Táto príručka je určená prepravcom, kuriérnym spoločnostiam a operátorom skladov zaradených do Prílohy II zákona č. 69/2018 Z. z. Dozviete sa konkrétne povinnosti v oblasti bezpečnosti IT systémov, správy dodávateľov a hlásenia bezpečnostných incidentov.
Prepravcovia, kuriérne spoločnosti a operátori last-mile doručovania s celkovým počtom zamestnancov rovným alebo vyšším ako je stanovená prahová hodnota vrátane ich subjektov v logistických sieťach. Skladovacia infraštruktúra a flotilové riadiace systémy s dostupom na kľúčové logistické údaje musia spĺňať minimálne bezpečnostné štandardy. Compliance je povinný pre všetky subjekty poskytujúce kritické logistické služby na území Slovenskej republiky.
Všetky systémy na sledovanie vozidiel (GPS tracking), riadenie skladov a správu zásielok musia mať zavedené autentifikáciu viacerými faktormi a šifrovanú komunikáciu. Predvolané prihlasovacie údaje IoT zariadení musia byť bezodkladne zmenené. Systémy musia byť zaradené do záväzného plánu zálohovania a obnovy s testovaním aspoň raz za 12 mesiacov.
Všetky zmluvy s dopravcami, subdodávateľmi a partnerskými skladmi musia obsahovať konkrétne bezpečnostné povinnosti. Prevádzkovatelia musia pravidelne (aspoň ročne) overovať, či dodávatelia spĺňajú štandardy bezpečnosti siete a údajov. Výberom zmluvných partnerov musia byť vylúčené subjekty bez dokazateľného bezpečnostného programu.
Incidenty, ktoré ovplyvnia dostupnosť alebo integritu kľúčovej logistickej infraštruktúry (napr. výpadok skladového systému, narušenie GPS sledovania), musia byť nahlásené SK-CERT úradu NBÚ v čase 24 hodín. Podrobnosti hlásenia sú špecifikované v zákone č. 69/2018 Z. z. Narušenia údajov zákazníkov alebo zásielok musia byť nahlásené do 72 hodín.
Údaje o smerovaní zásielok, informácie o odosielateľoch a príjemcoch a celné dokumenty musia byť chránené primeranou úrovňou šifrovaní pri prenose a v pokoji. Prístup k týmto údajom musí byť obmedzený len na autorizovaný personál s rolou. Záznamy o prístupe musia byť uchovávané minimálne 12 mesiacov.
Musia byť zavedené písomné politiky riadenia bezpečnosti informácií s uvedením zodpovednosti vedenia. Všetci zamestnanci s prístupom k IT systémom musia absolvovať ročný tréning bezpečnosti. Musí byť menovaný osoba zodpovedná za incident management s dostupnosťou počas pracovného času.
Podľa NIS2 musia byť plány obnovy (disaster recovery) testované minimálne raz za 12 mesiacov. Pre kritické logistické systémy (napr. skladové WMS) sa odporúča testovanie šesťmesačne. Výsledky testov musia byť dokumentované a archivované.
Pre dôležité entity (Príloha II) sú maximálne pokuty až 7 miliónov EUR alebo 1,4% ročného obratu. Najčastejšie porušenia sú absencia dokumentácie bezpečnosti, nefunkčná hlasovacia procedúra incidentov a chýbajúce bezpečnostné klauzuly v zmluvách s dodávateľmi.
Incident musia byť nahlásený SK-CERT úradu NBÚ do 24 hodín od prvej detekcie. V hlásení uveďte doba výpadku, počet dotknutých staníc, druh narušenia a rámcové opatrenia na obnovu. Súbežne informujte postihnutých klientov do 72 hodín, ak sú dotknuté ich osobné údaje.