Kiedy szpital podlega KSC
Sektor ochrony zdrowia znajduje się w załączniku nr 1 do ustawy o KSC, co oznacza, że podmioty lecznicze mogą być zarówno podmiotami kluczowymi, jak i ważnymi. Kluczowe znaczenie ma wielkość podmiotu oraz jego forma prawna. Szpitale będące przedsiębiorcami podlegają ogólnym progom wielkościowym: duży przedsiębiorca (≥250 pracowników lub (obrót >50 mln EUR oraz bilans >43 mln EUR)) to podmiot kluczowy z załącznika nr 1, a średni (50–249 pracowników) to podmiot ważny. Patrz też nasz pakiet wdrożeniowy: KSC dla szpitali — wdrożenie NIS2 w ochronie zdrowia.
| Forma prawna szpitala | Zatrudnienie | Status KSC |
|---|---|---|
| Szpital-przedsiębiorca (sp. z o.o., SA) | ≥ 250 osób (duży) | Podmiot kluczowy (art. 5 ust. 1 pkt 1) |
| Szpital-przedsiębiorca (sp. z o.o., SA) | 50–249 osób (średni) | Podmiot ważny (art. 5 ust. 2 pkt 1) |
| SPZOZ (niebędący przedsiębiorcą) | ≥ 250 osób | Podmiot kluczowy (art. 5 ust. 8 pkt 2) |
| SPZOZ (niebędący przedsiębiorcą) | 50–249 osób | Podmiot ważny (art. 5 ust. 8 pkt 1) |
| Szpital utworzony przez ABW/AW | Dowolne | Wyłączony z KSC (art. 1 ust. 2 pkt 3) |
Szpitale korzystające z podwykonawców medycznych powinny pamiętać, że podwykonawcy świadczący usługi wskazane w załączniku nr 1 (np. laboratoria diagnostyczne, podmioty świadczące usługi telemedycyny) mogą samodzielnie podlegać KSC, jeżeli spełniają progi wielkościowe. Niezależnie od tego szpital ma obowiązek zarządzania bezpieczeństwem łańcucha dostaw swoich dostawców ICT.
Obowiązki SZBI w szpitalu
Każdy szpital będący podmiotem kluczowym lub ważnym musi wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) zgodny z art. 8 ustawy o KSC. SZBI obejmuje systemy informacyjne wykorzystywane do świadczenia usług zdrowotnych — w tym systemy HIS, RIS/PACS, laboratoryjne (LIS), apteczne oraz infrastrukturę sieciową szpitala.
- Szacowanie ryzyka dla wszystkich systemów informacyjnych wspierających działalność leczniczą
- Opracowanie polityk bezpieczeństwa i procedur operacyjnych dostosowanych do specyfiki szpitala
- Wdrożenie środków technicznych: kontrola dostępu, szyfrowanie danych pacjentów (uwzględniając wymogi RODO), segmentacja sieci, kopie zapasowe
- Zarządzanie bezpieczeństwem łańcucha dostaw — weryfikacja dostawców systemów medycznych i ICT
- Szkolenia personelu medycznego i administracyjnego z zakresu cyberhigieny
- Procedury ciągłości działania uwzględniające scenariusze ataku na systemy szpitalne
Raportowanie incydentów
Szpital jako podmiot kluczowy lub ważny ma obowiązek zgłaszania incydentów poważnych do właściwego CSIRT sektorowego. Ustawa wprowadza trzyetapowy model raportowania, który wymaga szybkiej reakcji — szczególnie istotnej w kontekście ochrony zdrowia, gdzie incydent cybernetyczny może bezpośrednio zagrażać życiu pacjentów. Realne studium przypadku: Ransomware w szpitalach 2025 — obowiązki KSC.
