NIS2 i KSC w ochronie zdrowia: podmioty lecznicze w załączniku nr 1

W skrócie

• Sektor „Ochrona zdrowia” stoi w załączniku nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa (KSC), czyli wśród sektorów kluczowych.
• W podsektorze udzielania świadczeń zdrowotnych pierwszym rodzajem podmiotu jest podmiot leczniczy w rozumieniu ustawy o działalności leczniczej.
• Przy załączniku nr 1 wielkość decyduje o statusie: duże przedsiębiorstwo to podmiot kluczowy, średnie to podmiot ważny. Podmiot leczniczy, który nie jest przedsiębiorcą, ma osobną regułę.
• Na tej stronie zobaczysz też układ procedury zarządzania incydentami we wzorze SZBIhub.

Kogo w tym sektorze wymienia ustawa

Załącznik nr 1 do ustawy o KSC (sektory kluczowe) w sektorze „Ochrona zdrowia”, w podsektorze „Udzielanie świadczeń zdrowotnych i zdrowie publiczne”, jako pierwszy rodzaj podmiotu wskazuje:

„Podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (…)”

W tym samym podsektorze załącznik wymienia też między innymi „Podmioty udzielające świadczeń opieki zdrowotnej będące podwykonawcą dla podmiotów kluczowych lub podmiotów ważnych w sektorze ochrona zdrowia (…)” oraz „Świadczeniodawcy posiadający w swojej strukturze organizacyjnej Szpitalny Oddział Ratunkowy, Centrum Urazowe lub Centrum Urazowe dla Dzieci”. Drugim podsektorem sektora jest „Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych”. Przy ocenie liczy się rodzaj podmiotu z trzeciej kolumny załącznika. Sama nazwa sektora to za mało.

Status zależy od rodzaju działalności i od wielkości. Według art. 5 ustawy o KSC:

• rodzaj działalności wymieniony w załączniku nr 1 w przedsiębiorstwie dużym oznacza status podmiotu kluczowego (art. 5 ust. 1 pkt 1),
• ten sam rodzaj działalności w przedsiębiorstwie średnim oznacza status podmiotu ważnego (art. 5 ust. 2 pkt 1),
• podmiot leczniczy, który nie jest przedsiębiorcą, przy 50-249 zatrudnionych jest podmiotem ważnym, a przy co najmniej 250 zatrudnionych podmiotem kluczowym (art. 5 ust. 8).

Wielkość przedsiębiorstwa liczy się według progów z art. 2 załącznika I do rozporządzenia 651/2014/UE, łącznie z przedsiębiorstwami partnerskimi i powiązanymi. Ustawa zna też kategorie szczególne, w których wielkość nie ma znaczenia, oraz decyzje o uznaniu za podmiot kluczowy lub ważny. Na granicy progów i w grupach kapitałowych status wymaga indywidualnej oceny prawnej i warto omówić go z prawnikiem.

Do wstępnej samooceny służy kalkulator kwalifikacji. Wynik ma charakter informacyjny i nie zastępuje oceny prawnej. Co dzieje się po ustaleniu statusu, opisuje artykuł Rejestracja w wykazie podmiotów kluczowych i ważnych.

Podmiot kluczowy i podmiot ważny realizują obowiązki z rozdziału 3 ustawy o KSC: wdrażają system zarządzania bezpieczeństwem informacji (SZBI), prowadzą dokumentację bezpieczeństwa, obsługują i zgłaszają incydenty. Incydent poważny wymaga wczesnego ostrzeżenia w 24 h i zgłoszenia w 72 h od wykrycia. Wyjątek: do podmiotu ważnego będącego podmiotem publicznym nie stosuje się obowiązku wczesnego ostrzeżenia (art. 12c ustawy o KSC), a obowiązek zgłoszenia w 72 h pozostaje. Podmioty, które 3.04.2026 r. spełniały przesłanki uznania za podmiot kluczowy lub ważny, mają wdrożyć SZBI do 3.04.2027 r. Podmiot, który zacznie spełniać te przesłanki później, ma na to 12 miesięcy od dnia ich spełnienia (art. 16 pkt 1 ustawy o KSC).

Jak wygląda procedura zarządzania incydentami w SZBIhub

Wzór procedury zarządzania incydentami w SZBIhub ma dziewięć sekcji, w tej kolejności:

1. Cel i zakres
2. Definicje i klasyfikacja
3. Wykrywanie i zgłaszanie wewnętrzne
4. Zgłaszanie incydentu poważnego (S46)
5. Odrębności podmiotu publicznego
6. Informowanie użytkowników usług
7. Zamknięcie incydentu i wnioski
8. Zatwierdzenie
9. Metryka dokumentu i zastrzeżenia

Sekcja „Wykrywanie i zgłaszanie wewnętrzne” ma dwa pola organizacji. Pierwsze to [wewnętrzny kanał zgłaszania zdarzeń przez personel], którym każdy członek personelu niezwłocznie zgłasza zdarzenie mogące być incydentem. Drugie to [rola koordynująca obsługę incydentów]: ta rola rejestruje zdarzenie w rejestrze incydentów platformy i prowadzi obsługę. Wzór zwraca uwagę, że moment wykrycia odnotowuje się precyzyjnie, z datą i godziną, bo od niego biegną terminy zgłoszeń.

Sekcja „Zatwierdzenie” ma pola [osoba zatwierdzająca procedurę] i [data zatwierdzenia procedury].

Jak zacząć

1. Sprawdź rodzaj podmiotu i formę prawną. Porównaj działalność z trzecią kolumną załącznika nr 1 i ustal, czy podmiot jest przedsiębiorcą. Przejdź kalkulator kwalifikacji. Gdy wynik budzi wątpliwości, skonsultuj go z prawnikiem.
2. Ustal kanał zgłoszeń wewnętrznych. Jeden kanał, który zna cały personel.
3. Wskaż rolę koordynującą obsługę incydentów. Wpisz rolę, nie nazwisko, bo ludzie się zmieniają.
4. Prowadź rejestr incydentów od pierwszego zdarzenia. Przebieg obsługi wzór dokumentuje w osi czasu incydentu w platformie.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.