Czy wiesz co to jest dyrektywa NIS2 i dlaczego data 3 października 2026 r. jest dla Ciebie ważna? To unijna regulacja o cyberbezpieczeństwie, która nakłada surowe obowiązki zarządzania ryzykiem na średnie i duże firmy w kluczowych sektorach gospodarki.
W Polsce wymagania NIS2 wdraża ustawa o krajowym systemie cyberbezpieczeństwa (KSC), która stanowi kluczowy akt prawny regulujący kwestie cyberbezpieczeństwa w Polsce.
W związku ze zmianami wynikającymi z dyrektywy NIS2 oraz rosnącą skalą zagrożeń w cyberprzestrzeni, konieczna stała się nowelizacja tego aktu prawnego.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. wdrażająca NIS2 weszła w życie 3 kwietnia 2026 r. i zamiast dotychczasowego, znacznie węższego systemu operatorów usług kluczowych wprowadziła przede wszystkim dwie kategorie: podmioty kluczowe i podmioty ważne.
Jakie to ma znaczenie dla placówek opieki długoterminowej?
Otóż w załączniku nr 1 do KSC sektor „Ochrona zdrowia” obejmuje wprost: „Podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy o działalności leczniczej”.
Dotyczy także niektórych podwykonawców udzielających świadczeń opieki zdrowotnej podmiotom kluczowym lub ważnym.
To oznacza, że jeżeli prowadzisz placówkę ZOL lub ZPO powinieneś sprawdzić, czy w rozumieniu ustawy KSC znalazłeś się w kategorii podmiot ważny lub kluczowy.
Skąd data 3 października 2026 r.? Otóż ustawa przewiduje, że podmiot kluczowy lub ważny składa wniosek o wpis do wykazu w ciągu sześciu miesięcy od dnia spełnienia przesłanek.
Dla podmiotów, które spełniały przesłanki już 3 kwietnia 2026 r., czyli w dniu wejścia nowelizacji w życie, ustawodawca przewidział rozwiązanie przejściowe. Ministerstwo Cyfryzacji ustaliło okres samorejestracji w okresie od 7 maja do 3 października 2026 r.
Czy każdy ZOL i ZPO podlega znowelizowanej ustawie o KSC?
KSC co prawda wskazuje szeroko podmioty lecznicze jako rodzaj podmiotu w sektorze ochrony zdrowia, ale przy podstawowej kwalifikacji znaczenie ma wielkość podmiotu.
W przypadku podmiotu leczniczego będącego przedsiębiorcą kryteria kwalifikacji wyglądają następująco:
mikro/mały przedsiębiorca pozostaną poza rygorem KSC z samego kryterium wielkości
średni przedsiębiorca zakwalifikowany będzie jako podmiot ważny, a
podmiot przekraczający kryteria średniego przedsiębiorstwa to już podmiot kluczowy.
Ponadto ustawa przewiduje odrębną regułę kwalifikacji dla podmiotu leczniczego niebędącego przedsiębiorcą – otóż przy zatrudnieniu 50–249 osób taki podmiot będzie podmiotem ważnym, a przy zatrudnieniu co najmniej 250 osób – podmiotem kluczowym.
Jak prawidłowo policzyć personel do kwalifikacji KSC?
Jeżeli jesteś przedsiębiorcą i prowadzisz jedną placówkę ZOL nie ma tutaj żadnej komplikacji, ale jeżeli jedna spółka prowadzi kilka placówek, to trzeba pamiętać, że kwalifikacji podlega podmiot, a nie konkretny zakład leczniczy!
Dlatego nie wystarczy w takiej sytuacji policzyć personel każdego ZOL osobno i tak dokonać kwalifikacji. Kwalifikujemy podmiot, a nie sam zakład leczniczy jako komórkę organizacyjną. Spółkę prowadzącą kilka placówek, oceniamy globalnie jako przedsiębiorstwo.
Co więcej, przy ustalaniu wielkości trzeba uwzględniać zasady dotyczące przedsiębiorstw partnerskich i powiązanych. Ministerstwo Cyfryzacji zwraca na to wprost uwagę w instrukcji samoidentyfikacji podmiotów.
Wspomniana instrukcja Ministerstwa będzie istotna dla spółek zawiązanych przez tych samych udziałowców i powiązanych kapitałowo, które tworzą grupy zarządzające podmiotami leczniczymi np. spółka A – ZOL, spółka B – przychodnia, a spółka C – drugi ZOL.
