Sektor ochrony zdrowia znajduje się w załączniku nr 1 do ustawy o KSC, co oznacza, że podmioty lecznicze mogą być zarówno podmiotami kluczowymi, jak i ważnymi. Kluczowe znaczenie ma wielkość podmiotu oraz jego forma prawna. Szpitale będące przedsiębiorcami podlegają ogólnym progom wielkościowym: duży przedsiębiorca (≥250 pracowników lub obrót >50 mln EUR) to podmiot kluczowy z załącznika nr 1, a średni (50–249 pracowników) to podmiot ważny.
| Forma prawna szpitala | Zatrudnienie | Status KSC |
|---|---|---|
| Szpital-przedsiębiorca (sp. z o.o., SA) | ≥ 250 osób (duży) | Podmiot kluczowy (art. 5 ust. 1 pkt 1) |
| Szpital-przedsiębiorca (sp. z o.o., SA) | 50–249 osób (średni) | Podmiot ważny (art. 5 ust. 2 pkt 1) |
| SPZOZ (niebędący przedsiębiorcą) | ≥ 250 osób | Podmiot kluczowy (art. 5 ust. 8 pkt 2) |
| SPZOZ (niebędący przedsiębiorcą) | 50–249 osób | Podmiot ważny (art. 5 ust. 8 pkt 1) |
| Szpital utworzony przez ABW/AW | Dowolne | Wyłączony z KSC (art. 1 ust. 2 pkt 3) |
Szpitale korzystające z podwykonawców medycznych powinny pamiętać, że podwykonawcy świadczący usługi wskazane w załączniku nr 1 (np. laboratoria diagnostyczne, podmioty świadczące usługi telemedycyny) mogą samodzielnie podlegać KSC, jeżeli spełniają progi wielkościowe. Niezależnie od tego szpital ma obowiązek zarządzania bezpieczeństwem łańcucha dostaw swoich dostawców ICT.
Każdy szpital będący podmiotem kluczowym lub ważnym musi wdrożyć system zarządzania bezpieczeństwem informacji (SZBI) zgodny z art. 8 ustawy o KSC. SZBI obejmuje systemy informacyjne wykorzystywane do świadczenia usług zdrowotnych — w tym systemy HIS, RIS/PACS, laboratoryjne (LIS), apteczne oraz infrastrukturę sieciową szpitala.
Szpital jako podmiot kluczowy lub ważny ma obowiązek zgłaszania incydentów poważnych do właściwego CSIRT sektorowego. Ustawa wprowadza trzyetapowy model raportowania, który wymaga szybkiej reakcji — szczególnie istotnej w kontekście ochrony zdrowia, gdzie incydent cybernetyczny może bezpośrednio zagrażać życiu pacjentów.
| Etap | Termin | Zakres zgłoszenia |
|---|---|---|
| Wczesne ostrzeżenie | 24 godziny od wykrycia | Wstępna informacja o incydencie — czy podejrzewane jest działanie bezprawne, czy może mieć wpływ transgraniczny |
| Zgłoszenie incydentu | 72 godziny od wykrycia | Aktualizacja wczesnego ostrzeżenia, wstępna ocena incydentu, jego dotkliwości i skutków, wskaźniki naruszenia bezpieczeństwa |
| Sprawozdanie końcowe | 1 miesiąc od zgłoszenia | Szczegółowy opis incydentu, rodzaj zagrożenia, zastosowane środki zaradcze, skutki transgraniczne |
Zgodnie z art. 8c ustawy o KSC kierownik podmiotu kluczowego lub ważnego ponosi odpowiedzialność za wykonywanie obowiązków z zakresu cyberbezpieczeństwa. W przypadku szpitala kierownikiem jest dyrektor placówki (kierownik jednostki w rozumieniu ustawy o rachunkowości, a w przypadku SPZOZ — kierownik jednostki sektora finansów publicznych). Odpowiedzialność ta jest osobista i nie wygasa nawet w przypadku delegowania zadań na inne osoby (art. 8c ust. 3).
Poniżej znajduje się praktyczna lista kontrolna wdrożenia KSC w szpitalu. Kolejność odpowiada zalecanemu harmonogramowi działań w ramach terminów ustawowych.
Pomagamy we wdrożeniu KSC od identyfikacji statusu po pełny audyt.
Sprawdzimy status Twojej organizacji, wskażemy obowiązki i zaproponujemy ścieżkę do zgodności z KSC. Pierwsza konsultacja bezpłatna.
Ta strona wykorzystuje wyłącznie niezbędne pliki cookie zapewniające prawidłowe działanie serwisu (np. zapamiętanie Twojego wyboru w tym oknie). Nie stosujemy plików cookie marketingowych ani analitycznych. Szczegóły znajdziesz w polityce prywatności.