NIS2 w szpitalu krok po kroku
Dyrektor szpitala dostaje pismo: „prosimy o przedstawienie analizy ryzyka cyberbezpieczeństwa oraz planu ciągłości działania”. Albo: kontrahent, dla którego placówka świadczy usługi, pyta o status zgodności z NIS2. Albo zdarza się incydent i nagle okazuje się, że ze starego systemu nie da się wyciągnąć logów. Od tej chwili NIS2 leży na biurku zarządu.
Ten artykuł tłumaczy, czego przepisy wdrażające NIS2 wymagają od szpitala i od czego praktycznie zacząć.
Czym jest NIS2 i jak działa w Polsce
NIS2 to dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 o środkach na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa, która uchyliła pierwszą dyrektywę NIS (2016/1148). Dyrektywa nie nakłada obowiązków na szpital wprost. W Polsce wdrożyła ją nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252), która weszła w życie 3 kwietnia 2026 r. Obowiązki, terminy i kary wynikają więc z ustawy o KSC (tekst jednolity Dz.U. 2026 poz. 20 ze zmianami), nie z samej dyrektywy.
Ochrona zdrowia jest wprost wskazana w załączniku nr 1 do ustawy o KSC. W podsektorze udzielania świadczeń zdrowotnych ustawa wymienia między innymi podmioty lecznicze w rozumieniu art. 4 ust. 1 ustawy o działalności leczniczej, świadczeniodawców mających w strukturze szpitalny oddział ratunkowy lub centrum urazowe oraz podmioty udzielające świadczeń jako podwykonawcy podmiotów kluczowych lub ważnych w sektorze ochrony zdrowia.
Firma dostarczająca szpitalowi oprogramowanie nie podlega ustawie tylko dlatego, że działa w ochronie zdrowia. Może podlegać jej sama, na przykład jako dostawca usług zarządzanych, jeśli spełnia kryterium wielkości (art. 5 ustawy o KSC i załącznik nr 1, sektor zarządzania usługami ICT). Niezależnie od tego szpital objęty ustawą musi zadbać o bezpieczeństwo łańcucha dostaw i ocenić swoich dostawców sprzętu i oprogramowania (art. 8 ust. 1 pkt 2 lit. e i art. 8 ust. 2 ustawy o KSC). Dlatego pytania o bezpieczeństwo trafią także do firm, które formalnie ustawie nie podlegają.
Szpital: podmiot kluczowy czy ważny
Szpital przetwarza dane o zdrowiu, czyli szczególną kategorię danych osobowych (art. 9 ust. 1 RODO), i jednocześnie świadczy usługi, których przerwanie zagraża zdrowiu i życiu. Gdy system szpitalny (HIS) stoi, izba przyjęć przyjmuje na papierze, laboratorium dzwoni z wynikami, a apteka wydaje leki bez kontroli interakcji w systemie. To ryzyko dla pacjenta.
Nie każdy szpital jest jednak podmiotem kluczowym. Status zależy od formy prawnej i wielkości. Podmiot leczniczy, który nie jest przedsiębiorcą (na przykład SPZOZ), jest podmiotem ważnym, jeśli zatrudnia od 50 do 249 osób, a podmiotem kluczowym, jeśli zatrudnia co najmniej 250 osób (art. 5 ust. 8 ustawy o KSC). Podmiot leczniczy będący przedsiębiorcą, na przykład spółka, jest podmiotem ważnym, gdy spełnia wymogi średniego przedsiębiorcy, a kluczowym, gdy je przewyższa (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1 ustawy o KSC w związku z załącznikiem I do rozporządzenia Komisji (UE) nr 651/2014). Wielkość bada się według stanu na dzień sporządzenia sprawozdania finansowego (art. 5 ust. 5). Obowiązki z rozdziału 3 ustawy dotyczą obu grup; różnice dotyczą między innymi audytu, który jest obowiązkiem podmiotu kluczowego (art. 15 ust. 1).
Ocenę własnego statusu, zwłaszcza w szpitalu z SOR albo centrum urazowym, warto potwierdzić z prawnikiem. To od niej zależy, czy placówka musiała złożyć wniosek o wpis do wykazu. Dla podmiotów spełniających przesłanki 3 kwietnia 2026 r. termin minął 3 października 2026 r., chyba że placówkę wpisano z urzędu (na przykład jako dotychczasowego operatora usług kluczowych). Placówka, która spełni przesłanki później, ma na wniosek 6 miesięcy (art. 7c ust. 1).