Ustawa KSC przewiduje wprawdzie szczególny mechanizm dotyczący sytuacji, gdy przekroczenie progu kwalifikacji wynika z doliczenia do progu przedsiębiorstw partnerskich lub powiązanych, a system informacyjny danego podmiotu jest od nich niezależny i nie świadczy on usług wspólnie z tymi przedsiębiorstwami. To jednak wymaga konkretnej analizy struktury grupy i systemów IT.
Czy obowiązki wynikające z KSC obejmują prywatne domy opieki i DPSy?
Jeżeli prowadzisz prywatny dom opieki senioralnej, działający na podstawie art. 67-69 ustawy o pomocy społecznej, a więc oferujesz usługi opiekuńcze i bytowe, to nie jesteś podmiotem leczniczym i obowiązki KSC Ciebie nie dotyczą.
Sam fakt, że w Twojej placówce przebywają osoby chore, niepełnosprawne, nie czyni z domu seniora podmiotu leczniczego, ponieważ to nie Ty wykonujesz usługi medyczne dla tych osób. Prywatna placówki całodobowej opieki nie zalicza się do sektora ochrony zdrowia ustawy KSC tylko dlatego, że oferuje opiekę osobom chorym, może posiadać informacje o stanie zdrowia mieszkańców, organizuje wizyty lekarskie itd. Dlatego dom seniora może pozostawać poza reżimem KSC, a jednocześnie mieć obowiązki wynikające z RODO.
A co z DPS-ami?
Tu mamy niespodziankę!
Domy pomocy społecznej podlegają obowiązkom wynikającym z ustawy o KSC, ale na innej podstawie, niż podmioty lecznicze. Otóż w załączniku nr 2 ustawy o KSC, w sektorze „Podmioty publiczne”, znajdują się m.in. samorządowe jednostki budżetowe. Przepis art. 5 ust. 2 pkt 8 ustawy o KSC kwalifikuje jako podmiot ważny podmiot publiczny będący m.in. samorządową jednostką budżetową, jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.
Dlatego typowy samorządowy DPS działający jako jednostka budżetowa może wejść w rygory ustawy o KSC nie jako podmiot sektora ochrony zdrowia, ale jako podmiot publiczny.
W przypadku podmiotów publicznych dochodzi jeszcze kwestia sposobu wpisu do wykazu. Ministerstwo Cyfryzacji wskazuje, że podmioty publiczne należą do kategorii wpisywanych z urzędu. Po wpisie otrzymują zawiadomienie i wezwanie do uzupełnienia danych – nie należy zatem automatycznie stosować do nich ścieżki samorejestracji przewidzianej dla pozostałych podmiotów.
Rejestracja podmiotu i co dalej?
Rzecz jasna samo zarejestrowanie podmiotu w systemie nie kończy obowiązków wynikających z KRS. To dopiero początek.
Podmiot, który spełniał kryteria w dniu 3 kwietnia 2026 r., ma zasadniczo czas do 3 kwietnia 2027 r. – na realizację obowiązków z rozdziału 3 ustawy. Chodzi przede wszystkim wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI), a podmiot kluczowy ma 24 miesiące na przeprowadzenie pierwszego obowiązkowego audytu systemu.
Co właściwie kryje się pod nazwą systemu zarządzania bezpieczeństwem informacji? Otóż SZBI ma obejmować m.in.:
- systematyczne szacowanie ryzyka,
- bezpieczeństwo nabywania, rozwijania, utrzymywania i eksploatacji systemów,
- bezpieczeństwo zasobów ludzkich,
- bezpieczeństwo i ciągłość łańcucha dostaw ICT (sieć powiązań pomiędzy dostawcami produktów – np. sprzętu i oprogramowania, usług i procesów z zakresu technologii informacyjno-komunikacyjnych – Information and Communication Technology),
- plany ciągłości działania i odtworzenia danych,
- monitoring,
- edukację personelu,
- cyberhigienę,
- kryptografię,
- kontrolę dostępu oraz zarządzanie incydentami.
Przy ocenie dostawcy będziesz musiał uwzględnić m.in. jego podatności i ogólną jakość dostarczanych produktów i usług ICT. Czyli jest to rzecz o tym, o czym pisałam tutaj – sprawdź firmę, której powierzasz dane i od której systemu zależy funkcjonowanie placówki.
