NIS-2 ir ADR taisyklės vokiečių vežėjams kelia bendrus kibernetinio saugumo reikalavimus

Europos kelių krovinių vežėjai, ypač veikiantys Vokietijos ir Lenkijos koridoriuje, susiduria su precedento neturinčiu reguliavimo slėgiu: tradiciniai ADR pavojingų krovinių reikalavimai dabar susipina su ES NIS-2 kibernetinio saugumo direktyvos įpareigojimais, suformuodami dvigubą atitikties naštą, kuriai daugelis vežėjų dar nėra pasiruošę. Logistikos konsultavimo paslaugų teikėjai praneša apie staigų ADR 1.3 apmokymo užklausų augimą, pavojingų krovinių saugos patarėjų sertifikavimo poreikį ir NIS-2 atitinkančios IT dokumentacijos užsakymų bangą – ypač iš įmonių, vežančių ličio baterijas, 6.2 klasės infekcinius ingredientus ir trąšas į Lenkiją ir Baltijos valstybes. Ekspertai perspėja: laikas planuoti yra dabar, nes baudos už NIS-2 pažeidimus gali siekti iki 2 procentų bendros pasaulinės apyvartos, o VDI 2700 krovos tvirtinimo standartai vis dažniau tikrinami kartu su IT dokumentacija kelio patikrinimų metu.

Kuriems vežėjams taikoma NIS-2 direktyva

2022 m. gruodį priimta ES NIS-2 direktyva (Direktyva 2022/2555/ES) iš esmės išplėtė kibernetinio saugumo reikalavimų taikymo sritį, įtraukdama transporto sektorių kaip „svarbių subjektų” kategoriją. Vokietijoje direktyva buvo perkelta į nacionalinę teisę per BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) pakeitimus, įsigaliojusius 2024 m. spalį pagal NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Pagal šį reguliavimą kelių krovinių vežėjai patenka į NIS-2 taikymo sritį, jei atitinka bent vieną iš šių kriterijų: įmonė turi daugiau nei 50 darbuotojų arba jos metinė apyvarta viršija 10 milijonų eurų ir veikla priskiriama prie „svarbių” arba „esminių” sektorių. Transporto operatoriai, valdantys skaitmenines ekspedijavimo platformas, GPS stebėjimo sistemas arba automatizuotus krovinių valdymo sprendimus, federalinės institucijos BSI (Bundesamt für Sicherheit in der Informationstechnik) aiškinimu gali būti priskirti prie reguliuojamų subjektų net ir neperžengiant minėtų darbuotojų bei apyvartos ribų, jei jų infrastruktūra laikoma kritiškai svarbia.

Praktikoje tai reiškia, kad vidutinio dydžio Vokietijos vežėjas, valdantis 30–80 vilkikų parką ir naudojantis telematikos sistemas maršrutams valdyti, greičiausiai jau patenka į NIS-2 reikalavimų orbitą. Vokietijos transporto asociacija BGL (Bundesverband Güterkraftverkehr Logistik und Entsorgung) 2024 m. lapkritį paskelbė rekomendacinį dokumentą, kuriame nurodyta, kad ypatingą dėmesį turėtų atkreipti vežėjai, vykdantys pavojingų krovinių transportavimą, nes tokiu atveju kibernetinė incidentų rizika gali turėti tiesioginių fizinės saugos pasekmių.

ADR 1.3 mokymas ir GbV patarėjas: ryšys su kibernetiniais auditais

Vokietijoje pavojingų krovinių vežimo reguliavimą tradiciškai apibrėžia dvi pagrindinės teisinės priemonės: tarptautinis ADR susitarimas (Europos sutartis dėl pavojingų krovinių vežimo keliais, UNECE) ir Vokietijos Gefahrgutbeauftragtenverordnung – GbV (Pavojingų krovinių saugos patarėjo reglamentas), patvirtintas 2001 m. ir reguliariai atnaujinamas. GbV įpareigoja visas įmones, susijusias su pavojingų krovinių siuntų pakavimo, krovos, siuntimo ar vežimo operacijomis, paskirti atestuotą pavojingų krovinių saugos patarėją (Gefahrgutbeauftragter). Šis patarėjas privalo reguliariai mokytis ir išlaikyti egzaminus, kuriuos administruoja IHK (Industrie- und Handelskammer) – Vokietijos pramonės ir prekybos rūmai.