Dochodzi do tego zmiana podejścia: ustawa wymaga, żeby środki bezpieczeństwa były odpowiednie i proporcjonalne do oszacowanego ryzyka (art. 8 ust. 1 pkt 2), a podmiot musi mieć polityki i procedury oceny ich skuteczności (art. 8 ust. 1 pkt 2 lit. h). Samo „odhaczenie” polityk nie wystarczy, liczy się to, czy zabezpieczenia działają.
Terminy
Dla podmiotów, które spełniały przesłanki podmiotu kluczowego albo ważnego 3 kwietnia 2026 r., nowelizacja ustala następujący kalendarz:
| Termin | Co | Podstawa |
|---|---|---|
| 3 października 2026 r. | Koniec samorejestracji: wniosek o wpis do wykazu podmiotów kluczowych i ważnych | art. 7c ust. 1 ustawy o KSC, art. 33 ust. 3 i art. 34 ust. 3 pkt 1 nowelizacji, harmonogram Ministra Cyfryzacji na gov.pl |
| 3 kwietnia 2027 r. | Koniec okresu dostosowawczego: obowiązki z rozdziału 3 ustawy wdrożone, korzystanie z systemu S46 | art. 33 ust. 1 i art. 34 ust. 3 pkt 2 nowelizacji |
| 3 kwietnia 2028 r. | Termin pierwszego audytu bezpieczeństwa systemu informacyjnego podmiotu kluczowego; od tego dnia można nakładać kary pieniężne | art. 33 ust. 2 i art. 35 nowelizacji, art. 15 ust. 1 ustawy o KSC |
Główne obowiązki
Podmiot kluczowy i podmiot ważny wdrażają system zarządzania bezpieczeństwem informacji w systemie informacyjnym wykorzystywanym do świadczenia usługi (art. 8 ust. 1 ustawy o KSC). Najważniejsze obszary:
| Obszar | Co to oznacza w szpitalu | Podstawa |
|---|---|---|
| Szacowanie ryzyka | Systematyczna, udokumentowana ocena ryzyka dla systemów krytycznych (HIS, LIS, PACS, sieć), aktualizowana, nie jednorazowa | art. 8 ust. 1 pkt 1 |
| Zarządzanie incydentami | Procedury wykrywania, obsługi i rejestrowania incydentów; monitorowanie systemu w trybie ciągłym | art. 8 ust. 1 pkt 2 lit. g i pkt 4, art. 11 ust. 1 pkt 1 |
| Ciągłość działania | Plany ciągłości działania, plany awaryjne i plany odtworzenia, wdrożone, udokumentowane i przetestowane | art. 8 ust. 1 pkt 2 lit. f |
| Bezpieczeństwo łańcucha dostaw | Ocena dostawców sprzętu i oprogramowania, w tym podatności związanych z dostawcą i jakości jego produktów | art. 8 ust. 1 pkt 2 lit. e, art. 8 ust. 2 |
| Zgłaszanie incydentów | Incydent poważny: wczesne ostrzeżenie do 24 godzin i zgłoszenie do 72 godzin od wykrycia, sprawozdanie końcowe do miesiąca od zgłoszenia, do właściwego zespołu CSIRT przez system S46 | art. 11 ust. 1 pkt 4, 4a i 4c, art. 11 ust. 2 |
| Higiena i kontrola dostępu | Aktualizacje oprogramowania, polityki kontroli dostępu, kryptografia, w tym w stosownych przypadkach szyfrowanie, uwierzytelnianie wieloskładnikowe w stosownych przypadkach | art. 8 ust. 1 pkt 2 lit. k, l, n, pkt 5 lit. b |
| Dokumentacja | Dokumentacja normatywna i operacyjna bezpieczeństwa systemu, prowadzona i aktualizowana | art. 10 ust. 1 do 4 |
Dwie rzeczy łatwo przeoczyć. Po pierwsze, zapisy zdarzeń: ustawa zalicza do dokumentacji operacyjnej automatycznie generowane zapisy w dziennikach systemów informacyjnych (art. 10 ust. 4 ustawy o KSC), a ze starego systemu trudno uzyskać jakiekolwiek logi. Po drugie, dokumentacja musi istnieć i być aktualizowana na bieżąco (art. 10 ust. 1), a na żądanie organu nadzoru podmiot przekazuje dane, informacje i dokumenty (art. 53c ust. 1). Dokumentacji wytworzonej po fakcie trudno użyć jako dowodu, że obowiązki były wykonywane.
Incydent w szpitalu często jest jednocześnie naruszeniem ochrony danych osobowych. To osobny obowiązek: naruszenie zgłasza się Prezesowi UODO w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 ust. 1 RODO), a pacjentów zawiadamia się, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności (art. 34 ust. 1 RODO).
Obowiązki z ustawy o KSC trwają przez cały czas działania systemu. Jednorazowy audyt ich nie zamyka.
