NIS2 sektor kosmiczny: jaka infrastruktura naziemna podlega ustawie o KSC

Centrum kontroli operatora satelitów mieści się w biurowcu w strefie przemysłowej pod polskim miastem. Czterdziestu pracowników, wydzierżawione pole anten i dostawca zarządzanego IT, który od sześciu lat ma uprawnienia administratora domeny. Satelita na orbicie jest poza NIS2. Sala, z której go sterują, nie jest.

Tu mylą się doradcy. Sektor kosmiczny w NIS2 jest wąski, a większość tego, co zwykle nazywa się „kosmosem”, w nim nie mieści się.

Co faktycznie obejmuje sektor kosmiczny NIS2

Załącznik I pkt 11 dyrektywy (UE) 2022/2555 wskazuje jeden rodzaj podmiotu: operatorów infrastruktury naziemnej, będącej własnością państw członkowskich lub podmiotów prywatnych oraz przez nie zarządzanej i obsługiwanej, która wspiera świadczenie usług kosmicznych. Wyłączeni są dostawcy publicznych sieci łączności elektronicznej, którzy należą do sektora infrastruktury cyfrowej.

Motyw 37 tłumaczy logikę. Dyrektywa obejmuje sektor kosmiczny tylko w zakresie, w jakim usługi zależą od infrastruktury naziemnej. Same statki kosmiczne nie są regulowane.

W praktyce chodzi o segment naziemny:

• stacje naziemne i lokalizacje anten
• kontrola misji i centra obsługi satelitów
• obiekty telemetrii, śledzenia i dowodzenia (TT&C)
• lokalizacje bramowe i dedykowane centra przetwarzania danych z ładunku użytecznego

Producenci satelitów, firmy wynoszące ładunki i obiekty na orbicie nie należą do tego rodzaju podmiotu. Producent może podlegać przez inny sektor z załącznika II, ale to osobne pytanie.

Wielkość i klasyfikacja: podmiot kluczowy czy ważny

Obowiązuje ogólna reguła wielkości z art. 2 ust. 1. Średnie przedsiębiorstwa i większe wchodzą w zakres. Małe i mikro nie, chyba że prawo krajowe lub art. 2 ust. 2 je obejmie.

Sektor kosmiczny jest w załączniku I. Duży operator to podmiot kluczowy (art. 3 ust. 1), średni to podmiot ważny. Różnica decyduje o nadzorze: wobec kluczowych działania proaktywne, wobec ważnych głównie reaktywne po incydencie lub zgłoszeniu.

Wiele firm kosmicznych jest małych. Stacja naziemna z 30 pracownikami zwykle jest poniżej progu. Ta sama spółka należąca do grupy przekraczającej progi i dzieląca sieć może już nie być. Sprawdź strukturę grupy, zanim uspokoisz klienta.

Obowiązki to standardowy pakiet NIS2

NIS2 nie zawiera osobnych reguł dla sektora kosmicznego. Operator w zakresie ma te same środki z art. 21 co każdy: analiza ryzyka, obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, bezpieczne tworzenie systemów, kontrola dostępu, kryptografia i MFA.

Trzy kwestie wymagają szczególnej uwagi u tego typu klienta:

• Kontrola dostępu do łączy dowodzenia. Łącza w górę TT&C to najcenniejszy cel. Uprzywilejowany dostęp do systemów dowodzenia wymaga MFA odpornego na phishing i rejestrowania sesji.
• Koncentracja dostawców. Czas anteny, przetwarzanie w chmurze i zarządzane IT pochodzą często od dwóch lub trzech firm. Art. 21 ust. 2 lit. d wymaga oceny każdej z nich.
• Systemy typu OT. Sterowniki anten i narzędzia planowania działają na starym oprogramowaniu. Segmentacja liczy się bardziej niż tempo łatania.

Zgłaszanie incydentów wynika z art. 23: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie końcowe w ciągu miesiąca. Nasz przewodnik po terminach zgłoszeń opisuje przebieg.

