Jak sprawdzić, czy zakład jest podmiotem ważnym według nowej ustawy o cyberbezpieczeństwie
Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r., a termin na wpis do wykazu minął 3 października. Przechodzę przez kryteria z właścicielem średniego zakładu i pokazuję, co zrobić, jeśli firma się kwalifikuje, a co warto zrobić, nawet jeśli nie.
Pytanie przyszło od czytelnika, właściciela zakładu produkującego elementy maszyn rolniczych. Około 120 osób, obrót kilkadziesiąt milionów złotych, jeden informatyk na etacie i firma zewnętrzna od serwera. Jego księgowa przeczytała gdzieś, że „od kwietnia wszystkie średnie firmy muszą mieć cyberbezpieczeństwo”, a dostawca systemu ERP przysłał ofertę „pakietu zgodności NIS2”. Chciał wiedzieć, czy to go dotyczy, i czy już się spóźnił.
Październik to Europejski Miesiąc Cyberbezpieczeństwa, więc przechodzę przez jego przypadek krok po kroku. Większość średnich zakładów produkcyjnych jest w podobnej sytuacji.
Co się zmieniło i kiedy
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia 2026 r. Wcześniej przepisy obejmowały głównie operatorów usług kluczowych wyznaczanych decyzją, czyli energetykę, banki, szpitale, wodociągi. Teraz zakres jest dużo szerszy, a firma sama musi ocenić, czy się kwalifikuje. Nikt nie przyśle jej decyzji.
Najważniejsze terminy wyglądają tak:
| Termin | Co |
|---|---|
| 3 kwietnia 2026 | wejście w życie nowelizacji |
| 3 października 2026 | wniosek o wpis do wykazu podmiotów kluczowych i ważnych (dla firm spełniających kryteria od kwietnia) |
| 3 kwietnia 2027 | wdrożenie systemu zarządzania bezpieczeństwem informacji i pozostałych obowiązków |
Firma, która zacznie spełniać kryteria później, na przykład po przekroczeniu progu zatrudnienia, ma sześć miesięcy od tego momentu na złożenie wniosku. Ustawa trafiła do Trybunału Konstytucyjnego, ale to nie wstrzymuje terminów. Aktualne zestawienie obowiązków prowadzi rządowy portal biznes.gov.pl.
Krok pierwszy: sektor
Ustawa wymienia w załącznikach sektory, w których działalność oznacza objęcie przepisami. Obok oczywistych, jak energetyka, transport czy ochrona zdrowia, są tam sektory, o których właściciele zakładów często nie wiedzą. W grupie produkcyjnej znajdziecie między innymi:
- produkcję komputerów, wyrobów elektronicznych i optycznych,
- produkcję urządzeń elektrycznych,
- produkcję maszyn i urządzeń, gdzie indziej niesklasyfikowaną,
- produkcję pojazdów samochodowych, przyczep i naczep oraz pozostałego sprzętu transportowego,
- produkcję wyrobów medycznych.
Do tego produkcja, przetwarzanie i dystrybucja żywności, produkcja i dystrybucja chemikaliów, gospodarka odpadami, usługi pocztowe i kurierskie.
Nasz czytelnik produkuje elementy maszyn rolniczych, więc sprawdził swój PKD i przedmiot działalności. Maszyny dla rolnictwa i leśnictwa mieszczą się w produkcji maszyn. Pierwszy warunek spełniony.
Uwaga na pułapkę: liczy się rzeczywista działalność, nie tylko główny kod PKD w rejestrze. Zakład, który formalnie jest „obróbką metali”, a w praktyce składa kompletne urządzenia, powinien przeczytać opisy sektorów uważnie, najlepiej z prawnikiem.
Krok drugi: wielkość
Sam sektor nie wystarcza. Przepisy obejmują co do zasady średnie i duże przedsiębiorstwa. Średnie to, w uproszczeniu, firma zatrudniająca co najmniej 50 osób albo mająca roczny obrót i sumę bilansową powyżej 10 mln euro. Duże to co najmniej 250 osób albo obrót powyżej 50 mln euro i suma bilansowa powyżej 43 mln euro.
W sektorach produkcyjnych średnie i duże firmy są zwykle podmiotami ważnymi. Podmiotami kluczowymi są przede wszystkim duże firmy z sektorów o najwyższym znaczeniu, jak energetyka czy transport.
