Producent żywności, kosmetyków albo maszyn - czy firma produkcyjna podlega pod KSC
Udostępnij na:
Spis treści
NIS2 i KSC - Czy firma podlega KSC i w jakiej kategorii
Producent żywności, kosmetyków albo maszyn - czy firma produkcyjna podlega pod KSC
W skrócie
Zarząd zakładu produkcyjnego sprawdza, czy jego branża jest w ustawie o KSC. Firma produkcyjna podlega ustawie, gdy faktycznie wytwarza wyroby wymienione w załącznikach, np. maszyny, elektronikę, wyroby medyczne, chemikalia albo żywność na skalę przemysłową, i jest co najmniej średnia.
Załącznik nr 2 obejmuje produkcję wyrobów medycznych, komputerów i elektroniki, urządzeń elektrycznych, maszyn, pojazdów i innego sprzętu transportowego, chemikaliów oraz przemysłową produkcję żywności. Producenci leków są w załączniku nr 1, a producent kosmetyków według ministerstwa w sektorze chemikaliów.
Spisz wyroby i dopasuj je do wierszy załączników, policz wielkość i zapisz kategorię w uchwale. Średni i duży producent z załącznika nr 2 jest podmiotem ważnym. Wniosek o wpis składa w 6 miesięcy od spełnienia przesłanek, a gdy spełniał je 3 kwietnia 2026 r., termin minął 3 października 2026 r.
Pytanie zadaje zarząd zakładu, który produkuje żywność, kosmetyki, maszyny albo podzespoły, gdy klient pyta w ankiecie o status z ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Odpowiedź zależy od tego, co zakład wytwarza, bo załączniki wymieniają konkretne działy klasyfikacji i definicje z innych aktów. Pokazujemy, czy firma produkcyjna podlega KSC i w jakiej kategorii.
Jak to wygląda w praktyce
Trzy fikcyjne zakłady z jednego regionu dostały od klientów pytanie o status z ustawy. Pierwszy zatrudnia 160 osób i produkuje urządzenia chłodnicze dla przemysłu. Drugi, z 70 pracownikami, wytwarza kremy i szampony z kupowanych surowców. Trzeci to piekarnia z 60 osobami, która piecze pieczywo dla sieci sklepów i ma przy zakładzie kawiarnię. Każdy zarząd zakłada, że ustawa dotyczy energetyki, szpitali i informatyki.
Co mówią przepisy
Załącznik nr 2 w sektorze „Produkcja” wymienia przedsiębiorców z działów sekcji C unijnej klasyfikacji działalności gospodarczej NACE Rev. 2: 26 (komputery, wyroby elektroniczne i optyczne), 27 (urządzenia elektryczne), 28 (maszyny i urządzenia gdzie indziej niesklasyfikowane), 29 (pojazdy samochodowe, przyczepy i naczepy) i 30 (pozostały sprzęt transportowy). Wymienia też producentów wyrobów medycznych i wyrobów do diagnostyki in vitro w rozumieniu rozporządzeń (UE) 2017/745 i 2017/746. Producentów wyrobów medycznych o krytycznym znaczeniu podczas stanu zagrożenia zdrowia publicznego oraz producentów podstawowych substancji farmaceutycznych i leków z działu 21 wymienia załącznik nr 1 w sektorze ochrony zdrowia.
Sektor chemikaliów obejmuje przedsiębiorstwa produkujące substancje i dystrybuujące substancje lub mieszaniny w rozumieniu rozporządzenia (WE) nr 1907/2006 (REACH) oraz przedsiębiorstwa wytwarzające z substancji lub mieszanin wyroby w rozumieniu art. 3 pkt 3 REACH. Ministerstwo Cyfryzacji uznaje producenta kosmetyków, który kupuje i przechowuje substancje do produkcji, za przedsiębiorstwo z tego sektora (odpowiedź 1.48). W odpowiedziach 14.3, 14.5 i 14.6 zastrzega, że samo podleganie REACH nie oznacza objęcia ustawą, pojęcia czyta się według definicji REACH, a dalszy użytkownik substancji co do zasady nie mieści się w wierszu o produkcji i dystrybucji substancji lub mieszanin. Zakresu wiersza o wytwarzaniu wyrobów z substancji lub mieszanin ustawa nie doprecyzowuje, więc producent spoza działów 26-30, który przetwarza substancje lub mieszaniny, powinien przeanalizować także ten wiersz i opisać wynik.
