Zmiany dotyczą m.in. aptek, producentów, importerów oraz dystrybutorów substancji czynnych i produktów leczniczych, a także producentów wyrobów medycznych oraz wyrobów medycznych do diagnostyki in vitro.
Spis treści
- Implementacja NIS2 w Polsce
- Produkcja i dystrybucja leków i substancji czynnych jako sektor kluczowy
- Ankieta NIS2
- Produkcja i dystrybucja leków i substancji czynnych – co to?
- Produkcja i dystrybucja wyrobów medycznych jako sektor ważny
- Produkcja i dystrybucja wyrobów medycznych – co to?
- NIS2 – obowiązki i sankcje
Implementacja NIS2 w Polsce
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. ws. Środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (Dz. U. UE. L. z 2022 r. Nr 333, str. 80) (w skrócie: NIS2) zobowiązuje państwa członkowskie do dostosowania przepisów krajowych do jej postanowień. Polski ustawodawca zdecydował się na implementację NIS2 poprzez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa (dalej: Ustawa o KSC). Obecnie trwają prace nad ostateczną wersją nowelizacji Ustawy o KSC, a zapowiadany termin jej wejścia w życie przypada na 2025 r.
Aktualny projekt nowelizacji Ustawy o KSC zakłada – co do zasady – 6-cio miesięczny termin na wdrożenie przepisów przez podmioty objęte zakresem jej zastosowania. Warto jednak zauważyć, że w ciągu 3 miesięcy od dnia wejścia w życie nowych przepisów, przedsiębiorcy będą zobowiązani do wpisania się do wykazu podmiotów ważnych i kluczowych.
Ważny fragment
Ustawa o KSC oparta jest o zasadę samoidentyfikacji. Zasada ta oznacza, że to na podmiocie ciąży obowiązek oceny, czy jest objęty zakresem ustawy czy nie.
Produkcja i dystrybucja leków jako sektor kluczowy
Regulacjom NIS2 podlegają konkretnie określone podmioty. Można je podzielić na dwie kategorie:
- podmioty podlegające przepisom bez względu na wielkość (np. dostawca usług DNS, dostawca usług zaufania czy rejestr nazw domen najwyższego poziomu TLD,
- podmioty, podlegające przepisom tylko wówczas, gdy jednocześnie spełniają 2 warunki:
- są podmiotami określonej wielkości,
- działają we wskazanym w ustawie sektorze.
Produkcja i dystrybucja substancji czynnych, produktów leczniczych (leków) zostały uznane za podsektor Ochrony zdrowia, który jest sektorem kluczowym w rozumieniu NIS2 i projektu nowelizacji Ustawy o KSC.
Podmioty, które prowadzą działalność w tym sektorze są uważane za podmiot kluczowy, jeżeli są przedsiębiorstwem dużym w rozumieniu art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm. 7). Jeżeli zaś są przedsiębiorstwem średnim w rozumieniu ww. rozporządzenia, są uważane za podmiot ważny.
Przedsiębiorca jest przedsiębiorcą dużym, jeśli:
- zatrudnia minimum 250 osób (przez zatrudnionych należy rozumieć osoby na umowach o pracę, ale również umowy zatrudnione na podstawie umów cywilnoprawnych) lub
- ma obrót lub całkowity bilans roczny przekraczający 50 mln EUR.
Przedsiębiorca jest przedsiębiorcą średnim, jeśli
- zatrudnia więcej niż 50 osób (przez zatrudnionych należy rozumieć osoby na umowach o pracę, ale również umowy zatrudnione na podstawie umów cywilnoprawnych) lub
- ma obrót lub całkowity bilans roczny nieprzekraczający 10 mln EUR.
Ważny fragment
Oznacza to, że przedsiębiorstwa średnie i duże prowadzące między innymi aptekę ogólnodostępną będą podlegać nowym obowiązkom wynikającym z NIS2.
NIS-2 – czy moja firma podlega? [ANKIETA]
Przygotowaliśmy dla Państwa krótki kwestionariusz, który pozwoli zidentyfikować, czy i w jakim stopniu Państwa firma podlegać będzie pod wymagania Dyrektywy w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej (dyrektywa NIS2). NIS-2 zostanie implementowana do polskiego porządku prawnego poprzez nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa, która ma wejść w życie na przełomie 2023 i 2024. Nowe regulacje wprowadzą znaczące zmiany dla polskich podmiotów: odpowiedzialność organów zarządzających oraz kary dochodzące do 10 000 000 euro lub aż 2% rocznego obrotu przedsiębiorstwa. Z przyjemnością pomożemy Państwu przygotować się do tych nowych wymagań. Aby wstępnie zbadać swoje nowe obowiązki w tym zakresie przygotowaliśmy kilka pytań. Po odpowiedzi na pytania otrzymają Państwo wynik, który odzwierciedli prawdopodobieństwo polegania pod nowe obowiązki nałożone przez Dyrektywę i projektowaną nowelizację Ustawy o Krajowym Systemie Bezpieczeństwa.
