Kto odpowiada za bezpieczeństwo farm fotowoltaicznych? Nowe przepisy zmieniają zasady

NIS2 to unijna dyrektywa, która ma podnieść poziom cyberbezpieczeństwa w sektorach istotnych dla funkcjonowania państwa i gospodarki. W Polsce została wdrożona w kwietniu 2026 r. poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC).

Dla przedsiębiorstw objętych nowymi regulacjami oznacza to nie tylko nowe obowiązki w zakresie zarządzania ryzykiem i reagowania na incydenty, ale także realne ryzyko dotkliwych sankcji za ich niewykonanie.

Ta kwestia staje się kluczowa, bo rosnąca skala cyberzagrożeń nie jest już teoretycznym problemem. Przykładem są skoordynowane ataki z 29 grudnia 2025 r., wymierzone w 30 polskich farm wiatrowych i fotowoltaicznych, spółkę z sektora produkcyjnego i dużą elektrociepłownię dostarczającą ciepło odbiorcom.

Nie każda firma podlega KSC

Nowe przepisy przełożą się także na funkcjonowanie farm fotowoltaicznych. Kto będzie musiał wdrożyć wymagane zabezpieczenia, a kto pozostanie poza zakresem KSC?

Przemysław Kałek partner zarządzający w kancelarii Radzikowski, Szubielska i Wspólnicy, wyjaśnia, że nowe regulacje obejmą tylko część podmiotów działających w sektorze fotowoltaicznym. Nie oznacza to więc, że każdy właściciel farmy PV, operator czy firma serwisowa automatycznie zostają objęci nowymi obowiązkami. O tym, czy dany podmiot podlega regulacjom, zdecyduje przede wszystkim jego status i rodzaj prowadzonej działalności.

KSC wyróżnia dwie podstawowe kategorie podmiotów objętych nowymi obowiązkami: podmioty kluczowe i podmioty ważne.

Podmioty wskazane w załączniku nr 1 do KSC, które przewyższają progi średniego przedsiębiorstwa, są podmiotami kluczowymi. Podmioty wskazane w tym załączniku, które spełniają progi przedsiębiorstwa średniego i nie są podmiotami kluczowymi, są podmiotami ważnymi. Załącznik nr 2 obejmuje natomiast dalsze sektory, których średnie i większe podmioty są co do zasady podmiotami ważnymi. Ustawa przewiduje przy tym szczególne wyjątki od tych zasad dla niektórych kategorii podmiotów” – wyjaśnia Przemysław Kałek.

Koncesja może przesądzić o obowiązkach

„W przypadku farm fotowoltaicznych kluczowe znaczenie ma fakt, że załącznik nr 1 do KSC wymienia przedsiębiorstwo energetyczne posiadające koncesję na wytwarzanie energii elektrycznej. Oznacza to, że adresatem obowiązków będzie co do zasady formalny koncesjonariusz” – wskazuje Przemysław Kałek.

W przypadku koncesjonowanego wytwórcy energii elektrycznej o kwalifikacji jako podmiotu kluczowego albo ważnego decyduje więc wielkość przedsiębiorstwa. Przy ustalaniu wielkości podmiotu należy jednak uwzględnić zasady dotyczące przedsiębiorstw partnerskich i powiązanych. Może to mieć znaczenie zwłaszcza dla spółek projektowych należących do większych grup kapitałowych.

Samo prawo własności do farmy PV nie przesądza natomiast o objęciu właściciela regulacjami.

Właściciel farmy PV nie jest objęty KSC wyłącznie z powodu przysługującego mu prawa własności, jeżeli nie jest koncesjonowanym przedsiębiorstwem energetycznym, nie wykonuje innej działalności wymienionej w załącznikach i nie został zakwalifikowany na innej podstawie ustawowej
Przemysław Kałek, partner zarządzający w kancelarii Radzikowski, Szubielska i Wspólnicy.

Firmy serwisowe: liczy się zakres usług

Samo wykonywanie usług eksploatacji i utrzymania farmy PV również nie przesądza także o objęciu danego podmiotu KSC. Znaczenie ma rzeczywisty zakres świadczonych usług.

„Podmiot świadczący usługi związane z instalacją, eksploatacją lub konserwacją systemów informacyjnych poprzez wsparcie lub aktywną administrację, również wykonywaną zdalnie, może zostać zakwalifikowany jako dostawca usług zarządzanych. Natomiast samo pasywne monitorowanie instalacji lub wykonywanie typowych prac serwisowych samo w sobie nie przesądza o takiej kwalifikacji” – komentuje Przemysław Kałek.

