Interpelacja w sprawie określenia kręgu podmiotów działających w ramach sektora oznaczonego jako produkcja, wytwarzanie i dystrybucja chemikaliów

Z dniem 3 kwietnia 2026 r. weszła w życie ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, która w sposób kompleksowy znowelizowała ustawę z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Pierwsza ze wskazanych ustaw stanowiła środek mający na celu implementację do krajowego porządku prawnego dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zwanej również dyrektywą NIS 2.

W konsekwencji zakres zastosowania przepisów znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa obejmuje obecnie m.in. podmioty działające w sektorach, do których przepisy ustawy o krajowym systemie cyberbezpieczeństwa nie miały uprzednio zastosowania. Do tego rodzaju „nowych“ sektorów zalicza się, zgodnie z treścią załącznika nr 2 do ustawy o krajowym systemie cyberbezpieczeństwa, m.in. „Produkcję, wytwarzanie i dystrybucję chemikaliów“. Do tego sektora należą zaś m.in. przedsiębiorstwa zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów, o których mowa w art. 3 pkt 3 rozporządzenia (WE) nr 1907/2006 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2006 r. w sprawie rejestracji, oceny, udzielania zezwoleń i stosowanych ograniczeń w zakresie chemikaliów (REACH) i utworzenia Europejskiej Agencji Chemikaliów, zmieniającego dyrektywę 1999/45/WE oraz uchylającego rozporządzenie Rady (EWG) nr 793/93 i rozporządzenie Komisji (WE) nr 1488/94, jak również dyrektywę Rady 76/769/EWG i dyrektywy Komisji 91/155/EWG, 93/67/EWG, 93/105/WE i 2000/21/WE.

Ustawa o krajowym systemie cyberbezpieczeństwa celem zdefiniowania pojęć takich jak „wyrób“ czy „substancja“ odsyła zatem do przepisów rozporządzenia (WE) nr 1907/2006 Parlamentu Europejskiego i Rady (tak zwane rozporządzenie REACH). Zgodnie z art. 3 pkt 3 rozporządzenia REACH wyrób oznacza przedmiot, który podczas produkcji otrzymuje określony kształt, powierzchnię, konstrukcję lub wygląd zewnętrzny, co decyduje o jego funkcji w stopniu większym niż jego skład chemiczny. Należy przy tym zaznaczyć, że z mocy dalszych przepisów rozporządzenia REACH niektóre podmioty wytwarzające wyroby pozostają zwolnione z obowiązków rejestracyjnych wynikających z tego rozporządzenia.

W toku analizy przepisów ustawy o krajowym systemie cyberbezpieczeństwa nasuwać może się zatem uzasadniona wątpliwość interpretacyjna. Istnieje bowiem wiele podmiotów wytwarzających określone dobra wpasowujące się w literalną definicję wyrobu w rozumieniu art. 3 pkt 3 rozporządzenia REACH, które pozostają jednocześnie zwolnione z obowiązków rejestracyjnych wynikających z tego aktu. Wydaje się jednocześnie, że opisywany problem został już dostrzeżony przez najważniejsze organa Unii Europejskiej. W wydanych w dniu 20 stycznia 2026 roku przez Komisję Europejską propozycjach zmiany dyrektywy NIS 2 (wersja COM 2026 13 final) postuluje się zawężenie kręgu podmiotów działających w sektorze chemicznym, podlegających obowiązkom wynikającym z dyrektywy, wyłącznie do podmiotów objętych jednocześnie obowiązkiem rejestracji na podstawie rozporządzenia REACH.

W związku z powyższym prosimy o odpowiedzi na poniższe pytania: