Wielkopolska to region firm produkcyjnych: maszyny, meble, elektronika, części samochodowe, żywność. Od 3 kwietnia 2026 r. część z nich podlega znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce dyrektywę NIS2. Wiele zakładów wciąż nie wie, czy ich to dotyczy, a czasu jest coraz mniej.
Które firmy produkcyjne obejmuje NIS2?
Ustawa wymienia produkcję w grupie „innych sektorów krytycznych”. Chodzi przede wszystkim o producentów:
- komputerów, wyrobów elektronicznych i optycznych,
- urządzeń elektrycznych,
- maszyn i urządzeń,
- pojazdów samochodowych, przyczep i naczep oraz pozostałego sprzętu transportowego,
- wyrobów medycznych,
- żywności (produkcja, przetwórstwo i dystrybucja hurtowa), a także chemikaliów.
Drugim warunkiem jest wielkość: co najmniej 50 pracowników albo ponad 10 mln euro rocznego obrotu i sumy bilansowej. Mała firma zwykle nie podlega ustawie wprost, ale jeśli dostarcza części lub usługi dużemu producentowi, ten i tak zapyta o zabezpieczenia, bo odpowiada za bezpieczeństwo swojego łańcucha dostaw.
Najszybciej sprawdzisz to w teście „Czy NIS2 dotyczy mojej firmy”. Trzy pytania, wynik od razu.
Najważniejsze terminy
- 3 kwietnia 2026 r. ustawa obowiązuje.
- 3 października 2026 r. mijał termin wpisu do wykazu podmiotów kluczowych i ważnych.
- 3 kwietnia 2027 r. środki bezpieczeństwa muszą być wdrożone.
- Od kwietnia 2028 r. pierwsze audyty podmiotów kluczowych i większość kar administracyjnych.
Jeśli zakład nie złożył jeszcze wniosku o wpis do wykazu, zrób to od razu. Opóźnienie jest lepsze niż brak wpisu.
Co musi zrobić zakład produkcyjny?
Ustawa nie podaje listy konkretnych urządzeń do kupienia. Wymaga środków „odpowiednich do ryzyka”. W praktyce w zakładzie produkcyjnym oznacza to:
- Analizę ryzyka. Co zatrzyma produkcję: serwer ERP, sieć na hali, stacje przy maszynach, system etykiet? Jak długo możecie bez nich działać?
- Oddzielenie sieci produkcyjnej od biurowej. Wirus z poczty w księgowości nie może dotrzeć do sterowników maszyn.
- Kopie zapasowe z testem odtworzenia. Szczególnie baz ERP i MES. Kopia, której nikt nie odtworzył, to tylko nadzieja.
- Kontrolę dostępu i MFA. Osobne konta, logowanie dwuetapowe, szybkie wyłączanie dostępów byłych pracowników i serwisantów maszyn.
- Procedurę incydentów. Poważny incydent zgłaszasz do CSIRT w 24 godziny, pełne zgłoszenie w 72 godziny. Bez monitoringu i procedury nie da się zdążyć.
Do tego dochodzą aktualizacje, szyfrowanie, szkolenia zespołu i zarządu oraz dokumentacja. Pełną listę 10 środków z oceną gotowości znajdziesz na stronie NIS2: ile z tego macie już dziś.
Największy problem: stare komputery przy maszynach
W wielu zakładach przy maszynach stoją komputery z Windows 7 albo Windows 10, bo oprogramowanie sterujące nie działa na nowszym systemie. Wymiana bywa niemożliwa bez wymiany maszyny. Takich komputerów nie da się „naprawić” aktualizacją, ale da się je odciąć: osobna sieć, brak dostępu do internetu i poczty, kontrolowany dostęp serwisu. To jest właśnie środek „odpowiedni do ryzyka”. Sprawdź, które systemy w Twojej firmie straciły wsparcie, na liście dat końca wsparcia.
Ile to kosztuje i od czego zacząć?
Zacznij od analizy luk: porównania tego, co już działa, z wymaganiami ustawy. Da ona listę zadań z kolejnością i budżetem. Dla firmy do ok. 100 osób w jednej lokalizacji przygotowujemy ją w ramach pakietu NIS2 Ready ze stałą ceną. Wdrożone zabezpieczenia mogą potem zostać pod naszą stałą opieką IT.
Kara za brak wdrożenia jest liczona od przychodów i może objąć osobiście kierownika firmy. Ile wynosi w Twoim przypadku, pokaże kalkulator kar NIS2.
Zamów bezpłatną analizę luk NIS2 →
Stan prawny: ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji, Dz.U. 2026 poz. 252, październik 2026 r. Artykuł nie jest poradą prawną.