BRANŻA: TRANSPORT I LOGISTYKA · NIS-2 ART. 21

Colonial Pipeline - 4,4 mln USD okupu, 11 tys. stacji benzynowych bez paliwa.
Transport objęty NIS-2.

Grupy 5-30 osób, stacjonarnie lub online (Zoom) Dla zarządu, HR i IT Security - materiały dopasowane do roli

Od 3 kwietnia 2026 transport drogowy, kolejowy, lotniczy i wodny — razem z portami, lotniskami, spedycją i operatorami logistyki — to "kluczowy podmiot" zgodnie z Dyrektywą NIS-2 (Załącznik I, pkt 2). To oznacza konkretny obowiązek: regularne szkolenia pracowników z higieny cyberbezpieczeństwa — zapisane wprost w art. 21 ust. 2 lit. g.

Jeśli Twoja firma tego nie udokumentuje, odpowiedzialność spada osobiście na członków zarządu (art. 20), a kara dla spółki może sięgnąć 10 mln EUR lub 2% rocznego obrotu — wybiera się kwotę wyższą (art. 34 ust. 4).

Rozmawiamy o Twojej firmie — flota, spedycja, terminal, ilu pracowników, co już macie.

Dlaczego to nie teoria

Pięć ataków, które w ostatnich latach zatrzymały transport i logistykę

To nie są hipotetyczne scenariusze. To konkretne firmy, konkretne straty, konkretne tytuły w prasie branżowej.

1

A.P. Moller-Maersk — największy armator kontenerowy świata, czerwiec 2017

Ransomware NotPetya przeszedł przez systemy Maerska przez zainfekowane oprogramowanie księgowe M.E.Doc używane w Ukrainie. W ciągu kilku godzin unieruchomione zostało 4 000 serwerów i 45 000 stacji roboczych. Malware dotarł do terminali w 76 portach obsługiwanych przez firmę. CEO Soren Skou potwierdził straty na poziomie 250-300 mln USD — głównie w dywizji Maersk Line (container shipping).

Źródła: CNBC, 16.08.2017 · Control Engineering — 76 portów, 4 000 serwerów · Computer Weekly.

2

Polska kolej — sygnał radio-stop, sierpień 2023

W nocy z 25 na 26 sierpnia 2023 w okolicach Szczecina, Gdyni i Białegostoku sabotażyści nadali na częstotliwości kolejowej sygnał "radio-stop" — tonalny sygnał, który automatycznie zatrzymuje pociągi. Zatrzymanych zostało ponad 20 składów. Pomiędzy sygnałami emitowano hymn Federacji Rosyjskiej i fragmenty przemówień Putina. Sprzęt potrzebny do ataku: około 30 USD — system radiowy polskich kolei nie stosował szyfrowania ani uwierzytelniania.

Źródła: Wikipedia — Polish railway cyberattack (chronologia + arestowania) · Schneier on Security · Washington Post, 28.08.2023.

3

DP World Australia — cztery największe porty Australii, listopad 2023

10 listopada 2023 wykryto nieautoryzowany dostęp do sieci korporacyjnej DP World Australia (operator obsługujący około 40% towarów wchodzących i wychodzących z kraju). Firma odłączyła systemy od internetu, co sparaliżowało operacje lądowe w portach Sydney, Melbourne, Fremantle i Brisbane. Zablokowanych zostało około 30 000 kontenerów. Backlog udało się rozładować dopiero 20 listopada — 10 dni po wykryciu incydentu.

Źródła: Bloomberg — 40% towarów Australii · Bleeping Computer — 30 000 kontenerów, chronologia · ASIS — Sydney, Melbourne, Fremantle, Brisbane.

4

Expeditors International — globalny operator logistyczny, luty 2022

20 lutego 2022 Expeditors (operator forwarderski notowany w S&P 500) został zmuszony do wyłączenia praktycznie wszystkich systemów operacyjnych — obsługa spedycji, odprawy celne i dystrybucja stanęły na 3 tygodnie. Firma raportowała 47 mln USD dodatkowych kosztów do maja 2023 plus 18 mln USD na dochodzenie i roszczenia klientów. Jeden z kontrahentów (iRobot) pozwał Expeditors na kwotę 2,1 mln USD za utracone sprzedaże. Metoda: prawdopodobnie ransomware (firma odzyskiwała dane z backupów).

Źródła: Expeditors — oświadczenie Investor Relations · The Stack — koszty 60 mln USD · SecurityWeek.

5

Fałszywe zlecenia transportowe i phishing pod fakturę — aktywne fale w Polsce

CERT Polska w 2024 roku odnotował 40 120 incydentów phishingowych (94,7% wszystkich zgłoszonych incydentów to oszustwa komputerowe). Dla spedytorów i firm transportowych aktywne są dwie fale: (1) fałszywe zlecenia transportowe od "podszywających się" spedycji — przestępcy biorą towar, znikają, a odpowiedzialność za zgubiony ładunek spada na prawdziwego przewoźnika; (2) fałszywe faktury od "stałych kontrahentów" z podmienionym numerem konta. Dla dyspozytorki lub księgowej pracującej z 50 fakturami dziennie — to wektor numer jeden.

Źródła: Raport roczny CERT Polska 2024 (PDF) · Trans.eu — 3 metody fałszywych spedytorów · trade.gov.pl — wyłudzenia w branży transportowej.

68% naruszeń cyber angażuje element ludzki.

Nie chodzi o exploit zero-day ani supergeniusza z kapturem. Chodzi o kliknięcie w link, wpisanie hasła na fałszywej stronie, otwarcie załącznika od "spedytora", uleganie socjotechnice. Szkolenie pracowników to nie "miękki dodatek" — to obrona, która adresuje 2/3 realnego ryzyka.

Źródło: Verizon Data Breach Investigations Report 2024 — "the human element was a component of 68% of breaches".

Problem

Co dokładnie mówi NIS-2 o transporcie i logistyce

Dyrektywa 2022/2555 (NIS-2) została transponowana do polskiego porządku prawnego i obowiązuje w pełni od 3 kwietnia 2026. Poniżej cztery konkretne artykuły, które dotyczą Twojej firmy bezpośrednio.

Załącznik I, pkt 2

Jesteś kluczowym podmiotem

Transport lotniczy (linie lotnicze, operatorzy lotnisk, ATC), kolejowy (zarządcy infrastruktury, przewoźnicy), wodny (przewoźnicy śródlądowi i morscy, operatorzy portów) oraz drogowy (organy zarządzające ruchem, operatorzy ITS) — wszystkie zdefiniowane jako "kluczowe" (essential entity) w Załączniku I NIS-2. Wyższa stawka kar, surowsza egzekucja, obowiązek zgłaszania incydentów w ciągu 24h.

Art. 21 ust. 2 lit. g

Szkolenia są obowiązkowe

"Podstawowe praktyki w zakresie higieny cyberbezpieczeństwa i szkolenia w zakresie cyberbezpieczeństwa" — cytat wprost z dyrektywy. Nie "zalecane". Wymagane. Dla wszystkich pracowników mających dostęp do systemów informatycznych — od dyspozytora, przez spedytora, po zarząd.

Art. 20 ust. 1-2

Odpowiedzialność zarządu

Organy zarządzające zatwierdzają środki cyberbezpieczeństwa, nadzorują ich wdrożenie i ponoszą osobistą odpowiedzialność za naruszenia. Członkowie zarządu mają obowiązek odbyć szkolenie — a pracowników zachęca się "regularnie" do analogicznych.

