NIS2 nei trasporti e nella logistica

La NIS2 nei trasporti e nella logistica

Il settore è distribuito su più allegati del D.Lgs. 138/2024. I trasporti sono nell’Allegato I, tra i settori ad alta criticità. I servizi postali e di corriere sono nell’Allegato II. Il legislatore italiano ha poi aggiunto ulteriori tipologie di soggetti, tra cui il trasporto pubblico locale.

Valgono le soglie di media impresa: almeno 50 dipendenti, oppure fatturato o bilancio oltre 10 milioni di euro, calcolati anche sulle società collegate. Di norma un grande operatore dei trasporti dell’Allegato I è soggetto essenziale, mentre medie imprese dell’Allegato I e corrieri dell’Allegato II sono di norma soggetti importanti.

Chi fa solo logistica conto terzi o magazzinaggio deve capire se la propria attività ricade in uno dei settori elencati o se è coinvolto come fornitore. È il primo punto della verifica del perimetro.

I rischi tipici

• WMS e TMS fermi: senza gestione del magazzino e pianificazione dei viaggi le banchine si bloccano e i mezzi restano in piazzale.
• Tracciamento compromesso: piattaforme di track & trace e portali clienti indisponibili o manomessi.
• Terminali e palmari: dispositivi di autisti e magazzinieri smarriti, condivisi o senza blocco, con accesso ai sistemi centrali.
• Interconnessioni: scambi automatici di dati con clienti, vettori in subappalto e piattaforme dei committenti.
• Frodi e furto di carichi: email di phishing che cambiano destinazioni o coordinate di ritiro.
• Depositi e mezzi: accessi notturni, piazzali poco presidiati, chiavi dei mezzi gestite senza registro.

Cosa chiede la norma in pratica

Le misure di gestione del rischio vanno calate sull’operatività di hub e flotte:

• continuità operativa e disaster recovery con tempi di ripristino coerenti con le finestre di consegna;
• controllo degli accessi e autenticazione a più fattori per portali, sistemi centrali e accessi remoti;
• gestione degli asset che includa terminali mobili, dispositivi di bordo e postazioni di magazzino;
• sicurezza dei fornitori: subvettori, software house del WMS, operatori dei servizi di telematica;
• formazione del personale di sede e operativo, con attenzione al phishing sulle variazioni d’ordine.

Un incidente che blocca le spedizioni va valutato subito: se significativo, pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Le procedure servono soprattutto di notte e nei fine settimana, quando l’hub lavora e gli uffici no. Vedi notifica degli incidenti.

Sicurezza fisica e AI nel settore

Nella logistica la sicurezza fisica è parte del servizio. L’approccio multirischio della NIS2 include furti, incendi, interruzioni di corrente e accessi non autorizzati: controllo dei varchi di hub e depositi, videosorveglianza dei piazzali, protezione dei locali tecnici, gestione di chiavi e badge di autisti esterni. Lo seguiamo con il servizio di sicurezza fisica.

Ottimizzazione dei percorsi, previsione dei volumi, chatbot per il servizio clienti: l’AI è già nei processi. Il chatbot ricade negli obblighi di trasparenza dell’AI Act, l’alfabetizzazione del personale è obbligatoria dal 2 febbraio 2025 e la Legge 132/2025 chiede di informare i lavoratori sull’uso di sistemi di AI, ad esempio per l’assegnazione dei turni. Vedi AI Act e Legge 132/2025.

Un hub è un sito aperto per natura: autisti di vettori esterni, ritiri dei clienti, personale in somministrazione che cambia di settimana in settimana. Le regole di accesso devono funzionare in banchina come all’ingresso degli uffici. Anche i mezzi sono asset: dispositivi di bordo e terminali vanno inventariati, bloccati se smarriti e ritirati a fine rapporto.

Se usi algoritmi per assegnare viaggi o valutare la produttività degli autisti, il tema è delicato. L’AI Act indica la gestione del personale tra gli ambiti ad alto rischio, con obblighi per l’utilizzatore come sorveglianza umana e conservazione dei log, applicabili secondo il calendario attuale dal 2 dicembre 2027. Il riconoscimento delle emozioni sul lavoro è vietato già oggi.

Uno scenario tipico

1. 01
   Venerdì sera

   Un’email che sembra di un cliente chiede di cambiare l’indirizzo di consegna di un carico di valore. Nelle stesse ore il WMS comincia a rallentare.

2. 02
   Sabato, ore 4

   Il WMS è cifrato. L’hub non stampa etichette e non smista i colli, i mezzi in arrivo restano in piazzale. Il capoturno non sa chi chiamare in IT.

3. 03
   Entro 24 ore

   Consegne bloccate per più clienti: va valutata la significatività e, se ricorre, inviata la pre-notifica al CSIRT Italia. Il conteggio parte da quando vieni a conoscenza dell’incidente, anche di sabato.

4. 04
   Entro 72 ore

   Notifica con valutazione iniziale, gravità, impatto e indicatori di compromissione.

5. 05
   Entro un mese

   Relazione finale, oppure relazione mensile se l’incidente è ancora in corso.

Cosa avrebbe ridotto l’impatto: verifica telefonica delle variazioni di destinazione; backup del WMS separati dalla rete; una procedura di smistamento manuale per i flussi prioritari; una reperibilità che copra notti e fine settimana.

Errori frequenti

• Pensare solo alla sede: le misure valgono anche per hub periferici, depositi e transit point collegati ai sistemi centrali.
• Dimenticare i subvettori: accedono a portali e dati di consegna, a volte anche ai piazzali.
• Utenze condivise su palmari e terminali di banchina: impossibile sapere chi ha fatto cosa.
• Continuità solo sulla carta: il piano esiste, ma nessuno ha mai provato a smistare un turno senza WMS.
• Notifica affidata solo alla sede: se l’incidente esplode di notte in un hub, chi valuta le 24 ore deve essere raggiungibile.
• Registrazione dimenticata: la registrazione o il suo aggiornamento sul portale ACN si fa ogni anno, dal 1° gennaio al 28 febbraio.

Da dove partire

1. 01
   Inquadramento

   Trasporti, servizi postali e di corriere o fornitore: allegato, soglie, gruppo.

2. 02
   Mappa dei flussi

   Sistemi che servono per far partire un mezzo, interconnessioni con clienti e subvettori.

3. 03
   Gap analysis

   Misure di base ACN confrontate con l’operatività reale di hub e flotte.

4. 04
   Continuità

   Piano di lavoro in modalità degradata per magazzino e consegne, provato sul campo.

5. 05
   Fornitori

   Clausole di sicurezza con subvettori e software house, elenco dei fornitori rilevanti.

Domande frequenti