W ostatnich miesiącach przedsiębiorcy z branży chemicznej, a także m. in. producenci zabawek, przetwórcy plastiku oraz dystrybutorzy mierzą się z nieprecyzyjnym sformułowaniem wynikającym z tekstu dyrektywy NIS2, w tym również projektowanej nowelizacji o ustawy dotyczącej cyberbezpieczeństwa. Pomimo, iż problematyka niniejszego zagadnienia wydaje się kwestią czysto semantyczną, dokładne znaczenie zwrotu „wytwarzanie z substancji mieszanin wyrobów” może determinować, czy firma będzie objęta obowiązkami wynikającymi z Dyrektywy NIS2, czy też pozostanie poza jej zastosowaniem.
Aby zrozumieć skalę problemu, konieczne jest wyjaśnienie, jak Rozporządzenie REACH (Registration, Evaluation, Authorisation and Restriction of Chemicals, nr 1907/2006) definiuje kluczowe pojęcia.
Substancja w rozumieniu REACH to pierwiastek chemiczny lub jego związki w stanie, w jakim występują w przyrodzie lub zostają uzyskane w procesie produkcyjnym, wraz ze wszelkimi dodatkami służącymi utrzymaniu stabilności oraz zanieczyszczeniami powstałymi w wyniku procesu wytwarzania. Przykładami są etanol, tlenek cynku czy pigment tytanowy.
Mieszanina to roztwór lub zestaw dwóch lub więcej substancji. Pod tę kategorię podpadają farby, detergenty, lakiery, szampony, kleje czy płyny do mycia naczyń – produkty, które konsumenci kupują na co dzień, bez zdawania sobie sprawy z ich chemicznego składu.
Wyrób natomiast jest zdefiniowany w art. 3 ust. 3 REACH jako „przedmiot, któremu w wyniku procesu produkcyjnego nadano określony kształt, powierzchnię lub wzór decydujący bardziej o jego funkcji niż skład chemiczny”. Ta definicja jest kluczowa dla dalszych rozważań. Oznacza ona, że elementy fizyczne (geometria, forma, konstrukcja) odgrywają rolę zasadniczo ważniejszą niż chemiczna natura materiału.
W celu zilustrowania znaczenie powyższego rozróżnienia, rozważ prostą plastikową kaczkę do kąpieli. Przedmiot ten spełnia wszystkie warunki definicji wyrobu tj. został wytworzony w określonym procesie (tłoczenie, formowanie, tryskanie), ma nadany kształt (kaczka), który decyduje o jego funkcji (pływanie). Nabywca kupuje tenże przedmiot, ponieważ lubi jego wygląd i chce, aby pływał w wodzie – nie interesuje go, że jest wykonany z polietylenu, a tym bardziej jakie dodatki do polietylenu zostały zastosowane.
To właśnie jest istotą rozróżnienia – funkcja wynika z formy, a nie ze składu. Zmiana chemicznego składu polietylenu mogłaby wpłynąć na właściwości materiału (elastyczność, trwałość, odporność UV), lecz nie zmienia fundamentalnej funkcji przedmiotu – pozostaje plastikową kaczką przeznaczoną do pływania
Dyrektywa NIS2 (Network and Information Systems Directive 2) wprowadza nowe obowiązki cyberbezpieczeństwa dla przedsiębiorstw działających w sektorach krytycznych dla gospodarki UE. Sektor chemiczny zostaje wyraźnie wskazany jako podlegający nowym regulacjom.
Problem pojawia się jednak w sformułowaniu art. 3 pkt 9 projektu nowelizacji Ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), który określa, jakie podmioty z branży chemicznej będą zobowiązane do stosowania wymogów NIS2. Przepis ten odnosi się do „przedsiębiorstw zajmujących się wytwarzaniem z substancji mieszanin wyrobów”.
Sformułowanie to jest gramatyczną pułapką. Można je interpretować na co najmniej dwa zasadniczo różne sposoby, z daleko idącymi konsekwencjami dla branży.
Pierwsza interpretacja (zawężająca) mówi, że regulacja dotyczy podmiotów wytwarzających wyroby będące mieszaninami lub wyroby zawierające mieszaniny, a nie całego procesu przetwarzania materiałów.
Pod tę interpretację podpadałyby:
W tym scenariuszu producent plastikowych zabawek, który wyłącznie przetapia granulat (nieważne czy wytworzone samodzielnie, czy nabyte od dostawcy) w tryskarce, ekstruderze lub specjalnych maszynach, nadając mu określony kształt, nie podlegałby obowiązkom NIS2. Ponieważ zabawka to w czystym rozumieniu REACH wyrób – przedmiot o określonym kształcie decydującym o jego funkcji – a nie mieszanina
Druga interpretacja (poszerzająca) rozumie sformułowanie jako opisujące proces, w którym substancje i mieszaniny są wykorzystywane do wytworzenia wyrobów. Przy tej logice każdy przetwórca plastiku, który używa granulaty (mieszaniny lub substancji) i przetapia je w wyrób, byłby uznawany za producenta objętego regulacjami sektora chemicznego.
Niniejsza interpretacja wydaje się absurdalnie szeroka, a regulacją NIS2 objętych zostałoby setki tysięcy przedsiębiorstw w Unii Europejskiej, dla których cyberbezpieczeństwo systemów informatycznych nigdy nie było przedmiotem ich zainteresowania.
W poszukiwaniu punktu zaczepienia umożlwiającego zwolnienie się z obowiązków wynikających z NIS2 jest wykorzystanie klasyfikacji PKD (Polska Klasyfikacja Działalności) lub europejskiego odpowiednika NACE. Sektor chemiczny powinien być ujęty w Dziale 20 (NACE/PKD), podczas gdy producenci innych produktów z reguły korzystają z innych kodów, np. producenci mebli znajdują się w Dziale 25, producenci zabawek w Dziale 32, a producenci papieru w Dziale 17. Brak przypisania kodu PKD/NACE właściwego dla sektora chemicznego może stanowić kontrargument w stosunku do ewentualnych zarzutów organu nadzorczego. Należy mieć jednak na uwadze, że co do zasady klasyfikacja PKD/NACE nie stanowi podstawy do klasyfikowania sektorowego w rozumieniu NIS2, a służy celom statystycznym i podatkowym
Projekt nowelizacji Ustawy o KSC, który miał wejść w życie na przełomie 2023 i 2024 roku, na dzień niniejszego wpisu (koniec grudnia 2025) w dalszym ciągu nie został uchwalony przez Sejm i nie wszedł w życie. Rzeczpospolita Polska wciąż pracuje nad implementacją NIS2 do krajowego porządku prawnego.
Z uwagi na trwające prace legislacyjne, organy nadzorcze nie wydały jeszcze wytycznych, które rozstrzygnęłyby przedstawioną w niniejszym wpisie dwuznaczność.
Biorąc pod uwagę niepewność regulacyjną i potencjalne koszty nieprzestrzegania, zalecane jest przyjęcie bardziej ostrożnej, poszerzającej interpretacji przepisów.
Oznacza to, że przedsiębiorstwa wytwarzające, dystrybuujące lub przetwarzające substancje lub mieszaniny – niezależnie od tego, czy ostatecznym wynikiem jest „wyrób” w ścisłym rozumieniu REACH – powinny przygotowywać się do spełnienia obowiązków NIS2, jeśli zatrudniają co najmniej 50 osób (klasyfikując się jako co najmniej średni przedsiębiorca).
W praktyce oznacza to:
Przedstawione w artykule wątpliwości interpretacyjne nie są kwestią czysto akademicką – dotyczą realnych obowiązków compliance Twojej firmy. W JUVO specjalizujemy się w analizie przepisów NIS2 i ich praktycznym zastosowaniu dla przedsiębiorstw z sektora produkcyjnego i chemicznego.
Nasz proces weryfikacji obejmuje:
Zespół JUVO prowadzi wiele projektów NIS2 dla firm z sektora produkcyjnego, logistycznego i energetycznego. Znamy przepisy i rozumiemy specyfikę Twojej branży.