Art. 34 ust. 4

Kary: 10 mln EUR lub 2% obrotu

Dla kluczowych podmiotów: minimum 10 000 000 EUR lub 2% całkowitego rocznego obrotu na poziomie światowym — w zależności od tego, która kwota jest wyższa. Do tego sankcje osobiste: zawieszenie funkcji CEO, dyrektora IT, członka zarządu.

Dokumentacja ≠ papierek. Audytor sprawdza: listę obecności, program szkolenia, test końcowy, certyfikaty, cykliczność (raz na rok lub po zmianie stanowiska). Brak któregokolwiek = niewypełnienie art. 21. Brak art. 21 = kara z art. 34.

Wartość

Co konkretnie dostajesz

Szkolenie dopasowane do realiów firmy transportowej — TMS, giełdy ładunków, dyspozytornia, spedycja, księgowość, warsztat. Konkretne przykłady ataków na Twoją branżę, nie generyczne slajdy.

Szkolenie na żywo (3, 5 lub 8h)

Stacjonarnie u Ciebie w siedzibie lub online przez Zoom. 6-8 modułów zależnie od pakietu. Pracownicy dostają realne przykłady: fałszywe zlecenie na giełdzie, phishing pod fakturę, BEC, socjotechnika na kierowcach i dyspozytorni.

Dokumentacja audytowa

Lista obecności z podpisami, program szkolenia, test końcowy z wynikami, imienne certyfikaty. Wszystko w PDF, podpisane elektronicznie. Dokładnie to, czego audytor potrzebuje do zamknięcia wymogu z art. 21.

Dopasowanie do branży

Realne scenariusze z transportu i logistyki — fałszywe zlecenie od "nowego spedytora" z pozornie dobrą historią, mail od "kontrahenta" z podmienionym numerem konta, podszywanie się pod przewoźnika na giełdzie, atak na system TMS, phishing do kierowców. Nie abstrakcja — rzeczy które już się zdarzyły.

Test końcowy + wynik per osoba

12 pytań, wynik procentowy, zapis kto zdał. Podstawa do audytu: nie wystarczy obecność — trzeba pokazać że wiedza została sprawdzona. Wyniki w raporcie zbiorczym + imiennie.

W cenie, bez dopłat

AI-asystent z materiałami - 12 miesięcy dostępu po szkoleniu, pytaj kiedy potrzebujesz
Warsztat praktyczny z phishingiem - analiza realnych prób ataku (kampanie widziane w ostatnich miesiącach)
Certyfikat imienny PDF - data, program, sygnatura trenera (artefakt audytowy)
Konsultacje 1:1 - 20 min przed szkoleniem (dopasowanie) + 20 min po (pytania wdrożeniowe)
Dojazd i nocleg w cenie - do 300 km od Kwidzyna, stacjonarnie u Was
Gwarancja skuteczności - jeśli szkolenie nie spełni oczekiwań, powtórzymy 25% miejsc bez dopłaty

Trzy pakiety — od 3 do 8 godzin, dopasowane do Was

Starter
3 godziny
4 moduły podstawowe
  • Phishing i BEC
  • Hasła i MFA
  • Bezpieczna praca z pocztą
  • Co robić w razie incydentu

Dla: zespoły 5-15 osób, pierwsze szkolenie w firmie.

Standard
5 godzin
6 modułów + warsztat
  • Wszystko ze Startera
  • Ataki na branżę TSL (TMS, giełdy ładunków, spedycja)
  • Socjotechnika — kierowcy, dyspozytornia, recepcja
  • Warsztat: rozpoznawanie fałszywego zlecenia i phishingu

Dla: zespoły 10-30 osób, kompleksowe pokrycie art. 21.

Pełny dzień
8 godzin
6 + 2 moduły + praktyka
  • Wszystko ze Standardu
  • Moduł dla zarządu (obowiązki NIS-2 art. 20)
  • Dane osobowe i RODO w praktyce (kierowcy, klienci)
  • Praktyka: analiza realnego fałszywego zlecenia

Dla: zespoły 20+ osób, firma z flotą, spedycją i działem IT.

Efekt

Trzy rzeczy, które masz po szkoleniu

Zgodność z NIS-2 art. 21

Dokumentacja gotowa dla audytora wewnętrznego i zewnętrznego. Jeden komplet PDF-ów zamyka wymóg art. 21 ust. 2 lit. g dla wszystkich uczestników. Możesz pokazać zleceniodawcy, organowi nadzorującemu, ubezpieczycielowi cyber.

Pracownicy, którzy rozpoznają atak

Dyspozytornia nie przyjmie zlecenia od "spedytora" z podejrzaną historią. Księgowa zauważy, że numer konta na fakturze jest inny niż zwykle. Zadzwoni do prezesa zamiast wykonać "pilny przelew". Kierowca zgłosi dziwny pendrive w kabinie. To kapitał, który zostaje w firmie na lata.

Realna redukcja ryzyka

Skoro 68% ataków zaczyna się od człowieka, szkolenie jest najtańszym sposobem na zamknięcie największej furtki. Cena szkolenia < koszt jednego zgubionego ładunku lub tygodnia sparaliżowanej spedycji. Matematyka prosta.

Cena

Transparentna stawka za osobę

Bez pakietów ukrytych kosztów. Bez minimum zamówienia. Dojazd i nocleg w cenie (do 300 km od Kwidzyna). Poza tym zasięgiem — ustalamy indywidualnie.

Stacjonarnie u Ciebie
W Twojej sali, na Twojej bazie transportowej, z Twoimi przykładami
800 PLN netto / os

Dojazd i nocleg w cenie · minimum 5 osób

Online
Przez Zoom
600 PLN netto / os

Nagranie dostępne przez 30 dni · minimum 5 osób

Szybki rachunek. Spedycja 25 osób, pakiet Standard online: 25 × 600 PLN = 15 000 PLN netto. Kara z art. 34 NIS-2 za nieudokumentowanie szkoleń z art. 21 zaczyna się od 10 mln EUR lub 2% rocznego obrotu.

Porównaj skalę: JBS - 11 mln USD okupu, Change Healthcare - 2,4 mld USD strat, Dole - 10,5 mln USD. Szkolenie dla 15 osób to mniej niż 0,1% tych strat.

Najczęstsze pytania

Sześć obiekcji, z którymi spotykam się najczęściej. Jeśli masz inną - napisz na kontakt@cybertrening.com.

Mamy ISO 27001. To wystarczy pod NIS-2?

Nie. ISO 27001 to ramy zarządzania bezpieczeństwem informacji. NIS-2 nakłada konkretne obowiązki: zgłoszenie istotnego incydentu w 24h, rejestr ryzyk, szkolenia kadry zarządzającej z cyber, osobista odpowiedzialność członków zarządu. ISO jest dobrym punktem startu - ale audytor NIS-2 zapyta o inne artefakty. Na szkoleniu pokazuję mapowanie 1:1 między kontrolami ISO 27001 a wymogami art. 21 NIS-2 - po szkoleniu wiadomo, co jest już pokryte, a co trzeba dorobić.

Damy radę sami - YouTube, blogi, ChatGPT.

Ogólną wiedzę - tak. Wymogi audytowe - nie. NIS-2 to tekst dyrektywy 2022/2555 + polska ustawa KSC (transpozycja) + praktyka krajowego organu. Audyt sprawdzi: "kto prowadził szkolenie, jaki był program, jaka jest dokumentacja odbioru, kiedy ostatnie szkolenie, czy kadra zarządzająca uczestniczyła". Nagranie z YouTube ani output z ChatGPT tego nie da. Szkolenie z konkretnym trenerem, podpisana lista obecności, certyfikat imienny = artefakt audytowy.

Inny dostawca wycenił taniej. Co mają dodatkowo, czego Państwo nie?

