Załącznik nr 2 UKSC wymienia dziewięć pozycji sektorowych: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, chemikalia, żywność, produkcję, dostawców usług cyfrowych, badania naukowe i samorządowe podmioty publiczne. Firma z tego sektora po przekroczeniu progu wielkości jest podmiotem ważnym, z niższym pułapem kar niż podmiot kluczowy.
Załącznik nr 2 to druga z dwóch list sektorowych ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża NIS2. Pierwszą rozbieramy we wpisie o sektorach załącznika I. Tutaj interesuje nas lista druga i pytanie, które przy niej pada najczęściej: skoro nie jestem “kluczowy”, to czy w ogóle mnie to dotyczy. Dotyczy - tylko na innych warunkach. Sam dwustopniowy test zakresu opisujemy osobno we wpisie czy NIS2 dotyczy mojej firmy.
Dziewięć pozycji załącznika nr 2
Poniższa tabela idzie za kolumną “Sektor” tabeli ustawowej. To ważne zastrzeżenie, bo większość opracowań w internecie opisuje załącznik II dyrektywy NIS2, który ma siedem sektorów. Polski załącznik ma dziewięć pozycji - ustawa dokłada dwie własne, o czym niżej. Przykłady w prawej kolumnie są skrótem, a wiążące jest brzmienie samego załącznika.
| Sektor (załącznik nr 2) | Podsektory i przykładowe rodzaje podmiotów |
|---|---|
| Usługi pocztowe | Operatorzy pocztowi w rozumieniu Prawa pocztowego |
| Inwestycje energetyki jądrowej | Inwestor obiektu energetyki jądrowej, który uzyskał decyzję zasadniczą |
| Gospodarowanie odpadami | Zbieranie, transport, przetwarzanie wraz z nadzorem, sprzedaż i pośrednictwo w obrocie odpadami |
| Produkcja i dystrybucja chemikaliów | Producenci i dystrybutorzy substancji oraz mieszanin w rozumieniu rozporządzenia REACH |
| Produkcja i dystrybucja żywności | Przedsiębiorstwa spożywcze zajmujące się dystrybucją hurtową oraz produkcją i przetwarzaniem przemysłowym |
| Produkcja | Wyroby medyczne i wyroby do diagnostyki in vitro; komputery, elektronika i optyka; urządzenia elektryczne; maszyny; pojazdy samochodowe, przyczepy i naczepy; pozostały sprzęt transportowy |
| Dostawcy usług cyfrowych | Internetowe platformy handlowe, wyszukiwarki internetowe, platformy sieci społecznościowych |
| Badania naukowe | Organizacje badawcze oraz wskazane podmioty z Prawa o szkolnictwie wyższym i nauce |
| Podmioty publiczne | Samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury, spółki komunalne |
Ważny to nie to samo co kluczowy
To nie jest podział na “objętych” i “prawie objętych”. Obowiązki merytoryczne z rozdziału 3 ustawy - analiza ryzyka, obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, uwierzytelnianie wieloskładnikowe - są dla obu kategorii takie same. Terminy też: wpis do Wykazu KSC do 3 października 2026 r. (termin minął - spóźnieni składają wniosek niezwłocznie), wdrożenie środków z art. 8 UKSC do 3 kwietnia 2027 r.
Różnice są dwie i obie dotyczą tego, co robi organ. Pierwsza to pułap kar. Podmiot kluczowy odpowiada do równowartości 10 mln euro lub 2% przychodu z roku poprzedzającego, podmiot ważny do 7 mln euro lub 1,4% przychodu. Dolne widełki też są niższe - 15 tys. zł zamiast 20 tys. zł. Druga różnica to tryb nadzoru: podmioty kluczowe podlegają nadzorowi bieżącemu, podmioty ważne następczemu, czyli organ wkracza zasadniczo wtedy, gdy ma sygnał o nieprawidłowości, a nie w ramach rutynowej kontroli.
Warto odjąć od tego emocje. Przepisy przejściowe pozwalają nakładać zwykłe kary pieniężne dopiero od kwietnia 2028 r. i poprzedza je ostrzeżenie; wyjątkiem jest kara do 100 mln zł za naruszenie powodujące bezpośrednie i poważne cyberzagrożenie, która obowiązuje od początku. Pełny obraz terminów daje przewodnik po NIS2 i UKSC.
Dwa sektory, których nie ma w dyrektywie
Polski załącznik nr 2 zawiera dwie pozycje bez odpowiednika w załączniku II dyrektywy, i obie potrafią zaskoczyć.
Pierwsza to inwestycje energetyki jądrowej. Ustawa rozdziela tu role w sposób, który łatwo przeoczyć: operator obiektu energetyki jądrowej jest podmiotem kluczowym z załącznika nr 1, natomiast inwestor takiego obiektu, który uzyskał decyzję zasadniczą, jest podmiotem ważnym z załącznika nr 2. Ta sama inwestycja, dwie różne kategorie, zależnie od roli podmiotu.
