NIS2 / KSC dla wod-kan

Czy przedsiębiorstwo wod-kan podlega pod KSC — i jako jaki podmiot?

Sektor woda pitna i ścieki w załączniku nr 1 (sektory „kluczowe”) obejmuje przedsiębiorstwa wodociągowo-kanalizacyjne. Kategoria wynika z połączenia sektora i wielkości: duże przedsiębiorstwo (250+ osób lub ponad 50 mln EUR obrotu / 43 mln EUR sumy bilansowej) to podmiot kluczowy; średnie (od 50 osób lub powyżej 10 mln EUR) — podmiot ważny.

Mikro i małe przedsiębiorstwa są co do zasady poza ustawą — ale w tym sektorze wyjątki mają praktyczne znaczenie: organ może wskazać podmiot indywidualną decyzją (np. jedynego dostawcę usługi istotnej albo podmiot, którego zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne — a lokalny monopol na dostawę wody bywa dokładnie taką usługą), a podmiot uznany za krytyczny w reżimie odporności (CER) podlega KSC niezależnie od progów wielkości. Podmioty administracji publicznej podlegają według odrębnych reguł, nie progów MŚP — status spółki komunalnej warto więc ocenić także od tej strony.

Działalność mieszana: firma podlega, jeśli choć jeden istotny segment mieści się w załącznikach — spółka komunalna łącząca wod-kan (załącznik nr 1) z gospodarką odpadami (załącznik nr 2) czy ciepłem (sektor energii, załącznik nr 1) ocenia każdy segment osobno, a kategoria może wynikać z segmentu „wyższego”. Obowiązki powstają z mocy prawa w dniu spełnienia przesłanek; samoidentyfikacja do 3.10.2026 r., pełne wdrożenie SZBI do 3.04.2027 r.

Specyfika obowiązków w wod-kan

Katalog obowiązków jest wspólny dla wszystkich sektorów, ale podmiot kluczowy musi być stale gotowy do kontroli i audytu — jego dokumentacja i dowody muszą być aktualne w każdym momencie, bo organ może kontrolować planowo, bez szczególnego powodu. W praktyce przedsiębiorstwa wod-kan ciężar przesuwa się na:

• Sterowanie ujęciami, stacjami uzdatniania i oczyszczalniami jako środowisko OT. Ochrona środowisk sterowania musi uwzględniać bezpieczeństwo procesu — klasyfikacja incydentów obejmuje m.in. zagrożenie zdrowia, życia, środowiska lub produkcji, a playbook „naruszenie OT/produkcji” należy do minimalnego zestawu. Kopiowanie kontroli z IT biurowego bez analizy wpływu na proces to najczęstsza pułapka.
• Ciągłość usługi. Kopie zapasowe z testami odtworzenia, plany BCP/DRP dla systemów krytycznych z parametrami odtworzenia, właścicielami biznesowymi i procedurami ręcznymi — właściciel procesu wie, które elementy (sterowanie siecią, telemetria, rozliczenia) muszą wrócić najpierw.
• Zegar incydentowy w usłudze ciągłej. Wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, raport końcowy w 1 miesiąc — od wykrycia w organizacji. Praca zmianowa i dyżury sieciowe wymagają ścieżki eskalacji liczonej w godzinach, działającej także w nocy i w święta.
• Łańcuch dostaw. Dostawcy systemów sterowania i telemetrii, serwis pomp i automatyki, wykonawcy utrzymania — lista, ocena ryzyka i klauzule w umowach (informowanie o incydentach, standardy bezpieczeństwa, prawo audytu). Zdalny dostęp serwisowy do obiektów wymaga kontroli i rejestrowania.
• Zarząd i audyt. Kierownik podmiotu (co do zasady cały zarząd) zatwierdza SZBI, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność. Podmiot kluczowy dodatkowo: audyt bezpieczeństwa co najmniej raz na 3 lata, pierwszy do 3.04.2028 r. — kalendarze dobrych audytorów zapełniają się na miesiące, więc rezerwację warto planować z wyprzedzeniem.

Typowe luki w przedsiębiorstwach wod-kan

• brak inwentaryzacji obiektów i sterowania (ujęcia, przepompownie, oczyszczalnie) — nie wiadomo, co dokładnie pracuje w terenie i co jest krytyczne
• płaska sieć: biuro, rozliczenia i telemetria obiektów bez segmentacji
• zdalne dostępy serwisantów automatyki bez MFA, bez rejestrowania sesji i na stałych łączach
• kopie zapasowe bez testów odtworzenia i bez kopii konfiguracji sterowników
• brak procedur ręcznych na wypadek niedostępności systemów sterowania
• umowy z dostawcami automatyki i utrzymania sprzed lat, bez klauzul bezpieczeństwa
• brak formalnych decyzji i szkoleń zarządu — dowodów, których organ szuka w pierwszej kolejności, także w kontroli planowej

Jak to wygląda w praktyce

Prowadzimy wdrożenie NIS2/KSC jako podmiot kluczowy (wytwórca leków z listy leków krytycznych) — czyli w reżimie, który czeka duże przedsiębiorstwa wod-kan: proaktywny nadzór, cykliczny audyt i konieczność utrzymywania dowodów w stałej gotowości. Z tego programu przenoszą się wprost trzy lekcje. Po pierwsze: środowiska sterowania traktuje się jako odrębny obszar analizy ryzyka — praktyczny zestaw to inwentaryzacja pasywna, podział na strefy, kontrolowany zdalny dostęp, kopie konfiguracji, monitoring, kontrola zmian i procedury ręczne.

Po drugie: segmentacja działa jak drzwi przeciwpożarowe — komputer w biurze obsługi klienta nie może mieć otwartej drogi do sterowania ujęciem. Po trzecie: w kontroli bronią się dowody operacyjne — żywa analiza ryzyka z datami, rejestr incydentów, raporty z testów odtworzeniowych, zaświadczenia ze szkoleń zarządu — nie segregator polityk. Realistyczny horyzont pełnego wdrożenia to około 12 miesięcy; podmiot kluczowy powinien do tego doliczyć rezerwację audytora.

Nasze wodociągi zatrudniają 120 osób — czy jesteśmy podmiotem kluczowym?

Przedsiębiorstwa wodociągowo-kanalizacyjne są w załączniku nr 1, a kategoria zależy od wielkości: firma 120-osobowa jest średnia (od 50 osób), więc co do zasady to podmiot ważny; podmiotem kluczowym byłaby jako duże przedsiębiorstwo (250+ osób lub ponad 50 mln EUR obrotu / 43 mln EUR sumy bilansowej). Sprawdź też strukturę właścicielską (dane się sumują) oraz to, czy podmiot nie został uznany za krytyczny w reżimie CER — wtedy progi nie mają znaczenia.

Jesteśmy małą gminną spółką wod-kan (30 osób) — czy na pewno nas to nie dotyczy?

Sterowanie ujęciami mamy od zewnętrznego dostawcy automatyki — czy to zdejmuje z nas obowiązki?

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.