CyberSec Update #19 – REACH a NIS2

UKSC a sektor chemiczny – kogo dotyczą obowiązki?

Zgodnie z UKSC, za podmioty ważne uznaje się m.in. przedsiębiorstwa:

• zajmujące się produkcją substancji oraz dystrybucją substancji lub mieszanin, o których mowa w rozporządzeniu REACH;
• zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów, o których mowa w art. 3 pkt 3 rozporządzenia REACH.

Czym jest REACH i dlaczego ma znaczenie?

REACH to unijne rozporządzenie obowiązujące od prawie 10 lat, które reguluje wprowadzanie do obrotu chemikaliów w Unii Europejskiej. Podmioty objęte REACH muszą m.in. rejestrować substancje chemiczne wprowadzane do obrotu, oceniać związane z nimi ryzyka oraz przekazywać informacje o bezpiecznym stosowaniu chemikaliów w całym łańcuchu dostaw.

NIS2 także dla firm „niechemicznych”

Najważniejsza kwestia jest taka, że nawet jeśli organizacja produkuje towary pozornie niepowiązane z chemikaliami, w praktyce może zostać objęta obowiązkami wynikającymi z NIS2.

Wynika to z definicji „wyrobu” w rozumieniu REACH. Wyrobem jest przedmiot, który podczas produkcji otrzymuje określony kształt, powierzchnię, konstrukcję lub wygląd zewnętrzny, co decyduje o jego funkcji w stopniu większym niż jego skład chemiczny.

W konsekwencji wyrobami mogą być również produkty, które na pierwszy rzut oka nie kojarzą się z sektorem chemicznym, takie jak farby, biżuteria, kosmetyki czy plastikowe opakowania.

Dlaczego ustawodawca akcentuje ten sektor?

W uzasadnieniu do projektu ustawy nowelizującej UKSC wskazano na istotne ryzyka, w szczególności możliwość przerwania łańcuchów dostaw, zwłaszcza gdy dana substancja nie jest łatwo dostępna, a sprowadzenie zamienników może zająć dużo czasu.

Incydent związany z chemikaliami może prowadzić do zanieczyszczenia środowiska oraz narażenia zdrowia i życia ludzi. Z kolei naruszenie poufności systemów informacyjnych sterujących produkcją chemikaliów może być efektem działań wywiadowczych i wpłynąć negatywnie na funkcjonowanie całego państwa.

Produkcja lub dystrybucja – znaczenie alternatywy

Ustawodawca wyjaśnia, że sformułowanie „produkcja oraz dystrybucja” należy rozumieć alternatywnie. Oznacza to, że regulacje obejmują zarówno podmioty, które jednocześnie produkują i dystrybuują, jak i te, które wyłącznie produkują albo wyłącznie dystrybuują substancje, mieszaniny oraz wyroby z substancji chemicznych. Celem jest objęcie obowiązkami całego łańcucha dostaw w sektorze chemicznym.

Mini-checklista

• Czy produkujesz substancje lub dystrybuujesz substancje albo mieszaniny w rozumieniu REACH?
• Czy sprzedajesz mieszaniny, takie jak farby, lakiery lub kosmetyki?
• Czy wytwarzasz produkty, które mogą być uznane za wyroby w rozumieniu REACH, np. opakowania z tworzyw, elementy wyposażenia lub tekstylia?

Podsumowanie

Tak więc dyrektywa NIS2 oraz krajowa ustawa o krajowym systemie cyberbezpieczeństwa wprowadzają nowe obowiązki cyberbezpieczeństwa dla przedsiębiorców w UE. Obejmą one nie tylko sektor IT, ale także część przemysłu chemicznego, zgodnie z podejściem wynikającym z projektu nowelizacji ustawy o KSC i jej wdrożenia.

Organizacje, które działają w sektorach wskazanych w wykazie podmiotów ważnych i kluczowych i spełniają wymogi wielkościowe do 3 października 2026 r. muszą wdrożyć konkretne obowiązki wynikające z NIS2. Obowiązki NIS2 obejmują m.in. wdrożenie środków zarządzania ryzykiem w cyberbezpieczeństwie, raportowanie incydentów oraz ocenę skuteczności środków zarządzania ryzykiem.

W sektorze chemicznym istotną rolę odgrywa także łańcuch dostaw, ponieważ zakłócenia w produkcji lub dystrybucji mogą wpływać na bezpieczeństwo całych systemów gospodarczych i systemów informatycznych sterujących produkcją.

W praktyce oznacza to, że obowiązki sektora chemicznego w kontekście NIS2 obejmują nie tylko duże zakłady produkcyjne, ale także mniejsze firmy, jeśli spełniają kryteria kwalifikacji.

Dzisiejsze CyberSec Update przygotowała Alicja Szyrner.