Spis treści
Czym jest NIS2 i jak została wdrożona do polskiego prawa?
Dyrektywa NIS2, czyli Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z 14 grudnia 2022 roku, została przyjęta w celu zapewnienia wysokiego poziomu ochrony cyberprzestrzeni na terenie całej Unii Europejskiej. Choć jest to akt prawa unijnego, nie obowiązuje on bezpośrednio – państwa członkowskie zobligowane są do implementacji jego zapisów do krajowych porządków prawnych.
W Polsce przepisy dyrektywy zostaną wdrożone poprzez zmianę Ustawy o Krajowym Systemie Cyberbezpieczeństwa („Ustawa o KSC”). To właśnie ta ustawa, a nie sama dyrektywa, będzie podstawą obowiązków dla krajowych przedsiębiorców. Przepisy znowelizowanej Ustawy o KSC wchodzą w życie 3 kwietnia 2026 r.
Zgodnie z nową ustawą, firmy objęte nowymi regulacjami będą miały dwanaście miesięcy od wejścia ich w życie na dostosowanie się do wymagań dotyczących cyberbezpieczeństwa. Dodatkowo, w ciągu sześciu miesięcy od tej daty, konieczne będzie zgłoszenie się do wykazu podmiotów uznanych za kluczowe lub ważne. Istotnym elementem jest tzw. mechanizm samoidentyfikacji – każdy przedsiębiorca sam będzie musiał ocenić, czy podpada pod zakres ustawy.
Google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
Jakie firmy z branży chemicznej podlegają NIS2?
Zgodnie z Dyrektywą NIS2 oraz nowelizacją Ustawy o KSC następujący średni i duzi przedsiębiorcy działający w branży chemicznej podlegają obowiązkom wynikającym z NIS2:
- przedsiębiorstwa zajmujące się produkcją substancji oraz wytwarzaniem i dystrybucją substancji lub mieszanin, o których mowa w art. 3 pkt 9 i 14 rozporządzenia REACH (Rozporządzenie (WE) nr 1907/2006 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2006 r. w sprawie rejestracji, oceny, udzielania zezwoleń i stosowanych ograniczeń w zakresie chemikaliów (REACH) i utworzenia Europejskiej Agencji Chemikaliów, zmieniające dyrektywę 1999/45/WE oraz uchylające rozporządzenie Rady (EWG) nr 793/93 i rozporządzenie Komisji (WE) nr 1488/94, jak również dyrektywę Rady 76/769/EWG i dyrektywy Komisji 91/155/EWG, 93/67/EWG, 93/105/WE i 2000/21/WE (Dz. Urz. UE L 396 z 30.12.2006, str.1, z późn. zm.),
- przedsiębiorstwa zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów o których mowa w art. 3 pkt 3 rozporządzenia REACH.
Średnim przedsiębiorstwem jest podmiot, który:
- zatrudnia więcej niż 50 pracowników (wliczając również osoby pracujące na podstawie umów cywilnoprawnych), lub
- jego roczny obrót lub bilans całkowity przekracza 10 mln EUR.
Wystarczy spełnienie tylko jednego z powyższych warunków. Jeżeli firma przekracza którykolwiek z tych progów, nie może być uznana za małą, a tym samym kwalifikuje się jako co najmniej średnia.
Na temat producentów substancji oraz wytwórców i dystrybutorów substancji lub mieszanin pisaliśmy tutaj >> Obowiązki sektora chemicznego w kontekście NIS2
Poniżej skupiamy się na tematyce producentów wyrobów.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Czy Twoja firma jest producentem wyrobu w rozumieniu REACH?
Zgodnie z definicją z art. 3 ust. 3 REACH wyrób to „przedmiot, który podczas produkcji otrzymuje określony kształt, powierzchnię, konstrukcję lub wygląd zewnętrzny, co decyduje o jego funkcji w stopniu większym niż jego skład chemiczny”. Z definicji tej można wywnioskować, że wyrób to przedmiot zawierający następujące cechy:
- Jest złożony z jednej lub kilku substancji lub mieszanin
Wyroby mogą być wytwarzane z różnych materiałów, zarówno naturalnych, jak i syntetycznych. Przykłady obejmują drewno, wełnę, polietylen (PE) i inne tworzywa sztuczne. Ważne jest, aby zrozumieć, że skład chemiczny wyrobu jest istotny, ale nie decyduje o jego funkcji w takim stopniu jak jego kształt, powierzchnia czy konstrukcja.
- Posiada określony kształt, powierzchnię lub konstrukcję nadaną podczas procesu produkcyjnego
Proces produkcyjny nadaje wyrobom ich unikalne cechy fizyczne, które determinują ich funkcję. Przykłady obejmują formowane wtryskowo krzesła ogrodowe, łyżki z jednego kawałka plastiku, czy skomplikowane konstrukcje mebli. Te cechy fizyczne są kluczowe dla określenia, czy dany przedmiot jest wyrobem w rozumieniu REACH.
- Jego funkcja ma większe znaczenie niż jego skład chemiczny
Funkcja wyrobu jest określana przez jego kształt, powierzchnię i konstrukcję, a nie przez jego skład chemiczny. Na przykład, kanapa, pojazd czy sprzęt elektroniczny mają określone funkcje, które wynikają z ich konstrukcji i kształtu, a nie tylko z materiałów, z których są wykonane.
Celem określenia, czy dany przedmiot spełnia definicję wyrobu w rozumieniu rozporządzenia REACH, należy ocenić jego funkcję oraz kształt, powierzchnię lub konstrukcję. Wyroby, które są składane lub łączone ze sobą, pozostają wyrobami, pod warunkiem że zachowują specjalny kształt, powierzchnię lub konstrukcję, które decydują o funkcji całości w stopniu wyższym niż skład chemiczny, lub pod warunkiem, że nie stają się odpadami.
Dlaczego producenci wyrobów spoza branży chemicznej mogą podlegać NIS2?
Z przytoczonej definicji „wyrobu” wynikają istotne konsekwencje praktyczne. W rozumieniu rozporządzenia REACH, wyrobem jest każdy przedmiot, którego funkcję w większym stopniu niż jego skład chemiczny określa kształt, powierzchnia lub konstrukcja. W efekcie, za producenta wyrobu może zostać uznana zdecydowana większość firm wytwarzających fizyczne przedmioty – niezależnie od branży. Dotyczy to m.in. producentów sprzętu AGD, mebli, zabawek, artykułów budowlanych czy elementów dekoracyjnych.
Biorąc pod uwagę zakres dyrektywy NIS2, producenci raczej będą dopasowywać swoją działalność do innych bardziej oczywistych sektorów produkcyjnych określonych jako kluczowe i ważne, np. produkcja i dystrybucja żywności, wyrobów medycznych, elektroniki, urządzeń elektrycznych, maszyn, pojazdów czy sprzętu transportowego.
W praktyce oznacza to, że wielu przedsiębiorców, którzy nie kojarzą swojej działalności z branżą chemiczną może podlegać obowiązkom wynikającym z NIS2. Kluczowe jest więc dokonanie świadomej samooceny – czy dana firma, ze względu na charakter produkcji oraz swoją wielkość, kwalifikuje się jako producent wyrobu.
Powyższa interpretacja przepisów została jednoznacznie potwierdzona w uzasadnieniu nowelizacji Ustawy KSC, w którym można wprost wyczytać:
„Określając, czy coś jest wyrobem w rozumieniu REACH, należy przeanalizować czy stanowi przedmiot, który podczas produkcji otrzymuje określony kształt, powierzchnię, konstrukcję lub wygląd zewnętrzny, co decyduje o jego funkcji w stopniu większym niż jego skład chemiczny. Taka sytuacja zachodzi na przykład w przypadku produkcji ubrań, podłóg, mebli, biżuterii, gazet czy plastikowych opakowań.”
20 stycznia 2026 r. Komisja Europejska przedstawiła pakiet zmian w regulacjach cyberbezpieczeństwa. Głównym kierunkiem zmian jest doprecyzowanie przepisów, w tym również zakresu podmiotowego dyrektywy. Zmiany mają objąć w szczególności sektor chemikaliów. Celem jest zawężenie zakresu tego sektora wyłączenie do produkcji i doprecyzowanie kryteriów podlegania poprzez odesłanie do konkretnych obowiązków REACH.
Jakie obowiązki nakłada NIS2 na producentów wyrobów?
Zgodnie z projektem nowelizacji Ustawy o KSC, podmioty objęte regulacjami będą zobowiązane między innymi:
- zapewnić ciągłość działania, na przykład zarządzania kopiami zapasowymi i przywracania normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzania kryzysowego,
- zapewnić bezpieczeństwo łańcucha dostaw, w tym aspektów związanych z bezpieczeństwem dotyczącym stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami,
- zapewnić bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowania w przypadku podatności i ich ujawniania,
- zapewnić polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie,
- zapewnić podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa,
- zapewnić polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania,
- zapewnić bezpieczeństwo zasobów ludzkich, polityki kontroli dostępu i zarządzania aktywami,
- w stosownych przypadkach – zapewnić stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych,
- zgłaszać osoby lub organy zarządzające w firmie, które zatwierdzają środki zarządzania ryzykiem w cyberbezpieczeństwie,
- zapewnić regularny audyt bezpieczeństwa na własny koszt.
