5G, NIS2 i dostawcy wysokiego ryzyka: co nowelizacja KSC oznacza dla firmy produkcyjnej

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), obowiązująca od 3 kwietnia 2026 r., pozwala ministrowi cyfryzacji uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Od ogłoszenia takiej decyzji podmioty kluczowe i ważne nie mogą wprowadzać do użytkowania wskazanych w niej typów produktów i usług, a te już używane muszą wycofać w ciągu siedmiu lat. Dla części przedsiębiorców telekomunikacyjnych termin wynosi cztery lata. Do sierpnia 2026 r. nie wszczęto żadnego postępowania, ale dla firmy produkcyjnej, która kupuje dziś sieć 5G, kamery czy systemy OT, to ryzyko trzeba uwzględnić już przy zakupie.

Ten tekst zamyka naszą serię o 5G i jest przeznaczony dla zarządów, dyrektorów zakładów i osób odpowiedzialnych za zgodność. Wyjaśniamy, skąd wzięły się przepisy o dostawcach wysokiego ryzyka, kogo dotyczą, jakie terminy z nich wynikają i co warto zrobić, zanim pojawi się pierwsza decyzja. Ogólne obowiązki firm produkcyjnych wynikające z NIS2 i KSC opisujemy w artykule NIS2 w firmie produkcyjnej: kogo dotyczy KSC.

Najważniejsze w skrócie

• Decyzję wydaje minister cyfryzacji po postępowaniu administracyjnym i opinii Kolegium do Spraw Cyberbezpieczeństwa. Decyzja jest ogłaszana w Monitorze Polskim i podlega natychmiastowemu wykonaniu.
• Decyzja obejmuje wskazane typy produktów, usług lub procesów ICT, a nie całą działalność dostawcy.
• Podmioty kluczowe i ważne nie mogą wprowadzać tych produktów do użytkowania i muszą wycofać używane w ciągu 7 lat od ogłoszenia decyzji. Dla określonych przedsiębiorców komunikacji elektronicznej termin wynosi 4 lata.
• Do sierpnia 2026 r. nie było żadnej decyzji ani postępowania. Brak listy nie zwalnia jednak z obowiązku oceny ryzyka w łańcuchu dostaw.
• Przepisy są w Trybunale Konstytucyjnym (sprawa K 19/26, wniosek Prezydenta), ale do czasu wyroku obowiązują w pełni.
• Na poziomie UE trwają prace nad CSA2, projektem, który przewiduje obowiązkowe wycofywanie komponentów dostawców wysokiego ryzyka z kluczowych elementów sieci 5G.
• Najtańszy moment na zarządzanie tym ryzykiem to zakup. Inwentaryzacja, zapisy w umowach i architektura, która pozwala wymienić dostawcę, kosztują mniej niż wymiana sprzętu pod presją terminu.

Skąd wzięły się przepisy o dostawcach wysokiego ryzyka?

Pojęcie dostawcy wysokiego ryzyka pochodzi z unijnego zestawu narzędzi bezpieczeństwa 5G (5G Toolbox) z 2020 r. Państwa członkowskie uzgodniły w nim m.in., że warto ograniczać lub wykluczać sprzęt dostawców wysokiego ryzyka z kluczowych elementów sieci 5G. Toolbox nie był wiążący, więc każde państwo wdrażało go po swojemu.

W czerwcu 2023 r. Komisja Europejska oceniła, że Huawei i ZTE stanowią istotnie wyższe ryzyko niż inni dostawcy 5G, i zapowiedziała, że nie będzie korzystać z ich usług we własnej komunikacji. W styczniu 2026 r. Komisja przedstawiła projekt zmienionego aktu o cyberbezpieczeństwie (CSA2), który miałby uczynić wycofywanie komponentów dostawców wysokiego ryzyka z kluczowych elementów sieci 5G obowiązkowym. Projekt jest na etapie prac Parlamentu Europejskiego i Rady.

Polska poszła szerzej niż 5G. Procedura z nowelizacji KSC może dotyczyć produktów, usług i procesów ICT stosowanych we wszystkich sektorach objętych ustawą, w tym w produkcji.

Jak przebiega uznanie za dostawcę wysokiego ryzyka?

Według informacji Ministerstwa Cyfryzacji procedura wygląda tak:

1. Wszczęcie. Postępowanie prowadzi minister cyfryzacji. Po wszczęciu zawiadamia dostawcę i publikuje informację w Biuletynie Informacji Publicznej.
2. Stanowiska. Organizacje społeczne mają 14 dni od publikacji zawiadomienia na przedstawienie stanowiska.
3. Opinia Kolegium. Kolegium do Spraw Cyberbezpieczeństwa ma trzy miesiące na przygotowanie opinii.
4. Raport. Przed decyzją minister publikuje raport w BIP.
5. Decyzja. Jest ogłaszana w Monitorze Polskim, w BIP ministerstwa i na jego stronie, i podlega natychmiastowemu wykonaniu.

