NIS2 / KSC · Audyt zerowy
Audyt zerowy
Audyt zerowy NIS2 - analiza luk względem ustawy o KSC: zakres, metoda, raport luk, macierz zgodności i plan wdrożenia do 3.04.2027.
NIS2 / KSC · Produkcja
NIS2 i KSC w produkcji
NIS2 w produkcji dotyczy średnich i dużych producentów z załącznika nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa: wyrobów medycznych, komputerów i elektroniki, urządzeń elektrycznych, maszyn, pojazdów i pozostałego sprzętu transportowego, a także chemikaliów i żywności. Są podmiotami ważnymi. Pokazujemy, jak sprawdzić, czy zakład produkcyjny podlega ustawie, jakie ma obowiązki i co z systemami OT.
01Status
Który zakład produkcyjny podlega NIS2 i KSC
Produkcja, chemikalia i żywność to sektory ważne (załącznik nr 2). Decydują rodzaj produkcji i wielkość firmy.
Rodzaj produkcji
Ustawa nie obejmuje całego przemysłu. W sektorze "Produkcja" są wyroby medyczne i wyroby do diagnostyki in vitro oraz działy 26-30 sekcji C klasyfikacji NACE: komputery, wyroby elektroniczne i optyczne; urządzenia elektryczne; maszyny i urządzenia; pojazdy samochodowe, przyczepy i naczepy; pozostały sprzęt transportowy. Osobnymi sektorami są chemikalia (produkcja i dystrybucja substancji i mieszanin oraz wytwarzanie z nich wyrobów) i żywność - ale tylko hurtowa dystrybucja oraz przemysłowa produkcja i przetwarzanie. Według Ministerstwa Cyfryzacji restauracje i handel detaliczny żywnością do sektora nie należą (Q&A, pyt. 1.47).
Działalność ustala się na podstawie kodów PKD, koncesji i zezwoleń. Ustawie podlega każda działalność wskazana w załącznikach - główna i pomocnicza (dla wody, ścieków i odpadów załącznik wymaga, by była podstawową lub istotną częścią działalności); kilka rodzajów działalności wykazuje się we wniosku o wpis odrębnie (art. 7d ust. 2; MC, Q&A (10.2026), pyt. 2.8).
Wielkość
Producent z tych sektorów jest podmiotem ważnym, gdy jest co najmniej średnim przedsiębiorstwem: zatrudnia co najmniej 50 osób albo ma obrót i sumę bilansową powyżej 10 mln EUR (art. 5 ust. 2 pkt 2). Wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi - zakład należący do międzynarodowej grupy często przekracza progi, nawet gdy sam jest mały. Wielkość liczy się razem z przedsiębiorstwami powiązanymi i partnerskimi; podmiot, który przekracza próg tylko dzięki nim, nie jest z tego tytułu podmiotem kluczowym ani ważnym, jeśli jego system informacyjny jest od nich niezależny albo nie świadczy z nimi usług wspólnie (art. 5 ust. 6-7).
Według Ministerstwa Cyfryzacji status wielkości zmienia się dopiero wtedy, gdy przekroczenie progów (albo spadek poniżej nich) powtórzy się w dwóch kolejnych latach obrotowych - jak w rozporządzeniu 651/2014; przesłanki bada się na dzień sporządzenia sprawozdania finansowego (art. 4 ust. 2 zał. I rozporządzenia (UE) nr 651/2014, art. 5 ust. 5 UKSC; MC, Q&A (10.2026), pyt. 1.46).
Status sprawdzisz w kwalifikatorze NIS2/KSC - z pytaniami o grupę kapitałową.
| Rodzaj podmiotu | Kiedy podlega ustawie | Podstawa |
|---|---|---|
| Produkcja lub dystrybucja substancji i mieszanin chemicznych albo wytwarzanie z nich wyrobów | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja, wytwarzanie i dystrybucja chemikaliów (rozporządzenie REACH) |
| Hurtowa dystrybucja albo przemysłowa produkcja i przetwarzanie żywności | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja, przetwarzanie i dystrybucja żywności |
| Produkcja wyrobów medycznych lub do diagnostyki in vitro | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja, podsektor Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro |
| Produkcja komputerów, wyrobów elektronicznych i optycznych | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja (NACE Rev. 2, sekcja C, dział 26) |
| Produkcja urządzeń elektrycznych | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja (NACE Rev. 2, sekcja C, dział 27) |
| Produkcja maszyn i urządzeń | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja (NACE Rev. 2, sekcja C, dział 28) |
| Produkcja pojazdów samochodowych, przyczep i naczep | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja (NACE Rev. 2, sekcja C, dział 29) |
| Produkcja pozostałego sprzętu transportowego | Średnie i duże przedsiębiorstwo - ważny | zał. nr 2, sektor Produkcja (NACE Rev. 2, sekcja C, dział 30) |
02Obowiązki
Obowiązki producenta jako podmiotu ważnego
Co trzeba wdrożyć do 3.04.2027
- wniosek o wpis do wykazu w systemie S46 - termin dla firm, które spełniały przesłanki 3.04.2026, minął 3.10.2026, wpis jest deklaratoryjny i warto go złożyć niezwłocznie,
- system zarządzania bezpieczeństwem informacji z art. 8: szacowanie ryzyka, polityki, ciągłość działania, bezpieczeństwo łańcucha dostaw, monitorowanie, kryptografia, kontrola dostępu,
- procedura obsługi i zgłaszania incydentów poważnych w terminach 24 i 72 godzin oraz miesiąca,
- dokumentacja, osoby kontaktowe i coroczne szkolenie zarządu (art. 8e).
