NIS2 w firmie produkcyjnej: kogo dotyczy KSC i jakie są obowiązki?

Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża w Polsce dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r. W przemyśle obejmuje przede wszystkim średnie i duże firmy z siedmiu obszarów działalności przemysłowej i produkcyjnej: chemii, żywności, wyrobów medycznych, elektroniki, sprzętu elektrycznego, maszyn oraz pojazdów. Takie firmy są zwykle podmiotami ważnymi i do 3 kwietnia 2027 r. muszą wdrożyć system zarządzania bezpieczeństwem informacji.

Najważniejsze w skrócie

• Termin samorejestracji w wykazie podmiotów kluczowych i ważnych minął 3 października 2026 r. Jeśli Twoja firma podlega samorejestracji, a wniosku nie złożyła, sprawdź jej status i uzupełnij zaległość.
• O objęciu ustawą decydują dwa warunki łącznie: rodzaj działalności i wielkość przedsiębiorstwa. W grupach kapitałowych obowiązują dodatkowe zasady liczenia.
• Większość zakładów produkcyjnych to podmioty ważne. Nie mają obowiązku cyklicznego audytu, ale organ nadzoru może go nakazać.
• Do 3 kwietnia 2027 r. trzeba wdrożyć zarządzanie ryzykiem, obsługę incydentów i bezpieczeństwo łańcucha dostaw.
• Za realizację obowiązków odpowiada kierownik podmiotu, czyli w praktyce zarząd. Administracyjne kary pieniężne mogą być nakładane od 3 kwietnia 2028 r.

Termin samorejestracji minął. Co to oznacza dla Twojej firmy?

Firmy, które spełniały przesłanki w dniu wejścia ustawy w życie i podlegają samorejestracji, miały czas do 3 października 2026 r. na złożenie wniosku o wpis do wykazu podmiotów kluczowych i ważnych (art. 7c ust. 1 ustawy). Samorejestracja ruszyła 7 maja 2026 r., a według Ministerstwa Cyfryzacji w lipcu z platformy S46 korzystało już ponad 2000 podmiotów.

Nie wszystkie podmioty musiały rejestrować się same. Część, m.in. przedsiębiorców telekomunikacyjnych, dostawców usług zaufania, podmioty publiczne i dotychczasowych operatorów usług kluczowych, minister wpisał z urzędu i wezwał do uzupełnienia danych. Prywatne firmy produkcyjne najczęściej korzystają z samorejestracji.

W praktyce Twoja firma może być w jednej z trzech sytuacji:

• Wniosek został złożony. Po wpisie administratorzy otrzymują dostęp do systemu S46, przez który zgłasza się incydenty i odbiera ostrzeżenia. Kolejny cel to wdrożenie obowiązków do 3 kwietnia 2027 r.
• Firma podlega samorejestracji, ale wniosku nie złożyła. Sprawdź niezwłocznie jej status w Wykazie KSC i skontaktuj się z obsługą S46 lub właściwym organem. Organ może też wpisać firmę z urzędu i wezwać ją do uzupełnienia danych (art. 7j ustawy). Wpis dokonany przez organ z urzędu nie usuwa jednak skutków wcześniejszego niezłożenia wniosku, dlatego nie warto czekać na działanie organu.
• Nie wiesz, czy firma spełnia kryteria. Od tego trzeba zacząć. Pomoże wstępny screening w dalszej części artykułu oraz oficjalna pre-weryfikacja na biznes.gov.pl.

Firmy, które spełnią przesłanki później (na przykład przekroczą próg zatrudnienia), mają 6 miesięcy od dnia ich spełnienia na złożenie wniosku.

Czy firma produkcyjna podlega KSC? Dwa warunki

Firma produkcyjna podlega ustawie o KSC, jeśli spełnia jednocześnie dwa warunki: prowadzi działalność w sektorze wymienionym w załącznikach do ustawy i jest co najmniej średnim przedsiębiorstwem. O kwalifikacji decyduje faktycznie wykonywana działalność, a nie sam kod PKD.

Warunek 1: sektor działalności

Formalnie ustawa wyróżnia sektor „Produkcja” z pięcioma podsektorami oraz dwa osobne sektory: chemikalia i żywność. Dla firmy przemysłowej łącznie daje to siedem obszarów.

Obszar działalności	Przykłady zakładów	Orientacyjny dział PKD
Produkcja, wytwarzanie i dystrybucja chemikaliów (osobny sektor)	Producenci substancji chemicznych, farb, tworzyw, dystrybutorzy mieszanin	20
Produkcja, przetwarzanie i dystrybucja żywności (osobny sektor)	Zakłady przetwórstwa spożywczego na skalę przemysłową, hurtownie spożywcze	10, 11
Produkcja wyrobów medycznych i wyrobów do diagnostyki in vitro	Producenci sprzętu medycznego, odczynników, materiałów jednorazowych	głównie 32.5, 26.6
Produkcja komputerów, wyrobów elektronicznych i optycznych	Producenci elektroniki, podzespołów, aparatury pomiarowej	26
Produkcja urządzeń elektrycznych	Producenci silników, rozdzielnic, kabli, oświetlenia, AGD	27
Produkcja maszyn i urządzeń gdzie indziej niesklasyfikowana	Producenci maszyn przemysłowych, rolniczych, obrabiarek	28
Produkcja pojazdów, przyczep, naczep i innego sprzętu transportowego	Producenci pojazdów, taboru, łodzi	29, 30

Kody PKD mają charakter orientacyjny. O kwalifikacji decyduje faktycznie wykonywana działalność oraz definicja podmiotu zawarta w odpowiednim załączniku do ustawy, który odwołuje się do klasyfikacji NACE Rev. 2. Ostrożnie powinni podejść do tego poddostawcy motoryzacji: firma wytwarzająca uniwersalne elementy metalowe lub plastikowe dla producenta samochodów nie zawsze prowadzi działalność z działu 29.

Warunek 2: wielkość przedsiębiorstwa

Ustawa obejmuje średnie i duże przedsiębiorstwa w rozumieniu załącznika I do rozporządzenia Komisji (UE) nr 651/2014.

Kategoria	Liczba pracowników	Finanse	Czy podlega KSC?
Mała lub mikro	poniżej 50	obrót roczny lub suma bilansowa do 10 mln EUR	Co do zasady nie
Średnia	50 do 249	albo poniżej 50 osób, ale jednocześnie obrót i suma bilansowa powyżej 10 mln EUR	Tak, jako podmiot ważny
Duża	250 i więcej	lub obrót powyżej 50 mln EUR i suma bilansowa powyżej 43 mln EUR	Tak, w produkcji zwykle jako podmiot ważny

Najczęstszy błąd przy samoocenie to przyjęcie, że wystarczy przekroczyć 10 mln EUR obrotu. Firma zatrudniająca mniej niż 50 osób pozostaje małym przedsiębiorstwem, jeśli choć jeden z dwóch wskaźników finansowych (obrót albo suma bilansowa) nie przekracza 10 mln EUR.

Grupy kapitałowe: zasada i wyjątek

Przy ustalaniu wielkości przedsiębiorstwa co do zasady uwzględnia się dane przedsiębiorstw partnerskich i powiązanych. Ustawa przewiduje jednak wyjątek: spółka nie staje się podmiotem ważnym lub kluczowym wyłącznie przez zsumowanie danych grupy, jeśli jej system informacyjny jest niezależny od systemów przedsiębiorstw powiązanych lub partnerskich albo jeśli podmioty nie świadczą wspólnie usługi objętej KSC (art. 5 ust. 6 i 7 ustawy; FAQ KSC, pytanie 1.6).

Według FAQ niezależność zachodzi m.in. wtedy, gdy do działania spółki nie jest konieczne działanie podmiotu powiązanego czy partnerskiego. W praktyce wspólna domena, poczta, ERP albo centrum danych w grupie mogą ten warunek podważyć. Dlatego w grupach kapitałowych ten element wymaga osobnego sprawdzenia i udokumentowania.

Kiedy ustawa o KSC może objąć mniejszą firmę produkcyjną

W wyjątkowych sytuacjach za podmiot kluczowy lub ważny może zostać uznane także mniejsze przedsiębiorstwo, na przykład jedyny dostawca usługi istotnej dla gospodarki albo podmiot krytyczny wskazany na podstawie przepisów o zarządzaniu kryzysowym. Takie przypadki wymagają indywidualnej analizy prawnej.

Podmiot ważny czy kluczowy: czym się różnią?

