Kiedy podmiot leczniczy będzie podmiotem ważnym a kiedy kluczowym
Kiedy podmiot leczniczy będzie podmiotem ważnym a kiedy kluczowym. Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (druki sejmowe nr 1955 i 2139), zmienia przepisy obowiązującej Ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2024 r. poz. 1077 i 1222 oraz z 2025 r. poz. 1017 i 1069). Zmiana dostosowuje krajowy system cyberbezpieczeństwa do zmienionego otoczenia cyfrowego oraz do zwiększającej się skali zagrożeń w cyberprzestrzeni. Zmiany obejmują m.in. rozszerzenie katalogu podmiotów objętych obowiązkami, zastąpienie dotychczasowego podziału na operatorów usług kluczowych i dostawców usług cyfrowych nową kategorią podmiotów kluczowych i podmiotów ważnych, wzmocnienie systemu reagowania na incydenty oraz doprecyzowanie ról organów odpowiedzialnych za cyberbezpieczeństwo.
Celem jest kompleksowa zmiana obowiązującego w Polsce systemu zapewnienia cyberbezpieczeństwa i podniesienie poziomu odporności na cyberzagrożenia oraz poziomu ochrony informacji w sektorach: publicznym, militarnym i prywatnym, a także wdrożenie do polskiego porządku prawnego dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniającą rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylającą dyrektywę (UE) 2016/1148 – zwanej dalej „dyrektywa NIS 2” lub „dyrektywą 2022/2555” tak by polskie regulacje z zakresu cyberbezpieczeństwa były spójne z rozwiązaniami przyjętymi na poziomie Unii Europejskiej.
Działalność lecznicza
Kiedy mamy do czynienia z działalnością leczniczą. Zgodnie z art. 3 Ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej, działalność lecznicza polega na udzielaniu świadczeń zdrowotnych. Świadczenia te mogą być udzielane za pośrednictwem systemów teleinformatycznych lub systemów łączności. Działalność lecznicza może również polegać na: promocji zdrowia lub realizacji zadań dydaktycznych i badawczych w powiązaniu z udzielaniem świadczeń zdrowotnych i promocją zdrowia, w tym wdrażaniem nowych technologii medycznych oraz metod leczenia. Czynności, te mogą być wykonywane za pośrednictwem systemów teleinformatycznych lub systemów łączności. Podmiot wykonujący działalność leczniczą może uczestniczyć, a podmiot wykonujący działalność leczniczą w zakresie, promocji zdrowia lub realizacji zadań dydaktycznych i badawczych w powiązaniu z udzielaniem świadczeń zdrowotnych i promocją zdrowia, w tym wdrażaniem nowych technologii medycznych oraz metod leczenia – uczestniczy w przygotowywaniu osób do wykonywania zawodu medycznego i kształceniu osób wykonujących zawód medyczny na zasadach określonych w odrębnych przepisach regulujących kształcenie tych osób. W ramach struktury organizacyjnej podmiotu leczniczego może zostać wydzielona jednostka organizacyjna, w celu udzielania świadczeń zdrowotnych mieszkańcom domów pomocy społecznej, wychowankom regionalnych placówek opiekuńczo-terapeutycznych lub interwencyjnych ośrodków preadopcyjnych, zlokalizowana na terenie tych podmiotów.
Czym jest podmiot kluczowy i podmiot ważny w przepisach NIS2
Podmiotem kluczowym jest:
- osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która przewyższa wymogi dla średniego przedsiębiorstwa określone w 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014 z dnia 17 czerwca 2014 r. uznającego niektóre rodzaje pomocy za zgodne z rynkiem wewnętrznym w zastosowaniu art. 107 i 108 Traktatu (Dz. Urz. UE L 187 z 26.06.2014, str. 1, z późn. zm.), zwanego dalej „rozporządzeniem 651/2014/UE”
- przedsiębiorca komunikacji elektronicznej, który co najmniej spełnia wymogi dla średniego przedsiębiorcy określone w 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa;
- dostawca usług zarządzanych w zakresie cyberbezpieczeństwa, który co najmniej spełnia wymogi dla małego albo średniego przedsiębiorcy określone w 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub je przewyższa;
- niezależnie od wielkości podmiotu:
- dostawca usług DNS,
- kwalifikowany dostawca usług zaufania w rozumieniu 3 pkt 20 rozporządzenia 910/2014,
- podmiot krytyczny,
- podmiot publiczny wskazany w załączniku nr 1 do ustawy w sektorze podmioty publiczne,
- podmiot zidentyfikowany jako podmiot kluczowy na podstawie art. 7l ust. 2 pkt 1,
- państwowa osoba prawna zidentyfikowana jako podmiot kluczowy na podstawie art. 7m,
- podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 1 do ustawy z nazwy albo przez określenie jego rodzaju,
- podmiot będący operatorem obiektu energetyki jądrowej, o którym mowa w 2 pkt 2 ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących (Dz. U. z 2025 r. poz. 1156),
- rejestr nazw domen najwyższego poziomu (TLD),
- podmiot świadczący usługi rejestracji nazw domen.