Wyciek danych z systemu MyDr pokazał ryzyka związane z zależnością placówki od zewnętrznych dostawców systemów informatycznych. Przepisy RODO koncentrują się na ochronie danych osobowych, a ustawa o KSC wskazuje nam szerszą perspektywę – ciągłość działania systemów, odporność placówki na cyberataki, zarządzanie incydentem oraz bezpieczeństwo całego łańcucha dostaw ICT.
W przypadku cyberataku na system, z którego korzysta ZOL będziemy mieli zatem dwie konsekwencje:
- wyciek danych pacjentów – co będzie na gruncie RODO traktowane jak naruszenie bezpieczeństwa, poufności danych osobowych,
ale jednocześnie:
- brak dostępu do dokumentacji pacjentów, danych dotyczących sposobu leczenia, stosowanych leków, wyników badań czy zleceń medycznych – czyli problem ciągłości działania i potencjalnie bezpieczeństwa pacjentów – i o tym jest między innymi dyrektywa NIS2 i znowelizowana ustawa o KSC.
Jakie są obowiązki kierownika placówki?
Znowelizowana ustawa o KSC nakłada na osobę zarządzającą podmiotem kluczowym lub ważnym odpowiedzialność za wykonywanie obowiązków cyberbezpieczeństwa.
Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano konkretnej osoby – odpowiedzialność ponoszą wszyscy członkowie tego organu. Co więcej, jeżeli powierzysz część obowiązków innej osobie (pracownikowi) – nie zmienia to odpowiedzialności kierownika placówki, czyli stwierdzenie „informatyk się tym zajmie” nie do końca zadziała.
Kierownik powinien m.in.: zapewnić wdrożenie i nadzór nad SZBI, przewidzieć odpowiednie środki finansowe na wykonywanie obowiązków związanych z ustawą o KSC, odpowiednio rozdzielić zadania oraz zadbać o świadomość personelu w zakresie cyberbezpieczeństwa (szkolenia).
Dodatkowo kierownik oraz osoba, której powierzono jego obowiązki w zakresie cyberbezpieczeństwa, mają raz w każdym roku kalendarzowym przechodzić szkolenie, a udział w nim musi być udokumentowany.
Jeżeli jesteś właścicielem lub kierownikiem podmiotu leczniczego lub DPSu –powinieneś zadać sobie trzy pytania:
⮕ Czy jestem objęty ustawą o KSC?
⮕ Czy powinienem być już w Wykazie KSC?
⮕ Czy rzeczywiście sprawdziłem swoich dostawców systemów IT?
Jakie poniesiesz konsekwencje za naruszenie obowiązków KSC?
Wpis do wykazu podmiotów KSC ma charakter deklaratoryjny, a nie konstytutywny. Innymi słowy: ZOL czy inna placówka nie staje się podmiotem kluczowym lub ważnym dopiero dlatego, że złożyła wniosek o wpis. Status podmiotu wywodzi się z samej ustawy po spełnieniu wymienionych tam przesłanek.
Jeżeli będziesz czekał z wpisem do października nie wydłużysz terminu na wykonanie pozostałych obowiązków. Terminy ustawowe liczy się od momentu spełnienia przesłanek uznania podmiotu za kluczowy lub ważny, a nie od jego rejestracji.
Jeżeli pomyślisz, że wystarczy nie wpisać się do wykazu lub odwlec działanie w czasie, aby uchronić się od obowiązków wynikających z ustawy – jesteś w błędzie.
Zgodnie z ustawą jeżeli podmiot spełnia przesłanki i nie złoży wniosku w terminie, organ właściwy do spraw cyberbezpieczeństwa posiada kompetencje, aby wpisać go do wykazu. Organ może również żądać informacji potrzebnych do ustalenia, czy dany przedsiębiorca rzeczywiście podlega KSC.
Ustawa w art. 73 ust. 1a pkt 1 przewiduje możliwość nałożenia kary pieniężnej na podmiot, który nie złożył w terminie wniosku o wpis do wykazu, jeżeli przemawia za tym waga i znaczenie naruszonych przepisów. Nałożenie kary jest zatem fakultatywne i np. jednodniowy błąd automatycznie musi wiązać się z karą, ale ustawowa podstawa do jej wymierzenia istnieje. Ponadto kary będą mogły być nałożone dopiero po upływie dwóch alt od wejścia w życie znowelizowanej ustawy.
