NIS2 w sektorze ochrony zdrowia
Dyrektywa NIS2 i wdrażająca ją polska ustawa UKSC objęły sektor ochrony zdrowia najwyższym możliwym reżimem regulacyjnym. Szpitale, duże przychodnie, laboratoria i producenci leków zostali zakwalifikowani jako podmioty kluczowe, co oznacza najszerszy zakres obowiązków, najsurowsze kary i bezpośrednią osobistą odpowiedzialność kierownictwa.
Przepisy obowiązują od 3 kwietnia 2026 roku. Termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych upływa 3 października 2026 roku.
Harmonogram obowiązków dla sektora ochrony zdrowia:
| Termin | Obowiązek |
|---|---|
| 3 kwietnia 2026 | Ustawa UKSC wchodzi w życie |
| 7 maja 2026 | Uruchomienie samorejestracji w Systemie S46 |
| 3 października 2026 | Termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych |
| 3 kwietnia 2027 | Termin wdrożenia systemu zarządzania bezpieczeństwem informacji (SZBI) i środków technicznych |
| 3 kwietnia 2028 | Pierwszy obowiązkowy audyt bezpieczeństwa; od tej daty mogą być nakładane kary finansowe |
Dlaczego ochrona zdrowia jest w centrum regulacji NIS2?
Sektor ochrony zdrowia zajmuje wyjątkowe miejsce w architekturze dyrektywy NIS2. Znalazł się w załączniku I jako sektor o wysokiej krytyczności nie bez powodu. Cyberatak na szpital to jedyny scenariusz, w którym naruszenie systemu informatycznego może bezpośrednio i natychmiastowo zagrożyć życiu pacjenta.
Sektor zdrowia jest jednocześnie jednym z najchętniej atakowanych sektorów w Europie, ponieważ placówki medyczne przechowują szczególnie wartościowe dane, często dysponują przestarzałą infrastrukturą IT i są pod silną presją utrzymania ciągłości działania, co czyni je podatnymi na zapłacenie okupu w przypadku ataku ransomware.
Ustawa UKSC implementuje te realia w konkretne obowiązki prawne. Wdrożenie wymogów NIS2 w ochronie zdrowia jest dla polskich placówek porównywalne skalą do wdrożenia RODO.
Które podmioty sektora ochrony zdrowia podlegają UKSC?
Zakres podmiotowy w sektorze ochrony zdrowia jest szeroki i obejmuje podmioty o różnym profilu działalności. Kluczowe znaczenie ma charakter świadczonych usług, a nie wyłącznie forma prawna czy organ prowadzący.
Obowiązkami wynikającymi z UKSC mogą być objęte między innymi:
- szpitale publiczne i prywatne świadczące opiekę zdrowotną, niezależnie od organu prowadzącego,
- duże przychodnie i centra medyczne spełniające kryterium wielkości,
- laboratoria referencyjne Unii Europejskiej,
- podmioty prowadzące działalność badawczo-rozwojową dotyczącą produktów leczniczych,
- producenci podstawowych produktów farmaceutycznych i preparatów farmaceutycznych,
- producenci wyrobów medycznych uznanych za mające krytyczne znaczenie w sytuacjach zagrożenia zdrowia publicznego,
- dostawcy usług IT i systemów informatycznych dla podmiotów kluczowych sektora zdrowia, którzy mogą podlegać wymaganiom pośrednio przez mechanizm łańcucha dostaw.
Kryterium wielkości stosowane co do zasady w UKSC, obejmujące podmioty zatrudniające powyżej 50 pracowników lub osiągające obrót powyżej 10 mln euro rocznie, nie eliminuje z zakresu regulacji mniejszych placówek, jeśli ich działalność ma istotne znaczenie dla ciągłości systemu ochrony zdrowia. Organ nadzorczy może wydać decyzję o objęciu regulacją podmiotu, który nie spełnia kryterium wielkości, jeżeli jego zakłócenie mogłoby stanowić poważne zagrożenie dla zdrowia publicznego.
Każda placówka medyczna powinna przeprowadzić udokumentowaną analizę własnego statusu. Brak takiej analizy jest sam w sobie ryzykiem prawnym.
Sprawdź, czy podlegasz pod UKSC (NIS2)
Sprawdz w minutę, czy Twoja firma podlega pod UKSC / NIS2. Masz pytanie? Skontaktuj się z nami!
NIS2 a RODO w ochronie zdrowia: dwie różne regulacje, dwie odpowiedzialności
To pytanie pojawia się w niemal każdej rozmowie z placówkami medycznymi: czy RODO wystarczy?
Nie wystarczy. Obie regulacje działają równolegle, mają różne cele i niezależne systemy sankcji.
RODO chroni dane osobowe pacjentów przed nieuprawnionym ujawnieniem, dostępem lub przetwarzaniem. Jego perspektywą jest prywatność i prawa osoby fizycznej. UKSC chroni systemy informatyczne i ciągłość świadczonych usług przed zakłóceniem. Jego perspektywą jest odporność operacyjna i bezpieczeństwo publiczne.
W praktyce: atak ransomware, który szyfruje systemy szpitalne i uniemożliwia dostęp do dokumentacji medycznej przez dwa tygodnie, może być jednocześnie naruszeniem RODO (w zakresie dostępności danych osobowych) i naruszeniem UKSC (w zakresie ciągłości działania systemów). Każde z tych naruszeń podlega odrębnej procedurze zgłoszenia do odrębnego organu i odrębnym sankcjom.