| Etap | Termin | Zakres zgłoszenia |
|---|---|---|
| Wczesne ostrzeżenie | 24 godziny od wykrycia | Wstępna informacja o incydencie — czy podejrzewane jest działanie bezprawne, czy może mieć wpływ transgraniczny |
| Zgłoszenie incydentu | 72 godziny od wykrycia | Aktualizacja wczesnego ostrzeżenia, wstępna ocena incydentu, jego dotkliwości i skutków, wskaźniki naruszenia bezpieczeństwa |
| Sprawozdanie końcowe | 1 miesiąc od zgłoszenia | Szczegółowy opis incydentu, rodzaj zagrożenia, zastosowane środki zaradcze, skutki transgraniczne |
Kto jest kierownikiem w szpitalu
Zgodnie z art. 8c ustawy o KSC kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa. W przypadku szpitala kierownikiem jest dyrektor placówki (kierownik jednostki w rozumieniu ustawy o rachunkowości, a w przypadku SPZOZ — kierownik jednostki sektora finansów publicznych). Odpowiedzialność ta jest osobista i nie wygasa nawet w przypadku delegowania zadań na inne osoby (art. 8c ust. 3).
- Dyrektor szpitala podejmuje decyzje dotyczące wdrażania, stosowania i nadzoru nad SZBI (art. 8d pkt 1)
- Planuje adekwatne środki finansowe na cyberbezpieczeństwo (art. 8d pkt 2)
- Przydziela zadania z zakresu cyberbezpieczeństwa i nadzoruje ich wykonanie (art. 8d pkt 3)
- Raz w roku przechodzi obowiązkowe szkolenie z zakresu cyberbezpieczeństwa (art. 8e ust. 1)
- W przypadku organu wieloosobowego — jeśli nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy członkowie (art. 8c ust. 2)
Checklist wdrożenia
Poniżej znajduje się praktyczna lista kontrolna wdrożenia KSC w szpitalu. Kolejność odpowiada zalecanemu harmonogramowi działań w ramach terminów ustawowych.
- Przeprowadź samoidentyfikację: ustal formę prawną szpitala, liczbę zatrudnionych i wynikający z tego status (PK/PW).
- Zarejestruj podmiot w wykazie przez system S46 — dla podmiotów istniejących w dniu 3.04.2026 r. termin wynika z komunikatu Ministra Cyfryzacji (art. 34 ust. 3 ustawy nowelizującej); dla nowych podmiotów: 6 miesięcy od spełnienia przesłanek (art. 7c ust. 1 KSC).
- Wyznacz co najmniej dwie osoby kontaktowe ds. cyberbezpieczeństwa (art. 9 ust. 1 pkt 1 KSC; mikro/mali oraz PW publiczny mogą wyznaczyć jedną osobę — art. 9 ust. 2–3) i zgłoś ich dane w systemie S46.
- Przeprowadź inwentaryzację systemów informacyjnych (HIS, RIS/PACS, LIS, systemy apteczne, infrastruktura sieciowa).
- Wykonaj szacowanie ryzyka dla zidentyfikowanych systemów.
- Opracuj i wdróż dokumentację SZBI: polityki, procedury, instrukcje operacyjne (termin: 12 miesięcy, tj. do 3 kwietnia 2027 r.).
- Wdróż środki techniczne: kontrola dostępu, szyfrowanie, monitoring, kopie zapasowe, segmentacja sieci.
- Opracuj i przetestuj procedury reagowania na incydenty (wczesne ostrzeżenie 24h, zgłoszenie 72h, raport 1 miesiąc).
- Przeprowadź szkolenie dyrektora szpitala z zakresu cyberbezpieczeństwa (art. 8e) oraz szkolenia personelu.
- Zweryfikuj bezpieczeństwo łańcucha dostaw: dostawcy systemów medycznych, ICT, serwisanci.
- Przeprowadź audyt bezpieczeństwa (termin: 24 miesiące, tj. do 3 kwietnia 2028 r.) (dotyczy podmiotów kluczowych; podmioty ważne — audyt na żądanie organu).