraio di ogni anno: i passi sono in registrazione e punto di contatto.

Cosa cambia in un'impresa di trasporto o di consegne

I sistemi che reggono il servizio sono quasi sempre gli stessi: il gestionale dei trasporti (TMS), quello del magazzino (WMS), i palmari degli autisti, la telematica di bordo, gli scambi EDI con i clienti e il sito per il tracciamento delle spedizioni. Molti di questi stanno in cloud presso fornitori esterni, ed è qui che le misure dell'ACN si fanno sentire:

• fornitori: il TMS in cloud e la piattaforma telematica sono fornitori da valutare e da vincolare con requisiti di sicurezza nel contratto (misure GV.SC-05 e GV.SC-07). Chi vi fornisce servizi cloud o gestiti, e chi non potreste sostituire senza fermarvi, va anche comunicato all'ACN come fornitore rilevante;
• accessi: autenticazione a più fattori sui sistemi rilevanti (PR.AA-03), e un elenco dei sistemi raggiungibili da remoto con le modalità di accesso (PR.IR-01);
• livelli di servizio: scrivete per quanto tempo il TMS o il tracciamento possono restare fermi (DE.CM-01). Oltre quel limite il fermo è un incidente significativo da notificare (tipo IS-3).

Un incidente che blocca le consegne si notifica al CSIRT Italia entro 24 ore, con la notifica completa entro 72 ore e la relazione finale entro un mese: la notifica degli incidenti.

Se i vostri clienti sono soggetti NIS

Molti operatori logistici sono fuori dalla NIS2 ma lavorano per industrie, grossisti alimentari o aziende sanitarie che ci sono dentro. Per loro siete un fornitore: devono valutare il rischio che portate, mettere requisiti di sicurezza nei contratti e verificarli. Se il loro servizio si blocca quando vi fermate voi, possono indicarvi all'ACN come «fornitore rilevante» per la fornitura non fungibile. Aspettatevi clausole, questionari e richieste di prove: come prepararvi è in NIS2 e fornitori.

Da dove partire

1. Elencate i servizi che offrite, non i mezzi che usate: trasporto, ritiro e consegna di pacchi al pubblico, magazzino, servizi in porto, aeroporto o terminal.
2. Controllate le abilitazioni: avete un titolo abilitativo postale?
3. Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso.
4. Se siete dentro, nominate il punto di contatto e preparate la registrazione; se siete fuori, preparatevi alle richieste dei clienti.

La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi accompagna poi in otto tappe, dai fornitori allo scadenzario dei documenti: iniziate gratis. Se preferite essere seguiti, c'è la consulenza NIS2 dello Studio, in presenza a Milano o a distanza.

Domande frequenti