Ustawa o krajowym systemie cyberbezpieczeństwa nie wymienia branż z nazwy. Nie ma w niej słowa „weterynaria”, nie ma „hotelarstwa”, nie ma „motoryzacji”. Są za to rodzaje podmiotów, opisane definicjami zapożyczonymi z innych ustaw: z Prawa farmaceutycznego, z Prawa energetycznego, z ustawy o odpadach, z unijnych rozporządzeń. Dlatego firma potrafi być w zakresie przepisów, nie widząc siebie nigdzie na liście sektorów.
Na tej stronie zebraliśmy mechanizmy, przez które to się dzieje, i branże, które wpadają przez każdy z nich. Każdy mechanizm streszczamy tutaj i odsyłamy do artykułu, który rozkłada go na czynniki pierwsze.
1. Jak czytać załączniki 1 i 2 UKSC
Załączniki mają trzy kolumny: sektor, podsektor i rodzaj podmiotu. Uwagę przyciągają dwie pierwsze, bo brzmią znajomo. Rozstrzyga trzecia, bo tylko ona zawiera definicję.
Nazwa sektora jest etykietą. „Ochrona zdrowia” nie znaczy „firmy zajmujące się zdrowiem”, tylko dokładnie te rodzaje podmiotów, które w tym wierszu wymieniono. Podobnie „produkcja” nie obejmuje każdego wytwórcy, a jedynie wskazane działy klasyfikacji NACE. Czytanie po nazwach sektora jest najczęstszą przyczyną błędnej kwalifikacji w obie strony: firmy uznają, że ich to nie dotyczy, albo przeciwnie, że dotyczy, choć nie dotyczy.
Praktyczna kolejność jest więc taka: bierzecie listę wszystkiego, co faktycznie robicie, a potem szukacie tych czynności w trzeciej kolumnie. Nie odwrotnie.
Które załączniki prowadzą gdzie: podmiot z załącznika 1 jest kluczowy, jeśli przewyższa wymogi dla średniego przedsiębiorcy, a ważny, jeśli je spełnia. Podmiot z załącznika 2 jest ważny zawsze, niezależnie od tego, jak jest duży.
2. Definicja szersza niż potoczna nazwa
Pierwszy mechanizm działa tak: w ustawie stoi pojęcie, które w codziennym języku znaczy coś węższego niż w przepisie, z którego pochodzi.
Najczystszym przykładem jest branża weterynaryjna. Załącznik 1 wymienia w sektorze ochrony zdrowia hurtownie farmaceutyczne, importerów, wytwórców i dystrybutorów substancji czynnych, wszystkich w rozumieniu Prawa farmaceutycznego. A produktem leczniczym jest według art. 2 tej ustawy substancja mająca właściwości zapobiegania lub leczenia chorób występujących u ludzi lub zwierząt. Trzy słowa w cudzej definicji wciągają do sektora ochrony zdrowia firmy, które nigdy nie leczyły człowieka.
Ten sam mechanizm obejmuje chemikalia. Załącznik 2 mówi o przedsiębiorstwach produkujących substancje, dystrybuujących substancje lub mieszaniny oraz wytwarzających z nich wyroby w rozumieniu rozporządzenia REACH. Producent farb, klejów, kosmetyków, środków czystości czy nawozów mieści się w tym opisie, choć o sobie mówi „produkcja”, a nie „chemia”.
Wniosek dla praktyka: jeśli w wierszu załącznika pada zwrot „w rozumieniu ustawy o”, lektura kończy się dopiero po sprawdzeniu tamtej definicji.
Czy ustawa o KSC dotyczy weterynarii
3. Działalność poboczna, która wystarcza
Drugi mechanizm dotyczy firm, które daną działalność prowadzą, ale traktują ją jako dodatek do głównego biznesu.
Przy obrocie paliwami ciekłymi przepis nie wymaga, żeby była to działalność dominująca. Stacja paliw przy sklepie wielkopowierzchniowym, przy hotelu, przy gospodarstwie rolnym albo przy zakładzie produkcyjnym liczy się tak samo jak stacja sieciowa. Główna działalność może być zupełnie inna i nie ma to znaczenia dla kwalifikacji.
Dokładnie tak samo zbudowany jest wiersz o punktach ładowania pojazdów elektrycznych. Załącznik 1 obejmuje przedsiębiorców odpowiedzialnych za zarządzanie punktem ładowania i jego obsługę, świadczących usługę ładowania na rzecz użytkowników końcowych. Nie ma tu wymogu koncesji ani warunku, by ładowanie było podstawą biznesu. Hotel, galeria handlowa, biurowiec i restauracja przy trasie mieszczą się w tym opisie.