Firmy produkcyjne z wymienionych obszarów są co do zasady podmiotami ważnymi, niezależnie od tego, czy są średnie, czy duże. Podmiotem kluczowym zakład produkcyjny staje się zwykle tylko wtedy, gdy wskaże go organ albo gdy prowadzi też działalność w sektorze o wyższym stopniu krytyczności, na przykład w energetyce.

Aspekt	Podmiot ważny	Podmiot kluczowy
Kto w przemyśle	Średnie i duże zakłady z obszarów produkcyjnych	Zakłady wskazane przez organ lub działające w sektorach krytycznych
Nadzór	Następczy: kontrola po incydencie lub przy podejrzeniu naruszenia	Uprzedni i następczy: regularne kontrole
Audyt bezpieczeństwa	Brak cyklicznego obowiązku; organ może nakazać zewnętrzny audyt po incydencie poważnym lub innym naruszeniu ustawy	Audyt ustawowy co najmniej raz na 3 lata; termin pierwszego zależy od sytuacji podmiotu (patrz niżej)
Maksymalna kara	Maksymalna kara dla podmiotu ważnego wynosi 7 mln EUR lub 1,4% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym.	Dla podmiotu kluczowego zastosowanie ma wyższa z dwóch kwot: 10 mln EUR albo 2% takich przychodów.

Pierwszy audyt ustawowy do 3 kwietnia 2028 r. dotyczy podmiotów kluczowych, które spełniały przesłanki objęcia ustawą w dniu wejścia nowelizacji w życie i nie były wcześniej operatorami usług kluczowych. Dotychczasowi operatorzy usług kluczowych zachowują swój dotychczasowy cykl audytowy. Podmiot, który spełni przesłanki uznania za podmiot kluczowy później, przeprowadza pierwszy audyt w terminie 24 miesięcy od dnia ich spełnienia. Obowiązek cyklicznego audytu wynika z art. 15 KSC, termin 24 miesięcy z art. 16 KSC, a termin przejściowy 3 kwietnia 2028 r. z art. 33 ust. 2 ustawy nowelizującej z 23 stycznia 2026 r.

To, że podmiot ważny nie musi przechodzić audytu co 3 lata, nie oznacza, że ocenę stanu może pominąć. Udokumentowana ocena stanu bezpieczeństwa jest jednym z praktycznych sposobów wykazania, że zabezpieczenia odpowiadają zidentyfikowanemu ryzyku. Audytu mogą też oczekiwać ubezpieczyciel lub klienci, zwłaszcza z branży motoryzacyjnej.

Najważniejsze obowiązki firmy produkcyjnej objętej KSC

Podmiot ważny musi przede wszystkim zarządzać ryzykiem cyberbezpieczeństwa w sposób udokumentowany, obsługiwać i zgłaszać poważne incydenty oraz zapewnić, że kierownictwo nadzoruje te działania. Poniżej najważniejsze obowiązki przełożone na realia zakładu.

Obowiązek	Co mówi ustawa	Co to oznacza w fabryce
Wpis do wykazu	Wniosek w systemie ministra cyfryzacji; zmiany danych zgłasza się w ciągu 14 dni	Wskazanie osób kontaktowych, zakresów adresów IP i domen firmy
System zarządzania bezpieczeństwem informacji	Szacowanie ryzyka, środki techniczne i organizacyjne adekwatne do ryzyka	Ryzyko obejmuje nie tylko biuro, ale też sieć hali, serwery MES, stacje inżynierskie i sterowniki
Ciągłość działania	Kopie zapasowe, plany odtwarzania, zarządzanie kryzysowe	Umiejętność wznowienia produkcji po awarii IT, a nie tylko odtworzenia poczty
Bezpieczeństwo łańcucha dostaw	Ocena ryzyka związanego z dostawcami usług i produktów ICT	Kontrola zdalnego dostępu integratorów, serwisantów maszyn i dostawców oprogramowania
Obsługa incydentów	Wczesne ostrzeżenie do 24 h od wykrycia, zgłoszenie do 72 h od wykrycia, sprawozdanie końcowe do miesiąca od zgłoszenia	Procedura: kto na hali i w IT decyduje o zgłoszeniu i odcięciu segmentu sieci
Odpowiedzialność kierownictwa	Kierownik podmiotu odpowiada za wykonanie obowiązków i co roku przechodzi szkolenie (art. 8e)	Zarząd zatwierdza analizę ryzyka i plan działań, zamiast delegować temat w całości do IT

To nie jest pełna lista wymagań
Ustawa przewiduje również m.in.: wyznaczenie co najmniej dwóch osób do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9), zapewnienie funkcji cyberbezpieczeństwa przez wewnętrzne struktury albo umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa, wymóg niekaralności osób realizujących określone zadania (art. 8f) oraz opracowanie, aktualizowanie i nadzorowanie dokumentacji bezpieczeństwa.