Odpowiedzialność kierownika
To jest zmiana, która najmocniej dotyczy zarządu. Ustawa o KSC wprost przypisuje odpowiedzialność za cyberbezpieczeństwo kierownikowi podmiotu.
- Kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków w zakresie cyberbezpieczeństwa (art. 8c ust. 1). Gdy kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie (art. 8c ust. 2).
- Powierzenie obowiązków innej osobie, na przykład kierownikowi IT, nie zdejmuje odpowiedzialności z kierownika (art. 8c ust. 3).
- Kierownik podejmuje decyzje o systemie zarządzania bezpieczeństwem informacji, planuje środki finansowe na cyberbezpieczeństwo, przydziela zadania i nadzoruje ich wykonanie (art. 8d).
- Kierownik i osoba, której powierzył obowiązki w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą szkolenie, a udział jest udokumentowany (art. 8e ust. 1 i 3).
- Karze pieniężnej może podlegać podmiot (art. 73) i kierownik, między innymi za niewykonywanie obowiązków z art. 8, 8d, 8e i 11 (art. 73a ust. 1). Kary można nakładać po 3 kwietnia 2028 r. (art. 35 nowelizacji).
Ustawa wymaga też niezwłocznego działania po dostrzeżeniu podatności lub cyberzagrożeń (art. 8 ust. 1 pkt 5 lit. d) i regularnych aktualizacji oprogramowania stosownie do zaleceń producenta (art. 8 ust. 1 pkt 5 lit. b). Szczególnie ryzykowne jest więc utrzymywanie systemu typu „czarnej skrzynki”: bez dokumentacji, bez wsparcia producenta, bez łatek bezpieczeństwa. Taki system trudno objąć szacowaniem ryzyka, monitorowaniem i planem odtworzenia, a to są obowiązki, za których wykonanie odpowiada kierownik.
Wysokość kar zależy od statusu podmiotu i rodzaju naruszenia (art. 73 i art. 73a ustawy o KSC), dlatego nie podajemy tu kwot.
Praktyczne kroki: lista kontrolna
Od czego zacząć przygotowanie szpitala. Punkty są ułożone w kolejności, w jakiej najłatwiej je realizować.
- Status i wpis do wykazu. Ustal, czy placówka jest podmiotem kluczowym, ważnym, czy żadnym z nich (art. 5 ustawy o KSC). Jeśli podlega ustawie, sprawdź, czy jest już w wykazie. Termin samorejestracji z harmonogramu Ministra Cyfryzacji dla podmiotów spełniających przesłanki 3 kwietnia 2026 r. minął 3 października 2026 r. Placówka, która wniosku nie złożyła, powinna złożyć go niezwłocznie (art. 7c ust. 1); za niezłożenie wniosku w terminie ustawa przewiduje karę dla podmiotu i dla kierownika (art. 73 ust. 1a pkt 1, art. 73a ust. 1 pkt 1). Placówka wpisana z urzędu, na przykład dotychczasowy operator usług kluczowych, wniosku nie składa, tylko uzupełnia dane w ciągu 6 miesięcy od wezwania (art. 7b ust. 2 i 4).
- Inwentaryzacja systemów i danych. Spisz wszystkie systemy krytyczne (HIS, LIS, PACS, sieć, telefonia) i urządzenia medyczne podłączone do sieci, wskaż, gdzie przetwarzane są dane medyczne, jakie są przepływy między systemami i którzy dostawcy mają zdalny dostęp: do czego, jakim kontem, od kiedy (zarządzanie aktywami, art. 8 ust. 1 pkt 2 lit. m).
- Identyfikacja systemów ryzykownych. Zaznacz systemy bez wsparcia producenta (end of life), bez dokumentacji, bez dostępu do logów. To pierwsze pozycje świecące na czerwono.
- Szacowanie ryzyka. Przeprowadź i udokumentuj ocenę ryzyka dla systemów krytycznych (art. 8 ust. 1 pkt 1). Bez dokumentacji systemu rzetelna analiza nie jest możliwa, więc luki w dokumentacji same stają się ryzykiem do opisania.
- Procedury incydentowe. Ustal, kto wykrywa incydent, kto go obsługuje, kto zgłasza wczesne ostrzeżenie w 24 godziny i incydent poważny w 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a) oraz kto zgłasza naruszenie danych do Prezesa UODO (art. 33 ust. 1 RODO). Wyznacz co najmniej dwie osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa (art. 9 ust. 1 pkt 1). Włącz monitorowanie i zapisy zdarzeń. Pierwsze kroki po wykryciu ataku porządkuje materiał Pierwsza godzina po cyberataku.
