NIS2 i KSC w branży chemicznej: produkcja, wytwarzanie i dystrybucja chemikaliów

W skrócie

• Sektor „Produkcja, wytwarzanie i dystrybucja chemikaliów” stoi w załączniku nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC), czyli wśród sektorów ważnych.
• Załącznik opisuje rodzaj podmiotu przez odesłanie do rozporządzenia REACH (WE) nr 1907/2006: produkcja substancji, dystrybucja substancji lub mieszanin oraz wytwarzanie wyrobów z substancji lub mieszanin.
• Rodzaj działalności z załącznika nr 2 w przedsiębiorstwie średnim albo dużym daje status podmiotu ważnego. Sam załącznik nie przesądza o statusie, liczy się także wielkość.
• Na tej stronie zobaczysz też układ planu ciągłości działania we wzorze SZBIhub.

Kogo w tym sektorze wymienia ustawa

Załącznik nr 2 do ustawy o KSC (sektory ważne) w sektorze „Produkcja, wytwarzanie i dystrybucja chemikaliów” nie wyodrębnia podsektorów. W kolumnie „Rodzaj podmiotu” wskazuje dwa rodzaje podmiotów:

„Przedsiębiorstwa zajmujące się produkcją substancji oraz dystrybucją substancji lub mieszanin, o których mowa w art. 3 pkt 9 i 14 rozporządzenia (WE) nr 1907/2006 (…)”

„Przedsiębiorstwa zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów, o których mowa w art. 3 pkt 3 rozporządzenia (WE) nr 1907/2006 (…)”

Rozporządzenie (WE) nr 1907/2006 to rozporządzenie w sprawie rejestracji, oceny, udzielania zezwoleń i stosowanych ograniczeń w zakresie chemikaliów (REACH). Przy ocenie liczy się rodzaj podmiotu z trzeciej kolumny załącznika. Sama nazwa sektora to za mało.

Status zależy od dwóch rzeczy naraz: od rodzaju działalności i od wielkości przedsiębiorstwa. Według art. 5 ustawy o KSC:

• rodzaj działalności wymieniony w załączniku nr 2 w przedsiębiorstwie średnim albo dużym oznacza status podmiotu ważnego (art. 5 ust. 2 pkt 2),
• duże przedsiębiorstwo z załącznika nr 2 pozostaje podmiotem ważnym (art. 5 ust. 2 pkt 2), a status podmiotu kluczowego z racji wielkości daje załącznik nr 1 (art. 5 ust. 1 pkt 1).

Wielkość liczy się według progów z art. 2 załącznika I do rozporządzenia 651/2014/UE, łącznie z przedsiębiorstwami partnerskimi i powiązanymi. Ustawa zna też kategorie szczególne, w których wielkość nie ma znaczenia, oraz decyzje o uznaniu za podmiot kluczowy lub ważny. Na granicy progów i w grupach kapitałowych status wymaga indywidualnej oceny prawnej i warto omówić go z prawnikiem.

Do wstępnej samooceny służy kalkulator kwalifikacji. Wynik ma charakter informacyjny i nie zastępuje oceny prawnej. Co dzieje się po ustaleniu statusu, opisuje artykuł Rejestracja w wykazie podmiotów kluczowych i ważnych.

Podmiot kluczowy i podmiot ważny realizują obowiązki z rozdziału 3 ustawy o KSC: wdrażają system zarządzania bezpieczeństwem informacji (SZBI), prowadzą dokumentację bezpieczeństwa, obsługują i zgłaszają incydenty. Podmioty, które 3.04.2026 r. spełniały przesłanki uznania za podmiot kluczowy lub ważny, mają wdrożyć SZBI do 3.04.2027 r. Podmiot, który zacznie spełniać te przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Jak wygląda plan ciągłości działania w SZBIhub

Wzór planu ciągłości działania w SZBIhub ma dziewięć sekcji, w tej kolejności:

1. Cel i zakres
2. Usługi krytyczne i parametry odtworzenia
3. Środki ciągłości działania
4. Uruchomienie planu i role
5. Testowanie i utrzymanie planu
6. Część II - bezpieczeństwo łańcucha dostaw ICT
7. Zestawienie dostawców ICT
8. Zatwierdzenie
9. Metryka dokumentu i zastrzeżenia

Sekcja „Usługi krytyczne i parametry odtworzenia” ma dwa pola organizacji: [usługi i procesy krytyczne objęte planem] oraz [docelowy maksymalny czas przywrócenia usług krytycznych (godziny)], czyli RTO. Wzór zaznacza, że RTO i dopuszczalna utrata danych (RPO) są decyzją organizacji, nie wymogiem ustawowym. Zasoby potrzebne do świadczenia usług krytycznych wskazuje rejestr aktywów.

Sekcja „Środki ciągłości działania” zaczyna się od kopii zapasowych z polem [częstotliwość wykonywania kopii zapasowych]. Sekcja „Uruchomienie planu i role” ma pole [rola koordynująca ciągłość działania].

Jak zacząć

1. Sprawdź rodzaj podmiotu, nie tylko branżę. Porównaj działalność z trzecią kolumną załącznika nr 2 i przejdź kalkulator kwalifikacji. Gdy wynik budzi wątpliwości, skonsultuj go z prawnikiem.
2. Wypisz usługi i procesy krytyczne. To pierwsze pole planu. Od tej listy zależą RTO, kopie zapasowe i role.
3. Ustal RTO i częstotliwość kopii zapasowych. To decyzje organizacji, a wzór ma na nie osobne pola.
4. Uzupełnij rejestr aktywów i dostawców. Plan odsyła do aktywów o wysokiej krytyczności, a zestawienie dostawców ICT pochodzi z rejestru dostawców w platformie.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.