Druga to samorządowa warstwa podmiotów publicznych. Załącznik nr 1 obejmuje jednostki sektora finansów publicznych i obsługujące je urzędy. Załącznik nr 2 dokłada samorządowe jednostki i zakłady budżetowe, samorządowe instytucje kultury oraz spółki wykonujące zadania użyteczności publicznej w rozumieniu ustawy o gospodarce komunalnej. W praktyce oznacza to, że miejski zakład komunikacyjny, gminny zakład wodociągowy działający jako spółka komunalna czy dom kultury mogą znaleźć się w zakresie ustawy - a to grupa, która sama z siebie rzadko szuka informacji o NIS2.
Gdzie firmy się mylą
“Produkcja” brzmi jak worek na wszystko, a nie jest. Ustawa odsyła do konkretnych działów klasyfikacji NACE Rev. 2 - od 26 do 30 - plus osobno wyroby medyczne. Produkcja mebli, odzieży czy materiałów budowlanych do tych działów nie należy, więc sama etykieta “jesteśmy zakładem produkcyjnym” niczego nie przesądza. Sprawdź numer działu, nie intuicję.
Odpady liczą się tylko pod dwoma warunkami łącznie: usługa wymaga wpisu do rejestru prowadzonego na podstawie ustawy o odpadach, a gospodarowanie odpadami jest podstawową działalnością gospodarczą przedsiębiorstwa. Firma, która przy okazji własnej produkcji zbiera i przekazuje swoje odpady, nie staje się przez to podmiotem ważnym.
Farmacja i wyroby medyczne są przecięte między załącznikami. Zwykła produkcja wyrobów medycznych i wyrobów do diagnostyki in vitro trafia do załącznika nr 2, ale wyroby uznane za krytyczne w stanie zagrożenia zdrowia publicznego wracają do załącznika nr 1, podobnie jak hurtownie farmaceutyczne i apteki ogólnodostępne. Jeśli działasz w tej branży, sprawdź jedną i drugą listę.
Nie rozstrzygaj tych przypadków z pamięci. Wiążące jest brzmienie załączników nr 1 i 2 do ustawy ogłoszonej w Dzienniku Ustaw (Dz.U. 2026 poz. 252). Gdy ustalisz, że jesteś w zakresie, procedurę wpisu do Wykazu KSC rozpisujemy krok po kroku, a warstwę techniczną obowiązków weryfikuje zewnętrzna ocena podatności.
FAQ: najczęstsze pytania o sektory załącznika II
Ile pozycji liczy załącznik nr 2 do UKSC?
Tabela załącznika nr 2 ma dziewięć pozycji w kolumnie “Sektor”: usługi pocztowe, inwestycje energetyki jądrowej, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności, produkcję, dostawców usług cyfrowych, badania naukowe oraz samorządowe podmioty publiczne. Załącznik II dyrektywy NIS2 opisuje siedem sektorów, więc obie liczby krążą po internecie.
Czym podmiot ważny różni się od kluczowego?
Obowiązki merytoryczne i terminy są takie same. Różni się pułap kar - do 7 mln euro lub 1,4% przychodu zamiast 10 mln euro lub 2% - oraz tryb nadzoru, który dla podmiotów ważnych jest następczy, a nie bieżący.
Czy mała firma produkcyjna podlega NIS2?
Tylko po spełnieniu dwóch warunków łącznie: musi mieścić się w jednym z działów NACE wskazanych w załączniku nr 2 i przekraczać próg wielkości, czyli zatrudniać co najmniej 50 osób albo mieć co najmniej 10 mln euro obrotu. Firma poniżej progu zasadniczo pozostaje poza zakresem.
Czy spółka komunalna podlega NIS2?
Może podlegać. Załącznik nr 2 wymienia spółki wykonujące zadania o charakterze użyteczności publicznej w rozumieniu ustawy o gospodarce komunalnej, a także samorządowe jednostki i zakłady budżetowe oraz instytucje kultury. Decyduje charakter zadań i próg wielkości.
Gdzie sprawdzić oficjalne brzmienie listy?
W samym tekście ustawy: załączniki nr 1 i 2 do ustawy o krajowym systemie cyberbezpieczeństwa, ogłoszonej w Dzienniku Ustaw pod pozycją 252 z 2026 r. Wpis do rejestru składa się elektronicznie w aplikacji Wykaz KSC pod adresem wykaz-ksc.gov.pl.
Nie masz pewności, jak Twoja firma wygląda od strony technicznej - niezależnie od tego, do którego załącznika trafia? Zamów bezpłatny PreScan: w 24 godziny pokażemy zewnętrzną powierzchnię ataku Twojej domeny i luki, które warto zamknąć w pierwszej kolejności.
Materiał informacyjny, nie jest to porada prawna. Stan prawny na październik 2026 roku. O tym, czy firma podlega UKSC i do którego załącznika się kwalifikuje, decyduje indywidualna analiza w oparciu o brzmienie załączników do ustawy - w razie wątpliwości skonsultuj się z radcą prawnym lub Inspektorem Ochrony Danych.