ADR 1.3 skyrius nustato privalomą mokymą visam vežėjo personalui, kuris tiesiogiai dirba su pavojingais kroviniais – nuo vairuotojų iki sandėlio darbuotojų. Šis mokymas turi apimti konkrečių pavojų, su kuriais susiduriama tvarkant atitinkamos klasės krovinius, identifikavimą, tinkamos dokumentacijos pildymą ir incidentų valdymo procedūras. 2025 m. duomenimis, ADR 1.3 mokymo paslaugų teikėjai Vokietijoje praneša apie 35–45 procentų paklausos augimą, kurį iš dalies lemia ličio baterijų vežimo atvejų (ADR 2.2.9.1.7 klasifikacija) skaičiaus augimas, susijęs su elektromobilių pramonės plėtra.

Naujasis reguliavimo aspektas – NIS-2 reikalavimų integracija į kasdienes pavojingų krovinių valdymo procedūras. Bundesamt für Sicherheit in der Informationstechnik (BSI) gairėse nurodoma, kad GbV patarėjas ir įmonės IT saugos vadovas turėtų bendradarbiauti identifikuojant skaitmenines rizikas, susijusias su pavojingų krovinių stebėjimo sistemomis. Pavyzdžiui, GPS stebėjimo sistemos, naudojamos krovinių su pavojingomis medžiagomis buvimo vietai sekti, dabar patenka į NIS-2 taikymo sritį kaip kritinė infrastruktūra. Jei tokia sistema tampa kibernetinės atakos taikiniu ir informacija apie krovinį su ADR 1 klasės sprogmenimis ar 6.2 klasės infekcinėmis medžiagomis tampa prieinama neleistinoms šalims, pasekmės gali būti katastrofiškos tiek saugos, tiek saugumo požiūriu.

Logistikos konsultavimo bendrovė „Contargo” ir kiti sektoriaus dalyviai rekomenduoja vežėjams organizuoti bendrus GbV patarėjo ir IT saugos komandos mokymus, kuriuose būtų sprendžiamas konkrečiai jų naudojamų telematikos platformų kibernetinės atakos scenarijus pavojingų krovinių vežimo kontekste. Ši integruota praktika sparčiai tampa de facto standartu tarp vedančiųjų Vokietijos vežėjų.

Kokią dokumentaciją tikrinti pareigūnai

Vokietijos ir Lenkijos pasienyje ir kelio patikrinimų metu (Roadside Enforcement) kontrolieriai iš BAG (Bundesamt für Güterverkehr – Federalinis krovinių transporto biuras) ir atitinkamų Lenkijos GITD (Główny Inspektorat Transportu Drogowego) pareigūnų vis dažniau tikrina dokumentacijos rinkinį, apimantį tiek tradicines ADR formas, tiek naują IT atitikties įrodymą. Standartinė ADR dokumentacija išlieka privaloma: vežėjo saugos lapai (Beförderungspapiere), pavojingų krovinių deklaracijos, vairuotojo ADR liudijimas (galiojantis pagal ADR 8.2.1), GbV patarėjo metinės ataskaitos kopija ir krovinių pakavimo sertifikatai.

