NIS2 i KSC w szpitalach i podmiotach leczniczych

SP ZOZ i inne podmioty lecznicze, które nie są przedsiębiorcami

Dla podmiotu leczniczego, który nie jest przedsiębiorcą - przede wszystkim samodzielnego publicznego zakładu opieki zdrowotnej - ustawa ma własne progi: od 50 do 249 zatrudnionych to podmiot ważny, a od 250 osób - podmiot kluczowy (art. 5 ust. 8). W podmiocie leczniczym niebędącym przedsiębiorcą liczą się według Ministerstwa Cyfryzacji wszystkie osoby zatrudnione - na umowę o pracę i na umowach cywilnoprawnych, w pełnym i niepełnym wymiarze - według stanu na dzień sporządzenia sprawozdania finansowego; SP ZOZ zatrudniający mniej niż 50 osób nie podlega ustawie (art. 5 ust. 5 i 8; MC, Q&A z 1.10.2026, pyt. 3.20 i 3.23).

Szpital-spółka i inni przedsiębiorcy

Szpital w formie spółki - także z udziałem samorządu - jest przedsiębiorcą, więc podlega regule ogólnej: średnie przedsiębiorstwo jest podmiotem ważnym, duże kluczowym (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1). Wielkość liczy się według definicji MŚP, razem z przedsiębiorstwami powiązanymi i partnerskimi - spółka z grupy, która sama jest mała, może więc podlegać ustawie.

Wyłączenia

• Służby specjalne oraz podmioty podległe Ministrowi Obrony Narodowej lub przez niego nadzorowane nie są podmiotami kluczowymi ani ważnymi; minister wskazuje decyzją niepodlegającą ogłoszeniu jednostki, które uznaje się za takie podmioty (art. 5 ust. 10-11).
• Ustawy nie stosuje się do podmiotów wykonujących działalność leczniczą, tworzonych przez Szefa ABW lub Szefa AW (art. 1 ust. 2 pkt 3).

Kilka rodzajów działalności

Szpital, który prowadzi też aptekę ogólnodostępną, laboratorium dla innych podmiotów albo dostarcza wodę, wykazuje każdą z tych działalności. Ustawie podlega każda działalność wskazana w załącznikach - główna i pomocnicza (dla wody, ścieków i odpadów załącznik wymaga, by była podstawową lub istotną częścią działalności); kilka rodzajów działalności wykazuje się we wniosku o wpis odrębnie (art. 7d ust. 2; MC, Q&A z 1.10.2026, pyt. 2.8).

Status szybko sprawdzisz w kwalifikatorze NIS2/KSC - z zaznaczoną grupą „Ochrona zdrowia”.

Systemy, na których opiera się szpital

• Szpitalny system informacyjny i elektroniczna dokumentacja medyczna - usługodawcy są obowiązani prowadzić elektroniczną dokumentację medyczną (art. 11 ust. 1 ustawy o systemie informacji w ochronie zdrowia).
• Integracja z P1 - recepty i skierowania oraz dane o ich realizacji usługodawca zamieszcza w SIM w czasie rzeczywistym, a po awarii platformy - niepóźniej niż w 3 dni od jej usunięcia (art. 11 ust. 5 pkt 1 i ust. 5a ustawy o systemie informacji w ochronie zdrowia).
• Systemy diagnostyczne - archiwa obrazów, systemy radiologiczne i laboratoryjne, często połączone z urządzeniami medycznymi w tej samej sieci.
• Dostęp zdalny dostawców - serwis systemów i aparatury zwykle wymaga połączeń z zewnątrz, a każde takie połączenie to potencjalna droga ataku.
• Portale i aplikacje dla pacjentów - rejestracja, wyniki badań, wideokonsultacje.

Ryzyka, które warto ocenić w pierwszej kolejności

• Ransomware i przestój - zaszyfrowane systemy oznaczają pracę na papierze; plany ciągłości działania i odtworzenia muszą być przetestowane, nie tylko spisane (art. 8 ust. 1 pkt 2 lit. f).
• Łańcuch dostaw - dostawca systemu szpitalnego, chmury czy serwisu aparatury ma dostęp do kluczowych danych. Podmiot, któremu powierzono przetwarzanie danych z dokumentacji medycznej, jest związany tajemnicą, a realizacja umowy powierzenia nie może zakłócać dostępu do danych bez zbędnej zwłoki (art. 24 ust. 5-6 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).
• Uprawnienia - osoby utrzymujące system teleinformatyczny z dokumentacją medyczną i dbające o jego bezpieczeństwo przetwarzają dane na podstawie upoważnienia administratora i są związane tajemnicą, także po śmierci pacjenta (art. 24 ust. 2 pkt 2 i ust. 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).
• Tajemnica medyczna - osoby wykonujące zawód medyczny zachowują w tajemnicy informacje związane z pacjentem, w szczególności o stanie zdrowia - także po jego śmierci (art. 14 ust. 1 i 3 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).

• Audyt zerowy NIS2 - kwalifikacja z uzasadnieniem, porównanie stanu obecnego z art. 8 ustawy i plan wdrożenia z priorytetami do 3.04.2027.
• Wdrożenie NIS2 - polityki, procedury incydentów i ciągłości działania, wymagania wobec dostawców.
• Testy penetracyjne - portale pacjentów, integracje i sieć wewnętrzna, z raportem dla zarządu i zespołu IT.
• Szkolenie dla zarządu - obowiązki kierownika z art. 8c-8e.

Podmioty kluczowe przechodzą audyt bezpieczeństwa co najmniej raz na 3 lata, pierwszy do 3 kwietnia 2028 r. Audyt z art. 15 przeprowadzamy we współpracy z partnerem, którego audytorzy spełniają wymagania ustawy - i nie audytujemy szpitala, któremu w ciągu roku przed audytem pomagaliśmy wdrażać system zarządzania bezpieczeństwem.

Budujemy też oprogramowanie dla ochrony zdrowia - zobacz oprogramowanie dla ochrony zdrowia. Szpital publiczny kupuje usługi w trybie zamówień publicznych - jak przygotować zapytanie, opisujemy w cenniku audytu NIS2.