NIS2 w gospodarce odpadami – termin 3 października 2026

NIS2 w gospodarce odpadami oznacza nowe obowiązki dla części przedsiębiorców zajmujących się zbieraniem, transportem, przetwarzaniem oraz obrotem odpadami. Po wejściu w życie nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa branża odpadowa została wprost uwzględniona wśród sektorów objętych nowymi wymaganiami.

Pierwszy istotny termin przypada na 3 października 2026 r. Podmioty kluczowe i ważne objęte okresem przejściowym, które nie zostały wpisane do Wykazu KSC z urzędu, powinny do tego dnia złożyć wniosek o wpis. Ministerstwo Cyfryzacji potwierdza, że jest to termin kończący sześciomiesięczny okres przewidziany dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie.

Nie oznacza to jednak, że obowiązek automatycznie dotyczy każdego przedsiębiorcy posiadającego numer BDO. Konieczna jest wcześniejsza analiza rodzaju działalności, wielkości przedsiębiorstwa oraz przesłanek określonych w ustawie o krajowym systemie cyberbezpieczeństwa. Ministerstwo Klimatu i Środowiska również wyraźnie wskazuje, że sam fakt prowadzenia działalności odpadowej nie przesądza jeszcze o objęciu ustawą.

NIS2 w gospodarce odpadami – kogo dotyczą nowe obowiązki?

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2 zaliczyła gospodarowanie odpadami do sektorów ważnych.

Wśród rodzajów działalności odpadowej objętych regulacją wskazano w szczególności:

• zbieranie odpadów,
• transport odpadów,
• przetwarzanie odpadów, w tym sortowanie,
• nadzór nad tymi działalnościami,
• działalność sprzedawców odpadów,
• działalność pośredników w obrocie odpadami.

Takie rodzaje działalności wskazuje w swoich aktualnych wyjaśnieniach również Ministerstwo Klimatu i Środowiska.

Samo wykonywanie jednej z tych czynności nie oznacza jednak jeszcze, że przedsiębiorca automatycznie staje się podmiotem ważnym albo kluczowym.

Czy każda firma odpadowa podlega NIS2?

Nie.

NIS2 w gospodarce odpadami wymaga przeprowadzenia przez przedsiębiorcę tzw. samoidentyfikacji.

W pierwszej kolejności należy ustalić:

• jaki rodzaj działalności rzeczywiście prowadzi przedsiębiorca,
• czy działalność mieści się w zakresie wskazanym w ustawie o KSC,
• jaka jest wielkość przedsiębiorstwa,
• czy występują powiązania z innymi przedsiębiorstwami,
• czy zachodzą szczególne przesłanki z art. 5 ustawy o KSC.

Ministerstwo Cyfryzacji wskazuje, że proces samoidentyfikacji powinien opierać się przede wszystkim na analizie art. 5 oraz załączników nr 1 i 2 do ustawy o KSC.

Dlatego nie wystarczy odpowiedzieć na pytanie, czy przedsiębiorstwo posiada wpis w BDO.

Podobnie sam kod PKD nie powinien być jedynym kryterium oceny.

NIS2 a wielkość przedsiębiorstwa

Istotnym elementem samoidentyfikacji jest wielkość przedsiębiorstwa.

Przy jej ustalaniu znaczenie mają nie tylko liczba zatrudnionych osób, ale również dane finansowe oraz – w odpowiednich przypadkach – relacje z przedsiębiorstwami partnerskimi i powiązanymi.

Ministerstwo Cyfryzacji przypomina, że zgodnie z unijnymi kryteriami:

• mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób i mieści się w odpowiednich progach finansowych,
• małe przedsiębiorstwo zatrudnia mniej niż 50 osób,
• średnie przedsiębiorstwo zatrudnia mniej niż 250 osób i mieści się w określonych progach obrotu lub sumy bilansowej,
• przedsiębiorstwa przekraczające te progi są przedsiębiorstwami dużymi.

W przypadku grup kapitałowych analiza może więc wymagać uwzględnienia danych innych podmiotów.

Właśnie dlatego ocena obowiązków wynikających z NIS2 nie powinna ograniczać się do prostego sprawdzenia zatrudnienia jednej spółki.

Wpis do Wykazu KSC do 3 października 2026 r.

Dla podmiotów objętych okresem przejściowym jednym z najpilniejszych obowiązków jest obecnie wpis do Wykazu KSC.

Termin upływa 3 października 2026 r.

Samorejestracja jest dostępna od 7 maja 2026 r. i odbywa się elektronicznie poprzez aplikację Wykaz KSC stanowiącą część Systemu S46.

Wniosek składa kierownik podmiotu albo osoba odpowiednio przez niego upoważniona. Wniosek zawiera również oświadczenie kierownika składane pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia.

Aktualna instrukcja Systemu S46 pozwala podpisać wniosek m.in.:

• Profilem Zaufanym, albo
• podpisem elektronicznym złożonym w zewnętrznej aplikacji i następnie wgranym do systemu.

Nie należy zatem przyjmować, że samorejestracja wymaga wyłącznie kwalifikowanego podpisu elektronicznego.

Co trzeba wdrożyć do 3 kwietnia 2027 r.?

Wpis do Wykazu KSC jest dopiero początkiem procesu dostosowania.

Podmioty kluczowe i ważne, które spełniały ustawowe kryteria w dniu wejścia nowelizacji w życie, mają czas do 3 kwietnia 2027 r. na rozpoczęcie korzystania z Systemu S46 oraz wdrożenie obowiązków wynikających z nowych przepisów.

Jednym z podstawowych obowiązków jest wdrożenie systemu zarządzania bezpieczeństwem informacji – SZBI.

System powinien obejmować środki organizacyjne, techniczne i operacyjne pozwalające odpowiednio zarządzać ryzykiem cyberbezpieczeństwa. Ministerstwo Klimatu i Środowiska potwierdza, że obowiązek wdrożenia SZBI dotyczy organizacji z sektora odpadowego objętych ustawą o KSC.

W praktyce przygotowania mogą obejmować między innymi:

• analizę i szacowanie ryzyka,
• polityki bezpieczeństwa informacji,
• procedury reagowania na incydenty,
• zasady tworzenia i odtwarzania kopii zapasowych,
• plany ciągłości działania,
• bezpieczeństwo dostawców ICT,
• kontrolę dostępu,
• cyberhigienę i szkolenia pracowników,
• zabezpieczenie komunikacji,
• odpowiednie mechanizmy uwierzytelniania.

Jakie systemy powinna przeanalizować firma odpadowa?

W przedsiębiorstwie zajmującym się gospodarką odpadami analiza nie powinna ograniczać się do komputerów pracowników biurowych.

Znaczenie mogą mieć wszystkie systemy wykorzystywane w procesach związanych ze świadczeniem usług.

W zależności od rodzaju przedsiębiorstwa mogą to być między innymi:

• systemy wykorzystywane przy obsłudze BDO,
• systemy wagowe,
• systemy planowania tras,
• programy do zarządzania flotą,
• systemy ERP,
• systemy obsługi kontrahentów,
• systemy sterowania instalacją,
• systemy OT, ICS oraz SCADA,
• rozwiązania służące do tworzenia i przechowywania kopii zapasowych.

Ministerstwo Klimatu i Środowiska wskazuje, że wymagania cyberbezpieczeństwa dotyczą zarówno systemów IT, jak i systemów przemysłowych OT/ICS/SCADA. Incydent dotyczący instalacji może bowiem bezpośrednio wpływać na ciągłość procesu technologicznego oraz bezpieczeństwo środowiskowe.

NIS2 w gospodarce odpadami a BDO

Posiadanie wpisu do BDO nie oznacza samo w sobie objęcia przedsiębiorcy NIS2.

BDO jest jednak jednym z istotnych elementów działalności wielu przedsiębiorstw odpadowych, a systemy informacyjne wykorzystywane do realizacji obowiązków związanych z gospodarowaniem odpadami powinny zostać odpowiednio uwzględnione w analizie cyberbezpieczeństwa.

Przedsiębiorca powinien więc oddzielić dwa zagadnienia:

pierwsze – czy jego działalność powoduje objęcie ustawą o KSC;

drugie – jakie systemy informacyjne należy zabezpieczyć, jeżeli przedsiębiorstwo już podlega nowym regulacjom.

Jak szybko trzeba zgłaszać incydenty?