Sektor żywności obejmuje przedsiębiorstwa spożywcze „zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem”. Ministerstwo pomocniczo wskazuje kody Polskiej Klasyfikacji Działalności (PKD 2025) z działów 10, 11 i 12 oraz sprzedaży hurtowej żywności (odpowiedź 1.27), a restauracje do sektora nie należą, bo nie prowadzą dystrybucji hurtowej ani przemysłowej produkcji (odpowiedź 1.47). Producent z załącznika nr 2 jako średni lub duży przedsiębiorca jest podmiotem ważnym (art. 5 ust. 2 pkt 2), a kluczowym może być tylko z innego tytułu, np. gdy jako duże przedsiębiorstwo prowadzi też działalność z załącznika nr 1 (art. 5 ust. 4).
Co zrobić krok po kroku
Lista wyrobów. Dyrektor produkcji z działem prawnym spisuje, co zakład faktycznie wytwarza i czym handluje hurtowo, z kodami PKD i informacją, czy wyrób podlega przepisom o wyrobach medycznych, REACH albo prawu żywnościowemu. Kod PKD jest pomocą, a decyduje faktyczna działalność (instrukcja samoidentyfikacji Ministerstwa Cyfryzacji z 27 kwietnia 2026 r.). Efekt: lista wyrobów z kodami.
Dopasowanie do wierszy. Prawnik przypisuje każdy wyrób do wiersza załącznika albo zapisuje brak dopasowania. W przykładzie urządzenia chłodnicze dla przemysłu zakład klasyfikuje w dziale 28, kremy i szampony według odpowiedzi 1.48 w sektorze chemikaliów, a pieczywo dla sieci sklepów to produkcja, dla której ministerstwo podaje kod PKD 10.71. Kawiarnia, tak jak restauracja, nie prowadzi dystrybucji hurtowej ani przemysłowej produkcji, więc do sektora nie należy (odpowiedź 1.47). Słowo „przemysłowa” nie ma w ustawie definicji, więc piekarnia opisuje w notatce skalę produkcji i odbiorców. Efekt: tabela dopasowania z numerem wiersza i uzasadnieniem.
Wielkość. Księgowość liczy osoby w rocznych jednostkach pracy, obrót i sumę bilansową całego przedsiębiorstwa, razem ze spółkami powiązanymi i partnerskimi, co opisujemy w poście o wielkości przedsiębiorstwa w grupie kapitałowej. Wszystkie trzy zakłady mają co najmniej 50 osób, więc nie są małe. Efekt: wyliczenie wielkości.
Kategoria i organ. Zarząd zapisuje w uchwale kategorię i organ właściwy do spraw cyberbezpieczeństwa: dla produkcji z działów 26-30 i chemikaliów to minister właściwy do spraw gospodarki, dla żywności minister właściwy do spraw rolnictwa, dla wyrobów medycznych minister właściwy do spraw zdrowia (art. 41 pkt 9d-9g). Zakład chłodniczy jest podmiotem ważnym, producent kosmetyków według odpowiedzi 1.48 także, a piekarnia, jeśli jej produkcja jest przemysłowa. Efekt: uchwała z kategorią.
Wpis do Wykazu KSC. Zakład składa wniosek o wpis do Wykazu podmiotów kluczowych i podmiotów ważnych (Wykaz KSC) z każdą działalnością wykazaną odrębnie (art. 7d ust. 2). Jeśli spełniał przesłanki już 3 kwietnia 2026 r., miał na to czas do 3 października 2026 r. (art. 33 ust. 3 ustawy nowelizującej), a w innym wypadku ma 6 miesięcy od ich spełnienia (art. 7c ust. 1). Spóźniony wniosek nadal można złożyć, co opisujemy w poście o wniosku o wpis do Wykazu KSC po terminie. Efekt: wpis z numerem.
Plan wdrożenia. Obowiązki z rozdziału 3 ustawy, w tym system zarządzania bezpieczeństwem informacji (SZBI), zakład wdraża w 12 miesięcy od spełnienia przesłanek (art. 16), a jeśli spełniał je 3 kwietnia 2026 r., do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy nowelizującej). Ministerstwo uznaje produkcję za usługę (odpowiedź 14.10), a za system informacyjny także pojedyncze urządzenie przetwarzające dane bez połączenia z siecią (odpowiedź 14.8), więc SZBI obejmie też sterowanie liniami, jeśli wpływa na produkcję. Efekt: harmonogram wdrożenia.
