Implementacja NIS2 w Polsce
14 grudnia 2022 r. uchwalono dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 ws. środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwo na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającą dyrektywę (UE) 2016/1148 (dyrektywa NIS2) (Dz. U. UE. L. z 2022 r. nr 333, str. 80) (dalej: NIS2). Państwa członkowskie Unii zostały zobowiązane do dostosowanie przepisów krajowych do postanowień NIS2. W Polsce implementacja postanowień NIS2 nastąpi poprzez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa (dalej: Ustawa o KSC). Wejście w życie Ustawy o KSC zapowiadane jest na 2025 r., lecz dokładna data nie jest jeszcze znana.
Zgodnie z projektem nowelizacji Ustawy o KSC podmioty objęte zakresem jej zastosowania będą miały 6 miesięcy na wdrożenie przepisów. Podmioty objęte nowelizacją muszą jednak pamiętać, że w terminie 3 miesięcy od dnia wejścia w życie nowych przepisów są zobowiązane do wpisania się do wykazu podmiotu ważnych i kluczowych.
Ważny fragment
Przedsiębiorcy samodzielnie muszą ustalić, czy podlegają przepisom znowelizowanej Ustawy o KSC, czy nie. Jest to wyraz zasady samoidentyfikacji, wyrażonej w NIS2.
Udzielanie świadczeń zdrowotnych i zdrowie publiczne jako sektor kluczowy
Podmioty objęte zakresem zastosowania nowych przepisów dzieli się na dwie kategorie:
- podmioty podlegające przepisom bez względu na wielkość (np. dostawca usług DNS, dostawca usług zaufania czy rejestr nazw domen najwyższego poziomu TLD),
- podmioty, podlegające przepisom tylko wówczas, gdy jednocześnie spełniają 2 warunki:
- są podmiotami określonej wielkości,
- działają we wskazanym w ustawie sektorze.
Ważny fragment
Udzielanie świadczeń zdrowotnych i zdrowie publiczne zostały uznane za podsektor Ochrony zdrowia, który jest sektorem kluczowym w rozumieniu NIS2 i projektu nowelizacji Ustawy o KSC.
Podmioty, które prowadzą działalność w tym sektorze są uważane za podmiot kluczowy, jeżeli są przedsiębiorstwem dużym w rozumieniu art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm. 7). Jeżeli zaś są przedsiębiorstwem średnim w rozumieniu ww. rozporządzenia, są uważane za podmiot ważny.
Przedsiębiorca jest przedsiębiorcą dużym, jeśli:
- zatrudnia minimum 250 osób (przez zatrudnionych należy rozumieć osoby na umowach o pracę, ale również umowy zatrudnione na podstawie umów cywilnoprawnych) lub
- ma obrót lub całkowity bilans roczny przekraczający 50 mln EUR.
Przedsiębiorca jest przedsiębiorcą średnim, jeśli
- zatrudnia więcej niż 50 osób (przez zatrudnionych należy rozumieć osoby na umowach o pracę, ale również umowy zatrudnione na podstawie umów cywilnoprawnych) lub
- ma obrót lub całkowity bilans roczny nieprzekraczający 10 mln EUR.
Oznacza to, że podmioty lecznicze, będące jednocześnie przedsiębiorstwem średnim lub dużym będą podlegać nowym obowiązkom wynikającym z NIS2.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Udzielanie świadczeń zdrowotnych i zdrowie publiczne – czyli co?
Opis podsektora udzielania świadczeń zdrowotnych i zdrowia publicznego w projekcie nowelizacji Ustawy o KSC zakłada, że znowelizowana Ustawa o KSC będzie dotyczyć następujących podmiotów:
- Laboratoria referencyjne UE w rozumieniu art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371 z dnia 23 listopada 2022 r. ws. poważnych transgranicznych zagrożeń zdrowia oraz uchylenia decyzji nr 1082/2013 UE (Dz. Urz. UE L. 314 z 06.12.2022, str. 1) (obecnie żadne laboratorium w Polsce nie jest Laboratorium referencyjnym UE);
- Jednostka podległa ministrowi właściwemu ds. zdrowia albo przez niego nadzorowana, właściwa w zakresie systemów informacyjnych ochrony zdrowia (np. w zakresie systemu Elektronicznej Dokumentacji Medycznej);
- Urzędy obsługujące organy Państwowej Inspekcji Sanitarnej;
- Krajowe Centrum Monitorowania Ratownictwa Medycznego;
- Podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej;
Zgodnie z powyższą ustawą, podmiotem leczniczym jest:
- przedsiębiorca w rozumieniu przepisów ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców we wszelkich formach przewidzianych dla wykonywania działalności gospodarczej, jeżeli ustawa nie stanowi inaczej (np. lekarz prowadzący prywatną praktykę lekarską);
- samodzielny publiczny zakład opieki zdrowotnej (np. szpitale, przychodnie);
- jednostka budżetowa, w tym państwowa jednostka budżetowa tworzona i nadzorowana przez Ministra Obrony Narodowej, ministra właściwego ds. wewnętrznych, Ministra Sprawiedliwości lub Szefa Agencji Bezpieczeństwa wewnętrznego, posiadająca w strukturze organizacyjne ambulatorium, ambulatorium z izbą chorych lub lekarza podstawowej opieki zdrowotnej, pielęgniarkę podstawowej opieki zdrowotnej lub położną podstawowej opieki zdrowotnej w rozumieniu przepisów ustawy z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej) (np. Wojskowy Instytut Medyczny w Warszawie);
- instytut badawczy, o którym mowa w art. 3 ustawy z dnia 30 kwietnia 2010 r. o instytutach badawczych;
- fundacja i stowarzyszenie, których celem statutowym jest wykonywanie zadań w zakresie ochrony zdrowia i których statut dopuszcza prowadzenie działalności leczniczej;
- posiadająca osobowość prawną jednostka organizacyjna stowarzyszeń, o których mowa powyżej;
- osoba prawna i jednostka organizacyjna działająca na podstawie przepisów o stosunku Państwa do Kościoła Katolickiego w RP, o stosunku Państwa do innych kościołów i związków wyznaniowych oraz o gwarancjach wolności sumienia i wyznania (np. Caritas Polska);
- jednostka wojskowa.