Nadzór i audyt
Wobec podmiotu ważnego organ prowadzi nadzór następczy - zwłaszcza przy podejrzeniu naruszenia. Cyklicznego audytu z art. 15 producent nie ma; organ może go nakazać po incydencie poważnym albo innym naruszeniu (art. 15 ust. 1b). Maksymalna kara: do 7 mln EUR albo 1,4% przychodów z działalności gospodarczej z poprzedniego roku obrotowego; nie mniej niż 15 000 zł - kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (według MC - po 3.04.2028). Moratorium nie obejmuje kary do 100 mln zł (art. 35 nowelizacji).
Organ właściwy
Dla produkcji i chemikaliów - minister właściwy do spraw gospodarki, dla wyrobów medycznych - minister właściwy do spraw zdrowia, dla żywności - minister właściwy do spraw rolnictwa (art. 41 i 41a). Incydenty zgłasza się przez S46; do czasu ogłoszenia gotowości CSIRT sektorowego trafiają do CSIRT poziomu krajowego (art. 44 ustawy zmieniającej).
03Ryzyka
Systemy OT, łańcuch dostaw i ryzyka w zakładzie
Systemy, które trzeba objąć analizą ryzyka
- OT i sterowanie produkcją - sterowniki, systemy SCADA i HMI, często starsze, bez możliwości łatwej aktualizacji.
- MES i ERP - planowanie i rozliczanie produkcji, integracje z systemami klientów i dostawców.
- Zdalny serwis - dostawcy maszyn łączą się z liniami produkcyjnymi; każde takie połączenie wymaga kontroli.
- Systemy jakości i dokumentacji - w produkcji wyrobów medycznych i żywności także dla zgodności z innymi przepisami.
Najczęstsze źródła ryzyka
- brak oddzielenia sieci produkcyjnej od biurowej,
- wspólne konta serwisowe i dostęp zdalny bez uwierzytelniania wieloskładnikowego,
- brak planu działania, gdy zatrzyma się linia z powodu incydentu,
- wymagania klientów: podmioty kluczowe i ważne oceniają bezpieczeństwo dostawców (art. 8 ust. 2) i coraz częściej wpisują je do umów.
Normą branżową dla bezpieczeństwa systemów przemysłowych jest seria IEC 62443 - ustawa jej nie wymaga, ale pomaga uporządkować zabezpieczenia OT.
04Produkty
NIS2 a akt o cyberodporności (CRA)
Producent maszyn, urządzeń elektrycznych czy elektroniki z oprogramowaniem ma często dwa reżimy naraz. Ustawa o KSC dotyczy organizacji: jej systemów, procesów i zgłaszania incydentów. akt o cyberodporności (Cyber Resilience Act, CRA, rozporządzenie (UE) 2024/2847) dotyczy produktów z elementami cyfrowymi wprowadzanych na rynek - CRA obejmuje oprogramowanie i sprzęt udostępniane na rynku w ramach działalności handlowej, które łączą się z urządzeniem lub siecią, wraz z ich rozwiązaniami zdalnego przetwarzania danych (art. 2 ust. 1 i art. 3 pkt 1, 2 i 22 CRA).
- Obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów stosuje się od 11 września 2026 r., także do produktów wprowadzonych do obrotu wcześniej (art. 71 ust. 2 i art. 69 ust. 3 CRA).
- Pozostałe obowiązki CRA, w tym zasadnicze wymagania cyberbezpieczeństwa z załącznika I, stosuje się od 11 grudnia 2027 r. (art. 71 ust. 2 CRA).
- Producent przeprowadza skuteczne i regularne testy i przeglądy bezpieczeństwa produktu (załącznik I część II pkt 3 CRA).
Bezpieczeństwo produktów z oprogramowaniem budujemy od projektu - zobacz bezpieczne oprogramowanie (security by design).
05Jak pomagamy
Audyt zerowy, wdrożenie i testy w produkcji
- Audyt zerowy NIS2 - kwalifikacja (także w grupie kapitałowej), analiza luk względem art. 8 i plan wdrożenia do 3.04.2027.
- Wdrożenie NIS2 - polityki, procedury incydentów i ciągłości działania, wymagania wobec dostawców i serwisu maszyn.