W przypadku tzw. podmiotów ważnych, niedostosowanie się do wymogów może skutkować sankcjami finansowymi – minimalna kara wynosi 15 000 zł, natomiast górna granica sięga 7 mln euro. Co istotne, odpowiedzialność finansowa może również dotknąć osoby zarządzające firmą, np. członków zarządu lub wspólników.
NIS2 znacząco rozszerza zakres podmiotów objętych obowiązkami w obszarze cyberbezpieczeństwa, dlatego produkcja NIS2 i status producenta wyrobu powinny zostać zweryfikowane nie tylko przez branżę chemiczną, ale przez większość firm wytwarzających fizyczne produkty. Producenci często nie są świadomi, że już dziś spełniają kryteria objęcia regulacją. Z perspektywy praktyki doradczej kluczowe jest jak najszybsze przeprowadzenie rzetelnej samoidentyfikacji i zaplanowanie działań wdrożeniowych.
AUTORZY: Witold Chruszcz oraz Magdalena Bilicka, Kancelaria Prawna Grant Thornton
Czytaj więcej o NIS2:
- 5 najważniejszych informacji dotyczących NIS2
- NIS2 a projekt nowelizacji uKSC
- Dyrektywa NIS2 – jakie znaczenie ma monitorowanie infrastruktury IT?
- Dyrektywa NIS-2: Czym jest, kogo dotyczy i kiedy wchodzi w życie?
- NIS2: obowiązkowe szkolenia dla zarządów z cyberbezpieczeństwa
- NIS vs. NIS2: Kluczowe zmiany w zakresie obowiązków i obszaru działań
- Produkcja pojazdów, rowerów, przyczep i naczep a NIS2
- Lekarze i opieka zdrowotna a NIS2
- Branża spożywcza a NIS2
- Produkcja sprzętów i maszyn a NIS2
- Apteki, producenci leków i wyrobów medycznych a NIS2
- Dyrektywa NIS2 – kopia zapasowa a ciągłość działania organizacji
- NIS2 a projekt nowelizacji uKSC
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (NIS2)
- Obowiązki sektora chemicznego w kontekście NIS2
- Dyrektywa NIS2 – 10 najważniejszych zmian w projekcie nowelizacji ustawy o KSC
- NIS2: Ustawa o KSC najbardziej restrykcyjną ustawą w Europie?
- Najważniejsze zmiany w regulacjach dotyczących cyberbezpieczeństwa w 2025 r.
- Dyrektywa NIS-2 – sprawdź, czy podlegasz wymaganiom
- Od kartki papieru po kanapę. Czy NIS2 dotyczy prawie każdego producenta w Polsce?
- Dyrektywa NIS2: Kto podlega nowym obowiązkom cyberbezpieczeństwa?
- Kiedy w Polsce wchodzi w życie NIS2?
NIS2 dla producentów w Polsce – ważne pytania
Czy producent podlega NIS2?
Tak, producent może podlegać NIS2, jeżeli spełnia kryteria podmiotowe (co najmniej średnie przedsiębiorstwo) oraz prowadzi działalność w jednym sektorze produkcji wskazanych w załączniku do ustawy (np. producent komputerów, maszyn, pojazdów) bądź produkuje wyroby.
Od kiedy NIS2 obowiązuje w Polsce?
Przepisy wdrażające dyrektywę NIS2 do polskiego porządku prawnego wejdą w życie 3 kwietnia 2026 r. Od tej daty firmy objęte regulacją będą miały 12 miesięcy na dostosowanie się do nowych obowiązków z zakresu cyberbezpieczeństwa oraz 6 miesięcy na zgłoszenie się do wykazu podmiotów kluczowych lub ważnych.
Kim jest producent wyrobu w rozumieniu REACH?
Producentem wyrobu jest podmiot wytwarzający przedmiot, którego funkcja wynika głównie z jego kształtu, powierzchni lub konstrukcji, a nie ze składu chemicznego. Do wyrobów zaliczają się m.in. meble, sprzęt AGD, zabawki, elementy budowlane czy opakowania.
Dlaczego NIS2 dotyczy producentów spoza branży chemicznej?
Definicja wyrobu w REACH jest bardzo szeroka i obejmuje większość fizycznych produktów. W efekcie producenci działający w różnych sektorach – np. produkcja mebli, odzieży, opakowań – mogą zostać uznani za producentów wyrobów i podlegać NIS2, o ile spełniają kryteria wielkości przedsiębiorstwa.
Jakie obowiązki NIS2 nakłada na producentów?
NIS2 zobowiązuje producentów m.in. do wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie, zapewnienia ciągłości działania, bezpieczeństwa łańcucha dostaw, regularnych audytów oraz szkoleń pracowników. Niedostosowanie się do wymogów może skutkować wysokimi karami finansowymi i odpowiedzialnością osób zarządzających.