Który organ nadzoruje operatora kosmicznego

Każde państwo członkowskie wyznacza własne organy właściwe. Krajowe agencje kosmiczne są partnerami polityki publicznej, nie organami nadzoru NIS2. ESA to organizacja międzyrządowa bez roli nadzorczej w NIS2.

Zgodnie z art. 26 ust. 1 operator kosmiczny podlega państwu członkowskiemu, w którym ma siedzibę. Operator z lokalizacjami naziemnymi w kilku krajach może więc odpowiadać przed kilkoma organami. Nasz wpis o tym, który organ nadzoruje twojego klienta, wyjaśnia zasady. Rejestracja jest w większości krajów osobnym obowiązkiem, zobacz też przegląd terminów rejestracji.

Polska: nowelizacja ustawy o KSC obowiązuje od 3 kwietnia 2026

Polska wdrożyła NIS2 nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026. Samodzielna rejestracja w wykazie KSC ruszyła 7 maja 2026, a termin złożenia wniosku minął 3 października 2026. Podmioty, które go nie dopełniły, powinny to zrobić niezwłocznie i nie czekać na kontrolę. Według analizy KPMG okres dostosowawczy do ustawowych obowiązków kończy się 3 kwietnia 2027. Organ właściwy dla sektora kosmicznego sprawdź w ustawie i w wykazie, nie zakładaj go.

Więcej o skutkach dla łańcucha dostaw znajdziesz w naszym wpisie o polskiej ustawie.

Dla klientów z lokalizacjami za granicą: Niemcy stosują NIS2UmsuCG od 6 grudnia 2025, Włochy D.Lgs. 138/2024 od października 2024, Holandia Cyberbeveiligingswet od 15 sierpnia 2026. Francja i Hiszpania nie zakończyły transpozycji, a Komisja zapowiedziała 8 lipca 2026 skierowanie obu spraw do Trybunału Sprawiedliwości.

Unijny Space Act może przepisać reguły cyberbezpieczeństwa dla kosmosu

Komisja zaproponowała EU Space Act 25 czerwca 2025 r. (COM(2025) 335 final). To propozycja, nie prawo. Trzy instytucje różnią się co do relacji z NIS2.

Komisja chce lex specialis. Dla podmiotów NIS2 jego rozdział o cyberbezpieczeństwie zastąpiłby ogólne obowiązki z art. 21, w tym testy penetracyjne oparte na zagrożeniach przed startem i co najmniej co trzy lata oraz wczesne ostrzeżenie w 12 godzin dla aktywów Unii.

Tekst kompromisowy Rady idzie w przeciwną stronę. Podmioty NIS2 pozostają przy NIS2, a obowiązki Space Act dotyczyłyby głównie operatorów spoza NIS2, takich jak mali i z państw trzecich. Projekt sprawozdania komisji ITRE Parlamentu Europejskiego (marzec 2026) odrzuca osobny reżim i dodałby działalność kosmiczną do samej NIS2.

Trilogi się nie rozpoczęły. Analiza kancelarii zakłada przyjęcie nie wcześniej niż pod koniec 2027 r., a stosowanie około 2030 r. Nie buduj programu dla klienta na propozycji. Zbuduj go na NIS2 i obserwuj Space Act.

Co zrobić z klientem blisko sektora kosmicznego

Zacznij od zakresu, nie od środków. Trzy pytania: czy klient obsługuje infrastrukturę naziemną wspierającą usługi kosmiczne, czy osiąga próg wielkości wraz z grupą, czy jest dostawcą łączności elektronicznej?

Jeśli odpowiedź to tak, tak, nie, klient jest w zakresie. Zmapuj segment naziemny jako inwentarz aktywów, a następnie zrób analizę luk względem art. 21, zaczynając od TT&C i dostępu do dowodzenia. Aby mieć punkt wyjścia przed pierwszym spotkaniem, skorzystaj z quick scan NIS2Certify.

Space Act potrwa lata. Obowiązki rejestracji, zgłaszania i audytu z NIS2 obowiązują już dziś.