Bez znajomości oferty konkurencji trudno odpowiedzieć. Najczęściej różnica jest w: zakresie materiału (ile artykułów NIS-2 omówionych praktycznie), doświadczeniu prowadzącego (pentester korporacyjny vs trener bez projektów), dokumentacji audytowej (zwykłe slajdy vs dedykowana pod NIS-2), dostępie po szkoleniu (brak kontaktu vs AI-asystent + konsultacje 1:1), gwarancji (brak vs 25% miejsc powtórki). 30-minutowa rozmowa rozwiewa wątpliwości w kilku pytaniach - bez zobowiązań.

Mamy czas - NIS-2 w Polsce jeszcze nie obowiązuje.

Dyrektywa weszła w życie 18 października 2024. W Polsce transpozycja przez ustawę KSC (projekt). Większość państw UE już ma przepisy krajowe, kary są naliczane. Nawet przed pełną transpozycją krajowi dostawcy/kontrahenci objęci NIS-2 będą pytać o zgodność - bo to element zarządzania łańcuchem dostaw z art. 21. JBS (2021), Change Healthcare (2024), Dole (2023) - każda z tych firm w dniu ataku myślała, że ma czas. Nie miała.

Jesteśmy za mali, żeby być celem.

NIS-2 dotyczy "essential entities" (Załącznik I) oraz "important entities" (Załącznik II) od progu SME - 50 pracowników lub 10 mln EUR obrotu. W praktyce: jeśli firma działa w jednym z 18 wymienionych sektorów i przekracza próg - NIS-2 was dotyczy. Jeśli firma jest poniżej progu, ale jest dostawcą dla podmiotu NIS-2 - dostaje wymogi przez zapisy kontraktowe. Atakujący też nie rozróżnia rozmiaru firmy, tylko skuteczność zabezpieczeń.

Czy można sfinansować szkolenie z KFS/BUR?

Obecnie szkolenia realizujemy komercyjnie (faktura VAT). Rejestracja w Bazie Usług Rozwojowych (BUR) planowana na Q4 2026 - po wpisie firmy MŚP oraz instytucje publiczne będą mogły otrzymać zwrot nawet 80% kosztów z KFS (Krajowy Fundusz Szkoleniowy) dla prywatnych i z dedykowanych mechanizmów dla publicznych. Do tego czasu dla sektora publicznego sugerujemy własne budżety szkoleniowe lub porozumienia międzyinstytucjonalne. Jeśli BUR jest kluczowy - można zaplanować szkolenie na IV kwartał.

Adrian Maryniewski

9 lat w IT: testowanie oprogramowania, automatyzacja, konsulting dla firm sektora finansowego i przemysłowego. Nie jestem pentesterem - jestem inżynierem, który przez dekadę widział z bliska jak pękają procesy i systemy w organizacjach.

Szkolenia z Cyber Awareness prowadziłem m.in. dla: EY (2019), Santander Consumer Bank (2021), Nordea Bank (2018), DNV. Klienci - korporacje, które nie mogą sobie pozwolić na błąd w security.

Certyfikaty: ISTQB (testowanie), OTWA (Offensive Tooling & Web Application), CompTIA Security+ (w toku). Podejście: pokazuję zespołom jak nie dać się okraść - bo przez 9 lat widziałem z bliska jak tego nie robić.

Najkrótsza droga do "mamy to zamknięte"

30 minut rozmowy. Ty opowiadasz o firmie — ilu pracowników, jakie stanowiska (dyspozytornia, spedycja, księgowość, kierowcy), co już macie z cyber (albo że nic). Ja mówię, jaki pakiet pasuje, kiedy możemy to zrobić i jak wygląda dokumentacja. Jeśli Ci to pasuje — ustalamy termin. Jeśli nie — dostajesz bezpłatnie checklistę "co musi być w dokumentacji audytowej NIS-2 art. 21".

Zero spamu, zero zobowiązań, zero "niezobowiązujących ofert handlowych".