Podmiot kluczowy lub ważny powinien posiadać procedurę pozwalającą wykryć i właściwie obsłużyć incydent.

W przypadku incydentu poważnego obowiązują bardzo krótkie terminy:

• 24 godziny od wykrycia – na przekazanie wczesnego ostrzeżenia,
• 72 godziny od wykrycia – na zgłoszenie incydentu poważnego,
• do miesiąca od zgłoszenia – na przekazanie sprawozdania końcowego.

Aktualna instrukcja Systemu S46 potwierdza te terminy oraz wskazuje S46 Cyber Hub jako podstawowe narzędzie obsługi zgłoszeń.

Dlatego procedury reagowania na incydenty powinny powstać przed wystąpieniem cyberataku, a nie dopiero wtedy, gdy przedsiębiorstwo straci dostęp do systemów.

NIS2 – odpowiedzialność kierownictwa firmy

Nowe regulacje zwiększają znaczenie odpowiedzialności osób zarządzających przedsiębiorstwem.

Cyberbezpieczeństwo nie może zostać potraktowane wyłącznie jako zadanie zewnętrznej firmy informatycznej.

Kierownictwo podmiotu powinno zapewnić wdrożenie wymaganych środków zarządzania ryzykiem oraz posiadać odpowiednią wiedzę umożliwiającą nadzorowanie realizacji obowiązków.

Co istotne, outsourcing IT nie przenosi odpowiedzialności prawnej za wykonanie obowiązków wynikających z ustawy o KSC na dostawcę usług informatycznych.

Z tego względu istotnym elementem wdrożenia NIS2 powinien być także przegląd umów z dostawcami usług IT, hostingu, systemów chmurowych, oprogramowania i innych usług ICT.

Kontrole w sektorze gospodarowania odpadami

Organem właściwym do spraw cyberbezpieczeństwa dla sektora gospodarowania odpadami jest Ministerstwo Klimatu i Środowiska.

Podmioty objęte ustawą mogą podlegać kontroli i działaniom nadzorczym.

W praktyce dokumentacja powinna więc nie tylko istnieć, ale również odpowiadać rzeczywistemu sposobowi działania przedsiębiorstwa.

Przedmiotem analizy mogą być między innymi:

• dokumentacja SZBI,
• rejestr ryzyk,
• procedury reagowania na incydenty,
• procedury ciągłości działania,
• dokumentacja szkoleń,
• rejestry incydentów,
• dokumenty dotyczące zarządzania dostawcami ICT.

Kiedy trzeba wykonać pierwszy audyt?

Obowiązek okresowego audytu dotyczy podmiotów kluczowych.

Podmioty kluczowe objęte okresem przejściowym, które wcześniej nie były operatorami usług kluczowych, powinny przeprowadzić pierwszy obowiązkowy audyt do 3 kwietnia 2028 r.

Kolejne audyty powinny być wykonywane nie rzadziej niż raz na trzy lata.

Nie należy zatem automatycznie przypisywać obowiązku okresowego audytu każdej firmie odpadowej będącej podmiotem ważnym.

Kary za naruszenie obowiązków KSC

Nowelizacja przewiduje administracyjne kary pieniężne za naruszenie określonych obowiązków.Redakcja

Przepisy dotyczące kar mają zacząć być stosowane od 3 kwietnia 2028 r.

Nie oznacza to jednak przesunięcia pozostałych terminów.

W szczególności nie zmienia to:

• terminu samorejestracji do 3 października 2026 r.,
• terminu wdrożenia obowiązków do 3 kwietnia 2027 r.,
• obowiązków związanych ze zgłaszaniem incydentów.

Odroczenie możliwości nakładania części sankcji nie powinno więc być utożsamiane z odroczeniem obowiązku wdrożenia ustawy.

NIS2 w gospodarce odpadami – co firma powinna zrobić teraz?

Przygotowanie do NIS2 warto rozpocząć od analizy prawnej i organizacyjnej przedsiębiorstwa, a dopiero później od wyboru konkretnych narzędzi informatycznych. W pierwszej kolejności warto:ustalić, czy działalność przedsiębiorstwa mieści się w sektorze gospodarowania odpadami określonym w ustawie o KSC

1. ustalić wielkość przedsiębiorstwa oraz ewentualne powiązania z innymi podmiotami;
2. przeanalizować art. 5 oraz właściwy załącznik do ustawy;
3. ustalić, czy przedsiębiorstwo jest podmiotem kluczowym, ważnym czy nie podlega regulacji;
4. w razie podlegania ustawie złożyć wniosek o wpis do Wykazu KSC;
5. wyznaczyć osoby odpowiedzialne za wdrożenie obowiązków;
6. zinwentaryzować systemy IT i OT mające znaczenie dla świadczenia usług;
7. przeprowadzić analizę ryzyka;
8. przygotować albo zaktualizować SZBI;
9. zweryfikować umowy z dostawcami usług ICT;
10. przygotować procedury reagowania na incydenty i ciągłości działania;
11. przeszkolić pracowników oraz kierownictwo.

Najpilniejsza pozostaje obecnie właściwa samoidentyfikacja. Ministerstwo Cyfryzacji wskazuje, że podmioty powinny samodzielnie ocenić swoją działalność na podstawie art. 5 i załączników do ustawy, a dopiero na tej podstawie ustalić obowiązek rejestracyjny.

FAQ – NIS2 w gospodarce odpadami

Czy każda firma posiadająca BDO musi wpisać się do Wykazu KSC?

Nie. Sam wpis do BDO ani prowadzenie działalności związanej z odpadami nie oznacza automatycznie objęcia ustawą o KSC. Konieczna jest analiza działalności oraz kryteriów wielkościowych i pozostałych przesłanek ustawowych.

Do kiedy trzeba wpisać się do Wykazu KSC?

Dla podmiotów objętych okresem przejściowym termin samorejestracji upływa 3 października 2026 r.

Czy wniosek do Wykazu KSC wymaga kwalifikowanego podpisu?

Nie wyłącznie. Aktualna instrukcja Systemu S46 pozwala skorzystać m.in. z Profilu Zaufanego albo podpisania pliku elektronicznego w zewnętrznej aplikacji.

Do kiedy trzeba wdrożyć obowiązki NIS2?

Podmioty objęte okresem przejściowym mają zasadniczo czas do 3 kwietnia 2027 r. na wdrożenie obowiązków oraz rozpoczęcie korzystania z Systemu S46.

Czy mała firma odpadowa zawsze podlega NIS2?

Nie. Ministerstwo Klimatu i Środowiska wskazuje wprost, że mała firma zajmująca się odbiorem odpadów nie zawsze jest objęta KSC. Konieczna jest indywidualna analiza przesłanek ustawowych.

Czy firma zewnętrzna obsługująca IT przejmuje odpowiedzialność za NIS2?

Nie. Outsourcing usług IT nie zwalnia podmiotu objętego ustawą z odpowiedzialności za realizację jego obowiązków w zakresie cyberbezpieczeństwa.

Podsumowanie – NIS2 w gospodarce odpadami

NIS2 w gospodarce odpadami dotyczy części przedsiębiorców prowadzących działalność w zakresie zbierania, transportu, przetwarzania i obrotu odpadami.

Nie każda firma odpadowa i nie każdy podmiot wpisany do BDO automatycznie podlega nowym obowiązkom. Punktem wyjścia jest prawidłowa samoidentyfikacja obejmująca rodzaj działalności, wielkość przedsiębiorstwa oraz pozostałe przesłanki wynikające z ustawy o KSC.

Dla podmiotów objętych okresem przejściowym 3 października 2026 r. upływa termin na wpis do Wykazu KSC, natomiast do 3 kwietnia 2027 r. należy wdrożyć obowiązki wynikające z nowelizacji.

Przedsiębiorcy powinni więc nie tylko ustalić swój status, ale również odpowiednio wcześnie rozpocząć analizę ryzyka, przygotowanie SZBI, procedur incydentowych, zasad ciągłości działania oraz umów z dostawcami usług ICT.

Kancelaria Oziębłowski wspiera przedsiębiorców z sektora gospodarki odpadami w analizie, czy podlegają obowiązkom wynikającym z KSC, ocenie statusu podmiotu kluczowego lub ważnego, a także w przygotowaniu dokumentacji oraz dostosowaniu umów z dostawcami i kontrahentami.

Artykuł ma charakter informacyjny i nie stanowi indywidualnej porady prawnej.

Paweł Oziębłowski

See Full Bio