Tačiau nuo 2024 m. pabaigos BAG pareigūnai taip pat gali paprašyti dokumentų, patvirtinančių, kad vežėjas atlieka reguliarius kibernetinės rizikos vertinimus, kaip reikalaujama pagal NIS2UmsuCG 30 straipsnį. Praktikoje tai reiškia, kad vairuotojas arba dispečeris turi turėti prieigą prie įmonės kibernetinės saugos politikos dokumento, patvirtinančio, jog naudojamos telematikos sistemos yra įtrauktos į įmonės rizikos valdymo planą. Be to, VDI 2700 krovos tvirtinimo standarto (Ladungssicherung) laikymasis tikrinamas ne tik fiziškai apžiūrint krovą, bet ir peržiūrint skaitmeninę dokumentaciją – pavyzdžiui, krovos planų failus, jei vežėjas naudoja skaitmenines krovos planavimo sistemas. Jei ši sistema buvo patvirtinta kaip NIS-2 reguliuojama, jos saugumo audito įrašai taip pat gali tapti patikrinimo objektu.

Logistikos teisės specialistai, dirbantys Hamburge ir Varšuvoje, nurodo, kad pareigūnai ypač domisi: pirma, ar vežėjas yra pateikęs BSI ar atitinkamoms nacionalinėms institucijoms registracijos pranešimą pagal NIS-2; antra, ar įmonė turi rašytinę incidentų valdymo procedūrą, apimančią kibernetinius įvykius, galinčius paveikti pavojingų krovinių stebėjimą; trečia, ar vairuotojai yra apmokyti atpažinti ir pranešti apie telematikos sistemos anomalijas, galinčias rodyti kibernetinę ataką.

Ličio baterijų ir kitų ypatingos rizikos krovinių vežimas

Ličio baterijų vežimas (ADR klasifikacija UN 3480, UN 3481, UN 3090, UN 3091) tapo vienu iš labiausiai reguliuojamų segmentų Europos kelių transporte. 2025 m. sausio 1 d. įsigaliojusiuose atnaujintuose ADR 2025 reikalavimuose (UNECE/TRANS/WP.15/274) sugriežtintos pakavimo instrukcijos P903, LP906 ir susijusios nuostatos dėl akumuliatorių pakuočių žymėjimo. Vežėjai, valdantys Vokietijos ir Lenkijos bei Baltijos šalių koridorių, praneša, kad ličio baterijų siuntų skaičius išaugo iki 40 procentų per pastaruosius dvejus metus, visų pirma dėl elektromobilio komponentų tiekimo grandinių plėtros.

Šis augimas tiesiogiai susijęs su NIS-2 reikalavimais, nes ličio baterijų siuntų GPS stebėjimo duomenys yra ypač jautrūs: gaisro rizika sandėliavimo metu reiškia, kad neautorizuota prieiga prie krovinių vietos duomenų gali sukelti rimtą visuomenės saugos grėsmę. Panašiai 6.2 klasės infekcinių medžiagų (pvz., diagnostikos mėginių) vežimas į Lenkijos ar Baltijos laboratorijas reikalauja ne tik griežtos ADR P650 pakavimo instrukcijos laikymosi, bet ir užtikrintų duomenų perdavimo kanalų tarp siuntėjo, vežėjo ir gavėjo – o tai jau yra NIS-2 reguliavimo erdvė.

Trąšų vežimas (ypač amonio nitratu pagrįstų, ADR 5.1 klasė, UN 1942) į Lenkiją ir Baltijos valstybes kelia papildomą reguliavimo iššūkį: šie kroviniai patenka ir į ADR, ir į Europos reglamentą dėl sprogstamųjų prekursorių (ES Reglamentas 2019/1148), todėl jų stebėjimo sistemų kibernetinis saugumas yra dvigubai reguliuojamas.