Podmiotem ważnym jest:
- osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 1 do ustawy, która spełnia wymogi dla średniego przedsiębiorcy określone w 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE oraz która nie jest podmiotem kluczowym;
- osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej wskazana w załączniku nr 2 do ustawy, która spełnia wymogi dla średniego przedsiębiorcy określone w 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE lub przewyższa te wymogi oraz która nie jest podmiotem kluczowym;
- niekwalifikowany dostawca usług zaufania będący mikro-, małym lub średnim przedsiębiorcą, o którym mowa w 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE;
- przedsiębiorca komunikacji elektronicznej będący mikro- lub małym przedsiębiorcą, o którym mowa w 2 ust. 2 i 3 załącznika I do rozporządzenia 651/2014/UE;
- podmiot będący inwestorem obiektu energetyki jądrowej, o którym mowa w 2 pkt 2 ustawy z dnia 29 czerwca 2011 r. o przygotowaniu i realizacji inwestycji w zakresie obiektów energetyki jądrowej oraz inwestycji towarzyszących, który uzyskał decyzję zasadniczą, o której mowa w art. 3a ust. 1 tej ustawy – niezależnie od jego wielkości;
- podmiot zidentyfikowany jako podmiot ważny na podstawie art. 7l ust. 2 pkt 2;
- podmiot, który nie jest przedsiębiorcą, a jest wskazany w załączniku nr 2 do ustawy z nazwy albo przez określenie jego rodzaju;
- podmiot publiczny, który nie jest podmiotem kluczowym oraz jest samorządową jednostką budżetową, samorządowym zakładem budżetowym, samorządową instytucją kultury albo spółką wykonującą zadania o charakterze użyteczności publicznej w rozumieniu 1 ust. 2 ustawy z dnia 20 grudnia 1996 r. o gospodarce komunalnej (Dz. U. z 2021 r. poz. 679), jeżeli realizuje zadanie publiczne z wykorzystaniem systemów informacyjnych.
Załącznik nr 1
Sektor I: Ochrona zdrowia
Podsektor II: Udzielanie świadczeń zdrowotnych i zdrowie publiczne
Rodzaj podmiotu:
- Podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2025 r. poz. 450, 620, 637 i 1211.
- Laboratoria referencyjne UE, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371 z dnia 23 listopada 2022 r. w sprawie poważnych transgranicznych zagrożeń zdrowia oraz uchylenia decyzji nr 1082/2013/UE (Dz. Urz. UE L 314 z 06.12.2022, str. 1).
- Jednostka podległa ministrowi właściwemu do spraw zdrowia albo przez niego nadzorowana, właściwa w zakresie systemów informacyjnych ochrony zdrowia.
- Urzędy obsługujące organy Państwowej Inspekcji Sanitarnej.
- Krajowe Centrum Monitorowania Ratownictwa Medycznego, o którym mowa w art. 27a ustawy z dnia 8 września 2006 r. o Państwowym Ratownictwie Medycznym (Dz. U. z 2025 r. poz. 91 i 637).
- Jednostki organizacyjne publicznej służby krwi, o których mowa w art. 4 ust. 3 pkt 2 ustawy z dnia 22 sierpnia 1997 r. o publicznej służbie krwi (Dz. U. z 2024 r. poz. 1782).
- Podmioty udzielające świadczeń opieki zdrowotnej będące podwykonawcą dla podmiotów kluczowych lub podmiotów ważnych w sektorze ochrona zdrowia, w rozumieniu art. 133 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (Dz. U. z 2025 r. poz. 1461, 1537 i 1739 oraz z 2026 r. poz. 26).
- Świadczeniodawcy posiadający w swojej strukturze organizacyjnej Szpitalny Oddział Ratunkowy, Centrum Urazowe lub Centrum Urazowe dla Dzieci.
Sektor I: Ochrona zdrowia
Podsektor II: Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych
Rodzaj podmiotu:
- Urząd Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych.
- Urzędy obsługujące organy Inspekcji Farmaceutycznej.
- Podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt 2 dyrektywy 2001/83/WE Parlamentu Europejskiego i Rady z dnia 6 listopada 2001 r. w sprawie wspólnotowego kodeksu odnoszącego się do produktów leczniczych stosowanych u ludzi (Dz. Urz. UE L 311 z 28.11.2001, str. 67, z późn. zm.[24])).
- Podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2.
- Podmioty produkujące wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123 z dnia 25 stycznia 2022 r. w sprawie wzmocnienia roli Europejskiej Agencji Leków w zakresie gotowości na wypadek sytuacji kryzysowej i zarządzania kryzysowego w odniesieniu do produktów leczniczych i wyrobów medycznych (Dz. Urz. UE L 20 z 31.01.2022, str. 1, z późn. zm.[25])).
- Przedsiębiorca prowadzący działalność polegającą na prowadzeniu hurtowni farmaceutycznej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne (Dz. U. z 2025 r. poz. 750, 905, 924 i 1416, 1537 i 1795).
- Przedsiębiorca lub podmiot prowadzący działalność gospodarczą w państwie członkowskim Unii Europejskiej lub państwie członkowskim Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stronie umowy o Europejskim Obszarze Gospodarczym, który uzyskał pozwolenie na dopuszczenie do obrotu produktu leczniczego.
- Importer produktu leczniczego lub substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
- Wytwórca produktu leczniczego lub substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
- Importer równoległy w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
- Dystrybutor substancji czynnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
- Przedsiębiorca prowadzący działalność w formie apteki ogólnodostępnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.
Szczególna pozycja podmiotów leczniczych nie będących przedsiębiorcami
Liczebność personelu podmiotu leczniczego
Zbieg przesłanek dla podmiotu kluczowego i ważnego
Wyłączenie stosowania Ustawy KSC
Procedura oceny kiedy podmiot leczniczy jest kluczowym a kiedy ważnym
Odpowiedzialność kierownika podmiotu kluczowego oraz ważnego
