Termin rejestracji podmiotu medycznego w Wykazie KSC
Obowiązkowa dokumentacja KSC dla podmiotów medycznych. Czy Twoja placówka faktycznie jest już gotowa na nowe przepisy dotyczące cyberbezpieczeństwa? Uważaj, nie popełniaj błędów innych podmiotów medycznych, to że wdrożone i stosowane sa przepisy w zakresie RODO, nie oznacza, iż zrealizowane zostały wszystkie zadania, jakie obowiązek mają wykonać kierownicy podmiotów medycznych! Znowelizowana Ustawa o krajowym systemie cyberbezpieczeństwa nakłada na podmioty medyczne zakwalifikowane jako podmioty kluczowe lub podmioty ważne szereg nowych obowiązków organizacyjnych i technicznych. Ich realizacja nie ogranicza się do wdrożenia odpowiednich zabezpieczeń informatycznych – równie istotne jest przygotowanie i utrzymywanie kompletnej dokumentacji potwierdzającej zgodność z przepisami.
Kierownik podmiotu medycznego, w roli głównej ...
Kierownik podmiotu kluczowego lub podmiotu ważnego:
- podejmuje decyzje w zakresie przygotowania, wdrażania, stosowania, przeglądu i nadzoru systemu zarządzania bezpieczeństwem informacji w podmiocie;
- planuje adekwatne środki finansowe na realizację obowiązków z zakresu cyberbezpieczeństwa
- przydziela zadania z zakresu cyberbezpieczeństwa w tym podmiocie i nadzoruje ich wykonanie;
- zapewnia, że personel podmiotu jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje podmiotu w tym zakresie;
- zapewnia zgodność działania tego podmiotu z przepisami prawa oraz z wewnętrznymi regulacjami podmiotu.
Terminy realizacji poszczególnych zadań z KSC ...
Zgodnie z treścią Komunikatu Ministra Cyfryzacji z dnia 08 kwietnia 2026 r. w sprawie harmonogramu złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych oraz rozpoczęcia korzystania z systemu teleinformatycznego przez podmioty kluczowe lub podmioty ważne, określono harmonogram dla poszczególnych czynności, wynikających z przepisów Ustawy KSC.
Złożenia wniosków o wpis do wykazu podmiotów kluczowych i podmiotów ważnych przez podmioty, które w dniu wejścia w życie ustawy z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw spełniają przesłanki uznania ich za podmiot kluczowy albo podmiot ważny:
- W terminie od dnia 7 maja 2026 r. do dnia 3 października 2026 r. – składanie wniosków o wpis do tego wykazu przez podmioty, które spełniają przesłanki uznania ich za podmiot kluczowy, z wyłączeniem podmiotów kluczowych wpisanych z urzędu.
- W terminie od dnia 7 maja 2026 r. do dnia 3 października 2026 r. – składanie wniosków o wpis do tego wykazu przez podmioty, które spełniają przesłanki uznania ich za podmiot ważny, z wyłączeniem podmiotów ważnych wpisanych z urzędu.
Rozpoczęcia korzystania z systemu teleinformatycznego S46, o którym mowa w art. 46 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. z 2026 r. poz. 20 i 252)
- W terminie od dnia 8 kwietnia 2026 r. do dnia 3 kwietnia 2027 r. – przez podmioty kluczowe i podmioty ważne, które były stronami porozumień w sprawie korzystania z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, zawartych przed dniem 3 kwietnia 2026 r..
- W terminie od dnia 12 czerwca 2026 r. do dnia 3 kwietnia 2027 r. – przez podmioty kluczowe i podmioty ważne niewymienione w ppkt wyżej wskazanym.
Identyfikacja podmiotu medycznego ...
Pakiet zawiera Procedurę identyfikacji podmiotu medycznego. Dzięki jej zastosowaniu kierownik ustala, czy podmiot medyczny jest podmiotem kluczowym albo podmiotem ważnym w rozumieniu przepisów Ustawy KSC, bądź też nie stosuje się do niego ww. regulacji.