Nasz czytelnik ma 120 osób. Jest średnim przedsiębiorstwem w sektorze produkcji maszyn, czyli najpewniej podmiotem ważnym. Jeśli jest częścią grupy kapitałowej, liczy się zatrudnienie i obroty razem z podmiotami powiązanymi, co potrafi zmienić wynik.
Spóźniłem się. Co teraz?
Termin na wniosek o wpis minął 3 października. Jeśli wasz zakład spełniał kryteria w kwietniu, a wniosku nie ma, nie czekajcie na kolejny miesiąc. Złóżcie go teraz i zapiszcie, kiedy i dlaczego firma ustaliła, że podlega przepisom. Spóźnienie jest gorsze od wniosku, ale brak wniosku jest gorszy od spóźnienia.
Dużo ważniejszy jest drugi termin. Do 3 kwietnia 2027 r. podmiot ważny musi mieć wdrożony system zarządzania bezpieczeństwem informacji. W praktyce oznacza to:
- Szacowanie ryzyka: co w zakładzie zatrzyma produkcję, jeśli przestanie działać albo zostanie zaszyfrowane.
- Środki bezpieczeństwa: kopie zapasowe, kontrola dostępu, aktualizacje, segmentacja sieci, uwierzytelnianie wieloskładnikowe tam, gdzie się da.
- Obsługa incydentów: kto zgłasza, komu i w jakim czasie. Wczesne ostrzeżenie o poważnym incydencie trzeba wysłać do właściwego zespołu CSIRT w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin.
- Łańcuch dostaw: ocena dostawców, którzy mają dostęp do waszych systemów.
- Szkolenia, także dla kierownictwa.
Ten ostatni punkt dotyczy zarządu bezpośrednio. Odpowiedzialność za wdrożenie środków bezpieczeństwa ponosi kierownik podmiotu, a nie informatyk. Kary dla podmiotów ważnych sięgają 7 mln euro albo 1,4 proc. rocznego obrotu, a ustawa przewiduje też sankcje wobec kierownictwa.
Co z halą, a nie tylko z biurem
W zakładzie produkcyjnym najsłabszym miejscem rzadko jest serwer w biurze. Częściej są to sterowniki maszyn, panele operatorskie i komputery przy liniach, na których od lat stoi ten sam system, bo „działa i nikt nie ruszał”. Do tego zdalny dostęp serwisu producenta maszyny, otwarty na stałe, z jednym hasłem dla wszystkich techników.
Przy szacowaniu ryzyka zacznijcie od spisu: co jest podłączone do sieci, kto ma do tego dostęp z zewnątrz, czy sieć produkcyjna jest oddzielona od biurowej. Przy dokładaniu czujników do starych maszyn, o czym pisałem w wydaniu 4, to pytanie powinno paść na samym początku, a nie po wdrożeniu.
Jeśli zakład nie podlega przepisom
Mniejsza firma albo spoza wymienionych sektorów nie ma obowiązków z ustawy. Ale prawie na pewno ma klientów, którzy je mają. Duży odbiorca, który jest podmiotem kluczowym albo ważnym, musi oceniać bezpieczeństwo swoich dostawców. W ciągu najbliższego roku spodziewajcie się ankiet, klauzul w umowach i pytań o kopie zapasowe, dostęp zdalny i procedurę zgłaszania incydentów.
Kilka rzeczy ma sens niezależnie od przepisów:
- kopia zapasowa poza siedzibą, sprawdzona przez odtworzenie, a nie tylko przez raport „zakończono pomyślnie” (więcej w wydaniu o kopii zapasowej w zakładzie),
- uwierzytelnianie dwuskładnikowe do poczty i zdalnego dostępu,
- lista osób i firm z dostępem do systemów, przeglądana dwa razy w roku,
- jedna strona procedury: co robimy, gdy komputery w biurze pokażą żądanie okupu.
Odpowiedź dla czytelnika
Zakład spełnia oba kryteria, więc wniosek o wpis trzeba złożyć od razu, a do kwietnia 2027 r. przygotować system zarządzania bezpieczeństwem. Oferty „pakietu zgodności” od dostawcy ERP nie odrzucałbym z góry, ale też nie podpisywał przed własnym spisem ryzyk. Żaden pakiet nie wie, która maszyna na hali stoi na systemie sprzed dziesięciu lat.
Interpretacja kryteriów w konkretnej firmie, zwłaszcza w grupie kapitałowej albo przy działalności na granicy sektorów, wymaga sprawdzenia z prawnikiem. Ten tekst pokazuje, od czego zacząć rozmowę, a nie zastępuje opinii.