RODO i cyberbezpieczeństwo

NIS2 w małej placówce medycznej: czy KSC Cię dotyczy

Opublikowano: 17 lipca 2026 Zaktualizowano: 26 lipca 2026

Stan prawny na: 26 lipca 2026

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która wdraża unijną dyrektywę NIS2, obowiązuje w Polsce od 3 kwietnia 2026 roku. Sektor ochrony zdrowia jest nią objęty, ale przepisy dotyczą przede wszystkim średnich i dużych podmiotów: przy zatrudnieniu poniżej 50 osób i obrocie do 10 mln EUR Twoja placówka zwykle nie jest ani podmiotem kluczowym, ani ważnym w rozumieniu ustawy. Sprawdź to w teście poniżej, zamiast opierać się na artykułach napisanych przed uchwaleniem przepisów.

Ustawa jest już uchwalona: co się zmieniło od 2024 roku

Wiele tekstów o NIS2 w polskim internecie powstało w 2024 roku, gdy projekt ustawy o KSC krążył jeszcze w konsultacjach. Stan się zmienił. Sejm uchwalił nowelizację 23 stycznia 2026 roku, prezydent Karol Nawrocki podpisał ją 19 lutego 2026 roku, a 2 marca 2026 roku została opublikowana w Dzienniku Ustaw. Weszła w życie 3 kwietnia 2026 roku, miesiąc po publikacji.

Prezydent podpisał ustawę, ale równocześnie skierował ją do kontroli następczej Trybunału Konstytucyjnego. Zastrzeżenia budzi między innymi objęcie ustawą aż 18 branż, szerzej niż wymaga dyrektywa unijna, a także zasady dotyczące dostawców wysokiego ryzyka i wysokość kar. Postępowanie przed Trybunałem toczy się nadal (stan na 19 lipca 2026), ale nie wstrzymuje to obowiązywania ustawy: przepisy działają w całości i terminy biegną.

Czy sektor ochrony zdrowia jest objęty ustawą

Tak. Ochrona zdrowia jest jednym z sektorów wymienionych w załączniku nr 1 do ustawy o KSC. To nie oznacza automatycznej kwalifikacji każdej placówki. O tym, czy podlegasz obowiązkom, decyduje przede wszystkim wielkość podmiotu: zatrudnienie oraz obrót lub suma bilansowa (art. 5 ustawy o KSC).

Duży podmiot leczniczy, zatrudniający co najmniej 250 osób lub przekraczający próg średniego przedsiębiorstwa pod względem obrotu i sumy bilansowej, jest podmiotem kluczowym. Podmiot zatrudniający od 50 do 249 osób jest podmiotem ważnym. Placówka poniżej tych progów pozostaje co do zasady poza zakresem ustawy.

Test: czy Twoja placówka podlega ustawie o KSC

Odpowiedz na poniższe pytania, żeby wstępnie ocenić swoją sytuację. To test orientacyjny, nie zastępuje analizy prawnej konkretnego przypadku. Możesz też przejść test kwalifikacji placówki pod NIS2 w naszym interaktywnym narzędziu.

Czy Twoja placówka świadczy usługi zdrowotne w Polsce (podmiot leczniczy, przychodnia, szpital, praktyka zawodowa)?
Ile osób liczy Twój zespół łącznie z podmiotami z Tobą powiązanymi i częściowo partnerskimi (patrz wyjaśnienie niżej)?
Czy Twój roczny obrót lub suma bilansowa przekraczają 10 mln EUR?
Czy mieścisz się w przedziale 50-249 zatrudnionych, przy obrocie do 50 mln EUR lub sumie bilansowej do 43 mln EUR?
Czy zatrudniasz 250 osób lub więcej, albo przekraczasz próg średniego przedsiębiorstwa z pytania 4?
Czy Twoja placówka jest jedynym miejscem w regionie świadczącym dany rodzaj świadczeń zdrowotnych, na przykład jedynym ośrodkiem określonego typu w powiecie?