Produkcja i dystrybucja substancji czynnych, produktów leczniczych (leków) – czyli co?
Opis podsektora produkcji i dystrybucji substancji czynnych, produktów leczniczych i wyrobów medycznych w projekcie nowelizacji Ustawy o KSC zakłada, że znowelizowana Ustawa o KSC będzie dotyczyć następujących podmiotów:
1) Urząd Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych;
2) Urzędy obsługujące organy Inspekcji Farmaceutycznej (np. Wojewódzkie Inspektoraty Farmaceutyczne);
3) Podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt. 2 dyrektywy 2001/83/WE Parlamentu Europejskiego i Rady z dnia 6 listopada 2001 r. ws. wspólnotowego kodeksu odnoszącego się do produktów leczniczych stosowanych u ludzi (Dz. Urz. UE L 311 z 28.11.2001, str. 67, ze zm.).
Zgodnie z powyższą dyrektywą, produktem leczniczym jest:
- jakakolwiek substancja lub połączenie substancji prezentowane jako posiadające właściwości lecznicze lub zapobiegające chorobom u ludzi lub
- jakakolwiek substancja lub połączenie substancji, które mogą być stosowane lub podawane ludziom w celu odzyskania, poprawy lub zmiany funkcji fizjologicznych poprzez powodowanie działania farmakologicznego, immunologicznego lub metabolicznego albo w celu stawiania diagnozy leczniczej.
4) Podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2, tj.:
a) Produkcja podstawowych produktów farmaceutycznych, w tym:
- wytwarzanie leczniczych substancji czynnych stosowanych ze względu na ich właściwości farmakologiczne w produkcji leków, antybiotyków, podstawowych witaminy, kwasów salicylowych i acetylosalicylowych ETS,
- przetwarzanie krwi,
- produkcja czystych cukrów,
- przetwarzanie gruczołów i produkcja wyrobów (ekstraktów) z gruczołów,
b) Produkcja wyrobów farmaceutycznych, w tym:
- produkcja leków (surowic odpornościowych i innych frakcji krwi; szczepionek; różnych leków, w tym preparatów homeopatycznych),
- produkcja chemicznych środków antykoncepcyjnych do stosowania zewnętrznego i hormonalnych środków antykoncepcyjnych),
- produkcja medycznych preparatów diagnostycznych, w tym testów ciążowych,produkcja radioaktywnych substancji diagnostycznych in vivo, produkcja biotechnologicznych środków farmaceutycznych,
- produkcja medycznej impregnowanej waty, gazy, bandaży, opatrunków,
- przygotowanie produktów botanicznych (mielenie, sortowanie) do celów farmaceutycznych,
5) Podmioty produkujące wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123 z dnia 25 stycznia 2022 r. w sprawie wzmocnienia roli Europejskiej Agencji Leków w zakresie gotowości na wypadek sytuacji kryzysowej i zarządzania kryzysowego w odniesieniu do produktów leczniczych i wyrobów medycznych (Dz. Urz. UE L 20 z 31.01.2022, str. 1, ze zm.).
Wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego można znaleźć TUTAJ. Podmioty produkujące wyroby medyczne wskazane na liście będą podlegać znowelizowanym przepisom Ustawy o KSC.
6) Przedsiębiorca prowadzący działalność polegającą na prowadzeniu hurtowni farmaceutycznej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne (Dz. U. z 2024 r. poz. 686).
Hurtownia farmaceutyczna to działalność polegająca na hurtowym obrocie produktami leczniczymi. Do prowadzenia hurtowni farmaceutycznej wymagane jest uzyskanie zezwolenia Głównego Inspektora Farmaceutycznego.
7) Przedsiębiorca lub podmiot prowadzący działalność gospodarczą w państwie członkowskim Unii Europejskiej lub państwie członkowskim Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stronie umowy o Europejskim Obszarze Gospodarczym, który uzyskał pozwolenie na dopuszczenie do obrotu produktu leczniczego.
Ta kategoria dotyczy podmiotów, które uzyskały pozwolenie na dopuszczenie do obrotu produktu leczniczego. W Polsce pozwolenia wydaje Prezes Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych.