Trzeci przypadek z tej rodziny to ciepło i energia elektryczna sprzedawane najemcom. Park przemysłowy, duże osiedle albo zakład z własną kotłownią, który odsprzedaje ciepło sąsiadom, może być przedsiębiorstwem energetycznym w rozumieniu Prawa energetycznego. Granica między refakturą a obrotem wymagającym koncesji bywa tu cienka i warto ją ustalić, zanim zrobi to za Was organ.
Stacje benzynowe a ustawa o KSC
4. Błędna klasyfikacja wewnątrz własnego sektora
Trzeci mechanizm jest inny od dwóch poprzednich. Firma wie, że jest w zakresie. Myli się co do tego, gdzie dokładnie.
Podsektory produkcyjne w załączniku 2 odsyłają do działów klasyfikacji NACE: 26 dla komputerów, wyrobów elektronicznych i optycznych, 27 dla urządzeń elektrycznych, 28 dla maszyn i urządzeń, 29 i 30 dla pojazdów i pozostałego sprzętu transportowego. Nazwy brzmią jak opis potoczny, a działają jak definicje. Producent czujników temperatury intuicyjnie widzi siebie w dziale 28, a jego wyroby klasyfikują się pod kodem 26.5, czyli w dziale 26. Od tego zależy właściwy organ nadzoru, a docelowo także szczegółowe wymagania.
W tych wierszach kryje się jeszcze jedno słowo, które zmienia zasięg przepisu: przedsiębiorca prowadzący którykolwiek z rodzajów działalności z danego działu. Nie „przeważający”. Wystarczy jedna linia produkcyjna obok głównej działalności.
I rzecz, która myli najczęściej: kod PKD w rejestrze jest dowodem faktycznej działalności, a nie testem prawnym. Sama jego zmiana nie tworzy obowiązku ani go nie zdejmuje.
Producent, który nie wie, w którym sektorze jest
5. Brak progu wielkości
Czwarty mechanizm dotyczy tych, którzy liczą na to, że są za mali.
Zasadą jest, że do zakresu ustawy wchodzi się dopiero od poziomu średniego przedsiębiorcy. Od tej zasady jest jednak lista wyjątków i część z nich trafia w firmy niewielkie. Niezależnie od wielkości podlegają między innymi dostawcy usług DNS, rejestry nazw domen najwyższego poziomu, podmioty świadczące usługi rejestracji nazw domen, kwalifikowani dostawcy usług zaufania oraz podmioty krytyczne. Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa podlega już od poziomu małego przedsiębiorcy, a przedsiębiorca komunikacji elektronicznej od średniego.
Osobną grupą są byli operatorzy usługi kluczowej, którzy stali się podmiotami kluczowymi z mocy prawa, z dniem wejścia nowelizacji w życie.
Dla części rynku informatycznego to zaskoczenie. Kilkuosobowa agencja rejestrująca domeny dla klientów i mały zespół świadczący usługi bezpieczeństwa na abonament mogą być w zakresie, podczas gdy zatrudniająca dwieście osób firma z sąsiedniej branży pozostaje poza nim.
Do tego dochodzi ścieżka decyzyjna. Organ może uznać podmiot z załącznika 1 lub 2 za kluczowy albo ważny niezależnie od progów wielkości, jeżeli spełniona jest jedna z przesłanek szczególnych, na przykład gdy zakłócenie jego usługi wywołałoby ryzyko systemowe dla innych podmiotów objętych ustawą. Warunkiem jest jednak obecność w załączniku. Decyzja nie wyciąga podmiotów spoza list.
6. Mechanizm odwrotny, czyli kiedy poboczność ratuje
Dla równowagi warto pokazać przypadek, w którym działalność poboczna nie wciąga.
Przy gospodarowaniu odpadami załącznik 2 wprost wyłącza przedsiębiorstwa, dla których zbieranie, transport, przetwarzanie odpadów albo pośrednictwo w obrocie nimi nie stanowi podstawowej działalności gospodarczej, ustalanej według przeważającego kodu PKD. Zakład produkcyjny, który wozi własne odpady i ma na to wpis w rejestrze, tą drogą do ustawy nie wejdzie.
Ten jeden wiersz mówi więcej niż wygląda. Skoro ustawodawca potrafił napisać wyłączenie dla działalności pobocznej tam, gdzie chciał, to jego brak przy paliwach, przy punktach ładowania i przy produkcji nie jest przeoczeniem. Jest decyzją. Argument „u nas to margines działalności” nie obroni się poza sektorem odpadów.
7. Czego w załącznikach nie ma
Równie ważne jak wiedza, co wciąga, jest wiedza, co nie wciąga. Trzy przykłady z branż opisanych wyżej.
Zakład leczniczy dla zwierząt, czyli gabinet, przychodnia albo klinika weterynaryjna, nie jest podmiotem leczniczym w rozumieniu ustawy o działalności leczniczej. Ten wiersz załącznika dotyczy opieki zdrowotnej nad ludźmi.
Działalność badawczo-rozwojowa w załączniku 1 odsyła do dyrektywy 2001/83/WE, a ta dotyczy produktów leczniczych stosowanych u ludzi. Badania nad lekami weterynaryjnymi tym punktem objęte nie są.
Producent karmy dla zwierząt nie jest przedsiębiorstwem spożywczym w rozumieniu rozporządzenia 178/2002, bo to pojęcie odnosi się do żywności. Wiersz o przemysłowej produkcji i dystrybucji hurtowej żywności go nie obejmuje, choć odbiorców ma często tych samych co hurtownia leków weterynaryjnych.
Jest jeszcze czwarta rzecz, o której warto wiedzieć na końcu takiej analizy. Wynik „nie podlegamy” też jest wynikiem i też wymaga dokumentu. Jeśli urząd zapyta, dlaczego nie ma Was w rejestrze, odpowiedzią jest arkusz kwalifikacji, a nie wspomnienie rozmowy.
8. Branże, o których piszemy
- Weterynaria. Import, wytwarzanie i obrót hurtowy lekami dla zwierząt prowadzą do sektora ochrony zdrowia, choć ustawa o weterynarii nie wspomina. Czy ustawa o KSC dotyczy weterynarii
- Stacje paliw. Obrót paliwami ciekłymi liczy się także wtedy, gdy stacja stoi przy sklepie, hotelu albo zakładzie. Stacje benzynowe a ustawa o KSC
- Produkcja. Działy 26 do 30 klasyfikacji NACE, słowo „którykolwiek” i różnica między kodem PKD a faktyczną działalnością. Producent, który nie wie, w którym sektorze jest
Lista będzie rosła. W przygotowaniu są teksty o punktach ładowania pojazdów elektrycznych, o sprzedaży ciepła najemcom, o chemikaliach w rozumieniu REACH oraz o podmiotach podlegających niezależnie od wielkości.
9. Najczęstsze pytania
Czy ustawa o KSC dotyczy tylko firm z branży informatycznej? Nie. Sektor informatyczny jest jednym z kilkunastu. W zakresie są między innymi energetyka, transport, ochrona zdrowia, produkcja, żywność, odpady, chemikalia, bankowość, administracja i badania naukowe.
Czy mała firma może podlegać przepisom? Może. Zasadą jest próg średniego przedsiębiorcy, ale od niej są wyjątki, w tym usługi rejestracji nazw domen, usługi DNS i usługi zarządzane w zakresie cyberbezpieczeństwa.
Czy o kwalifikacji decyduje kod PKD? Nie. Decyduje faktycznie prowadzona działalność. Kod PKD jest dowodem i pierwszym miejscem, do którego zajrzy organ, ale sama jego zmiana statusu nie zmienia. Co, jeśli prowadzimy kilka rodzajów działalności? Sprawdzacie każdy z osobna. Przy większości wierszy załączników wystarczy, że jedna z prowadzonych działalności odpowiada opisowi, nawet jeśli jest marginalna. Wyjątkiem jest gospodarowanie odpadami.
Czy wynik „nie podlegamy” trzeba udokumentować? Tak. Arkusz kwalifikacji z datą, danymi i uzasadnieniem jest jedynym sensownym dowodem, że sprawdzenie w ogóle się odbyło.
Co dalej
Sprawdź status bezpłatnie w NIS2 Testerze. Wpisujesz numer NIP, przechodzisz przez pytania i kończysz raportem. Jeśli już wiesz, że podlegasz, przejdź do przewodnika po obowiązkach, terminach i wdrożeniu. Ustawa o krajowym systemie cyberbezpieczeństwa: obowiązki, terminy i wdrożenie
