NIS2/KSC · Transport i logistyka

NIS2 i KSC w transporcie i logistyce

NIS2 w transporcie obejmuje przewoźników lotniczych i kolejowych, lotniska, porty, armatorów, zarządców infrastruktury kolejowej i dróg krajowych oraz dostawców usług ITS. Przewoźników drogowych, spedycji i magazynów w załącznikach do ustawy o KSC nie ma - są w nich za to operatorzy pocztowi, także firmy kurierskie. Wyjaśniamy, kto podlega, jakie ma obowiązki i co oznacza to dla logistyki.

Zamów audyt zerowy Sprawdź status firmy

01Status

Kto w transporcie i logistyce podlega NIS2 i KSC

Transport jest sektorem kluczowym (załącznik nr 1) z czterema podsektorami: lotniczym, kolejowym, wodnym i drogowym. Usługi pocztowe są sektorem ważnym (załącznik nr 2).

Transport w załączniku nr 1

lotniczy - przewoźnicy lotniczy, zarządzający lotniskami, obsługa naziemna i kontrola bezpieczeństwa, instytucja zapewniająca służby żeglugi powietrznej,
kolejowy - zarządcy infrastruktury kolejowej, licencjonowani przewoźnicy kolejowi, operatorzy obiektów infrastruktury usługowej,
wodny - armatorzy, zarządzający portami i obiektami portowymi, działalność wspomagająca transport morski w porcie, Służba Kontroli Ruchu Statków,
drogowy - zarządca dróg krajowych i dostawcy usług ITS.

Duże przedsiębiorstwo jest podmiotem kluczowym, średnie - ważnym; wielkość liczy się razem z grupą kapitałową.

Logistyka - co jest, a czego nie ma

Przewoźników drogowych, spedycji i magazynów w załącznikach nie ma. Ustawą objęte są natomiast:

operatorzy pocztowi (załącznik nr 2) - także firmy kurierskie wpisane do rejestru operatorów pocztowych: średnie i duże są podmiotami ważnymi,
dostawcy usług ITS - według Ministerstwa Cyfryzacji dostawcą usług ITS może być podmiot publiczny albo prywatny, np. usług nawigacji i informacji o ruchu, wyznaczania tras, dyspozytury i zarządzania flotą czy śledzenia przewozu; przewoźnik korzystający z zewnętrznej platformy flotowej jest użytkownikiem ITS, a nie jego dostawcą (załącznik nr 1, podsektor Transport drogowy; MC, Q&A z 1.10.2026, pyt. 1.36).
działalność z innych sektorów, np. hurtowa dystrybucja żywności czy hurtownie farmaceutyczne.

Status sprawdzisz w kwalifikatorze NIS2/KSC.

Rodzaje podmiotów w sektorze transportu (załącznik nr 1) i usług pocztowych (załącznik nr 2)
Rodzaj podmiotu	Kiedy podlega ustawie	Podstawa
Przewoźnik lotniczy	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport lotniczy
Zarządzający lotniskiem	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport lotniczy
Obsługa naziemna i kontrola bezpieczeństwa na lotnisku - przedsiębiorcy świadczący przewoźnikom usługi obsługi naziemnej albo zadania związane z kontrolą bezpieczeństwa.	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport lotniczy (art. 177 ust. 2 i art. 186b ust. 1 pkt 2 ustawy - Prawo lotnicze)
Instytucja zapewniająca służby żeglugi powietrznej	Kluczowy niezależnie od wielkości	zał. nr 1, sektor Transport, podsektor Transport lotniczy
Zarządca infrastruktury kolejowej - bez zarządców wyłącznie infrastruktury nieczynnej, prywatnej i kolei wąskotorowej.	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport kolejowy
Licencjonowany przewoźnik kolejowy lub operator obiektu infrastruktury usługowej	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport kolejowy
Armator w transporcie morskim lub w żegludze śródlądowej	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport wodny
Zarządzający portem morskim lub obiektem portowym	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport wodny
Działalność wspomagająca transport morski na terenie portu	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport wodny (NACE 52.22)
Służba Kontroli Ruchu Statków (VTS)	Kluczowy niezależnie od wielkości	zał. nr 1, sektor Transport, podsektor Transport wodny
Zarządca dróg krajowych - załącznik wskazuje zarządcę dróg krajowych. Przewoźnicy drogowi (np. transport ciężarowy) nie są w nim wymienieni.	Kluczowy niezależnie od wielkości	zał. nr 1, sektor Transport, podsektor Transport drogowy (art. 19 ust. 2 pkt 1 ustawy o drogach publicznych)
Dostawca usług ITS (inteligentne systemy transportowe) - np. nawigacja i informacja o ruchu, wyznaczanie tras, dyspozytura i zarządzanie flotą, śledzenie przewozu. Przewoźnik, który tylko korzysta z takiej platformy, jest jej użytkownikiem.	Duże przedsiębiorstwo - kluczowy, średnie - ważny	zał. nr 1, sektor Transport, podsektor Transport drogowy (art. 4 pkt 36 ustawy o drogach publicznych)
Operator pocztowy - wpisany do rejestru operatorów pocztowych - także firmy kurierskie.	Średnie i duże przedsiębiorstwo - ważny	zał. nr 2, sektor Usługi pocztowe

02Organ i incydenty

Organy właściwe, CSIRT i wpis do wykazu

Organy właściwe

transport lotniczy, kolejowy i drogowy - minister właściwy do spraw transportu,
transport wodny - minister właściwy do spraw gospodarki morskiej i minister właściwy do spraw żeglugi śródlądowej,
usługi pocztowe - Prezes Urzędu Komunikacji Elektronicznej (art. 41 i 41a).