8) Importer produktu leczniczego/substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
Importerem jest podmiot, który zajmuje się sprowadzaniem produktu leczniczego/substancji czynnej z krajów trzecich (spoza państw członkowskich UE oraz EFTA) na terytorium RP. Prowadzenie działalności w zakresie importu produktów leczniczych lub substancji czynnych wymaga uzyskania zezwolenia od Głównego Inspektora Farmaceutycznego.
9) Wytwórca produktu leczniczego/substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
Kategoria ta dotyczy wszelkich przedsiębiorców, którzy podejmują jakiekolwiek działanie prowadzące do powstania produktu lub substancji, w tym:
- zakup i przyjmowanie w miejscu wytwarzania przez wytwórcę materiałów używanych do produkcji,
- produkcję,
- pakowanie lub przepakowywanie,
- magazynowanie i dystrybucja wytwarzanych produktów lub substancji objętych wnioskiem o wydanie zezwolenia na wytwarzanie,
- czynności kontrolne związane z wymienionymi działaniami.
10) Importer równoległy w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
Importerem równoległym jest podmiot, który zajmuje się sprowadzaniem produktów leczniczych z innych krajów UE na terytorium RP. Działalność importera równoległego wymaga pozwolenia Głównego Inspektora Farmaceutycznego.
11) Dystrybutor substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
Kategoria ta odnosi się do podmiotów, które zajmują się:
- nabywaniem,
- przechowywaniem,
- dostarczaniem,
- eksportem substancji czynnej.
12) Przedsiębiorca prowadzący działalność w formie apteki ogólnodostępnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
Kategoria ta dotyczy przedsiębiorców prowadzących działalność na podstawie zezwolenia wojewódzkiego inspektora farmaceutycznego na prowadzenie apteki ogólnodostępnej.
Oznacza to, że wszystkie apteki ogólnodostępne będące jednocześnie przedsiębiorstwem średnim bądź dużym podlegają nowym obowiązkom w zakresie cyberbezpieczeństwa.
Google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
Produkcja i dystrybucja wyrobów medycznych jako sektor ważny
Ustawodawca odrębnie od produkcji i dystrybucji leków wyszczególnił produkcję i dystrybucję wyrobów medycznych. Produkcja i dystrybucja wyrobów medycznych, w tym wyrobów medycznych do diagnostyki in vitro zostały uznane za sektor ważny.
Podmioty działające w powyższym sektorze będą podlegać nowym regulacjom, jeśli są co najmniej przedsiębiorstwem średnim w rozumieniu art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm.7).
Przedsiębiorstwa średnie i duże działające w sektorze ważnym, jakim jest produkcja i dystrybucja wyrobów medycznych są podmiotami ważnymi w rozumieniu NIS2 i projektu nowelizacji Ustawy o KSC.
Produkcja i dystrybucja wyrobów medycznych – czyli co?
Opis produkcji i dystrybucji wyrobów medycznych w projekcie nowelizacji Ustawy o KSC zakłada, że znowelizowana Ustawa o KSC będzie dotyczyć następujących podmiotów:
1) Podmioty produkujące wyroby medyczne w rozumieniu art. 2 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/745 z dnia 5 kwietnia 2017 r. ws. Wyrobów medycznych, zmiany dyrektywy 2001/83/WE, rozporządzenia (WE) nr 178/2002 i rozporządzenia (WE) nr 1223/2009 oraz uchylenia dyrektyw Rady 90/385/EWG i 93/42/EWG (Dz. Urz. UE L 117 z 05.05.2017, str. 1 ze zm.).
Kategoria ta dotyczy przedsiębiorców produkujących wyroby medyczne, tj.:
- narzędzia,
- aparaty,
- urządzenia,
- oprogramowania,
- implanty,
- odczynniki,
- materiały lub inne artykuły przewidziane do stosowania u ludzi do co najmniej jednego z następujących szczególnych zastosowań medycznych:- diagnozowanie, profilaktyka, monitorowanie, przewidywanie, prognozowanie, leczenie i łagodzenie choroby,
– diagnozowanie, monitorowanie, leczenie, łagodzenie lub kompensowanie urazu lub niepełnosprawności,
– badanie, zastępowanie lub modyfikowanie budowy anatomicznej lub procesu lub stanu fizjologicznego lub chorobowego,
– dostarczanie informacji poprzez badanie in vitro próbek pobranych z organizmu ludzkiego.
Produkcja wyrobów medycznych wymaga uzyskania certyfikatu zgodności wyrobu z wymaganiami rozporządzenia 2017/745, które wydawane jest przez jednostkę notyfikowaną.
Wyrobami medycznymi mogą być np.:
- soczewki kontaktowe,
- sprzęt przeznaczony do stosowania w celu zredukowania, usunięcia lub zniszczenia tkanki tłuszczowej (np. sprzęt do liposukcji, lipoplastyki),
- sprzęt wykorzystywany do usuwania tatuaży lub włosów.