Pytanie 2 wymaga ostrożności. Ustawa liczy zatrudnienie metodą rocznych jednostek pracy z załącznika I do rozporządzenia Komisji (UE) nr 651/2014. Do tej metody wlicza się także personel podmiotów z Tobą powiązanych, a częściowo również personel podmiotów partnerskich, zgodnie z art. 6 ust. 2-4 tego załącznika, do którego odsyła art. 5 ust. 6-7 ustawy o KSC. Osoby na umowach zlecenia wchodzą do tego stanu tylko wtedy, gdy prawo krajowe traktuje je jak pracowników. Nie jest to automatyczne dla każdej umowy cywilnoprawnej, więc przy niejednoznacznym składzie zespołu lepiej policzyć to z doradcą niż zgadywać.

Osobna zasada dotyczy podmiotu leczniczego, który nie jest przedsiębiorcą, na przykład części SPZOZ-ów: dla niego liczy się wyłącznie liczba zatrudnionych, bez progu obrotu czy sumy bilansowej. Od 50 do 249 osób to podmiot ważny, 250 i więcej to podmiot kluczowy (art. 5 ust. 8 ustawy o KSC).

Jeśli na pytanie 1 odpowiadasz “tak”, ale mieścisz się poniżej progów z pytań 2-3 (mniej niż 50 osób, obrót do 10 mln EUR), Twoja placówka najprawdopodobniej nie jest ani podmiotem kluczowym, ani ważnym. “Tak” na pytanie 4 oznacza status podmiotu ważnego, a na pytanie 5 status podmiotu kluczowego. Pytanie 6 dotyczy wyjątku niezależnego od wielkości. Zgodnie z art. 7l ustawy o KSC organ właściwy do spraw cyberbezpieczeństwa (dla ochrony zdrowia jest to minister właściwy do spraw zdrowia) może, w drodze decyzji, uznać podmiot z załącznika nr 1 lub 2 do ustawy za podmiot kluczowy albo ważny niezależnie od wielkości, jeśli spełnia co najmniej jedną z czterech przesłanek:

podmiot jako jedyny świadczy usługę o kluczowym znaczeniu dla krytycznej działalności społecznej lub gospodarczej
zakłócenie tej usługi zagrażałoby bezpieczeństwu państwa, porządkowi publicznemu, obronności lub zdrowiu publicznemu
zakłócenie tej usługi groziłoby ryzykiem systemowym dla innych podmiotów kluczowych lub ważnych
usługa ma istotne znaczenie na poziomie wojewódzkim, krajowym lub dla dwóch i więcej sektorów

To nie jest automatyczne: wymaga indywidualnej decyzji organu, nie samodzielnego uznania się za objętego ustawą. W podstawowej opiece zdrowotnej (POZ) i ambulatoryjnej opiece specjalistycznej (AOS) zdarza się to rzadko, ale warto to zweryfikować, zwłaszcza gdy jesteś jedynym ośrodkiem danego typu w okolicy.

Jeśli test wskazuje “tak”: czego wymaga ustawa

Zakres obowiązków zależy od tego, czy jesteś podmiotem ważnym, czy kluczowym.

Obszar	Podmiot ważny	Podmiot kluczowy
Wpis do wykazu podmiotów KSC	zgodnie z harmonogramem ministra (patrz niżej)	zgodnie z harmonogramem ministra (patrz niżej)
Wdrożenie systemu zarządzania bezpieczeństwem informacji i procedur (ryzyko, incydenty, ciągłość działania)	do 3 kwietnia 2027	do 3 kwietnia 2027
Zgłaszanie poważnych incydentów do CSIRT	wczesne ostrzeżenie 24h, pełne zgłoszenie 72h, sprawozdanie końcowe do 1 miesiąca	wczesne ostrzeżenie 24h, pełne zgłoszenie 72h, sprawozdanie końcowe do 1 miesiąca
Pierwszy audyt bezpieczeństwa	brak obowiązku cyklicznego, audyt doraźny w razie kontroli	do 3 kwietnia 2028, potem co najmniej co 3 lata
Nadzór organu właściwego	ex post, czyli po zdarzeniu	ex ante i ex post
Maksymalna kara pieniężna	do 7 mln EUR albo do 1,4% rocznego przychodu (art. 73 ust. 4; ustawa nie nakazuje tu stosować kwoty wyższej)	do 10 mln EUR albo do 2% rocznego przychodu, przy czym zastosowanie ma kwota wyższa, i nie mniej niż 20 000 zł (art. 73 ust. 3)