Wszystkie wskazane powyżej podmioty są podmiotem leczniczym w zakresie, w jakim wykonują działalność leczniczą, tj. w zakresie jakim udzielają świadczeń zdrowotnych).
- Jednostki organizacyjne publicznej służby krwi, o których mowa w art. 4 ust. 3 pkt 2 ustawy z dnia 22 sierpnia 1997 r. o publicznej służbie krwi;
Zgodnie z definicją ustawową, jednostką organizacyjną publicznej służby krwi jest:
- instytut naukowo-badawczy;
- regionalne centra krwiodawstwa i krwiolecznictwa;
- Wojskowe Centrum Krwiodawstwa i Krwiolecznictwa;
- Centrum Krwiodawstwa i Krwiolecznictwa utworzone przez ministra właściwego ds. wewnętrznych.
- Podmioty udzielające świadczeń opieki zdrowotnej będące podwykonawcą dla podmiotów kluczowych lub ważnych w sektorze ochrony zdrowia, w rozumieniu art. 133 ustawy o świadczeniach opieki zdrowotnej finansowanej ze środków publicznych.
Kategoria ta dotyczy podmiotów, które są podwykonawcami podmiotu kluczowego lub ważnego w sektorze ochrony zdrowia, który ma zawartą umowę z NFZ na świadczenie opieki zdrowotnej. Żeby podlegać NIS2, podwykonawca podmiotu ważnego lub kluczowego sam musi być co najmniej przedsiębiorcą średnim.
- Świadczeniodawcy posiadający w swojej strukturze organizacyjnej Szpitalny Oddział Ratunkowy, Centrum Urazowe lub Centrum Urazowe dla Dzieci.
Kategoria ta dotyczy podmiotów udzielających świadczeń zdrowotnych finansowanych ze środków publicznych, które posiadają ww. jednostki w swojej strukturze organizacyjnej.
Google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
NIS2 – obowiązki i sankcje
W związku z projektem nowelizacji Ustawy o KSC, na podmioty objęte regulacjami zostaną nałożone liczne obowiązki. Regulacje te zobowiązują podmioty między innymi do:
- zapewnienia ciągłości działania, zarządzania kopiami zapasowymi oraz przywracania normalnego funkcjonowania po sytuacjach nadzwyczajnych i zarządzania kryzysowego,
- zapewnienia bezpieczeństwa łańcucha dostaw, uwzględniając aspekty bezpieczeństwa w relacjach z bezpośrednimi dostawcami lub usługodawcami,
- zapewnienia bezpieczeństwa w procesie nabywania, rozwoju i utrzymania sieci oraz systemów informatycznych, w tym zarządzania podatnościami i ich ujawniania,
- wdrożenia polityk i procedur oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie,
- zapewnienia podstawowych praktyk cyberhigieny oraz szkoleń w zakresie cyberbezpieczeństwa,
- stosowania polityk i procedur dotyczących kryptografii, w tym szyfrowania, jeśli jest to stosowane,
- zapewnienia bezpieczeństwa zasobów ludzkich, kontroli dostępu oraz zarządzania aktywami,
- w odpowiednich przypadkach – stosowania uwierzytelniania wieloskładnikowego lub ciągłego zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych,
- zgłaszania osób lub organów zarządzających w firmie, które zatwierdzają środki zarządzania ryzykiem w cyberbezpieczeństwie,
- przeprowadzania na własny koszt regularnych audytów bezpieczeństwa.
Ważny fragment
Ponadto, jeżeli podmioty kluczowe nie będą przestrzegać nowych przepisów, grożą im kary finansowe do 10 mln EUR lub 2 % przychodów za poprzedni rok obrotowy, z minimalną karą wynoszącą 20.000 zł. Kary przewidziane dla podmiotów ważnych wynoszą nie mniej niż 15.000 zł i nie mogą przekroczyć 7 mln EUR. Odpowiedzialnością mogą być obciążeniu także kierownicy jednostek, tacy jak członkowie zarządu lub wspólnicy.
Implementacja dyrektywy NIS2 stanowi istotne wyzwanie dla przedsiębiorców, którzy muszą zidentyfikować zakres swojej odpowiedzialności i dostosować się do bardziej rygorystycznych przepisów. Nowe regulacje mają na celu wzmocnienie ochrony kluczowych sektorów gospodarki przed zagrożeniami cybernetycznymi, zapewniając wyższym poziom ochrony kluczowych sektorów gospodarki, w tym ochrony zdrowia.
AUTORZY: Kacper Kobierski, Junior Assosciate w Zespole Kancelarii Prawnej Grant Thornton, Magdalena Bilicka, Counsel w Zespole Kancelarii Prawnej Grant Thornton,
Czytaj więcej o NIS2:
