NIS2 w gospodarce odpadami – Wykaz KSC

NIS2 w gospodarce odpadami oznacza nowe obowiązki dla części przedsiębiorców prowadzących działalność w zakresie zbierania, transportu, przetwarzania oraz obrotu odpadami. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, objęła sektor gospodarowania odpadami regulacjami dotyczącymi podmiotów kluczowych i ważnych.

Najpilniejszy termin przypada na 3 października 2026 r. Podmioty, które spełniają przesłanki uznania za podmiot kluczowy albo podmiot ważny i nie zostały wpisane do Wykazu KSC z urzędu, powinny do tego dnia dokonać samorejestracji.

Nie oznacza to jednak, że obowiązek wpisu obejmuje automatycznie każdą firmę posiadającą numer BDO. Konieczna jest analiza rzeczywiście wykonywanej działalności, wielkości przedsiębiorstwa oraz szczegółowych przesłanek wynikających z art. 5 i załączników do ustawy o KSC.

NIS2 w gospodarce odpadami – kogo dotyczą nowe obowiązki?

Gospodarowanie odpadami zostało zaliczone do sektorów ważnych w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa.

Do działalności wskazanych w tym sektorze należą w szczególności:

• zbieranie odpadów,
• transport odpadów,
• przetwarzanie odpadów, w tym sortowanie,
• nadzór nad tymi działalnościami,
• późniejsze postępowanie z miejscami unieszkodliwiania odpadów,
• działalność sprzedawców odpadów,
• działalność pośredników w obrocie odpadami.

Sam fakt prowadzenia jednej z tych działalności nie przesądza jeszcze o objęciu wszystkimi obowiązkami KSC. Każdy przedsiębiorca powinien przeprowadzić indywidualną analizę swojego statusu.

Czy każda firma odpadowa podlega KSC?

Nie.

Przedsiębiorca powinien w pierwszej kolejności ustalić:

• jaki jest rzeczywisty zakres jego działalności,
• czy działalność mieści się w sektorach wskazanych w ustawie,
• jaka jest wielkość przedsiębiorstwa,
• czy występują przedsiębiorstwa partnerskie lub powiązane,
• czy zachodzą szczególne przesłanki określone w art. 5 ustawy o KSC.

Ministerstwo Cyfryzacji wskazuje, że przy samoidentyfikacji znaczenie ma rzeczywisty charakter działalności. Kod PKD może być pomocny, ale nie powinien być jedynym kryterium oceny.

Jak ocenić wielkość przedsiębiorstwa?

Przy ustalaniu statusu przedsiębiorcy nie wystarczy sprawdzić liczby pracowników jednej spółki.

Uwzględnia się również odpowiednie dane finansowe oraz relacje z przedsiębiorstwami partnerskimi i powiązanymi. Ministerstwo Cyfryzacji wskazuje, że średnie przedsiębiorstwo to co do zasady przedsiębiorca zatrudniający mniej niż 250 osób i spełniający właściwe progi finansowe, natomiast przy ocenie należy uwzględnić reguły dotyczące podmiotów powiązanych.

W przypadku grup kapitałowych analiza może więc wymagać zsumowania odpowiednich danych kilku podmiotów.

Mikro- i mali przedsiębiorcy z sektora gospodarki odpadami nie zawsze będą podlegać ustawie wyłącznie z powodu wykonywania działalności odpadowej. Ustawa przewiduje jednak przypadki, w których podmiot może zostać objęty regulacją niezależnie od standardowych kryteriów wielkościowych.

Wpis do Wykazu KSC do 3 października 2026 r.

Dla podmiotów objętych samorejestracją termin na złożenie wniosku do Wykazu KSC upływa 3 października 2026 r.

Wykaz KSC jest prowadzony jako część Systemu S46. Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona.

Wniosek można podpisać między innymi:

• Profilem Zaufanym,
• albo podpisem elektronicznym złożonym w aplikacji zewnętrznej i następnie wgranym do systemu.

Nie należy więc przyjmować, że samorejestracja wymaga wyłącznie kwalifikowanego podpisu elektronicznego.

Co trzeba wdrożyć do 3 kwietnia 2027 r.?

