NIS2 w podmiocie leczniczym działającym w formie jednostki budżetowej:

Co musi zrobić kierownik jednostki budżetowej ochrony zdrowia

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (dalej: „KSC”), wdrażająca unijną dyrektywę NIS2, objęła sektor zdrowia wprost i bez taryfy ulgowej dla podmiotów publicznych. Poniżej wyjaśniam, co w praktyce oznacza to dla gminnej jednostki budżetowej prowadzącej działalność leczniczą, i dlaczego to na kierowniku placówki, a nie na gminie czy ministerstwie, spoczywa obowiązek samodzielnej oceny sytuacji.

Podstawa prawna

Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tekst jednolity: Dz. U. z 2026 r. poz. 20)  wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2).

Znowelizowana ustawa weszła w życie 3 kwietnia 2026 r. Wprowadza dwie kategorie podmiotów: podmiot kluczowy i podmiot ważny – w miejsce dawnych „operatorów usług kluczowych”.

Sektor zdrowia znajduje się w załączniku nr 1 do ustawy, czyli w grupie sektorów o najwyższej krytyczności, obok energetyki, transportu czy bankowości. Podmioty lecznicze co do zasady podlegają więc analizie na gruncie tej ustawy niezależnie od tego, jak niewielka wydaje się skala ich działalności.

1. Po co w ogóle jest ta ustawa i po co zgłoszenie do wykazu

Dyrektywa NIS2 powstała w odpowiedzi na gwałtowny wzrost liczby cyberataków na sektory krytyczne w całej Unii Europejskiej, w tym coraz częstsze ataki ransomware (tj. cyberzagrożenie polegające na zainfekowaniu urządzenia złośliwym oprogramowaniem, które szyfruje dane lub blokuje dostęp do systemu) na szpitale i przychodnie, które potrafią sparaliżować rejestrację pacjentów, dostęp do dokumentacji medycznej czy pracę urządzeń diagnostycznych. Sektor zdrowia trafił do załącznika nr 1 ustawy nie przez przypadek – to jeden z sektorów, w których przerwanie działania systemów informatycznych bezpośrednio zagraża życiu i zdrowiu ludzi.

Ustawa o KSC ma więc dwa cele, które są ze sobą ściśle powiązane:

- pierwszy, to wymuszenie na podmiotach krytycznych, w tym placówkach ochrony zdrowia – minimalnego poziomu higieny cyfrowej (czyli: szacowania ryzyka, aktualizowania oprogramowania, posiadania planu na wypadek awarii);

- drugi, mniej oczywisty, to zbudowanie krajowej sieci wymiany informacji o zagrożeniach i incydentach, w której poszczególne podmioty nie są zdane wyłącznie na siebie.

Zgłoszenie do wykazu podmiotów kluczowych i ważnych nie jest więc czystą formalnością, jest to bowiem „wejściówka” do tego systemu. Wpisany do wykazu podmiot uzyskuje dostęp do systemu teleinformatycznego S46 (art. 46 ustawy o KSC), a wraz z nim do komunikatów o zagrożeniach, wsparcia właściwego CSIRT sektorowego w razie ataku oraz formalnego kanału zgłaszania incydentów, na którym może polegać w sytuacji kryzysowej. Co ważne, podmiot spoza wykazu, choćby faktycznie padł ofiarą poważnego ataku, nie ma tego zaplecza – musi radzić sobie sam, bez wsparcia państwowej struktury reagowania.

Dlatego, mimo że dla mniejszej placówki – jak w opisywanym przykładzie, z zatrudnieniem poniżej 50 osób – obowiązek zgłoszenia dziś formalnie nie powstaje, warto traktować całą regulację jako gotowy, praktyczny szkielet zabezpieczeń, który i tak warto częściowo wdrożyć we własnym zakresie – zanim wymusi to ustawa, albo realny incydent.

2. Kto identyfikuje podmiot: on sam, czy jakiś organ?

Ustawa o KSC opiera się na mechanizmie samoidentyfikacji i samorejestracji. Oznacza to, że każdy podmiot z sektora wskazanego w załączniku nr 1 lub nr 2 do ustawy ma obowiązek samodzielnie ustalić, czy spełnia kryteria uznania go za podmiot kluczowy lub podmiot ważny – i jeśli tak, samodzielnie zgłosić się do właściwego wykazu.

Podstawą prawną tego obowiązku jest art. 7c ust. 1 ustawy o KSC, który stanowi wprost: „Podmiot kluczowy lub podmiot ważny składają wniosek o wpis do wykazu, w terminie 6 miesięcy od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny.”

W/w  obowiązek aktualizuje się dopiero z chwilą spełnienia ustawowych przesłanek. Dla podmiotu leczniczego, który nie jest przedsiębiorcą, przesłanki te określa art. 5 ust. 8 ustawy o KSC – i to od nich zależy, kto ma obowiązek zająć się identyfikacją.

Trzy scenariusze w zależności od zatrudnienia

1) Poniżej 50 osób zatrudnionych – podmiot leczniczy nie spełnia progu ani dla podmiotu ważnego, ani kluczowego. Dlatego, co do zasady nie ciąży na nim obowiązek samoidentyfikacji ani zgłoszenia z art. 7c – nie musi nikogo powiadamiać ani wpisywać się do wykazu. Wyjątkiem jest sytuacja, w której organ właściwy do spraw cyberbezpieczeństwa, w drodze decyzji, uzna go za podmiot kluczowy lub ważny mimo niespełniania przesłanek wymienionych w ustawie (o czym jest mowa w art. 7l ustawy o KSC).

