NIS2 i KSC w produkcji: maszyny, pojazdy, elektronika, urządzenia elektryczne

W skrócie

• Sektor „Produkcja” stoi w załączniku nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC), czyli wśród sektorów ważnych, i dzieli się na sześć podsektorów.
• Pięć podsektorów opisuje rodzaj podmiotu przez dział sekcji C klasyfikacji NACE Rev. 2, od działu 26 do działu 30. Szósty to producenci wyrobów medycznych.
• Rodzaj działalności z załącznika nr 2 w przedsiębiorstwie średnim albo dużym daje status podmiotu ważnego. Sam załącznik nie przesądza o statusie, liczy się także wielkość.
• Na tej stronie zobaczysz też układ procedury zarządzania aktywami we wzorze SZBIhub, w tym kategorię sprzętu z urządzeniami przemysłowymi i sterownikami.

Kogo w tym sektorze wymienia ustawa

Załącznik nr 2 do ustawy o KSC (sektory ważne) w sektorze „Produkcja” wymienia sześć podsektorów:

• „Produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro”
• „Produkcja komputerów, wyrobów elektronicznych i optycznych” (dział 26)
• „Produkcja urządzeń elektrycznych” (dział 27)
• „Produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana” (dział 28)
• „Produkcja pojazdów samochodowych, przyczep i naczep” (dział 29)
• „Produkcja pozostałego sprzętu transportowego” (dział 30)

Dla podsektorów od komputerów do sprzętu transportowego kolumna „Rodzaj podmiotu” ma tę samą budowę i różni się tylko numerem działu. Przykład dla podsektora „Produkcja urządzeń elektrycznych”:

„Przedsiębiorca prowadzący którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 27 klasyfikacji NACE Rev. 2”

W podsektorze wyrobów medycznych rodzajem podmiotu są „Podmioty produkujące wyroby medyczne w rozumieniu art. 2 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/745 (…)” oraz podmioty produkujące wyroby medyczne do diagnostyki in vitro. Przy ocenie liczy się rodzaj podmiotu z trzeciej kolumny załącznika. Sama nazwa sektora to za mało.

Status zależy od dwóch rzeczy naraz: od rodzaju działalności i od wielkości przedsiębiorstwa. Według art. 5 ustawy o KSC:

• rodzaj działalności wymieniony w załączniku nr 2 w przedsiębiorstwie średnim albo dużym oznacza status podmiotu ważnego (art. 5 ust. 2 pkt 2),
• duże przedsiębiorstwo z załącznika nr 2 pozostaje podmiotem ważnym (art. 5 ust. 2 pkt 2), a status podmiotu kluczowego z racji wielkości daje załącznik nr 1 (art. 5 ust. 1 pkt 1).

Wielkość liczy się według progów z art. 2 załącznika I do rozporządzenia 651/2014/UE, łącznie z przedsiębiorstwami partnerskimi i powiązanymi. Ustawa zna też kategorie szczególne, w których wielkość nie ma znaczenia, oraz decyzje o uznaniu za podmiot kluczowy lub ważny. Na granicy progów i w grupach kapitałowych status wymaga indywidualnej oceny prawnej i warto omówić go z prawnikiem.

Do wstępnej samooceny służy kalkulator kwalifikacji. Wynik ma charakter informacyjny i nie zastępuje oceny prawnej. Co dzieje się po ustaleniu statusu, opisuje artykuł Rejestracja w wykazie podmiotów kluczowych i ważnych.

Podmiot kluczowy i podmiot ważny realizują obowiązki z rozdziału 3 ustawy o KSC: wdrażają system zarządzania bezpieczeństwem informacji (SZBI), prowadzą dokumentację bezpieczeństwa, obsługują i zgłaszają incydenty. Podmioty, które 3.04.2026 r. spełniały przesłanki uznania za podmiot kluczowy lub ważny, mają wdrożyć SZBI do 3.04.2027 r. Podmiot, który zacznie spełniać te przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Jak wygląda procedura zarządzania aktywami w SZBIhub

Wzór procedury zarządzania aktywami w SZBIhub ma osiem sekcji, w tej kolejności:

1. Cel i zakres
2. Kategorie aktywów
3. Zasady prowadzenia rejestru
4. Inwentaryzacja ICT podmiotu publicznego
5. Przegląd rejestru
6. Zestawienie aktywów
7. Zatwierdzenie
8. Metryka dokumentu i zastrzeżenia

Sekcja „Kategorie aktywów” to taksonomia platformy, którą organizacja może dostosować. Ustawa o KSC nie narzuca listy kategorii. Wzór podaje sześć: Sprzęt, Oprogramowanie, Dane, Personel, Obiekt / lokalizacja oraz Usługa zewnętrzna. W kategorii „Sprzęt” obok serwerów i laptopów wzór wymienia urządzenia przemysłowe i sterowniki, a w kategorii „Obiekt / lokalizacja” także hale.

Sekcja „Zestawienie aktywów” to tabela z kolumnami: Aktywo, Kategoria, Właściciel, Krytyczność. Wiersze tabeli pochodzą z rejestru aktywów prowadzonego w platformie, a sekcja pojawia się w dokumencie, gdy rejestr ma co najmniej jedno aktywo. Rejestr prowadzi [rola odpowiedzialna za prowadzenie rejestru aktywów].

Jak zacząć

1. Sprawdź rodzaj podmiotu, nie tylko branżę. Porównaj działalność z działami sekcji C klasyfikacji NACE Rev. 2 z załącznika nr 2 i przejdź kalkulator kwalifikacji. Gdy wynik budzi wątpliwości, skonsultuj go z prawnikiem.
2. Spisz aktywa razem z halą produkcyjną. Każdy wpis rejestru we wzorze SZBIhub ma co najmniej nazwę aktywa, kategorię, właściciela, opis oraz ocenę krytyczności dla świadczenia usługi.
3. Oznacz aktywa o wysokiej krytyczności. Według wzoru każde takie aktywo musi mieć rozważone co najmniej jedno ryzyko w rejestrze ryzyk.
4. Powiąż usługi zewnętrzne z dostawcami. Aktywa kategorii „Usługa zewnętrzna” wzór łączy z rejestrem dostawców i oceną bezpieczeństwa łańcucha dostaw.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.