Decyzja nie wyklucza firmy z rynku. Obejmuje wyłącznie wskazane w niej typy produktów, rodzaje usług ICT lub procesy ICT. Na decyzję przysługuje skarga do sądu administracyjnego.

Kogo dotyczą obowiązki i w jakich terminach?

Kto	Obowiązek po ogłoszeniu decyzji	Termin wycofania
Podmioty kluczowe i ważne (m.in. średnie i duże firmy produkcyjne z sektorów objętych KSC)	Zakaz wprowadzania do użytkowania wskazanych produktów, usług i procesów ICT	Do 7 lat od ogłoszenia decyzji
Określeni przedsiębiorcy komunikacji elektronicznej (operatorzy z przychodem z tej działalności powyżej 10 mln zł)	Wycofanie z funkcji krytycznych sieci wymienionych w załączniku do ustawy	Do 4 lat od ogłoszenia decyzji
Firmy nieobjęte KSC	Brak bezpośredniego obowiązku	Nie dotyczy, ale ryzyko może przyjść od klientów i ubezpieczycieli

Siedem lat brzmi jak dużo, ale w przemyśle to krótki okres. Urządzenia i systemy OT często pracują 10 do 15 lat, a niekiedy ponad 20. Sprzęt kupiony dziś może więc trzeba będzie wymienić przed końcem jego planowanej eksploatacji, czyli przed amortyzacją.

Ważne są też kary. Niewykonanie obowiązków z ustawy podlega administracyjnym karom pieniężnym. Dla podmiotu ważnego maksymalna kara to wyższa z kwot: 7 mln EUR albo 1,4% przychodów. Kary mogą być nakładane od 3 kwietnia 2028 r. Szczegóły kar i odpowiedzialności zarządu opisujemy w artykule o NIS2 w firmie produkcyjnej.

Co oznacza brak listy dostawców wysokiego ryzyka?

Według komunikatu Ministerstwa Cyfryzacji z 6 sierpnia 2026 r. w Polsce nie ma listy dostawców wysokiego ryzyka i nie wszczęto żadnego postępowania. Kuszące jest wnioskowanie, że temat można odłożyć. Są trzy powody, dla których to błąd:

• Ministerstwo wprost przypomina, że brak listy nie zwalnia z oceny ryzyka. Bezpieczeństwo łańcucha dostaw to obowiązek podmiotów kluczowych i ważnych niezależnie od decyzji o dostawcach wysokiego ryzyka.
• Decyzja działa od razu. Od jej ogłoszenia nie można wprowadzać do użytkowania wskazanych produktów. Projekt w trakcie zakupu może utknąć z dnia na dzień.
• Istnieją też rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa. Mogą one wskazywać ryzykowne technologie, a zamawiający publiczni muszą odrzucać oferty nimi objęte. Firma, która dostarcza rozwiązania do sektora publicznego lub kupuje razem z nim, może to odczuć pośrednio.

Do tego dochodzi niepewność prawna. Prezydent skierował przepisy o dostawcach wysokiego ryzyka i o kontroli sądowej decyzji do Trybunału Konstytucyjnego w trybie kontroli następczej (sprawa K 19/26). Do wyroku przepisy obowiązują w pełni. Niezależnie od tego, czym zakończy się sprawa, projekt CSA2 pokazuje, że kierunek w całej UE jest ten sam.

Dlaczego to szczególnie ważne przy sieci 5G w zakładzie?

Prywatna sieć 5G składa się ze stacji bazowych, rdzenia sieci, urządzeń końcowych i oprogramowania do zarządzania. To dokładnie te elementy, od których zaczęła się unijna dyskusja o dostawcach wysokiego ryzyka. Jak działa taka sieć i które jej elementy są krytyczne, opisujemy w przewodniku po architekturze sieci 5G.

Dla firmy produkcyjnej, która jest podmiotem ważnym i buduje prywatną sieć 5G na własne potrzeby, co do zasady zastosowanie ma ogólny termin 7 lat. Czteroletni termin dotyczy przedsiębiorców komunikacji elektronicznej z przychodem z tej działalności powyżej 10 mln zł. Zakład, który zleca budowę sieci operatorowi albo kupuje ją jako usługę, powinien jednak zapytać, jakie terminy obowiązują dostawcę i jak przełożą się na ciągłość usługi.

Przy sieci 5G ryzyko ma też wymiar czysto techniczny, niezależny od przepisów. Rdzeń sieci to oprogramowanie, które wymaga regularnych aktualizacji bezpieczeństwa. W 2025 r. ujawniono wyniki projektu RANsacked, w którym badacze znaleźli 119 podatności w implementacjach rdzeni LTE i 5G. Przegląd głównych zagrożeń znajdziesz w artykule Ataki na sieć 5G. Dostawca, który przestanie dostarczać poprawki, jest problemem bez względu na to, czy trafi na jakąkolwiek listę.

Co firma produkcyjna powinna zrobić już teraz?

1. Zinwentaryzuj sprzęt i oprogramowanie ICT z informacją o producencie

Bez inwentarza nie da się odpowiedzieć na pytanie, czy decyzja dotyczy firmy. Spis powinien obejmować nie tylko serwery i laptopy, ale też urządzenia sieciowe, kamery, rejestratory, modemy i routery komórkowe, sterowniki, panele operatorskie i oprogramowanie systemów produkcyjnych. Przy każdej pozycji: producent, model, wersja oprogramowania, lokalizacja, funkcja w procesie i planowany koniec eksploatacji. Inwentarz to też podstawa dokumentacji wymaganej przez KSC.

2. Dodaj ocenę dostawcy do procesu zakupowego

Przed zakupem sieci 5G, kamer czy systemu OT warto zadać kilka pytań:

• Kto jest producentem kluczowych komponentów, także tych sprzedawanych pod inną marką?
• Jak długo producent gwarantuje aktualizacje bezpieczeństwa?
• Czy rozwiązanie działa z komponentami innych producentów, czy wymusza jeden ekosystem?
• Gdzie przetwarzane są dane i kto ma zdalny dostęp do urządzeń?

3. Zapisz ryzyko regulacyjne w umowach

Umowa z dostawcą lub integratorem powinna przewidywać, co się dzieje, jeśli produkt zostanie objęty decyzją: prawo do odstąpienia lub wymiany, wsparcie przy migracji, dostęp do konfiguracji i danych, obowiązek informowania o zmianach w łańcuchu dostaw. Takie zapisy najłatwiej negocjować przed podpisaniem umowy. Zapisy w umowie warto skonsultować z prawnikiem.

4. Projektuj tak, żeby dało się wymienić dostawcę

Architektura oparta na standardowych interfejsach i separacji warstw pozwala wymienić jeden element bez przebudowy całości. W sieci 5G oznacza to m.in. możliwość zmiany stacji bazowych bez wymiany rdzenia i odwrotnie.

5. Przygotuj plan wycofania

Plan nie musi być szczegółowy, dopóki nie ma decyzji. Powinien jednak wskazywać, które systemy byłyby najtrudniejsze do wymiany, ile czasu zajęłaby wymiana i jak przeprowadzić ją bez zatrzymania produkcji. Pamiętaj, że wycofanie sprzętu to również bezpieczne usunięcie danych i konfiguracji.

6. Monitoruj źródła

Wystarczy ustalić, kto w firmie i jak często sprawdza BIP Ministerstwa Cyfryzacji, Monitor Polski, rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa oraz postęp prac nad CSA2. Zawiadomienie o wszczęciu postępowania daje kilka miesięcy wyprzedzenia przed decyzją.

Najczęstsze błędne założenia

• „Nie mamy sprzętu z Chin, więc nas to nie dotyczy.” Decyzja dotyczy typów produktów wskazanych w decyzji, a komponenty bywają sprzedawane pod innymi markami. Bez inwentarza i wiedzy o producentach komponentów nie da się tego stwierdzić.
• „Mamy 7 lat, więc zajmiemy się tym później.” Zakaz wprowadzania nowych produktów obowiązuje od ogłoszenia decyzji. Rozbudowa i części zamienne mogą stać się problemem od pierwszego dnia.
• „Sprawa jest w Trybunale, więc przepisy nie obowiązują.” Do czasu wyroku obowiązują w pełni.
• „To temat dla działu zakupów albo IT.” Za wykonanie obowiązków z KSC odpowiada kierownik podmiotu, czyli zarząd. Decyzje o wieloletnich inwestycjach w sieć i OT też zapadają na tym poziomie.

Jaka jest rola partnera IT?

Ocena ryzyka dostawców wymaga połączenia trzech perspektyw: prawnej, zakupowej i technicznej. Partner IT wnosi tę ostatnią:

• Inwentaryzację sprzętu i oprogramowania w IT i OT, z informacją o producentach i wersjach.
• Ocenę techniczną rozwiązań przed zakupem: aktualizacje, interoperacyjność, zdalny dostęp, możliwość wymiany komponentów.
• Architekturę sieci zakładu i sieci 5G, która ogranicza skutki wymiany dostawcy.
• Plan migracji i jego przeprowadzenie bez zatrzymania produkcji.
• Dokumentację potrzebną do wykazania, że firma zarządza ryzykiem łańcucha dostaw zgodnie z KSC.

Dobrym punktem startu jest audyt, który obejmuje zarówno biuro, jak i halę. Opisujemy go w przewodniku Audyt cyberbezpieczeństwa w firmie produkcyjnej.

Kupujesz sieć 5G lub systemy OT? Sprawdźmy ryzyko, zanim podpiszesz umowę

Pomagamy firmom produkcyjnym przygotować się na przepisy o dostawcach wysokiego ryzyka bez paniki i bez kosztownych wymian na ostatnią chwilę. Inwentaryzujemy sprzęt i oprogramowanie w IT i OT, oceniamy rozwiązania przed zakupem, projektujemy architekturę, która pozwala wymienić dostawcę, i przygotowujemy dokumentację zarządzania ryzykiem łańcucha dostaw.