NIS2 / KSC dla produkcji

Czy zakład produkcyjny podlega pod KSC — i jako jaki podmiot?

Sektor produkcja znajduje się w załączniku nr 2 (sektory „ważne”) i obejmuje pięć grup: wyroby medyczne i wyroby medyczne do diagnostyki in vitro; komputery, elektronikę i optykę; urządzenia elektryczne; maszyny i urządzenia; pojazdy samochodowe, przyczepy i pozostały sprzęt transportowy. To załącznik, który obejmuje ogromną część polskiego przemysłu średniej wielkości.

O kwalifikacji decyduje faktycznie prowadzona działalność, nie sam kod PKD — choć przegląd kodów PKD to dobry punkt startu. Firma o działalności mieszanej podlega, jeśli choć jeden istotny segment jej działalności mieści się w załącznikach. Pokrewne sektory „ważne” to chemikalia (produkcja, wytwarzanie i dystrybucja substancji i wyrobów chemicznych) oraz żywność (produkcja, przetwarzanie i dystrybucja na skalę przemysłową/hurtową) — zakład chemiczny czy spożywczy kwalifikuje się przez te sektory, nie przez „produkcję”.

Progi wielkości: reguła ogólna obejmuje przedsiębiorstwa co najmniej średnie — od 50 osób lub powyżej 10 mln EUR obrotu albo sumy bilansowej. Przedsiębiorstwo duże to 250+ osób lub ponad 50 mln EUR obrotu (43 mln EUR sumy bilansowej). Średnia lub duża firma w załączniku nr 2 to podmiot ważny; w załączniku nr 1 średnia firma to podmiot ważny, a duża — podmiot kluczowy.

Obowiązki powstają z mocy prawa w dniu spełnienia przesłanek, a nie w dniu wpisu do wykazu — wpis ma charakter deklaratoryjny, a organ może wpisać podmiot z urzędu. Terminy dla podmiotów spełniających przesłanki 3.04.2026 r.: samoidentyfikacja i wniosek o wpis do 3.10.2026 r., pełne wdrożenie SZBI i pozostałych obowiązków do 3.04.2027 r.

Specyfika obowiązków w zakładzie produkcyjnym

Katalog obowiązków (SZBI, obsługa i zgłaszanie incydentów, ciągłość działania, łańcuch dostaw, szkolenia, dokumentacja) jest dla podmiotów kluczowych i ważnych niemal identyczny — różni się reżim nadzoru: podmiot ważny kontrolowany jest reaktywnie (po sygnale, skardze lub incydencie), kluczowy — także planowo. W praktyce produkcyjnej ciężar przesuwa się na kilka obszarów:

• OT jako odrębny obszar analizy ryzyka. Ochrona środowisk produkcyjnych i sterowania musi uwzględniać bezpieczeństwo procesu — kopiowanie kontroli z IT biurowego bez analizy wpływu na produkcję to najczęstsza pułapka.
• Incydenty z perspektywą produkcji. Klasyfikacja incydentów obejmuje m.in. zagrożenie zdrowia, życia, środowiska lub produkcji, a wśród minimalnych playbooków reagowania powinno się znaleźć „naruszenie OT/produkcji”. Zegar zgłoszeń incydentu poważnego (24 h wczesne ostrzeżenie, 72 h zgłoszenie, 1 miesiąc raport końcowy) biegnie od wykrycia w organizacji — wymaga ścieżki eskalacji liczonej w godzinach, także z hali produkcyjnej.
• Ciągłość działania linii. Kopie zapasowe z testami odtworzenia, plany BCP/DRP dla systemów krytycznych — z parametrami odtworzenia i właścicielami biznesowymi. To właściciel procesu produkcyjnego wie, ile kosztuje godzina przestoju linii i które systemy muszą wrócić najpierw.
• Łańcuch dostaw w obie strony. Serwisanci maszyn, integratorzy i dostawcy utrzymania to dostawcy istotni dla bezpieczeństwa — potrzebna jest ich lista, ocena ryzyka i klauzule w umowach (informowanie o incydentach, standardy bezpieczeństwa, prawo audytu). A jeśli Twoim klientem jest podmiot objęty ustawą, to on zacznie wymagać takich klauzul od Ciebie.
• Zarząd, nie tylko utrzymanie ruchu. Kierownik podmiotu (co do zasady cały zarząd) zatwierdza SZBI, nadzoruje wdrożenie, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność — zadań nie da się scedować na dział IT ani na integratora.

Typowe luki w firmach produkcyjnych

• brak inwentaryzacji środowiska OT — nie wiadomo, co dokładnie pracuje na hali i które elementy są krytyczne
• płaska sieć: stacje biurowe, serwery i sterowanie produkcją w jednej przestrzeni, bez segmentacji IT/OT
• niekontrolowany zdalny dostęp serwisowy do maszyn — stałe łącza dostawców bez rejestrowania sesji i bez MFA
• kopie zapasowe bez testów odtworzenia i bez kopii konfiguracji urządzeń sterujących
• umowy z dostawcami serwisu i utrzymania sprzed lat, bez klauzul bezpieczeństwa — luka widoczna w papierach od ręki
• liczenie wielkości firmy na poziomie jednej spółki, bez danych grupy kapitałowej
• brak formalnych decyzji zarządu (uchwały, zatwierdzenia, szkolenia) — dowodów, których organ szuka w pierwszej kolejności

Jak to wygląda w praktyce: wdrożenie u wytwórcy leków

Piszemy o tym z pozycji praktyka: prowadzimy wdrożenie NIS2/KSC jako podmiot kluczowy u wytwórcy leków z listy leków krytycznych — od analizy ryzyka po wpis do wykazu i komunikację przez S46. Zakład farmaceutyczny to jednocześnie reżim jakościowy i środowisko OT/ICS: systemy sterowania procesem, urządzenia laboratoryjne i linie pakujące, których nie można traktować jak stacji biurowych.

Segmentacja IT/OT działa jak drzwi przeciwpożarowe: systemy krytyczne (produkcja, OT) są oddzielone od stacji biurowych i od siebie nawzajem, z kontrolowanym ruchem między strefami — kliknięcie w złośliwy załącznik przez pracownika biura nie może oznaczać dostępu do sterowania produkcją. Praktyczny zestaw dla OT obejmuje: inwentaryzację pasywną, podział na strefy, kontrolowany zdalny dostęp, kopie konfiguracji, monitoring, kontrolę zmian i procedury ręczne na wypadek niedostępności systemów.

Najważniejsza lekcja z tego programu: parametry odtworzenia i priorytety ustala właściciel procesu, nie IT — a w kontroli bronią się dowody operacyjne (rejestr incydentów, raporty z testów odtworzeniowych, zapisy przeglądów), nie segregator polityk. Ta sama logika, w mniejszej skali, dotyczy każdego zakładu z załącznika nr 2.

Mamy 60 pracowników i produkujemy maszyny — czy podlegamy pod NIS2/KSC?

Co do zasady tak, jako podmiot ważny: „maszyny i urządzenia” to jedna z pięciu grup sektora produkcja w załączniku nr 2, a firma od 50 osób lub z obrotem albo sumą bilansową powyżej 10 mln EUR jest co najmniej średnia. Sprawdź też grupę kapitałową (dane się sumują) i zrób test kwalifikacji — wynik traktuj jako wstępną ocenę, nie opinię prawną.

Czym w praktyce różni się podmiot ważny od kluczowego dla zakładu produkcyjnego?

Czy maszyny i sterowniki (OT) też podlegają pod wymagania ustawy?

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.