Jak sprawdzić, czy podmiot leczniczy podlega pod UKSC?
Ustawa o krajowym systemie cyberbezpieczeństwa (UKSC) wprowadza nowe obowiązki dla wielu podmiotów działających w sektorze ochrony zdrowia. Jednym z pierwszych pytań, jakie pojawia się po stronie szpitali, przychodni i innych podmiotów leczniczych, jest to, czy organizacja będzie uznana za podmiot ważny lub kluczowy.
Od tej kwalifikacji zależy zakres obowiązków związanych z cyberbezpieczeństwem, zarządzaniem ryzykiem czy zgłaszaniem incydentów. Wyjaśniamy, jak sprawdzić, czy podmiot leczniczy podlega pod UKSC i jak przygotować się na zmiany.
Jak ustalić, czy organizacja jest podmiotem leczniczym?
Pierwszym krokiem do właściwej kwalifikacji podlegania pod UKSC jest ustalenie, czy dana organizacja w ogóle jest podmiotem leczniczym w rozumieniu ustawy o działalności leczniczej. Podmiotami leczniczymi mogą być m.in.:
- przedsiębiorcy wykonujący działalność leczniczą,
- samodzielne publiczne zakłady opieki zdrowotnej (SPZOZ),
- instytuty badawcze,
- jednostki budżetowe,
- fundacje,
- stowarzyszenia,
- inne podmioty wskazane w ustawie o działalności leczniczej[1].
Oznacza to, że obowiązki wynikające z UKSC mogą dotyczyć nie tylko szpitali i dużych sieci medycznych, ale również wielu innych organizacji działających w sektorze ochrony zdrowia.
Jakie kryteria decydują o objęciu podmiotu leczniczego dyrektywą NIS 2 i UKSC?
Kryteria, które decydują o objęciu obowiązkami zawartymi w UKSC, różnią się w zależności od tego, czy podmiot leczniczy jest przedsiębiorcą, czy też nie. Jakie kwestie należy wziąć pod uwagę w każdym z tych przypadków?
Podmiot leczniczy niebędący przedsiębiorcą
W przypadku takich placówek o statusie nie decydują przychody, obrót czy suma bilansowa. Kluczowe znaczenie ma liczba zatrudnionych osób.
Podmiot leczniczy niebędący przedsiębiorcą jest:
- podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób,
- podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób.
Dla wielu publicznych podmiotów ochrony zdrowia, w szczególności SPZOZ-ów i szpitali, prawidłowe ustalenie liczby zatrudnionych osób będzie więc jednym z najważniejszych elementów procesu kwalifikacji podlegania pod UKSC.
Kogo należy wliczać do liczby zatrudnionych?
Kryterium liczby zatrudnionych wydaje się proste, ale w praktyce budzi wiele wątpliwości – zwłaszcza w sektorze ochrony zdrowia. Podmioty lecznicze często współpracują z personelem medycznym na podstawie kontraktów cywilnoprawnych, umów zlecenia czy umów o świadczenie usług.
Powstaje więc pytanie: czy przy ustalaniu statusu podmiotu na gruncie UKSC należy uwzględniać wyłącznie pracowników zatrudnionych na podstawie umowy o pracę, czy również osoby współpracujące w innych formach?
Zgodnie z wyjaśnieniami Ministerstwa Cyfryzacji [2] do liczby zatrudnionych należy wliczać zarówno pracowników, jak i osoby współpracujące na podstawie umów cywilnoprawnych. Nie ma przy tym znaczenia wymiar czasu pracy.
Podmiot leczniczy będący przedsiębiorcą
W przypadku podmiotów leczniczych działających w formie przedsiębiorcy kryterium kwalifikacyjne do objęcia przez UKSC to wielkość przedsiębiorstwa określana według ogólnych zasad. Oznacza to, że:
- średni przedsiębiorca będzie kwalifikowany jako podmiot ważny,
- przedsiębiorca przekraczający progi właściwe dla średniego przedsiębiorcy będzie kwalifikowany jako podmiot kluczowy.
Przy analizie wielkości przedsiębiorstwa należy uwzględnić również reguły dotyczące przedsiębiorstw powiązanych i partnerskich, które mogą wpływać na ostateczną kwalifikację.
Dlaczego prawidłowa kwalifikacja pod UKSC ma znaczenie?
Od chwili spełnienia przesłanek uznania organizacji za podmiot ważny lub kluczowy rozpoczyna się bieg terminów na realizację obowiązków wynikających z UKSC, w tym obowiązku złożenia wniosku o wpis do wykazu podmiotów objętych tą regulacją.
Błędna kwalifikacja może skutkować opóźnieniem we wdrożeniu wymaganych środków bezpieczeństwa, nieprawidłową samoidentyfikacją lub niedochowaniem ustawowych terminów. To natomiast może generować kary, które w zależności od klasyfikacji podmiotu będą sięgać:
- do 7 mln euro lub 1,4% światowego rocznego obrotu dla podmiotów ważnych;
- do 10 mln euro lub 2% światowego rocznego obrotu dla podmiotów kluczowych.
Dodatkowo przepisy przewidują odpowiedzialność osobistą członków zarządu, którzy mogą ponieść kary sięgające nawet do 300% wynagrodzenia.
Podsumowanie
Sektor ochrony zdrowia został uznany za jeden z kluczowych obszarów z perspektywy cyberbezpieczeństwa państwa. Dlatego prawidłowe ustalenie, czy podmiot leczniczy jest objęty dyrektywą NIS 2 i jeśli tak – jaki jest jego status, to pierwszy krok przygotowania do wdrożenia wymogów UKSC.
Łącząc nasze kompetencje z zakresu prawa medycznego, ochrony danych osobowych i nowych technologii wspieramy szpitale, przychodnie, centra medyczne oraz inne podmioty lecznicze w:
- ustaleniu statusu podmiotu na gruncie UKSC,
- przeprowadzeniu procesu samoidentyfikacji,
- analizie obowiązków wynikających z UKSC i NIS 2,
- wdrożeniu środków zarządzania ryzykiem cyberbezpieczeństwa,
- przygotowaniu dokumentacji i procedur bezpieczeństwa,
- dostosowaniu organizacji do wymogów cyberbezpieczeństwa i ochrony danych osobowych.
Jeśli potrzebują Państwo wsparcia w tym zakresie – zachęcamy do kontaktu.
[1] https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20111120654/U/D20110654Lj.pdf