Kary za naruszenie obowiązków wynikających z UKSC w sektorze zdrowia
Podmioty sektora ochrony zdrowia są kwalifikowane jako podmioty kluczowe, co oznacza najwyższy poziom kar przewidzianych ustawą.
| Kategoria | Maksymalna kara finansowa |
|---|---|
| Podmiot kluczowy | 10 mln euro lub 2% rocznego światowego obrotu (stosuje się wyższą kwotę) |
| Zagrożenie bezpieczeństwa państwa lub zdrowia publicznego | Do 100 mln zł |
| Kierownik podmiotu (odpowiedzialność osobista) | Do 300% miesięcznego wynagrodzenia oraz zakaz pełnienia funkcji zarządczych |
Kary finansowe mogą być nakładane od 3 kwietnia 2028 roku. Naruszenia wcześniejszych obowiązków, w szczególności brak rejestracji w S46 do 3 października 2026 roku lub brak wdrożenia SZBI do 3 kwietnia 2027 roku, stanowią odrębną podstawę sankcji niezależną od tego terminu.
NIS2 w sektorze ochrony zdrowia - czy podlegam pod dyrektywę?
Ankieta powyżej pozwala w kilku krokach wstępnie ocenić, czy Twój sektor wchodzi w zakres UKSC. W sektorze zdrowotnym ostateczna kwalifikacja wymaga dokładnej analizy, dlatego zapraszamy na bezpłatną rozmowę z naszym zespołem i prawnikami z kancelarii KRWLEGAL, podczas której odpowiemy na pytania dotyczące Twojej sytuacji.
Jak SEDIVIO wspiera podmioty sektora ochrony zdrowia w przygotowaniu do NIS2 i UKSC?
Wdrożenie UKSC w sektorze ochrony zdrowia łączy w sobie wyzwania regulacyjne, techniczne i operacyjne, które w żadnym innym sektorze nie współwystępują w tak trudnym splocie. Placówka medyczna musi jednocześnie zachować ciągłość leczenia, zarządzać przestarzałą infrastrukturą IT, renegocjować umowy z dostawcami systemów szpitalnych i wdrożyć wymagania prawne w trybie, który nie zakłóci codziennej pracy personelu medycznego.
Realizujemy wdrożenia UKSC we współpracy z kancelarią prawną KRWLEGAL. Oznacza to, że w ramach jednego projektu organizacja otrzymuje interpretację prawną przepisów, analizę regulacyjną swojej sytuacji, projekt techniczny i wdrożenie środków bezpieczeństwa. Kwalifikacja, dokumentacja, SZBI, procedury incydentowe, przegląd umów z dostawcami i przygotowanie do audytu realizowane są przez jeden zespół. Placówka nie musi koordynować pracy prawników i inżynierów osobno.
NIS2 w sektorze ochrony zdrowia a wdrożenie SEDIVIO
Od ponad 20 lat uczestniczymy w cyfryzacji Polski, w tym w projektach dla sektora publicznego i podmiotów z sektorów regulowanych. Wdrażaliśmy systemy informatyczne i doradzaliśmy przy projektach transformacji cyfrowej w środowiskach, gdzie ciągłość działania jest priorytetem absolutnym.
Partnerzy
Zaufali nam
Od instytucji publicznych po liderów innowacji – wspólnie tworzymy bezpieczniejsze środowisko cyfrowe. Sprawdź nasze case studies
Tak. UKSC nie różnicuje podmiotów leczniczych ze względu na formę własności ani organ prowadzący. Kryterium kwalifikacji jest rodzaj świadczonych usług i ich znaczenie dla ciągłości systemu ochrony zdrowia. Szpital prywatny świadczący opiekę zdrowotną w rozumieniu ustawy o działalności leczniczej podlega tym samym obowiązkom co szpital publiczny.
Co do zasady UKSC obejmuje podmioty zatrudniające powyżej 50 pracowników lub osiągające roczny obrót powyżej 10 mln euro. Mała przychodnia, która nie spełnia tych kryteriów, co do zasady nie podlega ustawie. Istnieją jednak wyjątki. Organ nadzorczy może objąć regulacją podmiot mniejszy, jeśli jego zakłócenie mogłoby stanowić poważne zagrożenie dla zdrowia publicznego. Każda placówka powinna przeprowadzić własną analizę statusu.
Odpowiedzialność spoczywa na kierowniku podmiotu leczniczego, czyli na dyrektorze szpitala lub zarządzie placówki prywatnej. UKSC nakłada na kierownika obowiązek sprawowania realnego nadzoru nad obszarem cyberbezpieczeństwa, odbycia corocznego szkolenia i zapewnienia adekwatnych zasobów. Obowiązku tego nie można skutecznie scedować wyłącznie na dział IT lub zewnętrznego dostawcę. Odpowiedzialność jest osobista i może skutkować karą finansową lub zakazem pełnienia funkcji zarządczych.
Szpital jest zobowiązany do zarządzania ryzykiem cyberbezpieczeństwa nie tylko we własnych systemach, ale również u dostawców. Oznacza to weryfikację dostawców pod kątem bezpieczeństwa, klauzule bezpieczeństwa w umowach i udokumentowane decyzje dotyczące dostawców wysokiego ryzyka. Większość istniejących umów z dostawcami systemów dla służby zdrowia wymaga w tym zakresie przeglądu i uzupełnienia.
