Producent żywności a KSC — obowiązki 2026

Kiedy producent żywności podlega KSC

Sektor produkcji, przetwarzania i dystrybucji żywności został ujęty w załączniku nr 2 do ustawy o KSC — szczegóły znajdziesz na stronie sektor żywność w KSC, a kompleksową ścieżkę wdrożenia opisujemy w pakiecie KSC dla produkcji — wdrożenie NIS2 w przemyśle. Obejmuje on przedsiębiorstwa spożywcze w rozumieniu art. 3 pkt 2 rozporządzenia (WE) nr 178/2002, zajmujące się dystrybucją hurtową oraz przemysłową produkcją i przetwarzaniem. Oznacza to, że producent żywności podlega KSC, jeżeli prowadzi działalność na skalę przemysłową lub zajmuje się dystrybucją hurtową — i jednocześnie spełnia próg co najmniej średniego przedsiębiorcy (art. 5 ust. 2 pkt 2).

Co NIE podlega

Nie każda firma z branży spożywczej podlega KSC. Ustawa obejmuje wyłącznie dystrybucję hurtową oraz produkcję i przetwarzanie przemysłowe. Wykluczone są zatem podmioty zajmujące się handlem detalicznym żywnością (sklepy spożywcze, sieci detaliczne) oraz małe podmioty rzemieślnicze nieprzekraczające progów wielkościowych.

• Handel detaliczny żywnością — sklepy spożywcze, supermarkety, e-sklepy z żywnością
• Małe piekarnie, lokalne cukiernie, zakłady rzemieślnicze — o ile nie przekraczają progów średniego przedsiębiorcy
• Mikro i mali przedsiębiorcy (poniżej 50 pracowników oraz obrót lub suma bilansowa poniżej 10 mln EUR — definicja małego przedsiębiorcy z zał. I do rozp. 651/2014/UE) — nawet jeśli prowadzą dystrybucję hurtową
• Gastronomia i catering — działalność restauracyjna nie jest produkcją przemysłową

Produkcja jako usługa w KSC

Kluczową kwestią interpretacyjną jest pojęcie usługi na gruncie ustawy o KSC. Zgodnie z Q&A Ministerstwa Cyfryzacji (pkt 13.7) usługę należy rozumieć szeroko — jako działalność gospodarczą służącą do zaspokajania potrzeb ludzi. W tym znaczeniu usługą jest również produkcja. Oznacza to, że producent żywności świadczy usługę w rozumieniu KSC, mimo że potocznie kojarzy się z wytwarzaniem towarów, a nie świadczeniem usług.

Obowiązki podmiotu ważnego

Producent żywności zakwalifikowany jako podmiot ważny musi spełnić pełen katalog obowiązków wynikających z ustawy o KSC w określonych terminach wdrożenia, analogicznie jak inne podmioty ważne. Różnica w stosunku do podmiotów kluczowych polega głównie na trybie nadzoru (reaktywny zamiast proaktywnego) oraz niższych karach.

1. Rejestracja w wykazie podmiotów kluczowych i ważnych przez system S46 (dla nowych podmiotów: 6 miesięcy od spełnienia przesłanek — art. 7c ust. 1 KSC; dla podmiotów istniejących w dniu 3.04.2026: w terminach z komunikatu Ministra Cyfryzacji — art. 34 ust. 3 ustawy nowelizującej).
2. Wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) zgodnego z art. 8 ustawy (do 12 miesięcy).
3. Szacowanie ryzyka dla systemów informacyjnych wykorzystywanych do produkcji i dystrybucji.
4. Raportowanie incydentów poważnych: wczesne ostrzeżenie 24h, zgłoszenie 72h, raport końcowy 1 miesiąc.
5. Szkolenie kierownika podmiotu z zakresu cyberbezpieczeństwa (art. 8e).
6. Przeprowadzenie audytu bezpieczeństwa na żądanie organu właściwego (art. 15 ust. 1b) — podmiot ważny nie ma obowiązku cyklicznego audytu co 3 lata.

HACCP a cyberbezpieczeństwo

Wielu producentów żywności posiada wdrożony system HACCP (Hazard Analysis and Critical Control Points) — obowiązkowy na gruncie prawa żywnościowego. HACCP koncentruje się na bezpieczeństwie żywności (zagrożenia biologiczne, chemiczne, fizyczne), podczas gdy SZBI wg KSC dotyczy bezpieczeństwa systemów informacyjnych. Oba systemy są komplementarne, ale nie zastępują się wzajemnie.