Podmioty objęte regulacją, które spełniały przesłanki w dniu wejścia nowelizacji w życie, mają do 3 kwietnia 2027 r. rozpocząć korzystanie z Systemu S46 oraz wdrożyć obowiązki wynikające z ustawy.

Jednym z podstawowych obowiązków jest wdrożenie systemu zarządzania bezpieczeństwem informacji – SZBI.

System powinien obejmować odpowiednie środki organizacyjne i techniczne, w tym między innymi:

• analizę i zarządzanie ryzykiem,
• polityki bezpieczeństwa,
• procedury reagowania na incydenty,
• zabezpieczenie łańcucha dostaw ICT,
• plany ciągłości działania,
• mechanizmy odtwarzania po awarii,
• kontrolę dostępu,
• szkolenia pracowników,
• cyberhigienę,
• stosowanie bezpiecznej komunikacji i odpowiednich mechanizmów uwierzytelniania.

Jakie systemy powinna przeanalizować firma odpadowa?

Analiza nie powinna ograniczać się do komputerów pracowników biurowych.

W zależności od modelu działalności znaczenie mogą mieć między innymi:

• systemy używane do obsługi obowiązków związanych z BDO,
• systemy wagowe,
• programy do planowania tras,
• systemy zarządzania flotą,
• ERP,
• systemy obsługi klientów,
• rozwiązania sterujące instalacjami,
• systemy OT, ICS i SCADA,
• rozwiązania do tworzenia kopii zapasowych.

Ministerstwo Klimatu i Środowiska podkreśla, że cyberbezpieczeństwo w sektorze odpadów służy nie tylko ochronie danych, lecz także zapewnieniu ciągłości procesów związanych z gospodarowaniem odpadami.

NIS2 a BDO

Sam wpis do BDO nie przesądza o podleganiu ustawie o KSC.

BDO może natomiast być jednym z systemów wykorzystywanych w działalności przedsiębiorstwa, który powinien zostać uwzględniony w analizie bezpieczeństwa informacji, jeżeli przedsiębiorca jest objęty regulacją KSC.

Dlatego należy rozdzielić dwie kwestie:

po pierwsze – czy przedsiębiorca podlega ustawie o KSC;

po drugie – jakie systemy i procesy należy objąć wymaganiami bezpieczeństwa po ustaleniu, że podmiot rzeczywiście podlega regulacji.

Terminy zgłaszania incydentów

Podmiot kluczowy lub ważny powinien mieć procedurę pozwalającą szybko wykryć, sklasyfikować i obsłużyć incydent.

W przypadku incydentu poważnego obowiązują krótkie terminy raportowania przewidziane w ustawie i systemie S46, dlatego wcześniej trzeba ustalić odpowiedzialność, ścieżkę eskalacji oraz sposób zbierania informacji potrzebnych do zgłoszenia. System S46 służy między innymi do raportowania incydentów i komunikacji z właściwymi organami oraz zespołami CSIRT.

Odpowiedzialność kierownictwa

Cyberbezpieczeństwo nie może zostać pozostawione wyłącznie zewnętrznemu informatykowi albo dostawcy usług IT.

Podmiot objęty ustawą nadal odpowiada za prawidłową realizację swoich obowiązków, w tym za zarządzanie ryzykiem związanym z dostawcami i podwykonawcami. Ministerstwo Klimatu i Środowiska wyraźnie wskazuje na potrzebę oceny bezpieczeństwa dostawców ICT.

W praktyce wdrożenie NIS2 powinno obejmować również przegląd umów z dostawcami:

• usług IT,
• hostingu,
• oprogramowania,
• usług chmurowych,
• systemów przemysłowych,
• usług utrzymaniowych.

Kontrole i audyty

Dla sektora gospodarowania odpadami zadania organu właściwego do spraw cyberbezpieczeństwa wykonuje Ministerstwo Klimatu i Środowiska.

Kontrola może obejmować między innymi dokumentację SZBI, rejestry incydentów, analizy ryzyka, dokumentację dotyczącą dostawców ICT oraz dowody rzeczywistego stosowania przyjętych procedur.

