NIS2 w mleczarni. Cyberatak może zatrzymać produkcję
Jeszcze kilkanaście lat temu cyberatak na przetwórcę żywności kojarzył się przede wszystkim z utratą danych, problemami z pocztą elektroniczną albo niedostępnością komputerów w administracji. Dzisiaj skutki mogą być znacznie poważniejsze. Systemy informatyczne sterują skupem mleka, laboratorium, produkcją, magazynami, liniami pakującymi, instalacjami mycia CIP czy chłodnictwem. Awaria lub przejęcie części takiej infrastruktury może oznaczać nie tylko brak dostępu do dokumentów, ale realne zatrzymanie odbioru mleka i produkcji. Ze względu na możliwość wystąpienia takich zdarzeń unijna dyrektywa NIS2 znacznie poszerzyła katalog przedsiębiorstw zobowiązanych do stosowania wymogów cyberbezpieczeństwa. W Polsce podstawą prawną jest przede wszystkim ustawa z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa, którą dość gruntownie zmieniła ustawa z 23 stycznia 2026 roku o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Nowelizacja weszła w życie 3 kwietnia 2026 roku i wdrożyła do polskiego prawa rozwiązania wynikające z dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555, czyli NIS2.
Czy mleczarnie podlegają pod NIS2?
Dla przedsiębiorców z branży mleczarskiej kluczowe znaczenie ma załącznik nr 2 do ustawy o KSC. Wśród sektorów ważnych ustawodawca wskazał "produkcję, przetwarzanie i dystrybucję żywności". Regulacja ta obejmuje przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem żywności. Mleczarnia produkująca mleko spożywcze, sery, masło, twarogi, jogurty, mleko w proszku czy serwatkę mieści się więc co do zasady w sektorze wymienionym wprost w ustawie. Nie oznacza to jednak, że każda najmniejsza mleczarnia automatycznie zostaje objęta pełnym reżimem NIS2. Drugim bardzo ważnym elementem jest bowiem wielkość przedsiębiorstwa. W przypadku sektora produkcji, przetwarzania i dystrybucji żywności przedsiębiorstwo znajdujące się w załączniku nr 2 staje się co do zasady podmiotem ważnym, jeśli spełnia kryteria średniego przedsiębiorstwa albo je przekracza. Wynika to bezpośrednio z art. 5 ustawy o KSC.
Które mleczarnie obejmą nowe przepisy?
Przy ocenie wielkości przedsiębiorstwa stosowane są unijne kryteria MŚP. Ministerstwo Cyfryzacji wskazuje obecnie następujące wartości: mikroprzedsiębiorstwo zatrudnia mniej niż 10 osób i osiąga obrót lub sumę bilansową nieprzekraczającą 2 mln euro; małe przedsiębiorstwo zatrudnia mniej niż 50 osób i osiąga obrót lub sumę bilansową nieprzekraczającą 10 mln euro; przedsiębiorstwo średnie zatrudnia mniej niż 250 osób, a jego roczny obrót nie przekracza 50 mln euro lub suma bilansowa 43 mln euro. W praktyce dla mleczarni najistotniejsza jest granica pomiędzy przedsiębiorstwem małym a średnim. Jeżeli zakład spełnia kryteria średniego przedsiębiorstwa albo je przewyższa, powinien przeanalizować objęcie ustawą. Pamiętać należy, że nie można jednak sprowadzać tej analizy do prostego pytania na zasadzie: czy zatrudniamy 50 osób? Ocena wielkości przedsiębiorstwa odbywa się według zasad określonych w przepisach unijnych, a przy obliczeniach mogą być uwzględniane również przedsiębiorstwa powiązane i partnerskie (posiadanie co najmniej 25% głosów lub kapitału). Więc samoidentyfikacja powinna obejmować profil działalności, faktyczny jej zakres, kody PKD oraz wielkość podmiotu. Co ważne, sama forma prawna prowadzonej działalności nie ma jakiegokolwiek znaczenia. W praktyce, więc w systemie znajdzie się niemal 100% funkcjonujących na rynku zakładów mleczarskich.
Mleczarnia musi sama sprawdzić, czy podlega pod NIS2
Jedną z najważniejszych cech nowego systemu jest wspomniana samoidentyfikacja. Mleczarnia nie powinna zakładać, że jeżeli nie otrzymała decyzji lub pisma z ministerstwa, to NIS2 go nie dotyczy. Ministerstwo Cyfryzacji wskazuje wprost, że podmioty prowadzące działalność w sektorach objętych ustawą powinny samodzielnie przeanalizować, czy spełniają przesłanki uznania ich za podmiot kluczowy lub ważny. Po dokonaniu takiej oceny przedsiębiorstwo objęte systemem ma obowiązek dokonać wpisu do Wykazu KSC. Ostateczny termin upływa 3 października 2026 roku.
W ramach tego samego fragmentu warto wyciągnąć termin
Rejestracja nie kończy jednak obowiązków do wypełnienia. Wręcz przeciwnie, dopiero otwiera etap rzeczywistego dostosowania przedsiębiorstwa. Przepisy przejściowe przewidują, że podmioty spełniające przesłanki uznania ich za podmiot ważny lub kluczowy w dniu wejścia nowelizacji w życie mają 12 miesięcy na realizację obowiązków określonych w rozdziale 3 ustawy. Ponieważ nowelizacja weszła w życie 3 kwietnia 2026 roku, zasadniczy termin dostosowania przypada na 3 kwietnia 2027 roku. Zakres zmian jest znacznie szerszy niż na przykład zakup programu antywirusowego. Podmiot ważny musi zorganizować system zarządzania bezpieczeństwem informacji, prowadzić analizę ryzyka, odpowiednio chronić systemy informacyjne, przygotować procedury reagowania na incydenty i dokumentować działania związane z bezpieczeństwem. Ustawa wymaga również utrzymywania odpowiedniej dokumentacji bezpieczeństwa oraz jej aktualizowania. Dla mleczarni szczególnie ważne powinno być objęcie analizą nie tylko klasycznej infrastruktury informatycznej (IT), ale również infrastruktury OT, czyli urządzeń i systemów sterujących procesem technologicznym. W praktyce dotyczy to właściwie całości ciągu produkcyjnego od systemów przyjęcia mleka, sterowników PLC, instalacji CIP, pasteryzatorów, wirówek, urządzeń chłodniczych, linii konfekcjonujących, automatycznych magazynów, systemów laboratoryjnych, programów ERP czy komunikacji EDI z sieciami handlowymi.
Za cyberbezpieczeństwo odpowiada również zarząd mleczarni
Co istotne, NIS2 przesuwa odpowiedzialność za cyberbezpieczeństwo z poziomu technicznego na poziom zarządzania przedsiębiorstwem i to zarząd również osobiście ponosi odpowiedzialność za wdrożenie przepisów w życie oraz informowanie o incydentach. Nie wystarczy więc przekazanie tematu informatykowi albo zewnętrznej firmie. Zarząd mleczarni powinien zidentyfikować, jakie systemy są krytyczne, jakie ryzyka zostały zidentyfikowane, czy funkcjonuje plan ciągłości działania i jakie procedury obowiązują w przypadku incydentu.
Artur Puławski