Rejestracja podmiotu medycznego w Systemie S46 ...
Przygotowaliśmy także opis procedury, jaką należy wykonać celem rejestracji podmiotu medycznego, zidentyfikowanego, jako kluczowy labo jako ważny w Systemie S46, co jest obowiązkiem kierownika podmiotu medycznego. Pamiętać należy, iż zgodnie z tym co wskazał ustawodawca w przepisach, wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych zawierać musi oświadczenie kierownika podmiotu iż składane jest ono pod groźbą odpowiedzialności karnej za składanie fałszywych oświadczeń o treści: „Świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia wynikającej z art. 233 § 6 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny oświadczam, że dane zawarte we wniosku są zgodne z prawdą.”.
Wyznaczenie osób do kontaktu ...
Opracowanie i wdrożenie dokumentacji KSC ...
Przygotowaliśmy także opis procedury, jaką należy wykonać celem rejestracji podmiotu medycznego, zidentyfikowanego, jako kluczowy labo jako ważny w Systemie S46, co jest obowiązkiem kierownika podmiotu medycznego. Pamiętać należy, iż zgodnie z tym co wskazał ustawodawca w przepisach, wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych zawierać musi oświadczenie kierownika podmiotu iż składane jest ono pod groźbą odpowiedzialności karnej za składanie fałszywych oświadczeń o treści: „Świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia wynikającej z art. 233 § 6 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny oświadczam, że dane zawarte we wniosku są zgodne z prawdą.”.
Plan działania kierownika podmiotu ważnego – podmiot medyczny.
- Potwierdź status podmiotu / do 3 października 2026r.
- Ustal, czy podmiot leczniczy spełnia kryteria podmiotu ważnego czy kluczowym
- W przypadku podmiotu leczniczego, który nie jest przedsiębiorcą, status podmiotu ważnego powstaje przy zatrudnieniu od 50 do 249 osób. Przy co najmniej 250 osobach podmiot staje się podmiotem kluczowym. Wliczeniu podlegają zarówno pracownicy, jak i personel zatrudniony na umowach cywilnoprawnych.
- Dokonaj wpisu do wykazu podmiotów kluczowych i ważnych / do 3 października 2026r.
- Jeżeli podmiot spełnia przesłanki uznania za podmiot ważny, albo kluczowy należy złożyć wniosek o wpis do wykazu.
- Wniosek musi być złożony elektronicznie w systemie teleinformatycznym.
- Kierownik składa przy tym wymagane ustawą oświadczenie o prawdziwości danych.
Termin: maksymalnie do 3 października 2026r.
- Wyznacz osoby odpowiedzialne za kontakty / do 3 kwietnia 2027r.
- Wyznacz co najmniej 2 osoby odpowiedzialne za kontakty z podmiotami krajowego systemu cyberbezpieczeństwa.
- Dane tych osób muszą być prawidłowo ujęte w wykazie.
Termin: maksymalnie do 3 kwietnia 2027r.
- Wyznacz osoby/strukturę odpowiedzialną za cyberbezpieczeństwo / do 3 kwietnia 2027r.
Kierownik musi zdecydować, kto faktycznie będzie realizował zadania KSC.
Możliwe rozwiązania:
- utworzenie wewnętrznej struktury odpowiedzialnej za cyberbezpieczeństwo albo
- zawarcie umowy z profesjonalnym dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa.
Ważne: outsourcing zadań nie zwalnia kierownika z odpowiedzialności.
- Wdróż system zarządzania bezpieczeństwem informacji – SZBI / do 3 kwietnia 2027r.
Kierownik powinien doprowadzić do wdrożenia SZBI obejmującego systemy informacyjne wykorzystywane w procesach mających wpływ na świadczenie usług medycznych.