W zakładach produkcyjnych najtrudniejsza bywa nie sama dokumentacja, ale styk biura z halą. Urządzenia i systemy OT często pozostają w eksploatacji przez 10 do 15 lat, a niekiedy ponad 20 lat (NIST SP 800-82 Rev. 3). Takie sterowniki, komputery z nieaktualnymi systemami przy maszynach i stały dostęp zdalny dostawców to obszary, których klasyczne podejście do bezpieczeństwa IT często nie obejmuje.

Harmonogram obowiązków KSC

Data	Co się dzieje	Kogo dotyczy
3 kwietnia 2026	Nowelizacja ustawy o KSC wchodzi w życie	Podmioty kluczowe i ważne
7 maja 2026	Start samorejestracji w wykazie	Podmioty objęte samorejestracją
3 października 2026	Koniec terminu na wniosek o wpis	Podmioty objęte samorejestracją, które spełniały przesłanki w dniu wejścia ustawy w życie
3 kwietnia 2027	Koniec okresu na wdrożenie obowiązków	Podmioty kluczowe i ważne
3 kwietnia 2028	Pierwszy audyt ustawowy*; możliwość nakładania administracyjnych kar pieniężnych	Audyt: podmioty kluczowe*; kary: podmioty kluczowe i ważne

* Termin 3 kwietnia 2028 r. dotyczy podmiotów kluczowych objętych ustawą przy wejściu nowelizacji w życie, które nie były wcześniej operatorami usług kluczowych.

Kary i odpowiedzialność zarządu

Według art. 73 i 73a ustawy maksymalna kara dla podmiotu ważnego odpowiada wyższej z dwóch kwot: 7 mln EUR albo 1,4% przychodów z działalności gospodarczej osiągniętych w poprzednim roku obrotowym. Dla podmiotu kluczowego jest to wyższa z kwot: 10 mln EUR albo 2% takich przychodów. Minimalne kary to odpowiednio 15 tys. zł i 20 tys. zł. W najpoważniejszych przypadkach, m.in. przy zagrożeniu dla bezpieczeństwa państwa, życia lub zdrowia ludzi albo ryzyku poważnej szkody majątkowej lub poważnych utrudnień w świadczeniu usług, kara może sięgnąć 100 mln zł.

Karę można nałożyć także na kierownika podmiotu: do 300% jego wynagrodzenia, obliczanego według zasad stosowanych przy ustalaniu ekwiwalentu za urlop wypoczynkowy. Administracyjne kary pieniężne mogą być nakładane od 3 kwietnia 2028 r., ale organ już wcześniej może wydawać zalecenia i nakazy, a po incydencie poważnym lub innym naruszeniu ustawy nakazać zewnętrzny audyt.

Dla zakładu produkcyjnego kara nie jest jednak największym ryzykiem. Przestój linii po ataku oznacza utraconą marżę, koszty stałe personelu i maszyn, zniszczony materiał w toku, ponowny rozruch, kary umowne od odbiorców i nadgodziny. Nawet kilkudniowe zatrzymanie może kosztować więcej niż minimalna kara administracyjna.

Wstępny screening: czy Twoja firma może podlegać KSC?

Odpowiedz na cztery pytania. To wstępny screening, który pozwala ocenić, czy potrzebujesz pogłębionej weryfikacji. Nie zastępuje analizy prawnej ani oficjalnej pre-weryfikacji na biznes.gov.pl.