Dena NIS-2 seminaras vežėjams

Vokietijos energetikos agentūra dena (Deutsche Energie-Agentur) 2025 m. birželio 18 d. organizuoja tikslinį internetinį seminarą, skirtą padėti logistikos ir vežimo įmonėms įvertinti, ar jos patenka į NIS-2 taikymo sritį ir kokie konkretūs žingsniai reikalingi atitikčiai pasiekti. Dena, nors tradiciškai žinoma kaip energetikos perėjimo konsultacinė institucija, aktyviai plėtoja savo veiklą į skaitmeninės infrastruktūros ir kibernetinio saugumo konsultavimą, ypač sektoriuose, kur energetikos ir transporto infrastruktūra susikerta – pavyzdžiui, elektromobilių tiekimo grandinėse, kuriose ličio baterijų vežimas vaidina pagrindinį vaidmenį.

Seminaro programa, pagal dena viešai paskelbtą pranešimą, apims: NIS-2 taikymo srities nustatymą transporto įmonėms, registracijos BSI procedūrą, rizikos valdymo minimalius reikalavimus pagal NIS2UmsuCG 30 straipsnį ir incidentų pranešimo 24/72 valandų terminų praktinius aspektus. Vežėjai, vežantys pavojingus krovinius, ypač skatinami dalyvauti, nes dena atstovai nurodė, kad šios kategorijos įmonės dažnai klaidingai mano, kad joms NIS-2 netaikoma vien dėl to, kad jų pagrindinė veikla yra fizinė, o ne skaitmeninė. Seminaras bus vedamas vokiečių kalba, registracija nemokama per dena oficialią platformą.

Baudos ir finansinė rizika Vokietijos ir Lenkijos koridoriuje

Finansinės pasekmės už NIS-2 reikalavimų nesilaikymą yra reikšmingos ir gali rimtai paveikti net vidutinio dydžio vežėją. Pagal NIS-2 direktyvos 34 straipsnį ir NIS2UmsuCG nuostatas, „esminių subjektų” kategorijos įmonėms baudos gali siekti iki EUR 10 000 000 arba 2 procentus bendros pasaulinės metinės apyvartos – priklausomai nuo to, kuri suma yra didesnė. „Svarbių subjektų” atveju viršutinė riba yra EUR 7 000 000 arba 1,4 procento pasaulinės apyvartos. BSI turi teisę skirti operatyvias nurodymo priemones, įskaitant laikiną veiklos sustabdymą, jei kibernetinės saugos pažeidimas kelia tiesioginę riziką visuomenės saugai.

ADR pažeidimų baudos Vokietijoje administruojamos per BAG ir gali siekti nuo EUR 500 už mažus pažeidimus iki EUR 50 000 už rimtus pažeidimus pagal Gefahrgutverordnung Straße, Eisenbahn und Binnenschifffahrt (GGVSEB). Lenkijoje GITD turi teisę skirti baudas iki PLN 40 000 (apytiksliai EUR 9 300) už vieną pažeidimą, o ypač rimtų pažeidimų atveju – iki PLN 2 000 000 (apytiksliai EUR 465 000) už veiklos ar licencijos pažeidimus. Vežėjai, reguliariai veikiantys Vokietijos ir Lenkijos koridoriuje, turi įvertinti dvigubą reguliavimo riziką: patikrinimas Vokietijoje gali atskleisti NIS-2 dokumentacijos trūkumus, o patikrinimas Lenkijoje – ADR ar VDI 2700 pažeidimus, ir abu gali vykti per tą pačią kelionę.

VDI 2700 standarto pažeidimai – nors formaliai tai techninis standartas, o ne įstatyminis reikalavimas – praktikoje sukelia rimtą teisinę atsakomybę: vežėjo civilinė atsakomybė draudimo kontekstuose paprastai siejama su standartizuotų krovos tvirtinimo metodų laikymusi, todėl avarijos, susijusios su netinkamai pritvirtinta kroviniu, gali kainuoti vežėjui draudimo išmokos atsisakymą ir papildomą civilinę atsakomybę.