Podmioty transportu składają wniosek o wpis do wykazu same, w systemie S46. Termin dla podmiotów, które spełniały przesłanki 3.04.2026, minął 3.10.2026; wpis jest deklaratoryjny i warto go złożyć niezwłocznie.

Zgłaszanie incydentów

Dla transportu, wody i ścieków Minister Infrastruktury ustanowił w czerwcu 2026 r. CSIRT INFRASTRUKTURA; do czasu ogłoszenia komunikatu o jego zdolności operacyjnej incydenty poważne trafiają przez S46 do CSIRT NASK, GOV albo MON. Minister zapowiedział ten komunikat do 31 grudnia 2026 r. (art. 42 ust. 2 i art. 44 ust. 1-2 ustawy zmieniającej; Dz.Urz. MI 2026 poz. 13 i 27).

Incydent poważny zgłasza się w terminach 24 i 72 godzin oraz miesiąca (art. 11 ust. 1 pkt 4-4c). Wiele podmiotów transportu będzie też identyfikowanych jako podmioty krytyczne - podmiot krytyczny to operator infrastruktury krytycznej wpisany do wykazu podmiotów krytycznych, który prowadzi dyrektor Rządowego Centrum Bezpieczeństwa; o wpisie organ informuje operatora w ciągu 30 dni (art. 2 pkt 11c ustawy o KSC; art. 3 pkt 1a, art. 6zo ust. 1 i art. 6zr ust. 3 ustawy o zarządzaniu kryzysowym).

03Ryzyka

Systemy i ryzyka w transporcie i logistyce

Systemy

sterowanie ruchem i dyspozytura, systemy rezerwacji i sprzedaży biletów,
systemy portowe i lotniskowe, obsługa bagażu i ładunków,
zarządzanie flotą, telematyka, śledzenie przesyłek, systemy magazynowe,
integracje z klientami i urzędami, w tym wymiana dokumentów elektronicznych.

Elektroniczne dokumenty przewozowe nabierają znaczenia: rozporządzenie (UE) 2020/1056 o elektronicznych informacjach dotyczących transportu towarowego (eFTI) stosuje się od 21 sierpnia 2024 r. (art. 18 ust. 2 rozporządzenia (UE) 2020/1056). Od 9 lipca 2027 r. organy państw członkowskich mają obowiązek uznawać informacje udostępnione elektronicznie przez certyfikowane platformy eFTI (art. 5 ust. 1 rozporządzenia (UE) 2020/1056; Komisja Europejska).

Na co zwrócić uwagę

ciągłość działania - jak prowadzić przewozy i obsługę ładunków przy awarii systemów,
dostęp zdalny dostawców i urządzenia w terenie (pojazdy, terminale, czujniki),
łańcuch dostaw - przewoźnik bez obowiązków ustawowych bywa krytycznym dostawcą dla podmiotu kluczowego i dostaje od niego wymagania w umowie (art. 8 ust. 2),
aplikacje dla pasażerów - strony, aplikacje, e-bilety i informacje o podróży w transporcie autobusowym, kolejowym, lotniczym i wodnym podlegają wymaganiom dostępności od 28 czerwca 2025 r.; dla transportu autobusowego nadzór sprawują wojewódzcy inspektorzy transportu drogowego (art. 3 ust. 2 pkt 3 i art. 38 ust. 3 pkt 4 ustawy z 26.04.2024; art. 54g ustawy o transporcie drogowym).

04Obowiązki

Obowiązki i terminy w transporcie

System zarządzania bezpieczeństwem informacji z art. 8 - do 3 kwietnia 2027 r.
Zgłaszanie incydentów, dokumentacja, osoby kontaktowe, coroczne szkolenie kierownika (art. 8e).
Podmiot kluczowy: audyt bezpieczeństwa co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r. Podmiot ważny - audyt na decyzję organu.

Kara dla podmiotu kluczowego: do 10 mln EUR albo 2% przychodów z działalności gospodarczej z poprzedniego roku obrotowego - stosuje się kwotę wyższą; nie mniej niż 20 000 zł; dla ważnego: do 7 mln EUR albo 1,4% przychodów z działalności gospodarczej z poprzedniego roku obrotowego; nie mniej niż 15 000 zł (art. 73 ust. 3-4).
Kary z art. 73 ust. 1-4, art. 73a-73c i art. 76b mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia w życie nowelizacji (według MC - po 3.04.2028). Moratorium nie obejmuje kary do 100 mln zł (art. 35 nowelizacji).