- Testy penetracyjne infrastruktury i sieci - w tym granica między siecią biurową a produkcyjną.
- Szkolenie dla zarządu - obowiązki kierownika z art. 8c-8e.
Dla firm produkcyjnych i logistycznych budujemy też oprogramowanie - integracje systemów, aplikacje dla zakładów i magazynów: zobacz oprogramowanie dla produkcji i logistyki.
Wszystkie obowiązki z pytaniami do sprawdzenia zebraliśmy w checkliście NIS2/KSC, do druku albo jako PDF.
Najczęściej zadawane pytania
Czy każda firma produkcyjna podlega NIS2?
Nie. Załącznik nr 2 wymienia konkretne rodzaje produkcji: wyroby medyczne i do diagnostyki in vitro, działy 26-30 klasyfikacji NACE (elektronika, urządzenia elektryczne, maszyny, pojazdy, pozostały sprzęt transportowy), a w osobnych sektorach chemikalia i żywność (hurtowa dystrybucja oraz przemysłowa produkcja i przetwarzanie). Producent z tych obszarów podlega ustawie, gdy jest co najmniej średnim przedsiębiorstwem - razem z przedsiębiorstwami powiązanymi i partnerskimi. Np. produkcja mebli czy tekstyliów w załącznikach nie występuje.
Czy zakład produkcyjny może być podmiotem kluczowym?
Z mocy reguły ogólnej nie - sektory z załącznika nr 2 dają status podmiotu ważnego także dużym firmom (art. 5 ust. 2 pkt 2). Producent będzie podmiotem kluczowym, jeśli prowadzi też działalność z załącznika nr 1 (np. wytwarza energię na podstawie koncesji i jest duży), zostanie uznany za podmiot krytyczny albo organ uzna go decyzją z art. 7l.
Jak sprawdzić, czy działalność mieści się w dziale NACE 26-30?
Ministerstwo Cyfryzacji zaleca zacząć od kodów PKD zadeklarowanych w rejestrze oraz od koncesji i zezwoleń (Q&A z 1.10.2026, pyt. 1.1), a ustawie podlega działalność z załącznika niezależnie od tego, czy jest główna czy pomocnicza (pyt. 2.8). Jeśli produkcja maszyn czy elektroniki to tylko część działalności, firma i tak powinna ją ocenić. Przykład z Q&A: producent kosmetyków wytwarzający wyroby z substancji chemicznych należy do sektora chemikaliów (pyt. 1.48).
Czy systemy OT i sterowania produkcją są objęte ustawą?
System zarządzania bezpieczeństwem informacji obejmuje system informacyjny wykorzystywany w procesach wpływających na świadczenie usługi (art. 8 ust. 1). W zakładzie produkcyjnym to zwykle nie tylko biuro i ERP, ale też systemy MES, SCADA i sterowniki, od których zależy produkcja. Zakres warto ustalić w szacowaniu ryzyka i opisać w dokumentacji - tak, żeby był do obrony w razie kontroli.
Czym NIS2 różni się od aktu o cyberodporności (CRA)?
Ustawa o KSC reguluje bezpieczeństwo organizacji - jej systemów i procesów. CRA reguluje bezpieczeństwo produktów z elementami cyfrowymi, które producent wprowadza na rynek: wymagania projektowe, obsługę podatności i zgłoszenia. Producent maszyn czy urządzeń z oprogramowaniem może podlegać obu aktom jednocześnie.
Źródła
- Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) ()
- Ustawa o krajowym systemie cyberbezpieczeństwa - metryka aktu i akty zmieniające (API ELI Sejmu) ()
- Ministerstwo Cyfryzacji - Q&A nowelizacja KSC, aktualizacja październik 2026 (1.10.2026; dokument wyjaśniający, bez mocy prawnej) ()
- Rozporządzenie Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznające niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu, załącznik I - definicja MŚP (Dz.Urz. UE L 187 z 26.6.2014, ze sprostowaniami) ()
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi (akt o cyberodporności, CRA), Dz.U. L, 2024/2847 ()
Powiązane usługi
NIS2 / KSC · Wdrożenie
Wdrożenie NIS2
Wdrożenie NIS2 w firmie krok po kroku: wpis do wykazu, analiza ryzyka, polityki, środki techniczne, incydenty, dostawcy i audyt. Harmonogram do 3.04.2027.
Kwalifikator NIS2 / KSC
Kwalifikator NIS2 / KSC
Kogo dotyczy NIS2 i ustawa o KSC? Bezpłatny kwalifikator: sektor, wielkość i wyjątki z art. 5 ustawy. Wynik z uzasadnieniem, obowiązkami i terminami.
Branże · Produkcja i logistyka
Produkcja i logistyka
Oprogramowanie dla produkcji, transportu i logistyki: integracje ERP, MES i WMS, systemy dla firm transportowych, aplikacje dla hali, NIS2/KSC, ciągłość.