- Plan ciągłości działania. Opisz, jak placówka pracuje przy awarii systemu, jak odtwarza dane z kopii i w jakim czasie. Przetestuj odtwarzanie: wybierz jeden system, na przykład laboratoryjny, i odtwórz go z kopii na osobnym serwerze, a wynik zapisz w protokole (art. 8 ust. 1 pkt 2 lit. f). Pomagają w tym protokół testu odtworzenia kopii i procedura pracy bez systemu przez 72 godziny.
- Łańcuch dostaw. Zweryfikuj dostawców: wsparcie, łatki, dostęp do dokumentacji i danych, warunki wyjścia z umowy (art. 8 ust. 1 pkt 2 lit. e, art. 8 ust. 2). Przejrzyj stare kontrakty pod kątem zakresu licencji, okresu wsparcia, zasad zdalnego dostępu i terminu, w jakim dostawca zgłasza szpitalowi incydent po swojej stronie. Punkt wyjścia do rozmowy daje lista pytań do dostawcy oprogramowania medycznego.
- Kontrola dostępu i higiena. Uporządkuj role i uprawnienia, ustal zasady kryptografii i szyfrowania, ustaw proces aktualizacji i łatania (art. 8 ust. 1 pkt 2 lit. k i n, pkt 5 lit. b).
- Kierownik i ludzie. Wskaż osobę, której powierzasz obowiązki w zakresie cyberbezpieczeństwa, pamiętając, że odpowiedzialność zostaje przy kierowniku (art. 8c ust. 3). Zaplanuj coroczne szkolenie kierownika i tej osoby (art. 8e). Przed dopuszczeniem osób do zadań z art. 8 lub 11 odbierz od nich informację z Krajowego Rejestru Karnego o niekaralności za przestępstwa przeciwko ochronie informacji (art. 8f ust. 1).
- Dokumentacja gotowa zawczasu. Prowadź i aktualizuj dokumentację na bieżąco: analizy, plany, protokoły testów, rejestr incydentów, zapisy z dzienników systemów (art. 10 i art. 11 ust. 1 pkt 1).
Lista jest punktem wyjścia. Pełniejszą wersję, 24 punkty z opisem dowodu przy każdym, zawiera lista kontrolna KSC: gotowość szpitala na 3 kwietnia 2027.
Kolejność zależy od skali. Szpital powiatowy z kilkuosobowym działem IT zaczyna od spisu, testu kopii, procedur i umów z dostawcami, a monitorowanie zdarzeń może kupić jako usługę, jeśli umowa mówi, kto co robi w pierwszej godzinie incydentu. Szpital specjalistyczny ma dodatkowo dużo aparatury w sieci, często bez możliwości samodzielnej aktualizacji, więc wydziela ją w osobnym segmencie sieci. Sieć szpitali może zrobić jeden spis, jedne procedury i wspólne wymagania wobec dostawców, pod warunkiem że ktoś w grupie ma mandat, żeby je egzekwować. Szerzej o dobieraniu IT do wielkości placówki: Kwestia skali.
Od czego zacząć w tym tygodniu
Najtrudniejszy jest porządek: wiedza o tym, jakie systemy ma placówka, kto za nie odpowiada i czy da się je odtworzyć po awarii. Największe ryzyko, także dla kierownika, niosą systemy, których nikt w szpitalu nie potrafi opisać w dokumentacji wymaganej przez ustawę.
Dane szpitala są szpitala, oprogramowanie jest na licencji. Dostęp do danych przez udokumentowane interfejsy z kontrolą uprawnień i dziennikiem zdarzeń oraz jasne warunki wyjścia z umowy należą więc do zarządzania ryzykiem. Brak któregoś z nich to pozycja do szacowania ryzyka i do rozmowy z dostawcą.
Pierwszy krok to spotkanie dyrektora z kierownikiem IT nad jednym pytaniem: który system zatrzymałby szpital na dobę i kiedy ostatnio ktoś odtworzył go z kopii? Jeśli nikt nie zna odpowiedzi, od tego zaczyna się plan do kwietnia 2027 r.
To materiał edukacyjny, nie porada prawna. Stan prawny na 7 października 2026 r.: ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (t.j. Dz.U. 2026 poz. 20 ze zm.), nowelizacja Dz.U. 2026 poz. 252, rozporządzenie (UE) 2016/679 (RODO). Terminy dotyczą podmiotów, które spełniały przesłanki 3 kwietnia 2026 r. Status konkretnej placówki potwierdź z prawnikiem. Jeśli chcesz zobaczyć, jak podchodzimy do bezpieczeństwa i ciągłości działania w praktyce, zajrzyj do jak prowadzimy transformację albo do innych tekstów w sekcji wiedza.