1. Czy Twoja firma prowadzi działalność w jednym z siedmiu obszarów z tabeli powyżej? Liczy się faktyczna działalność, nie tylko kod PKD.
2. Czy firma zatrudnia co najmniej 50 osób? Wliczaj pracowników, osoby traktowane jak pracownicy według prawa krajowego, właścicieli kierujących firmą i wspólników zaangażowanych w działalność.
3. Jeśli zatrudnia mniej niż 50 osób: czy zarówno roczny obrót, jak i suma bilansowa przekraczają 10 mln EUR?
4. Czy firma należy do grupy kapitałowej lub ma przedsiębiorstwa partnerskie? Jeśli tak, progi z pytań 2 i 3 co do zasady liczy się z uwzględnieniem ich danych. Sprawdź jednak, czy Twój system informacyjny jest od nich niezależny i czy Twoja firma nie świadczy wspólnie z nimi usługi objętej KSC. Jeśli tak, dane grupy mogą nie przesądzać o statusie.

Jak czytać wynik: jeśli na pytanie 1 odpowiadasz „tak” i spełniasz próg z pytania 2 lub 3 samodzielnie, Twoja firma najprawdopodobniej jest podmiotem ważnym. Jeśli próg spełniasz dopiero po doliczeniu danych grupy albo masz wątpliwości co do sektora, potrzebna jest pogłębiona weryfikacja. Rekomendujemy wtedy konsultację z prawnikiem specjalizującym się w prawie nowych technologii.

Co zrobić po ustaleniu, że firma podlega KSC?

Po potwierdzeniu, że firma jest podmiotem ważnym, warto działać w kolejności, która najszybciej zmniejsza ryzyko, a nie w kolejności przepisów w ustawie.

1. Uzupełnij wpis do wykazu, jeśli jeszcze go nie ma i wyznacz co najmniej dwie osoby do kontaktu.
2. Ustal, kto w zarządzie odpowiada za cyberbezpieczeństwo, i zaplanuj coroczne szkolenie kierownictwa.
3. Zinwentaryzuj zasoby IT i OT: serwery, stacje robocze, sieć, systemy MES i ERP, sterowniki, panele operatorskie i wszystkie połączenia z dostawcami.
4. Oceń stan obecny: gdzie są luki względem wymagań ustawy i które z nich mogą zatrzymać produkcję. Praktycznym punktem wyjścia jest ocena gotowości technicznej lub audyt obejmujący zarówno biuro, jak i halę.
5. Przygotuj procedurę obsługi incydentów, żeby zmieścić się w 24 godzinach na wczesne ostrzeżenie.
6. Ułóż plan wdrożenia do 3 kwietnia 2027 r. z budżetem, odpowiedzialnymi i priorytetami.

Najczęstsze błędne założenia

• „Jesteśmy spółką poniżej 50 osób, więc nas to nie dotyczy.” Jeśli firma należy do grupy, próg co do zasady liczy się z uwzględnieniem przedsiębiorstw powiązanych i partnerskich. Wyjątkiem jest niezależny system informacyjny, ale trzeba go wykazać.
• „Mamy obrót powyżej 10 mln EUR, więc na pewno podlegamy.” Przy zatrudnieniu poniżej 50 osób musi zostać przekroczony próg zarówno obrotu, jak i sumy bilansowej.
• „Kary są dopiero od 2028 r., więc możemy poczekać.” Termin wdrożenia to 3 kwietnia 2027 r., a incydent może zdarzyć się w każdej chwili.
• „Cyberbezpieczeństwo to sprawa działu IT.” Ustawa wprost wskazuje odpowiedzialność kierownika podmiotu, a w fabryce ryzyko obejmuje także utrzymanie ruchu i dostawców automatyki.

Od obowiązku do odpornej infrastruktury

Ustalenie, czy Twoja firma podlega ustawie o KSC, to dopiero pierwszy krok. Kolejnym jest sprawdzenie, czy infrastruktura rzeczywiście chroni ciągłość produkcji, a nie tylko spełnia wymagania zapisane w dokumentacji.

W SparkSome możemy przeprowadzić audyt cyberbezpieczeństwa lub ocenę gotowości technicznej, obejmującą środowisko IT, styk z OT, dostęp dostawców, kopie zapasowe, monitoring i procedury reagowania na incydenty. Wskażemy ryzyka, które mogą zatrzymać produkcję, i przygotujemy plan działań uporządkowany według ich wpływu na biznes.

Możemy również pomóc we wdrożeniu rekomendacji. Projektujemy i zabezpieczamy infrastrukturę, porządkujemy segmentację sieci, dostęp zdalny, backup, disaster recovery, monitoring oraz dokumentację. Celem nie jest kolejny raport. Celem jest infrastruktura, która pozostaje przewidywalna również podczas awarii lub cyberataku.