Odroczenie kar nie oznacza odroczenia wykonania obowiązków podmiotu ważnego i kluczowego oraz nie wstrzymuje działań nadzorczych!!!
A co, jeśli wpiszesz placówkę do wykazu, ale później nie wdrożysz pozostałych obowiązków?
Tu ryzyko kar jest znacznie większe. Przepis art. 73 ustawy wymienia cały katalog naruszeń podlegających sankcjom. Dotyczy to m.in. braku systematycznej oceny ryzyka, niewdrożenia lub wadliwego wdrożenia systemu zarządzania bezpieczeństwem informacji – SZBI, niewykonywania obowiązków dotyczących incydentów, nieprzeprowadzenia wymaganego audytu, utrudniania kontroli czy niewykonania zaleceń pokontrolnych. Przy wielu obowiązkach nawet jednorazowe zaniechanie może być sankcjonowane.
Skala kar jest wysoka np. dla podmiotu kluczowego kara może sięgać kwoty 10 000 000 euro albo 2% przychodów z działalności gospodarczej z poprzedniego. Minimalna kara to 20.000 zł.
Dodatkowo ustawodawca przewidział szczególną sankcję dla najpoważniejszych przypadków. Jeżeli naruszanie przepisów KSC powoduje bezpośrednie i poważne cyberzagrożenie m.in. dla życia i zdrowia ludzi albo zagrożenie poważną szkodą majątkową lub poważnymi utrudnieniami w świadczeniu usług, kara może wynosić do 100 000 000 zł.
Przepisy o KSC dają organowi szerokie uprawnienia kontrolne i nadzorcze. Wobec podmiotów kluczowych może prowadzić także kontrole prewencyjne, a wobec podmiotów ważnych nadzór ma zasadniczo charakter następczy, np. gdy pojawia się uzasadnione podejrzenie naruszenia
Dla podmiotu kluczowego, który mimo nakazów nadal nie usuwa naruszeń, przewidziano daleko idące środki. Organ może w określonych warunkach m.in. wstrzymać działalność podmiotu, ograniczyć zakres działalności, a nawet czasowo zakazać kierownikowi pełnienia funkcji zarządczych.
Przepis art. 73a pozwala na nałożenie na kierownika dodatkowej kary – niezależnie od kary wymierzonej samemu podmiotowi. Maksymalna kara dla kierownika może wynieść do 300% jego wynagrodzenia.
Ustawa o KSC zawiera także mechanizm zapobiegający podwójnemu ukaraniu za ten sam czyn. Jeżeli Prezes UODO prawomocnie nałoży karę pieniężną za naruszenie ochrony danych, a ten sam czyn jest zagrożony karą z art. 73 lub 73a ustawy o KSC, właściwy organ co do zasady nie wszczyna kolejnego postępowania karnego-administracyjnego i poprzestaje na pouczeniu. Nadal może jednak stosować środki nadzorcze wobec podmiotu.
Jeżeli masz pytania dotyczące znowelizowanej ustawy o KSC – chętnie Ci pomogę. Skontaktuj się ze mną!
Edyta Konopczyńska
radca prawny
Tel. 571 390 721
e-mail: radca@kancelariakonopczynska.pl
Zdjęcia: Arina Krasnikova, Cash Macanaya z Unsplash,
***
MyDrgate, czyli czego wyciek danych powinien nauczyć domy seniora i placówki opieki długoterminowej?
Masowa kradzież danych medycznych około 19 milionów pacjentów z systemu MyDr (dostawcy elektronicznej dokumentacji medycznej) polegała na nieuprawnionym dostępie hakerów do bazy danych zawierającej informacje o pacjentach z okresu sprzed kwietnia 2024 roku. Hakerzy przejęli m.in. numery PESEL, dane osobowe, historię wizyt lekarskich, informacje o przyjmowanych lekach (e-recepty) oraz szczegóły diagnoz i przebytych schorzeń.
Skala incydentu jest szczególnie duża dlatego, że MyDr dostarcza oprogramowanie tysiącom placówek medycznych [Czytaj dalej…]
{ 0 komentarze… dodaj teraz swój }