NIS2 i KSC w gospodarce odpadami: zbieranie, transport, przetwarzanie i obrót odpadami

W skrócie

• Sektor „Gospodarowanie odpadami” stoi w załączniku nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC), czyli wśród sektorów ważnych, i ma cztery podsektory: zbieranie odpadów, transport odpadów, przetwarzanie odpadów (w tym sortowanie) oraz działania sprzedawcy odpadów lub pośrednika w obrocie odpadami.
• We wszystkich czterech podsektorach rodzaj podmiotu wiąże się z wpisem do rejestru z art. 49 ust. 1 ustawy o odpadach i z podstawową działalnością gospodarczą przedsiębiorstwa.
• Rodzaj działalności z załącznika nr 2 w przedsiębiorstwie średnim albo dużym daje status podmiotu ważnego. Sam załącznik nie przesądza o statusie, liczy się także wielkość.
• Na tej stronie zobaczysz też układ polityki bezpieczeństwa informacji we wzorze SZBIhub.

Kogo w tym sektorze wymienia ustawa

Załącznik nr 2 do ustawy o KSC (sektory ważne) w sektorze „Gospodarowanie odpadami” wymienia cztery podsektory: „Zbieranie odpadów”, „Transport odpadów”, „Przetwarzanie odpadów, w tym sortowanie, wraz z nadzorem nad wymienionymi działaniami, a także późniejsze postępowanie z miejscami unieszkodliwiania odpadów” oraz „Działania wykonywane w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami”. W podsektorze „Zbieranie odpadów” rodzajem podmiotu są:

„Przedsiębiorstwa świadczące usługi w rozumieniu ustawy z dnia 14 grudnia 2012 r. o odpadach (…), polegające na zbieraniu odpadów, zobowiązane do uzyskania wpisu w rejestrze, o którym mowa w art. 49 ust. 1 ustawy z dnia 14 grudnia 2012 r. o odpadach, z wyłączeniem przedsiębiorstw, dla których usługi te nie stanowią podstawowej działalności gospodarczej określonej zgodnie z przepisami wydanymi na podstawie art. 40 ust. 2 ustawy z dnia 29 czerwca 1995 r. o statystyce publicznej (…)”

Pozostałe trzy podsektory mają tę samą budowę. W miejscu zbierania odpadów wskazują usługi „polegające na transporcie odpadów”, usługi „polegające na przetwarzaniu odpadów, w tym sortowaniu, wraz z nadzorem nad wymienionymi działaniami”, do których ustawa dołącza „podmioty świadczące usługi z późniejszym postępowaniem z miejscami unieszkodliwiania odpadów”, oraz usługi „polegające na działaniach wykonywanych w charakterze sprzedawcy odpadów lub pośrednika w obrocie odpadami”. Przy ocenie liczy się rodzaj podmiotu z trzeciej kolumny załącznika. Sama nazwa sektora to za mało.

Status zależy od dwóch rzeczy naraz: od rodzaju działalności i od wielkości przedsiębiorstwa. Według art. 5 ustawy o KSC:

• rodzaj działalności wymieniony w załączniku nr 2 w przedsiębiorstwie średnim albo dużym oznacza status podmiotu ważnego (art. 5 ust. 2 pkt 2),
• duże przedsiębiorstwo z załącznika nr 2 pozostaje podmiotem ważnym (art. 5 ust. 2 pkt 2), a status podmiotu kluczowego z racji wielkości daje załącznik nr 1 (art. 5 ust. 1 pkt 1).

Wielkość liczy się według progów z art. 2 załącznika I do rozporządzenia 651/2014/UE, łącznie z przedsiębiorstwami partnerskimi i powiązanymi. Ustawa zna też kategorie szczególne, w których wielkość nie ma znaczenia, oraz decyzje o uznaniu za podmiot kluczowy lub ważny. Osobno ustawa wymienia spółki komunalne realizujące zadania publiczne z użyciem systemów informacyjnych jako podmioty ważne, o ile nie są kluczowe (art. 5 ust. 2 pkt 8). Na granicy progów i w grupach kapitałowych status wymaga indywidualnej oceny prawnej i warto omówić go z prawnikiem.

Do wstępnej samooceny służy kalkulator kwalifikacji. Wynik ma charakter informacyjny i nie zastępuje oceny prawnej. Co dzieje się po ustaleniu statusu, opisuje artykuł Rejestracja w wykazie podmiotów kluczowych i ważnych.

Podmiot kluczowy i podmiot ważny realizują obowiązki z rozdziału 3 ustawy o KSC: wdrażają system zarządzania bezpieczeństwem informacji (SZBI), prowadzą dokumentację bezpieczeństwa, obsługują i zgłaszają incydenty. Podmioty, które 3.04.2026 r. spełniały przesłanki uznania za podmiot kluczowy lub ważny, mają wdrożyć SZBI do 3.04.2027 r. Podmiot, który zacznie spełniać te przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Jak wygląda polityka bezpieczeństwa informacji w SZBIhub

Wzór polityki bezpieczeństwa informacji w SZBIhub ma osiem sekcji, w tej kolejności:

1. Cel i zakres SZBI
2. Postanowienia dla podmiotu publicznego
3. Zaangażowanie i odpowiedzialność kierownictwa
4. Role i odpowiedzialności
5. Środki bezpieczeństwa i dokumenty powiązane
6. Przegląd, dokumentacja i doskonalenie
7. Aneks - dostawcy usług ICT
8. Metryka dokumentu i zastrzeżenia

Sekcja „Cel i zakres SZBI” ma trzy pola organizacji: [nazwa organizacji], [zakres usług objętych systemem zarządzania] oraz [sektor działalności organizacji według załączników do ustawy o KSC]. Zakres opisuje usługi i procesy zależne od systemów informacyjnych, systemy i aktywa, które je wspierają, oraz personel i dostawców w zakresie, w jakim uczestniczą w tych procesach.

Sekcja „Role i odpowiedzialności” to tabela ról: Kierownik podmiotu, [rola koordynująca SZBI w organizacji], Osoby wyznaczone do kontaktu oraz Cały personel.

Jak zacząć

1. Sprawdź rodzaj podmiotu, nie tylko branżę. Porównaj działalność z trzecią kolumną załącznika nr 2, w tym z wpisem do rejestru z art. 49 ust. 1 ustawy o odpadach, i przejdź kalkulator kwalifikacji. Gdy wynik budzi wątpliwości, skonsultuj go z prawnikiem.
2. Opisz usługi zależne od systemów informacyjnych. To pole zakresu SZBI w polityce.
3. Wskaż rolę koordynującą SZBI. Wpisz rolę, nie nazwisko, bo ludzie się zmieniają.
4. Spisz aktywa wspierające te usługi. Polityka odsyła do rejestru aktywów prowadzonego zgodnie z procedurą zarządzania aktywami.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.