NIS2 / KSC dla transportu i logistyki

Czy firma transportowa lub logistyczna podlega pod KSC — i jako jaki podmiot?

Sektor transport znajduje się w załączniku nr 1 (sektory „kluczowe”) i obejmuje transport: lotniczy (przewoźnicy, zarządzający lotniskami, obsługa działająca w ramach lotnisk, zarządzanie ruchem), kolejowy, wodny i drogowy — przy czym w drogowym chodzi m.in. o zarządców infrastruktury i inteligentne systemy transportowe, a nie o każdego przewoźnika ciężarowego.

Z połączenia sektora i wielkości wynika kategoria: duże przedsiębiorstwo w załączniku nr 1 to podmiot kluczowy, średnie — podmiot ważny. Progi: przedsiębiorstwo co najmniej średnie to od 50 osób lub powyżej 10 mln EUR obrotu albo sumy bilansowej; duże — 250+ osób lub ponad 50 mln EUR obrotu (43 mln EUR sumy bilansowej).

O kwalifikacji decyduje faktycznie prowadzona działalność, nie sam kod PKD. Przypadki graniczne — np. usługi pomocnicze na lotniskach — ustawa pozostawia analizie; bezpieczniejsza jest wtedy kwalifikacja ostrożnościowa, bo obowiązki i tak biegną od dnia spełnienia przesłanek, a błąd „w dół” jest znacznie droższy niż błąd „w górę”. Pamiętaj też o grupach kapitałowych: dane przedsiębiorstw partnerskich (25–50%) i powiązanych (powyżej 50%) się sumują — spółka operacyjna w większej grupie może podlegać, mimo że sama wygląda na małą.

Obowiązki powstają z mocy prawa w dniu spełnienia przesłanek — wpis do wykazu tylko je potwierdza i może nastąpić z urzędu. Terminy dla podmiotów spełniających przesłanki 3.04.2026 r.: samoidentyfikacja do 3.10.2026 r., pełne wdrożenie SZBI do 3.04.2027 r., a dla podmiotów kluczowych pierwszy obowiązkowy audyt do 3.04.2028 r. Organem właściwym dla sektora jest minister właściwy ds. transportu.

Specyfika obowiązków w transporcie i logistyce

Katalog obowiązków (SZBI, incydenty, ciągłość, łańcuch dostaw, szkolenia, dokumentacja) jest dla podmiotów kluczowych i ważnych niemal identyczny — różni się reżim nadzoru: kluczowi są kontrolowani także planowo i mają cykliczny audyt, ważni — kontrolę po sygnale lub incydencie. W praktyce operacyjnej transportu ciężar przesuwa się na:

• Ciągłość systemów operacyjnych. Plany ciągłości działania (BCP) i odtwarzania (DRP) dla systemów krytycznych — z parametrami odtworzenia i właścicielami biznesowymi. To właściciel procesu przewozowego wie, które systemy (awizacja, zarządzanie ruchem, obsługa terminali) muszą wrócić najpierw i ile kosztuje godzina ich niedostępności.
• Zegar incydentowy w ruchu ciągłym. Zgłoszenie incydentu poważnego: wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, raport końcowy w 1 miesiąc — licząc od wykrycia w organizacji, nie od poinformowania zarządu. Operacje działające w nocy i w weekendy potrzebują ścieżki eskalacji liczonej w godzinach, niezależnej od godzin biurowych.
• Łańcuch dostaw i podwykonawcy. Dostawcy systemów telematycznych, operatorzy terminali, serwis i podwykonawcy przewozów to dostawcy istotni dla bezpieczeństwa — potrzebna jest ich lista, ocena ryzyka i klauzule w umowach (informowanie o incydentach, standardy bezpieczeństwa, prawo audytu). Jeśli wozisz dla podmiotów objętych ustawą, to oni zaczną wymagać takich klauzul od Ciebie — KSC rozlewa się w dół łańcucha.
• Uwierzytelnianie i dostępy rozproszone. MFA dla dostępów zdalnych i uprzywilejowanych to absolutne minimum — a w transporcie dostęp zdalny jest normą: kierowcy, magazyny, terminale, dostawcy systemów.
• Zarząd. Kierownik podmiotu (co do zasady cały zarząd) zatwierdza SZBI, nadzoruje wdrożenie, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność — zadań nie da się scedować na dział IT ani na dostawcę systemów.

Typowe luki w firmach transportowych i logistycznych

• brak inwentaryzacji systemów operacyjnych i ich zależności — nie wiadomo, które systemy naprawdę zatrzymują operacje
• kwalifikacja „na oko”: ocena całej firmy zamiast segmentów działalności (przewozy, infrastruktura, usługi kurierskie, magazyn)
• dostępy zdalne dostawców telematyki i systemów magazynowych bez MFA i bez rejestrowania sesji
• kopie zapasowe bez testów odtworzenia — backup nietestowany to deklaracja, nie zabezpieczenie
• umowy z podwykonawcami i dostawcami IT sprzed lat, bez klauzul bezpieczeństwa
• brak ścieżki eskalacji incydentów poza godzinami biurowymi — zegar 24 h biegnie także w nocy
• liczenie wielkości na poziomie jednej spółki, bez danych grupy kapitałowej

Jak to wygląda w praktyce

Prowadzimy wdrożenie NIS2/KSC jako podmiot kluczowy (wytwórca leków z listy leków krytycznych) — i trzy lekcje z tego programu przenoszą się wprost na transport i logistykę. Po pierwsze: kwalifikację robi się segmentami, nie szyldem — spisujemy, co firma faktycznie świadczy, dla kogo i w jakiej skali, i dopiero to porównujemy z załącznikami. Po drugie: parametry odtworzenia ustala właściciel procesu operacyjnego, nie IT — inaczej plan ciągłości chroni serwery, a nie przewozy.

Po trzecie: w kontroli bronią się dowody operacyjne — rejestr incydentów (także drobnych), raporty z testów odtworzeniowych, zapisy przeglądów i szkoleń — a nie segregator polityk. Realistyczny horyzont pełnego wdrożenia to około 12 miesięcy: kwalifikacja i decyzja zarządu (miesiące 1–2), inwentaryzacja i analiza ryzyka (2–4), wdrożenie polityk, minimum technicznego i umów (4–9), dowody i utrwalenie (9–12) — co przy terminie 3.04.2027 r. oznacza, że warto zaczynać bez zwłoki, ale bez paniki.

Jesteśmy firmą spedycyjną z 70 pracownikami — czy podlegamy pod NIS2/KSC?

To zależy od segmentów działalności. Sama spedycja nie jest wprost wymieniona w załącznikach, ale firma podlega, jeśli choć jeden istotny segment działalności się w nich mieści — np. usługi kurierskie (załącznik nr 2), zarządzanie infrastrukturą transportową czy inteligentne systemy transportowe (załącznik nr 1). Sprawdź też grupę kapitałową i pamiętaj, że nawet poza ustawą klienci objęci KSC zaczną wymagać klauzul bezpieczeństwa w umowach. W przypadkach granicznych bezpieczniejsza jest kwalifikacja ostrożnościowa.

Czy przewoźnik drogowy (transport ciężarowy) automatycznie podlega pod ustawę?

Operacje mamy 24/7 — jak pogodzić zegar zgłoszeń z pracą zmianową?

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.