Jak sprawdzić, że sprawa jest załatwiona
Sprawa jest załatwiona, gdy zarząd ma listę wyrobów z kodami, tabelę dopasowania do wierszy załączników z uzasadnieniem, wyliczenie wielkości i uchwałę z kategorią i organem, a zakład objęty ustawą ma wpis w Wykazie KSC. Przy wyrobach na granicy definicji, np. w sektorze chemikaliów, notatka wskazuje przepis i odpowiedź ministerstwa, na których oparto ocenę, bo stanowiska ministerstwa nie mają mocy prawnej.
Na kontrolę zachowaj dokumenty potwierdzające charakter produkcji: wpisy w rejestrach, dokumentację wyrobów medycznych albo dokumenty REACH i umowy z odbiorcami hurtowymi. Ocenę powtarzaj przy nowej linii wyrobów i po każdym zatwierdzonym sprawozdaniu finansowym, a jeżeli zakład przestanie spełniać przesłanki, składa wniosek o wykreślenie z uzasadnieniem (art. 7f ust. 3).
Podstawa prawna i źródła
art. 5 ust. 2 pkt 2 i ust. 4, art. 7c ust. 1, art. 7d ust. 2, art. 7f ust. 3 i art. 16 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst ujednolicony, stan na 8.10.2026) (źródło)
załącznik nr 2 (sektory: produkcja, chemikalia, żywność), załącznik nr 1 (ochrona zdrowia) oraz art. 41 pkt 9d-9g ustawy o KSC
art. 33 ust. 1 i 3 ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) (źródło)
Komunikat Ministra Cyfryzacji z dnia 8 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych (Dz. Urz. MC 2026 poz. 7) (źródło)
Ministerstwo Cyfryzacji, pytania i odpowiedzi do ustawy o KSC, październik 2026, pytania 1.27, 1.47, 1.48, 2.32, 14.3, 14.4, 14.5, 14.6, 14.8 i 14.10 (źródło)
Ministerstwo Cyfryzacji, Nowelizacja ustawy o KSC - jak dokonać samoidentyfikacji, 27.04.2026 (źródło)
Stan prawny na 13 października 2026 r. Wyjaśnienia Ministerstwa Cyfryzacji nie są źródłem prawa, ale pokazują, jak resort odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na stanowisku organu właściwego do spraw cyberbezpieczeństwa.
Według Ministerstwa Cyfryzacji tak, jeśli w związku z produkcją nabywa i przechowuje substancje, bo jest wtedy przedsiębiorstwem wytwarzającym z substancji lub mieszanin wyroby w sektorze chemikaliów z załącznika nr 2 (odpowiedź 1.48). Jako średni lub duży przedsiębiorca jest podmiotem ważnym i składa wniosek o wpis do Wykazu KSC. Stanowisko ministerstwa nie jest wiążące, a ustawa tego wiersza nie doprecyzowuje, więc ocenę warto opisać w notatce.
Czy restauracja albo sklep spożywczy podlega KSC jako firma z sektora żywności?
Co do zasady nie. Sektor żywności w ustawie obejmuje przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem. Ministerstwo Cyfryzacji wyjaśnia, że restauracje do niego nie należą, a dyrektywa NIS2 wyłącza przedsiębiorstwa zajmujące się detaliczną dystrybucją żywności (odpowiedź 1.47).
Czy firma objęta rozporządzeniem REACH automatycznie podlega ustawie o KSC?
Nie. Ministerstwo Cyfryzacji podkreśla, że REACH i ustawa o KSC regulują różne obszary, a o objęciu ustawą decyduje identyfikacja jako podmiot kluczowy lub ważny według załącznika nr 2 (odpowiedź 14.3). Dalszy użytkownik substancji w rozumieniu REACH co do zasady nie mieści się w wierszu o produkcji i dystrybucji substancji lub mieszanin (odpowiedź 14.6). Działa to też w drugą stronę: przynależność do sektora chemikaliów w ustawie nie oznacza, że firma ma obowiązki z REACH (odpowiedź 14.4).
Czy duży producent maszyn jest podmiotem kluczowym w KSC?
Z samej wielkości nie. Produkcja maszyn jest w załączniku nr 2, a podmiot z tego załącznika jest podmiotem ważnym zarówno jako średni, jak i duży przedsiębiorca (art. 5 ust. 2 pkt 2 ustawy o KSC). Kluczowym może zostać z innego tytułu, np. gdy jako duże przedsiębiorstwo prowadzi też działalność z załącznika nr 1.
Komentarze (0)
Brak komentarzy...