NIS2 i KSC w sektorze żywności: produkcja, przetwarzanie i dystrybucja

W skrócie

• Sektor „Produkcja, przetwarzanie i dystrybucja żywności” stoi w załączniku nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC), czyli wśród sektorów ważnych.
• Załącznik nie wymienia całej branży spożywczej. Wskazuje konkretny rodzaj podmiotu: przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem.
• Rodzaj działalności z załącznika nr 2 w przedsiębiorstwie średnim albo dużym daje status podmiotu ważnego. Sam załącznik nie przesądza o statusie, liczy się także wielkość.
• Na tej stronie zobaczysz też układ procedury zarządzania ryzykiem we wzorze SZBIhub, od której zaczyna się rejestr ryzyk.

Kogo w tym sektorze wymienia ustawa

Załącznik nr 2 do ustawy o KSC (sektory ważne) w sektorze „Produkcja, przetwarzanie i dystrybucja żywności” nie wyodrębnia podsektorów. W kolumnie „Rodzaj podmiotu” wskazuje:

„Przedsiębiorstwa spożywcze w rozumieniu art. 3 pkt 2 rozporządzenia (WE) nr 178/2002 (…), zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem”

Rozporządzenie (WE) nr 178/2002 ustanawia ogólne zasady i wymagania prawa żywnościowego i z niego pochodzi definicja przedsiębiorstwa spożywczego. Przy ocenie liczy się rodzaj podmiotu z trzeciej kolumny załącznika. Sama nazwa sektora to za mało.

Status zależy od dwóch rzeczy naraz: od rodzaju działalności i od wielkości przedsiębiorstwa. Według art. 5 ustawy o KSC:

• rodzaj działalności wymieniony w załączniku nr 2 w przedsiębiorstwie średnim albo dużym oznacza status podmiotu ważnego (art. 5 ust. 2 pkt 2),
• duże przedsiębiorstwo z załącznika nr 2 pozostaje podmiotem ważnym (art. 5 ust. 2 pkt 2), a status podmiotu kluczowego z racji wielkości daje załącznik nr 1 (art. 5 ust. 1 pkt 1).

Wielkość liczy się według progów z art. 2 załącznika I do rozporządzenia 651/2014/UE, łącznie z przedsiębiorstwami partnerskimi i powiązanymi. Ustawa zna też kategorie szczególne, w których wielkość nie ma znaczenia, oraz decyzje o uznaniu za podmiot kluczowy lub ważny. Na granicy progów i w grupach kapitałowych status wymaga indywidualnej oceny prawnej i warto omówić go z prawnikiem.

Do wstępnej samooceny służy kalkulator kwalifikacji. Wynik ma charakter informacyjny i nie zastępuje oceny prawnej. Co dzieje się po ustaleniu statusu, opisuje artykuł Rejestracja w wykazie podmiotów kluczowych i ważnych.

Podmiot kluczowy i podmiot ważny realizują obowiązki z rozdziału 3 ustawy o KSC: wdrażają system zarządzania bezpieczeństwem informacji (SZBI), prowadzą dokumentację bezpieczeństwa, obsługują i zgłaszają incydenty. Podmioty, które 3.04.2026 r. spełniały przesłanki uznania za podmiot kluczowy lub ważny, mają wdrożyć SZBI do 3.04.2027 r. Podmiot, który zacznie spełniać te przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Jak wygląda procedura zarządzania ryzykiem w SZBIhub

Wzór procedury zarządzania ryzykiem w SZBIhub ma cztery sekcje, w tej kolejności:

1. Metodyka szacowania ryzyka
2. Zestawienie ryzyk
3. Zatwierdzenie
4. Metryka dokumentu i zastrzeżenia

Sekcja „Zestawienie ryzyk” to tabela z kolumnami: Ryzyko, Prawdopodobieństwo, Skutek, Wynik, Plan postępowania. Wiersze tabeli pochodzą z rejestru ryzyk prowadzonego w platformie, a sekcja pojawia się w dokumencie, gdy rejestr ma co najmniej jedno ryzyko. Pod tabelą wzór przypomina, że wydruk zestawienia nie zastępuje bieżącego prowadzenia rejestru.

Sekcja „Zatwierdzenie” ma dwa pola: [osoba zatwierdzająca procedurę] i [data zatwierdzenia procedury]. W sekcji „Metodyka szacowania ryzyka” pojawiają się pola [nazwa organizacji] oraz [rola prowadząca proces szacowania ryzyka].

Jak zacząć

1. Sprawdź rodzaj podmiotu, nie tylko branżę. Porównaj działalność z trzecią kolumną załącznika nr 2 i przejdź kalkulator kwalifikacji. Gdy wynik budzi wątpliwości, skonsultuj go z prawnikiem.
2. Zacznij od rejestru aktywów. Wzór SZBIhub wychodzi od aktywów: każde aktywo o wysokiej krytyczności ma mieć rozważone co najmniej jedno ryzyko.
3. Wskaż rolę prowadzącą szacowanie ryzyka. Wpisz rolę, nie nazwisko, na przykład kierownika IT albo osobę odpowiedzialną za bezpieczeństwo informacji.
4. Wpisz ryzyka do rejestru w platformie. Zestawienie ryzyk w dokumencie powstaje z rejestru na dzień generacji dokumentu.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.