NIS2 i KSC w ochronie zdrowia
Co się zmieniło
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdraża w Polsce dyrektywę NIS2, została podpisana 19 lutego 2026 r. i weszła w życie 2 kwietnia 2026 r. (Dz.U. 2026 poz. 252). Ustawa rozszerza krąg podmiotów objętych obowiązkami i zaostrza wymagania wobec tych, które już były nimi objęte.
Czy dotyczy Twojej placówki
Ochrona zdrowia należy do sektorów kluczowych. Nie oznacza to jednak, że każdy gabinet czy szpital jest automatycznie objęty ustawą. Zależy to od rodzaju działalności, wielkości podmiotu i kryteriów określonych w przepisach. Sprawdzamy to razem z placówką i, jeśli potrzeba, z jej prawnikiem, a wynik zapisujemy w krótkiej, zrozumiałej opinii.
Terminy, które warto znać
- 12 miesięcy od wejścia nowelizacji w życie (czyli do początku kwietnia 2027 r.) na wdrożenie systemu zarządzania bezpieczeństwem informacji, dokumentacji i procedur obsługi incydentów,
- 6 miesięcy od spełnienia kryteriów na złożenie wniosku o wpis do wykazu podmiotów,
- 6 miesięcy na dostosowanie sposobu zgłaszania poważnych incydentów; według najbliższej lektury przepisów ten termin upłynął na początku października 2026 r.,
- pierwszy audyt podmiotów kluczowych w ciągu 24 miesięcy, a następnie co najmniej raz na 3 lata.
Szczegółowe daty zależą od sytuacji podmiotu, a część przepisów jest rozumiana niejednoznacznie, dlatego traktuj to zestawienie jako orientację, a nie opinię prawną.
Zgłaszanie incydentów
Podmioty objęte ustawą zgłaszają poważne incydenty do właściwego zespołu CSIRT w trzech krokach:
- wczesne ostrzeżenie — do 24 godzin od wykrycia,
- zgłoszenie incydentu — do 72 godzin,
- raport końcowy — do miesiąca.
Do czasu uruchomienia zespołu sektorowego zgłoszenia przyjmują krajowe zespoły CSIRT (MON, NASK i GOV, zależnie od rodzaju podmiotu). Osobny obowiązek zgłoszenia naruszenia ochrony danych do Prezesa UODO w ciągu 72 godzin wynika z art. 33 RODO i może wystąpić równolegle.
Co robimy
- analizujemy, czy placówka podlega ustawie, i jakie obowiązki z tego wynikają,
- porównujemy obecny stan z wymaganiami i opisujemy luki w formie planu naprawczego,
- przygotowujemy politykę bezpieczeństwa, analizę ryzyka i dokumentację systemu zarządzania bezpieczeństwem informacji,
- przygotowujemy procedurę obsługi i zgłaszania incydentów oraz ćwiczymy ją z personelem,
- porządkujemy kopie zapasowe i plan ciągłości działania (kopie zapasowe i DR),
- wdrażamy środki techniczne: segmentację sieci, uwierzytelnianie wieloskładnikowe, monitoring,
- wspieramy placówkę w kontaktach z audytorem.
Zastrzeżenie
Nie jesteśmy kancelarią prawną. Powyższe informacje mają charakter ogólny i opierają się na tekście nowelizacji oraz opracowaniach prawniczych z marca 2026 r. Zakres obowiązków konkretnej placówki warto potwierdzić z prawnikiem. Naszym zadaniem jest przełożenie wymagań na konkretne działania techniczne i organizacyjne. Pokrewne tematy: ransomware i reagowanie na incydenty.