2) Od 50 do 249 osób zatrudnionych – podmiot staje się podmiotem ważnym z mocy samego prawa, z chwilą osiągnięcia tego progu. Od tego dnia liczy się sześciomiesięczny termin z art. 7c ust. 1 na złożenie wniosku o wpis do wykazu – samodzielnie, bez wzywania przez jakikolwiek organ.

3) Co najmniej 250 osób zatrudnionych – podmiot staje się podmiotem kluczowym, na tych samych zasadach.

Wpis do wykazu ma charakter deklaratoryjny – status podmiotu kluczowego lub ważnego powstaje z mocy prawa w chwili spełnienia przesłanek, a nie dopiero z chwilą wpisu.

3. Jak liczyć wielkość dla jednostki budżetowej

Ustawa o działalności leczniczej odróżnia dwie formy publicznych podmiotów leczniczych tworzonych przez gminę: samodzielny publiczny zakład opieki zdrowotnej (SPZOZ) posiadający osobowość prawną, oraz jednostkę budżetową, która osobowości prawnej nie posiada i funkcjonuje jako część struktury organizacyjno-finansowej gminy.

Nowelizacja rozstrzyga wprost, jak liczyć wielkość dla takiej jednostki. W art. 5 ust. 8 ustawy o KSC: podmiot leczniczy, który nie jest przedsiębiorcą, jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób oraz podmiotem kluczowym przy zatrudnieniu co najmniej 250 osób. Liczy się przy tym zatrudnienie w samym podmiocie leczniczym, bez sumowania z pozostałymi jednostkami budżetowymi gminy.

4. Terminy, które już biegną, o których należy pamiętać

a) 3 kwietnia 2026 r. - wejście w życie znowelizowanej ustawy; od tego dnia biegną terminy dla podmiotów już wówczas spełniających kryteria.

b) 3 października 2026 r. - termin złożenia wniosku o wpis do wykazu (6 miesięcy od wejścia w życie ustawy dla podmiotów już wtedy kwalifikujących się; dla pozostałych – 6 miesięcy od dnia spełnienia przesłanek, zgodnie z art. 7c ust. 1).

c) 12 miesięcy od spełnienia przesłanek - wdrożenie pełnego zakresu obowiązków rozdziału 3 ustawy, w tym systemu zarządzania bezpieczeństwem informacji (SZBI).

d) 24 miesiące od spełnienia przesłanek – pierwszy audyt bezpieczeństwa systemu informacyjnego, dla podmiotów kluczowych.

5. Odpowiedzialność kierownika

Odpowiedzialność, o której mowa niżej, aktualizuje się dopiero z chwilą uzyskania statusu podmiotu kluczowego lub ważnego – a więc dopiero po przekroczeniu progu zatrudnienia z art. 5 ust. 8. Nie oznacza to jednak, że poniżej progu kierownik może o sprawie zapomnieć: to właśnie on odpowiada za bieżące monitorowanie zatrudnienia i wychwycenie momentu, w którym obowiązki się aktualizują.

Nowelizacja wprowadza osobistą odpowiedzialność kierownika podmiotu kluczowego lub ważnego za realizację obowiązków cyberbezpieczeństwa – w tym za złożenie wniosku o wpis do wykazu (art. 8c ustawy o KSC wprost obejmuje tym obowiązkiem także art. 7c).

Dla podmiotów publicznych ustawa przewiduje karę pieniężną dla kierownika do 100% jego wynagrodzenia, a dla samego podmiotu – kary sięgające miliony euro, choć organ nadzorczy ma obowiązek uwzględnić realne możliwości finansowe danej jednostki.

6. Styk z RODO

Warto pamiętać, że RODO i ustawa o KSC to dwa niezależne reżimy i obowiązek zgłaszania naruszeń do Prezesa UODO w terminie 72 godzin obowiązuje niezależnie od statusu podmiotu na gruncie ustawy o KSC. Jeśli jednak podmiot leczniczy uzyska status podmiotu ważnego lub kluczowego, dochodzi do tego więc równoległy obowiązek zgłaszania incydentów również do właściwego CSIRT sektorowego.

7. Co zrobić już teraz

1) Ustalić aktualną liczbę osób zatrudnionych w podmiocie leczniczym. To od niej zależy, czy obowiązek samoidentyfikacji w ogóle powstaje (art. 5 ust. 8 ustawy o KSC).

2) Wprowadzić stały mechanizm monitorowania zatrudnienia w jednostce, po to, aby nie przeoczyć momentu przekroczenia progu 50 osób.

3) Jeśli próg zostanie przekroczony, złożyć wniosek o wpis do wykazu w systemie S46 w terminie 6 miesięcy – samodzielnie, nie czekając na żadne wezwanie.

4) Niezależnie od wielkości zatrudnienia, rozważyć, czy nie zachodzą przesłanki wyjątkowego uznania podmiotu za kluczowy lub ważny w trybie art. 7l ustawy o KSC.

5) Zintegrować procedury zgłaszania incydentów z już istniejącymi procedurami RODO, niezależnie od statusu na gruncie ustawy o KSC.

Artykuł sporządziła: Radca prawny Kamila Piechowiak-Kaczorek

Gotowy na rozwiązanie Twojej sprawy?

Adres do korespondencji:

Żukowice 107/2

67-231 Żukowice

Adres mailowy: 

kontakt@kancelaria-piechowiak.pl

Adres Biura:

ul. Rudnowska 32b, lok. 12a

67-200 Głogów

Numer kontaktowy:

+48 696 759 861