2) Podmioty produkujące wyroby medyczne do diagnostyki in vitro w rozumieniu art. 2 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/746 z dnia 5 kwietnia 2017 r. ws. wyrobów medycznych do diagnostyki in vitro oraz uchylenia dyrektywy 98/79/WE i decyzji Komisji 2010/227/UE (Dz. Urz. UE L 117 z 05.05.2017, str. 176 ze zm.), z wyjątkiem podmiotów produkujących wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego.
Kategoria ta dotyczy przedsiębiorców produkujących wyroby medyczne, które jednocześnie są:
- odczynnikiem,
- produktem odczynnikowym,
- kalibratorem,
- materiałem kontrolnym,
- zestawem, narzędziem, przyrządem, systemem, oprogramowaniem lub sprzętem, który jest przewidziany do stosowania in vitro do badania próbek pobranych z ludzkiego organizmu, wyłącznie lub głównie w celu dostarczania informacji w zakresie:
– procesu lub stanu fizjologicznego lub chorobowego,
– wrodzonej fizycznej lub psychicznej wady wrodzonej,
– predyspozycji do schorzenia lub choroby;
– ustalenia bezpieczeństwa i zgodności z potencjalnymi biorcami,
– przewidywania odpowiedzi lub reakcji na leczenie,
– określenia lub monitorowania działań terapeutycznych.
Kategoria ta dotyczy m.in. przedsiębiorców produkujących pojemniki na próbki do badań genetycznych.
google news
Bądź na bieżąco ze zmianami w prawie, podatkach i księgowości! Zaobserwuj nas w Wiadomościach Google
NIS2 – obowiązki i sankcje
Zgodnie z projektem nowelizacji Ustawy o KSC, podmioty objęte regulacjami będą zobowiązane między innymi:
- zapewnienia ciągłości działania, w tym zarządzania kopiami zapasowymi, przywracania normalnego funkcjonowania po sytuacjach nadzwyczajnych oraz zarządzania kryzysowego,
- zapewnienia bezpieczeństwa łańcucha dostaw, obejmującego aspekty bezpieczeństwa w relacjach z bezpośrednimi dostawcami lub usługodawcami,
- zapewnienia bezpieczeństwa w procesie nabywania, rozwoju i utrzymania sieci oraz systemów informatycznych, w tym zarządzania podatnościami i ich ujawniania,
- wdrożenia polityk i procedur oceny skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie,
- zapewnienia podstawowych praktyk cyberhigieny oraz szkoleń w zakresie cyberbezpieczeństwa,
- stosowania polityk i procedur dotyczących kryptografii, w tym szyfrowania, jeśli jest to stosowane,
- zapewnienia bezpieczeństwa zasobów ludzkich, kontroli dostępu oraz zarządzania aktywami,
- w stosownych przypadkach – stosowania uwierzytelniania wieloskładnikowego lub ciągłego zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych,
- zgłaszania osób lub organów zarządzających w firmie, które zatwierdzają środki zarządzania ryzykiem w cyberbezpieczeństwie,
- przeprowadzania regularnych audytów bezpieczeństwa na własny koszt.
Ważny fragment
Zgodnie z projektem nowelizacji Ustawy o KSC podmioty kluczowe, które nie będą przestrzegać nowych przepisów, mogą zostać obciążone karami finansowymi do 10 mln EUR lub 2 % przychodów za poprzedni rok obrotowy. Minimalna kara pieniężna wynosi 20.000 zł. W przypadku podmiotów ważnych, wysokość kary pieniężnej za niestosowanie nowych przepisów wynosi nie mniej niż 15 tys. zł i nie może przekroczyć 7 mln EUR. Karą pieniężną może zostać obciążony także kierownik jednostki (członek zarządu czy wspólnik).
Implementacja dyrektywy NIS2 to wyzwanie dla przedsiębiorców w zakresie dostosowania się do nowych i bardziej rygorystycznych przepisów. Wdrożenie nowych przepisów pozwoli na wzmocnienie ochrony kluczowych sektorów gospodarki przed zagrożeniami cybernetycznymi.
Czytaj więcej:
- 5 najważniejszych informacji dotyczących NIS2
- NIS2 a projekt nowelizacji uKSC
- Produkcja pojazdów, rowerów, przyczep i naczep a NIS2
AUTORZY: Kacper Kobierski, Junior Assosciate w Zespole Kancelarii Prawnej Grant Thornton, Magdalena Bilicka, Counsel w Zespole Kancelarii Prawnej Grant Thornton
