Czy moja firma podlega pod uKSC/NIS2 — praktyczny przewodnik dla producentów

Pytanie „czy my w ogóle podlegamy?” pada na każdej pierwszej rozmowie. Brzmi jak formalność, a jest najtrudniejszym momentem całego procesu — bo od odpowiedzi zależy, czy firma ma przed sobą kilka miesięcy pracy, czy nie ma nic.

Trudność bierze się stąd, że nikt tej odpowiedzi nie przyśle. Poprzednia ustawa działała inaczej: podmiot dostawał decyzję administracyjną uznającą go za operatora usługi kluczowej i od tego momentu wiedział, na czym stoi. Znowelizowana ustawa zmienia mechanizm — kwalifikacja następuje z mocy prawa, a ustalenie jej jest obowiązkiem samego podmiotu. Firma, która „nie wiedziała”, jest w takiej samej sytuacji jak firma, która wiedziała i nic nie zrobiła.

Poniżej trzy pytania, które rozstrzygają sprawę w większości przypadków, oraz pięć błędów, przez które najczęściej wychodzi zły wynik.

Krok 1. Czy działamy w sektorze z załącznika?

Ustawa wymienia sektory w dwóch załącznikach. Załącznik I obejmuje sektory kluczowe — energetykę, transport, bankowość, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową. Załącznik II obejmuje pozostałe sektory objęte ustawą i to właśnie tam trafia większość zakładów produkcyjnych:

• produkcja i przetwarzanie żywności,
• produkcja chemikaliów,
• produkcja maszyn i urządzeń,
• produkcja pojazdów, przyczep i naczep,
• produkcja komputerów, wyrobów elektronicznych i urządzeń elektrycznych,
• gospodarowanie odpadami,
• usługi pocztowe i kurierskie,
• produkcja wyrobów medycznych (część pozycji trafia do Załącznika I).

Najczęstsze nieporozumienie dotyczy kodu PKD. Kod pomaga zawęzić rozmowę, ale nie rozstrzyga — liczy się faktycznie prowadzona działalność. Zakład, który w rejestrze ma wpisaną obróbkę metali jako działalność przeważającą, a realnie produkuje podzespoły dla przemysłu motoryzacyjnego, podlega pod pozycję dotyczącą produkcji pojazdów, a nie pod to, co widnieje w rejestrze.

Drugie nieporozumienie dotyczy roli w łańcuchu. Firma, która jest wyłącznie podwykonawcą i nie sprzedaje nic pod własną marką, nadal prowadzi działalność produkcyjną w rozumieniu załącznika. Bycie kooperantem nie wyłącza stosowania ustawy.

Krok 2. Czy przekraczamy próg wielkości?

Ustawa posługuje się unijną definicją wielkości przedsiębiorstwa. Progi wyglądają następująco:

Dwie rzeczy są tu ważne i obie bywają czytane odwrotnie, niż powinny.

Po pierwsze, warunki są alternatywą, a nie koniunkcją. Wystarczy przekroczyć próg zatrudnienia albo próg finansowy. Zakład zatrudniający 55 osób przy obrocie 30 mln zł spełnia kryterium przez zatrudnienie, mimo że finansowo jest daleko od 10 mln EUR.

Po drugie, zatrudnienie liczy się w rocznych jednostkach roboczych, a nie w liczbie osób figurujących w kadrach na dany dzień. Pracownik na pół etatu to pół jednostki, pracownik zatrudniony przez pół roku — pół jednostki. Firmy z dużą sezonowością potrafią przez to wyjść nad próg lub pod próg wbrew intuicji.

Krok 3. Czy mamy podmioty powiązane lub partnerskie?

To jest krok, który najczęściej zmienia wynik — i najczęściej bywa pomijany.

Danych nie liczy się dla pojedynczej spółki w oderwaniu od reszty. Zgodnie z unijną definicją MŚP:

• dla przedsiębiorstw powiązanych — gdy jeden podmiot ma ponad 50% udziałów lub głosów w drugim, albo gdy oba należą do tej samej osoby — dane sumuje się w całości;
• dla przedsiębiorstw partnerskich — udział od 25% do 50% — dane sumuje się proporcjonalnie do posiadanego udziału.

Typowa sytuacja z Podkarpacia: rodzinna grupa, w której spółka produkcyjna zatrudnia 38 osób, spółka handlowa 14, a transportowa 9, wszystkie należące do tych samych wspólników. Osobno żadna nie osiąga progu. Razem — 61 osób — grupa próg przekracza, a jeżeli działalność produkcyjna mieści się w sektorze z załącznika, obowiązek powstaje.

Odwrotny kierunek też jest możliwy. Spółka zależna od dużego zagranicznego koncernu może być mała zatrudnieniem, ale po zsumowaniu z grupą kapitałową spełnia kryteria dużego przedsiębiorstwa. W sektorach z Załącznika I ma to znaczenie: decyduje o tym, czy podmiot jest kluczowy, czy tylko ważny.

Pięć błędów, przez które wynik wychodzi zły

1. Liczenie tylko jednej spółki. Najczęstszy i najkosztowniejszy. Struktura właścicielska bywa rozproszona, a dane trzeba zebrać z całej grupy.
2. Opieranie się na kodzie PKD. Kod jest wskazówką, nie podstawą. Liczy się faktyczna działalność.
3. Traktowanie warunków jako koniunkcji. „Mamy 60 osób, ale obrót poniżej 10 mln EUR, więc nie podlegamy” — to błąd. Wystarczy jeden z warunków.
4. Liczenie osób zamiast rocznych jednostek roboczych. Przy pracy sezonowej i niepełnych etatach różnica potrafi wynieść kilkanaście jednostek.
5. Zakładanie, że brak decyzji urzędu oznacza brak obowiązku. Nikt takiej decyzji nie wyda. Cisza nie jest odpowiedzią.

Wynik: podlegamy. Co teraz?

Powstają dwa obowiązki o różnych terminach i o zupełnie różnej pracochłonności.

Pierwszy to wniosek o wpis do wykazu podmiotów kluczowych i ważnych. To zadanie na kilka dni pracy, głównie zbieranie danych — w tym adresów IP i nazw domen wykorzystywanych do świadczenia usługi. Opisałem je krok po kroku w osobnym materiale: Wniosek o wpis do wykazu KSC krok po kroku.

Drugi to wdrożenie systemu zarządzania bezpieczeństwem informacji obejmującego środki z art. 8 ustawy. To zadanie na kwartały, nie na tygodnie, i to ono decyduje o wyniku ewentualnej kontroli. Katalog czternastu środków wraz z opisem, jaki dowód po każdym zostaje, znajduje się na stronie oceny zgodności technicznej.

Terminy obu obowiązków są opisane w sekcji terminów.

Wynik: nie podlegamy. Czy to koniec?

Formalnie tak. Praktycznie — warto zachować ślad z tej analizy.

Po pierwsze, status się zmienia. Wystarczy przejęcie mniejszej spółki, wzrost zatrudnienia albo zmiana struktury właścicielskiej i firma znajdzie się nad progiem. Notatka z datą i założeniami pozwala szybko sprawdzić, co dokładnie się zmieniło.

Po drugie, coraz częściej pyta o to rynek, a nie urząd. Podmioty objęte ustawą mają obowiązek zarządzania bezpieczeństwem łańcucha dostaw — czyli muszą ocenić swoich dostawców. Jeżeli Państwa firma dostarcza komponenty do zakładu objętego ustawą, pytanie o zabezpieczenia przyjdzie od klienta, i to zwykle w formie ankiety z terminem na odpowiedź.