05Jak pomagamy

Audyt zerowy, wdrożenie i testy w transporcie

Audyt zerowy NIS2 - kwalifikacja (także spółek logistycznych w grupie), analiza luk względem art. 8 i plan wdrożenia.
Wdrożenie NIS2 - polityki, procedury incydentów i ciągłości działania, wymagania wobec dostawców.
Testy penetracyjne - systemy rezerwacji, portale klientów, API integracji i sieć.
Szkolenie dla zarządu - obowiązki kierownika z art. 8c-8e.

Audyt z art. 15 przeprowadzamy we współpracy z partnerem, którego audytorzy spełniają wymagania ustawy - i nie audytujemy firmy, której w ciągu roku przed audytem pomagaliśmy wdrażać system zarządzania bezpieczeństwem.

Budujemy też oprogramowanie dla logistyki - integracje systemów magazynowych i transportowych, aplikacje mobilne dla kierowców: zobacz oprogramowanie dla produkcji i logistyki. Pytania przed audytem zebraliśmy w checkliście NIS2/KSC.

Najczęściej zadawane pytania

Czy firma transportowa (przewoźnik drogowy) podlega NIS2?

Co do zasady nie. W podsektorze transportu drogowego załącznik nr 1 wymienia tylko zarządcę dróg krajowych i podmioty świadczące usługi ITS - przewoźników drogowych w nim nie ma. Przewoźnik może jednak podlegać ustawie w innym sektorze (np. jako operator pocztowy) i odczuje ją w łańcuchu dostaw: klienci będący podmiotami kluczowymi lub ważnymi oceniają bezpieczeństwo swoich dostawców (art. 8 ust. 2).

Czy spedycja albo magazyn logistyczny podlega ustawie o KSC?

Spedycji i usług magazynowych w załącznikach do ustawy nie ma. Wyjątkiem może być działalność z innego sektora - np. hurtowa dystrybucja żywności (sektor żywności), hurtownia farmaceutyczna (ochrona zdrowia) albo udostępnianie innym firmom platformy do zarządzania flotą i śledzenia przesyłek, która według Ministerstwa Cyfryzacji może być usługą ITS. Status sprawdzisz w kwalifikatorze NIS2/KSC.

Czy firma kurierska podlega NIS2?

Usługi pocztowe są w załączniku nr 2. Operator pocztowy - przedsiębiorca wpisany do rejestru operatorów pocztowych prowadzonego przez Prezesa UKE - jest podmiotem ważnym, jeśli jest co najmniej średnim przedsiębiorstwem (art. 5 ust. 2 pkt 2). Firmy kurierskie działające jako operatorzy pocztowi podlegają tej samej regule; organem właściwym jest Prezes UKE.

Czy dostawca systemu do zarządzania flotą jest dostawcą usług ITS?

Może być. Według Ministerstwa Cyfryzacji typowe usługi ITS to m.in. nawigacja i informacja o ruchu, wyznaczanie tras, dyspozytura i zarządzanie flotą oraz śledzenie przewozu osób lub rzeczy z wykorzystaniem danych lokalizacyjnych; przewoźnik, który tylko korzysta z takiej platformy, jest jej użytkownikiem (Q&A z 1.10.2026, pyt. 1.36). Dostawca usług ITS jest w załączniku nr 1 - średni jest podmiotem ważnym, duży kluczowym.

Gdzie podmioty transportu zgłaszają incydenty?

Przez system S46 - wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Dla transportu Minister Infrastruktury ustanowił w czerwcu 2026 r. CSIRT INFRASTRUKTURA; do czasu ogłoszenia komunikatu o jego zdolności operacyjnej zgłoszenia trafiają do CSIRT poziomu krajowego (art. 44 ustawy zmieniającej).

Źródła

Stan prawny na: 9.10.2026 Aktualizacja: 9.10.2026

Powiązane usługi

NIS2/KSC · Audyt zerowy

Audyt zerowy

Audyt zerowy NIS2 - analiza luk względem ustawy o KSC: zakres, metoda, raport luk, macierz zgodności i plan wdrożenia do 3.04.2027.

NIS2/KSC · Wdrożenie

Wdrożenie NIS2

Wdrożenie NIS2 w firmie krok po kroku: wpis do wykazu, analiza ryzyka, polityki, środki techniczne, incydenty, dostawcy i audyt. Harmonogram do 3.04.2027.

Kwalifikator NIS2/KSC

Kogo dotyczy NIS2 i ustawa o KSC? Bezpłatny kwalifikator: sektor, wielkość i wyjątki z art. 5 ustawy. Wynik z uzasadnieniem, obowiązkami i terminami.

Branże · Produkcja i logistyka

Produkcja i logistyka

Oprogramowanie dla produkcji, transportu i logistyki: integracje ERP, MES i WMS, systemy dla firm transportowych, aplikacje dla hali, NIS2/KSC, ciągłość.

Z bazy wiedzy

NIS2 i KSC