Kaip pradėti atitikties procesą: praktiniai žingsniai

Logistikos teisės ekspertai ir sektoriaus konsultantai rekomenduoja vežėjams laikytis struktūrizuoto keturių žingsnių proceso. Pirma, atlikti pavojingų krovinių srautų kartografavimą (Gefahrgut-Flow-Mapping): sudaryti išsamų vežamų pavojingų krovinių sąrašą pagal ADR klasę, maršrutus ir naudojamas skaitmenines valdymo sistemas – tai yra NIS-2 taikymo srities nustatymo pagrindas. Antra, atlikti NIS-2 taikymo testo (Anwendbarkeitstest): naudojantis BSI paskelbtu savęs įvertinimo įrankiu (BSI-CS 134) nustatyti, ar įmonė patenka į „svarbių” ar „esminių” subjektų kategoriją. Trečia, integruoti GbV patarėją į IT rizikos valdymo procesą: organizuoti bendrus posėdžius, kuriuose GbV patarėjas identifikuotų, kurios skaitmeninės sistemos naudojamos pavojingų krovinių operacijoms, ir šią informaciją perduotų IT saugos vadovui NIS-2 rizikos vertinimui. Ketvirta, atnaujinti ADR 1.3 mokymo programas įtraukiant kibernetinės saugos komponentą: nors ADR 1.3 tekste kibernetinis saugumas tiesiogiai neminimas, Bundesamt für Güterverkehr rekomendaciniuose dokumentuose nurodoma, kad telematikos sistemų apsaugos sąmoningumo ugdymas turėtų tapti mokymo dalimi.

Vokietijos transporto ir logistikos asociacija DSLV (Deutscher Speditions- und Logistikverband) paruošė NIS-2 atitikties kontrolinį sąrašą (Checkliste NIS-2 für Logistikunternehmen), kurį galima atsisiųsti iš jų oficialios svetainės ir kuris yra praktiškas pradinis taškas vidutinio dydžio vežėjams. Šis dokumentas apima 47 kontrolinius klausimus, skirtus identifikuoti atitikties spragas.

Dažnai užduodami klausimai

Ar visi Vokietijos kelių vežėjai privalo laikytis NIS-2 reikalavimų?

Ne, NIS-2 direktyva taikoma ne visiems vežėjams. Pagal NIS2UmsuCG Vokietijoje NIS-2 reikalavimai taikomi transporto įmonėms, kurios viršija 50 darbuotojų arba 10 milijonų eurų metinės apyvartos ribas ir kurių veikla priskirta prie „svarbių” arba „esminių” sektorių. Tačiau mažesnės įmonės, teikiančios paslaugas didelėms reguliuojamoms įmonėms kaip subrangovai, gali būti netiesiogiai įpareigojamos laikytis tam tikrų kibernetinio saugumo standartų pagal sutartinius reikalavimus. BSI savęs įvertinimo įrankis (BSI-CS 134) padeda nustatyti konkrečios įmonės statusą.

Ką reiškia ADR 1.3 mokymas ir kas privalo jį išklausyti?

ADR 1.3 skyrius numato privalomą pavojingų krovinių saugos mokymą visam personui, kuris tiesiogiai dalyvauja pavojingų krovinių vežimo operacijose. Tai apima vairuotojus, sandėlio darbuotojus, ekspeditorius ir kitus, dirbančius su ADR reguliuojamomis medžiagomis. Mokymas turi atitikti konkrečias kiekvienos darbuotojų kategorijos ir vežamų krovinių klasių reikalavimus ir turi būti atnaujinamas reguliariai. Svarbu pažymėti, kad ADR 1.3 mokymas skiriasi nuo atskiro ADR vairuotojo liudijimo (ADR 8.2.1), kurį privalo turėti visiems pavojingų krovinių sunkvežimių vairuotojai.

Kas yra Gefahrgutbeauftragter ir kokia jo atsakomybė NIS-2 kontekste?