Obowiązkowe okresowe audyty dotyczą przede wszystkim podmiotów kluczowych. Dla podmiotów kluczowych objętych okresem przejściowym, które wcześniej nie były operatorami usług kluczowych, termin pierwszego audytu przypada na 3 kwietnia 2028 r.

Od 3 kwietnia 2028 r. zaczynają być również stosowane przepisy dotyczące administracyjnych kar pieniężnych. Nie przesuwa to jednak wcześniejszych terminów dotyczących rejestracji ani wdrożenia obowiązków.

Co firma odpadowa powinna zrobić teraz?

Na dzień 2 października 2026 r. najpilniejszym zadaniem jest ustalenie, czy przedsiębiorca podlega obowiązkowi wpisu do Wykazu KSC, ponieważ termin samorejestracji upływa następnego dnia.

W praktyce warto:

1. ustalić, czy podstawowa działalność przedsiębiorcy mieści się w sektorze gospodarowania odpadami objętym KSC;
2. określić wielkość przedsiębiorstwa;
3. uwzględnić podmioty partnerskie i powiązane;
4. przeanalizować art. 5 oraz załącznik nr 2 do ustawy;
5. ustalić status podmiotu – kluczowy, ważny albo nieobjęty regulacją;
6. w razie obowiązku niezwłocznie złożyć wniosek do Wykazu KSC;
7. wyznaczyć osoby odpowiedzialne za wdrożenie KSC;
8. zinwentaryzować systemy IT i OT;
9. przeprowadzić analizę ryzyka;
10. przygotować SZBI i procedury incydentowe;
11. przeanalizować umowy z dostawcami ICT;
12. przygotować organizację do pełnego wdrożenia obowiązków do 3 kwietnia 2027 r.

FAQ – NIS2 w gospodarce odpadami

Czy każda firma odpadowa musi wpisać się do Wykazu KSC?

Nie. Samo prowadzenie działalności odpadowej ani sam wpis do BDO nie wystarczają. Konieczna jest analiza rodzaju działalności, wielkości przedsiębiorstwa oraz szczególnych przesłanek ustawowych.

Do kiedy trzeba złożyć wniosek do Wykazu KSC?

Dla podmiotów objętych samorejestracją termin upływa 3 października 2026 r.

Czy potrzebny jest kwalifikowany podpis?

Nie wyłącznie. Aktualna instrukcja Systemu S46 przewiduje możliwość podpisania wniosku Profilem Zaufanym albo podpisem elektronicznym składanym w aplikacji zewnętrznej. Gov.pl

Do kiedy należy wdrożyć obowiązki KSC?

Podmioty objęte okresem dostosowawczym mają do 3 kwietnia 2027 r. rozpocząć korzystanie z Systemu S46 i wdrożyć wymagane obowiązki.

Czy mała firma odpadowa zawsze podlega KSC?

Nie. Ministerstwo Klimatu i Środowiska wskazuje wprost, że nie każda mała firma prowadząca działalność w gospodarce odpadami będzie objęta KSC.

Podsumowanie – NIS2 w gospodarce odpadami

NIS2 w gospodarce odpadami obejmuje część przedsiębiorców prowadzących działalność w zakresie zbierania, transportu, przetwarzania i obrotu odpadami.

Nie każda firma odpadowa ani każdy podmiot wpisany do BDO podlega nowym wymaganiom. Konieczna jest prawidłowa samoidentyfikacja obejmująca rodzaj działalności, wielkość przedsiębiorstwa oraz szczególne przesłanki ustawowe.

Najpilniejszy termin to 3 października 2026 r. – data graniczna samorejestracji w Wykazie KSC dla podmiotów objętych tym trybem. Kolejny zasadniczy termin to 3 kwietnia 2027 r., do którego należy wdrożyć obowiązki oraz rozpocząć korzystanie z Systemu S46.

Kancelaria Oziębłowski wspiera przedsiębiorców z sektora gospodarki odpadami w analizie, czy podlegają przepisom KSC, ustaleniu statusu podmiotu kluczowego lub ważnego, a także w przygotowaniu dokumentacji, procedur oraz odpowiednim ukształtowaniu umów z dostawcami usług ICT.

Artykuł ma charakter informacyjny i nie stanowi indywidualnej porady prawnej.

Paweł Oziębłowski

See Full Bio