NIS2 gospodarka odpadami i usługi pocztowe: kto podlega KSC?

Firma odbierająca odpady na Śląsku, zatrudniająca 90 osób, prowadzi trasy, wagę samochodową i fakturowanie na trzech połączonych systemach. Magazyn firmy kurierskiej pod Poznaniem zależy od jednej platformy sortującej i chmurowego portalu do śledzenia przesyłek. Żaden z właścicieli nigdy nie zgłaszał incydentu. Obie firmy należą już do sektora, który UE uznaje za "krytyczny", a ich klienci już o to pytają.

To pytanie stoi za tematem NIS2 w gospodarce odpadami oraz w usługach pocztowych. Oba sektory są wymienione w załączniku II do dyrektywy (UE) 2022/2555, czyli wśród "innych sektorów krytycznych". W Polsce dyrektywę wdraża znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która weszła w życie 3 kwietnia 2026 r. Tekst jest węższy, niż obawiają się klienci, i szerszy, niż mają nadzieję.

Co faktycznie obejmuje załącznik II

Pkt 1 załącznika II to usługi pocztowe i kurierskie: dostawcy usług pocztowych w rozumieniu art. 2 pkt 1a dyrektywy 97/67/WE, "w tym dostawcy usług kurierskich". Kurierzy są więc wymienieni wprost. Sieci paczkowe, kurierzy ostatniej mili i klasyczni operatorzy pocztowi wchodzą do tej samej pozycji.

Pkt 3 to gospodarowanie odpadami: przedsiębiorstwa prowadzące gospodarowanie odpadami w rozumieniu art. 3 pkt 9 dyrektywy 2008/98/WE. Obejmuje to zbieranie, transport, odzysk i unieszkodliwianie odpadów. Zbieracz, przewoźnik, sortownia i operator składowiska mogą wchodzić w zakres.

Wyłączenie, które rozstrzyga większość spraw dotyczących odpadów

Pozycja dotycząca odpadów wyłącza przedsiębiorstwa, "dla których gospodarowanie odpadami nie jest główną działalnością gospodarczą". To najprzydatniejsze zdanie w rozmowach z klientami.

Producent, który przetwarza własne odpady produkcyjne, z tego powodu nie podlega. Skup złomu, którego główną działalnością jest zbieranie i przetwarzanie odpadów, możliwe, że tak. Zadajcie jedno pytanie: czy firma zarabia głównie na gospodarowaniu odpadami? Udokumentujcie odpowiedź wraz z dowodami.

Dla usług pocztowych takiego wyłączenia nie ma. Kto świadczy usługi pocztowe lub kurierskie jako działalność, od razu sprawdza progi wielkości.

Próg wielkości: średni i większy

NIS2 obejmuje średnie i duże podmioty w wymienionych sektorach. W praktyce to co najmniej 50 pracowników albo ponad 10 mln euro rocznego obrotu lub sumy bilansowej. Mikro- i małe przedsiębiorstwa co do zasady są poza zakresem.

Podmioty z załącznika II to podmioty ważne, a nie kluczowe. To wpływa na nadzór: organ może działać po incydencie lub skardze, a nie w trybie rutynowych kontroli. Obowiązki nie stają się przez to lżejsze.

Co przewiduje polska ustawa

Znowelizowana ustawa o KSC rozszerza obowiązki na 18 sektorów gospodarki, w tym gospodarkę ściekową, usługi pocztowe, produkcję i dystrybucję żywności oraz chemikalia. Została opublikowana 2 marca 2026 r. Prezydent podpisał ją w lutym 2026 r., jednocześnie kierując do Trybunału Konstytucyjnego wniosek dotyczący przepisów o dostawcach wysokiego ryzyka. Minister Cyfryzacji wydaje wytyczne bezpieczeństwa i klasyfikuje dostawców wysokiego ryzyka, a w sektorach działają zespoły CSIRT.

Podmioty ważne podlegają wpisowi do wykazu podmiotów kluczowych i ważnych oraz obowiązkom zarządzania ryzykiem i zgłaszania incydentów. Sprawdzajcie aktualne terminy w komunikatach ministerstwa, bo przepisy wykonawcze nadal się zmieniają.

Środki zarządzania ryzykiem wynikają z art. 21 dyrektywy i obejmują dziesięć obszarów: analizę ryzyka, obsługę incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, bezpieczne nabywanie i utrzymanie, ocenę skuteczności, higienę cyfrową i szkolenia, kryptografię, kontrolę dostępu i zarządzanie zasobami oraz uwierzytelnianie wieloskładnikowe lub bezpieczną komunikację. Zobaczcie nasz przewodnik po dziesięciu środkach z art. 21.

Kierownictwo musi zatwierdzać te środki, odpowiadać za nie i przechodzić szkolenia. Dla rodzinnej firmy transportowej lub regionalnego operatora pocztowego to często pierwszy raz, gdy dyrektor formalnie odpowiada za ryzyko IT.

Gdzie te sektory są narażone

Technologie operacyjne w gospodarce odpadami łatwo przeoczyć. Wagi samochodowe, sterowania prasami, monitoring biogazu ze składowisk i telematyka floty są podłączone do sieci. Atak ransomware, który zatrzyma fakturowanie z wagi, tego samego dnia zatrzymuje przychody z odbioru odpadów.

W poczcie i kurierach punktem nacisku jest platforma sortowania i śledzenia. Wiele firm kurierskich opiera się na jednym dostawcy SaaS. Gdy ten padnie, staje magazyn. To kwestia łańcucha dostaw z art. 21 ust. 2 lit. d i pierwsza rzecz, którą sprawdzi ankieta klienta.

Oba sektory polegają też na podwykonawcach: kurierach samozatrudnionych, partnerach transportowych, zewnętrznych narzędziach do planowania tras. Pisemna lista tych dostawców z klauzulami bezpieczeństwa w umowie jest tania i prawie nigdy nie istnieje. Nasz wpis o bezpieczeństwie łańcucha dostaw NIS2 pokazuje, jak ją zbudować.

Zgłaszanie incydentów działa tak samo

Znaczący incydent wymaga wczesnego ostrzeżenia w ciągu 24 godzin, zgłoszenia incydentu w ciągu 72 godzin i raportu końcowego w ciągu miesiąca (art. 23). Klienci zwykle nie mają procesu na pierwszą godzinę, a co dopiero na pierwszy dzień. Krótkie ćwiczenie tabletop wokół terminów zgłoszeń opłaca się od razu.

Kary dla podmiotów ważnych

Art. 34 dyrektywy ustala dla podmiotów ważnych maksimum co najmniej 7 mln euro lub co najmniej 1,4 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. W Polsce podmioty ważne mogą zapłacić do 7 mln euro, a do tego dochodzą kary dzienne za niewykonywanie obowiązków. Pełny obraz znajdziecie w naszym wpisie o karach NIS2.

Sytuacja różni się w zależności od kraju

Dyrektywa jest wszędzie ta sama, ale obowiązki klienta zależą od prawa krajowego i organu nadzoru. W Polsce ustawa obowiązuje. Inne państwa członkowskie mają opóźnienia. Jeśli klient ma oddziały w Niemczech, Czechach lub Francji, sprawdźcie aktualną sytuację w każdym kraju. Dobry punkt wyjścia to harmonogram wdrożenia w UE.

Praktyczna kolejność prac dla tych klientów

Zacznijcie od zakresu. Napiszcie notatkę na jedną stronę z pozycją sektorową, testem głównej działalności dla odpadów, danymi o wielkości i wnioskiem. Organy i klienci pytają dokładnie o to.

Potem przeprowadźcie analizę luk względem dziesięciu środków i nadajcie priorytet inwentarzowi dostawców, kontaktom na wypadek incydentu i testom kopii zapasowych. W tych trzech miejscach większość klientów z sektora odpadów i poczty jest najsłabsza. Na szybki punkt wyjścia quick scan NIS2Certify daje ocenę gotowości, którą omówicie z klientem na jednym spotkaniu.

Na koniec spiszcie zegar incydentu: kto decyduje, co jest znaczące, kto dzwoni do organu, kto pisze zgłoszenie na 72 godziny. Przetestowany plan na jednej stronie wygrywa z 40-stronicową polityką, której nikt nie czyta.

Zakres zależy od podmiotu, kraju i faktów. Waszym zadaniem jest uczynić decyzję obronną. Jeśli sektor chemiczny czegoś nauczył konsultantów, to tego, że pytania o zakres załącznika II wygrywa się dokumentacją, a nie założeniami. Na pierwszy ogólny test: czy NIS2 dotyczy mojej organizacji.