Gefahrgutbeauftragter (pavojingų krovinių saugos patarėjas) yra privalomai paskiriamas asmuo pagal Vokietijos GbV reglamentą visose įmonėse, susijusiose su pavojingų krovinių vežimu, pakuote ar siuntimo organizavimu. Šis patarėjas atsakingas už įmonės atitiktį ADR ir susijusiems reglamentams, incidentų tyrimą ir metinių ataskaitų rengimą. NIS-2 kontekste GbV patarėjas turėtų bendradarbiauti su IT saugos vadovu identifikuojant, kurios skaitmeninės sistemos yra naudojamos pavojingų krovinių operacijoms, nes šios sistemos gali patekti į NIS-2 reguliavimo sritį kaip kritinė infrastruktūra.

Kokios yra didžiausios galimos baudos už NIS-2 pažeidimus Vokietijoje?

Pagal NIS-2 direktyvos 34 straipsnį ir jo perkėlimą į Vokietijos teisę per NIS2UmsuCG, „esminių subjektų” kategorijos įmonėms baudos gali siekti iki EUR 10 000 000 arba 2 procentus bendros pasaulinės metinės apyvartos – priklausomai nuo to, kuri suma yra didesnė. „Svarbių subjektų” atveju viršutinė riba yra EUR 7 000 000 arba 1,4 procento pasaulinės apyvartos. Šios baudos skirtos papildomai prie tradicinių ADR pažeidimų baudų, todėl bendras galimas finansinis poveikis vežėjui, pažeidusiam abu reguliavimus, gali būti labai reikšmingas.

Ką tikrina BAG pareigūnai kelio patikrinimų metu pavojingų krovinių vežimo atveju?

BAG (Bundesamt für Güterverkehr) pareigūnai tikrina standartinę ADR dokumentaciją – vežėjo dokumentus, vairuotojo ADR liudijimą, pavojingų krovinių deklaracijas ir pakavimo sertifikatus. Nuo 2024 m. pabaigos pareigūnai gali taip pat patikrinti, ar vežėjas turi dokumentuotą kibernetinės rizikos valdymo procedūrą, kaip reikalaujama pagal NIS-2, jei įmonė patenka į šios direktyvos taikymo sritį. VDI 2700 krovos tvirtinimo standarto laikymasis tikrinamas ir fiziškai, ir per skaitmeninę dokumentaciją, jei vežėjas naudoja skaitmenines krovos planavimo sistemas.

Kada vyksta dena NIS-2 seminaras ir kaip užsiregistruoti?

Vokietijos energetikos agentūra dena organizuoja NIS-2 atitikties seminarą 2025 m. birželio 18 d. internetiniu formatu. Seminaras yra orientuotas į logistikos ir vežimo sektoriaus įmones, norinčias suprasti, ar joms taikoma NIS-2 direktyva, ir sužinoti, kokie praktiniai žingsniai reikalingi atitikčiai pasiekti. Renginys nemokamas, o registracija atliekama per dena oficialią internetinę platformą. Seminaras vedamas vokiečių kalba ir apima registracijos BSI procedūrą, rizikos valdymo reikalavimus ir incidentų pranešimo terminus.

Kaip ličio baterijų vežimas susijęs su NIS-2 reikalavimais?

Ličio baterijų vežimas pagal ADR (UN 3480, UN 3481, UN 3090, UN 3091) yra vienas iš didžiausio augimo segmentų Europos kelių transporte. GPS stebėjimo sistemos, naudojamos šių krovinių buvimo vietai sekti, gali patekti į NIS-2 reguliavimo sritį kaip kritinė infrastruktūra, nes neautorizuota prieiga prie ličio baterijų krovinio vietos duomenų gali kelti rimtą gaisro ar sprogimo riziką. Vežėjai, vežantys ličio baterijas Vokietijos ir Lenkijos bei Baltijos šalių koridoriuje, turėtų įvertinti, ar jų stebėjimo sistemos patenka į NIS-2 taikymo sritį, ir atitinkamai parengti kibernetinio saugumo dokumentaciją.