Jego zdaniem to oznacza, że przy ocenie obowiązków firmy obsługującej farmę istotny będzie nie sam fakt świadczenia usług serwisowych, ale ich charakter i zakres, w szczególności to, czy obejmują aktywną administrację systemami informacyjnymi.

Dostawcy chmury, usług i cyberbezpieczeństwa

W kontekście sektora PV znaczenie mają też inne kategorie podmiotów wskazane w KSC.

 Załącznik nr 1 do KSC wymienia trzy istotne dla tego tematu kategorie podmiotów: dostawców chmury, dostawców usług zarządzanych oraz dostawców usług zarządzanych w zakresie cyberbezpieczeństwa.

Jak zaznacza Przemysław Kałek, należy przy tym odróżnić dostawców usług zarządzanych od dostawców usług zarządzanych w zakresie cyberbezpieczeństwa, ponieważ KSC przewiduje dla nich częściowo odmienne zasady kwalifikacji.

Załącznik nr 2 do KSC obejmuje także m.in. producentów sprzętu elektronicznego, urządzeń elektrycznych oraz maszyn.

Producent urządzeń używanych na farmie PV, takich jak falowniki czy sterowniki, może więc podlegać KSC, jeżeli jego działalność mieści się w jednej z tych kategorii i spełnia wymagania dotyczące wielkości przedsiębiorstwa.

Decydujące jest więc nie samo przeznaczenie urządzenia do wykorzystania na farmie PV, lecz rodzaj działalności prowadzonej przez producenta” – podkreśla Przemysław Kałek.

Kto odpowiada za bezpieczeństwo?

Istotnym zagadnieniem według niego jest także odpowiedzialność za cyberbezpieczeństwo farmy w sytuacji, gdy właściciel korzysta z urządzeń, oprogramowania oraz usług zdalnego zarządzania dostarczanych przez zagranicznych producentów.

„Jeżeli właściciel, koncesjonariusz lub inny podmiot zaangażowany w prowadzenie farmy PV ma status podmiotu kluczowego lub ważnego, to na nim spoczywają obowiązki wynikające z KSC, również, gdy korzysta on z urządzeń, oprogramowania lub usług dostarczanych przez podmioty zewnętrzne, w tym zagraniczne” – wyjaśnia.

Za wykonywanie obowiązków w zakresie cyberbezpieczeństwa odpowiada też kierownik takiego podmiotu.

„Art. 8c ust. 3 KSC stanowi wprost, że kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność także wtedy, gdy niektóre lub wszystkie obowiązki zostały powierzone innej osobie. Powierzenie realizacji określonych zadań zewnętrznemu dostawcy nie powoduje więc przeniesienia odpowiedzialności za wykonanie obowiązków wynikających z KSC” – wskazuje Przemysław Kałek.

Cyberbezpieczeństwo łańcucha dostaw

Firmy objęte KSC powinny także uwzględniać w zarządzaniu ryzykiem bezpieczeństwo dostawców i łańcucha dostaw.

„Ustawa wymaga m.in. uwzględnienia bezpieczeństwa nabywania, utrzymania i eksploatacji systemów informacyjnych, bezpieczeństwa i ciągłości łańcucha dostaw, podatności związanych z dostawcami sprzętu lub oprogramowania oraz bezpieczeństwa aktualizacji.” – podkreśla

Z kolei zagraniczny dostawca usług zarządzanych, usług zarządzanych w zakresie cyberbezpieczeństwa lub chmury obliczeniowej może jednocześnie podlegać własnym obowiązkom wynikającym z KSC. W przypadku tych kategorii KSC przewiduje szczególne zasady dotyczące m.in. głównego miejsca prowadzenia działalności oraz przedstawiciela podmiotu nieposiadającego jednostki organizacyjnej w Unii Europejskiej.

Umowy z dostawcami coraz ważniejsze

Przemysław Kałek zwraca także uwagę na kolejną istotną kwestię. KSC określa przede wszystkim odpowiedzialność podmiotu kluczowego lub ważnego oraz jego kierownika. Nie rozstrzyga natomiast kompleksowo podziału odpowiedzialności kontraktowej i ryzyka pomiędzy właściciela farmy, producenta urządzeń i zewnętrznych usługodawców.

Dlatego według niego kluczowe znaczenie będą miały odpowiednio skonstruowane umowy z dostawcami technologii i usług IT/OT.

W praktyce istotne jest odpowiednie uregulowanie tych kwestii w umowach, w szczególności w zakresie zdalnego dostępu, aktualizacji i wsparcia, zgłaszania podatności i incydentów, audytów oraz ciągłości działania” – podsumowuje Przemysław Kałek z kancelarii Radzikowski, Szubielska i Wspólnicy.