SZBI musi obejmować przede wszystkim:
- systematyczne szacowanie ryzyka,
- zarządzanie ryzykiem,
- polityki bezpieczeństwa,
- bezpieczeństwo systemów IT,
- bezpieczeństwo fizyczne,
- bezpieczeństwo personelu,
- bezpieczeństwo dostawców i łańcucha dostaw,
- bezpieczeństwo przy zakupie i rozwoju systemów,
- testowanie zabezpieczeń,
- ciągłość działania,
- reagowanie na incydenty.
- Wykonaj analizę ryzyka cyberbezpieczeństwa / do 3 kwietnia 2027r.
Kierownik powinien zlecić i zatwierdzić:
- identyfikację systemów informacyjnych,
- identyfikację zagrożeń,
- identyfikację podatności,
- ocenę prawdopodobieństwa wystąpienia incydentu,
- ocenę skutków dla działalności medycznej,
- określenie poziomu ryzyka,
- plan postępowania z ryzykiem.
Nie wystarczy samo posiadanie dokumentu „analiza ryzyka”. Musi ona być systematyczna i powiązana z rzeczywistymi zabezpieczeniami. Art. 8 wymaga systematycznego szacowania i zarządzania ryzykiem.
- Zbuduj dokumentację KSC / do 3 kwietnia 2027r.
Kierownik powinien zapewnić opracowanie, stosowanie i aktualizowanie dokumentacji bezpieczeństwa.
Dokumentacja obejmuje m.in.:
- dokumentację SZBI,
- dokumentację ochrony infrastruktury,
- analizę ryzyka,
- plan postępowania z ryzykiem,
- dokumentację ciągłości działania,
- dokumentację techniczną systemów,
- dokumentację wynikającą ze specyfiki sektora.
- Zapewnij procedurę obsługi incydentów / do 3 kwietnia 2027r.
Kierownik musi zapewnić działający proces:
wykrycie → rejestracja → analiza → klasyfikacja → reakcja → ograniczenie skutków → usunięcie przyczyny → dokumentacja → raportowanie.
- Zapewnij szkolenia pracowników
Kierownik ma obowiązek zapewnić, aby personel:
- znał zasady cyberbezpieczeństwa,
- znał procedury wewnętrzne,
- potrafił rozpoznać phishing i inne cyberzagrożenia,
- wiedział, jak zgłosić incydent,
- znał zasady cyberhigieny.
Ustawa wymaga także szkolenia samego kierownika co najmniej raz w każdym roku kalendarzowym, a udział w szkoleniu musi być udokumentowany.
Termin: szkolenie kierownika – minimum raz w roku.
- Zweryfikuj osoby wykonujące zadania bezpieczeństwa / przed dopuszczeniem ich do pracy
Przed dopuszczeniem osoby do realizacji zadań z art. 8 lub 11 należy uzyskać wymaganą informację z KRK dotyczącą niekaralności za przestępstwa przeciwko ochronie informacji.
Osoba prawomocnie skazana za takie przestępstwo nie może realizować tych zadań.
- Uruchom system teleinformatyczny KSC / do 3 kwietnia 2027r.
Po uzyskaniu wpisu do wykazu podmiot powinien korzystać z ustawowego systemu teleinformatycznego.
Szanowni Państwo, uprzedzając ewentualne pytania, informujemy, iż jesteśmy w stanie wesprzeć Państwa jednostki na każdym etapie realizacji obowiązków, które opisaliśmy powyżej, począwszy od ustalenia statusu podmiotu leczniczego, poprzez opracowanie Dokumentacji KSC (SZBI), a skończywszy na pełnym zakresie usługi jaką jest realizacja obowiązków na zlecenie Kierownika PWDL, o jakich mowa w przepisach Ustawy o KSC.
Dokumentacja SZBI System Zarządzania Bezpieczeństwem Informacji
Odpowiedzialność kierownika na gruncie Ustawy KSC
