NIS2 branża chemiczna: kto podlega załącznikowi II i REACH

Dystrybutor chemikaliów z okolic Płocka zatrudnia 90 osób. Magazyn zbiornikowy steruje przez połączony system, a zamówienia przyjmuje przez portal internetowy. Największy odbiorca przysyła kwestionariusz dla dostawców z jednym pytaniem: „Potwierdźcie swój status w zakresie NIS2.” W logistyce nikt nie zna odpowiedzi.

Tę rozmowę wkrótce odbędziecie z wieloma klientami jako konsultanci IT lub MSP. Dla NIS2 w branży chemicznej kluczowe jest to, że chemia to „inny sektor krytyczny” w załączniku II do dyrektywy (UE) 2022/2555, a jej zakres jest szerszy, niż klienci zakładają.

Co faktycznie obejmuje pkt 3 załącznika II

Załącznik II wymienia siedem sektorów. Punkt 3 to „Produkcja, wytwarzanie i dystrybucja chemikaliów”. Tekst odsyła do rozporządzenia REACH (WE) nr 1907/2006 i obejmuje:

• przedsiębiorstwa wytwarzające substancje (REACH art. 3 pkt 9);
• przedsiębiorstwa dystrybuujące substancje lub mieszaniny (REACH art. 3 pkt 14);
• przedsiębiorstwa produkujące wyroby z substancji lub mieszanin (REACH art. 3 pkt 3).

Dwie grupy nie są wymienione: importerzy i dalsi użytkownicy jako tacy. Firma, która tylko importuje substancję, nie podlega temu punktowi. Formulator jest według REACH dalszym użytkownikiem, ale zapis załącznika II o dystrybucji substancji lub mieszanin i o produkcji wyrobów może go mimo to objąć. Nie wykluczajcie więc mieszalni wyłącznie na podstawie etykiet REACH.

Zakres rozszerza trzeci punkt. Producent części z tworzyw sztucznych lub powlekanych wyrobów metalowych może podlegać pkt 3 i jednocześnie sektorowi „Produkcja” z załącznika II. Sprawdźcie oba wpisy, zanim powiecie klientowi, że jest poza zakresem.

O stosowaniu dyrektywy decyduje wielkość

NIS2 dotyczy podmiotów średnich i większych w wymienionych sektorach (art. 2 ust. 1). Średni oznacza co najmniej 50 pracowników albo obrót i suma bilansowa jednocześnie powyżej 10 mln euro. Mieszalnia specjalistyczna z 30 pracownikami i obrotem 6 mln euro mieści się poniżej progu, chyba że państwo członkowskie objęło mniejsze podmioty o kluczowej roli (art. 2 ust. 2).

Podmioty z załącznika II są domyślnie podmiotami ważnymi. Stają się kluczowymi tylko wtedy, gdy spełniają inne kryterium z art. 3, na przykład działając także w sektorze z załącznika I.

Dlaczego klienci z branży chemicznej są trudniejsi, niż się wydaje

Zakłady chemiczne leżą na styku IT i OT. Dozowanie, procesy wsadowe, pomiar poziomu w zbiornikach i systemy bezpieczeństwa są w sieci. Nasz przewodnik po segmentacji IT/OT dla producentów opisuje architekturę. W chemii trzy punkty wymagają szczególnej uwagi w analizie luk:

1. Rejestr aktywów obejmujący OT. Jeśli rejestr kończy się na laptopach i serwerach, art. 21 ust. 2 lit. i nie jest spełniony.
2. Obsługa incydentów uwzględniająca wpływ na proces. Ransomware zatrzymujące proces wsadowy to incydent poważny, o skutkach wykraczających poza dane.
3. Łańcuch dostaw. Art. 21 ust. 2 lit. d wymaga uwagi wobec bezpośrednich dostawców i usługodawców. Firmy chemiczne zależą od platform logistycznych, hostowanego ERP i zdalnego dostępu producentów do instalacji. Zob. umowy z dostawcami w świetle art. 21.

Dystrybutorzy mają inny profil: ERP, portale zamówień i systemy magazynowe. Obowiązuje tych samych dziesięć środków z art. 21 ust. 2, tyle że na mniejszej powierzchni ataku.

Jakie kary grożą

Dla podmiotów ważnych maksimum z art. 34 ust. 5 to wyższa z kwot: 7 mln euro lub 1,4 % całkowitego rocznego obrotu na świecie. Podmioty kluczowe ryzykują do 10 mln euro lub 2 %. Nasz artykuł o karach NIS2 i odpowiedzialności zarządu wyjaśnia, jak krajowe reżimy stosują te limity.

Sytuacja w Polsce: nowelizacja ustawy o KSC

Polska wdraża NIS2 przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Prezydent podpisał ją w lutym 2026 r., została opublikowana 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r. Nowelizacja rozszerza system o dodatkowe sektory, w tym wytwarzanie chemikaliów, gospodarkę ściekową, usługi pocztowe i dystrybucję żywności. Podmioty kluczowe i ważne muszą wdrożyć środki techniczne i organizacyjne. Rozszerzone uprawnienia ma minister właściwy do spraw informatyzacji, w tym w zakresie wskazywania dostawców wysokiego ryzyka.

Prezydent skierował równocześnie wniosek do Trybunału Konstytucyjnego w sprawie przepisów o dostawcach wysokiego ryzyka, między innymi o obowiązkowej wymianie sprzętu bez odszkodowania. Śledźcie ten wątek u klientów z łańcuchem dostaw opartym na sprzęcie spoza UE.

Poza Polską obraz jest zróżnicowany:

• Niemcy: zmiana BSIG obowiązuje od 6 grudnia 2025 r., bez okresu przejściowego.
• Holandia: Cyberbeveiligingswet obowiązuje od 15 sierpnia 2026 r.
• Włochy: dekret ustawodawczy 138/2024 obowiązuje od 16 października 2024 r.; środki podstawowe mają działać w październiku 2026 r.
• Francja i Hiszpania: transpozycja niezakończona.

Pełny obraz znajdziecie w harmonogramie wdrażania w UE.

Jak ocenić klienta z branży chemicznej w godzinę

Przejdźcie przez cztery pytania, po kolei:

1. Jaką rolę w rozumieniu REACH ma klient dla każdej linii produktów: producent, dystrybutor, wytwórca wyrobów, wyłącznie importer czy dalszy użytkownik?
2. W jakich państwach członkowskich działa? Każda krajowa ustawa ma własne zasady rejestracji i zgłaszania.
3. Czy przekracza próg średniego przedsiębiorstwa, czy obejmuje go przepis krajowy?
4. Które systemy OT sterują produkcją lub bezpieczeństwem i kto ma do nich zdalny dostęp?

Zacznijcie od pierwszego pytania. Większość błędów wynika z założenia, że „tylko mieszamy” oznacza „jesteśmy poza zakresem”. Sprawdźcie to założenie z treścią załącznika II i prawem krajowym, zanim je przyjmiecie.

Na strukturalny start pozwólcie klientowi przejść bezpłatny quick scan NIS2Certify. Daje ocenę gotowości, od której można zacząć rozmowę.

Wniosek: nie ufajcie nazwie sektora. Zakres wyznacza rola w REACH, wielkość i kraj, w tej kolejności.