Termin wpisu do wykazu nie jest sztywną datą zapisaną wprost w ustawie. Art. 34 ust. 3 ustawy nowelizującej nakazuje ministrowi właściwemu do spraw informatyzacji ogłoszenie w jego dzienniku urzędowym komunikatu z harmonogramem: kiedy poszczególne rodzaje podmiotów kluczowych i ważnych mają złożyć wniosek o wpis i kiedy zaczynają korzystać z systemu teleinformatycznego wykazu. Ten harmonogram może być zmieniany, jeśli z przyczyn technicznych lub organizacyjnych dotrzymanie go okaże się niemożliwe (art. 34 ust. 5).

Zgodnie z komunikatem Ministra Cyfryzacji z 8 kwietnia 2026 r. podmioty, które nie zostały wpisane do wykazu z urzędu (dotyczy to zdecydowanej większości placówek medycznych kwalifikujących się po raz pierwszy), rejestrują się samodzielnie w oknie od 7 maja do 3 października 2026 r. Zanim jednak zaplanujesz działania wokół tej daty, sprawdź aktualną treść komunikatu na stronie Ministerstwa Cyfryzacji. Harmonogram z założenia może się zmienić.

Placówka, która próg wielkości przekroczy dopiero w przyszłości, nie czeka na kolejne okno harmonogramu: zgodnie z art. 7c ust. 1 znowelizowanej ustawy o KSC ma 6 miesięcy na złożenie wniosku o wpis, licząc od dnia spełnienia przesłanek uznania za podmiot kluczowy lub ważny. To reguła stała, wpisana wprost do ustawy, w przeciwieństwie do harmonogramu dla pierwszej fali rejestracji.

Kar pieniężnych organ nie nałoży przed 3 kwietnia 2028 roku (art. 35 ustawy nowelizującej), ale to nie zwalnia z obowiązku terminowej rejestracji ani z przygotowania procedur już teraz.

Co zrobić z wynikiem testu

Jeśli test wskazuje na status podmiotu kluczowego lub ważnego, albo wynik jest niejednoznaczny przez pytanie 6, zacznij od formalnej analizy przed samodzielnym wpisem do wykazu: błędna samoocena też bywa kosztowna. Zespół RODO i cyberbezpieczeństwo BSA sprawdza kwalifikację, przygotowuje dokumentację i prowadzi przez rejestrację w wykazie.

Jeśli test wskazuje, że jesteś poza zakresem ustawy o KSC, obowiązki związane z bezpieczeństwem danych pacjentów i tak nie znikają: reguluje je RODO. Podstawy ochrony danych w gabinecie opisaliśmy w artykule o zasadach RODO w gabinecie lekarskim, a procedurę na wypadek naruszenia, na przykład włamania do systemu z danymi pacjentów, w artykule o tym, co robić przy wycieku danych pacjentów.

Twoja dokumentacja RODO przejdzie kontrolę?

Sprawdzimy, czego brakuje, i uzupełnimy to zawczasu. Po incydencie albo skardze pacjenta masz na reakcję 72 godziny, nie tydzień.

Najczęstsze pytania

Czy gabinet jednoosobowy podlega NIS2?

Nie, w zdecydowanej większości przypadków. Jednoosobowa praktyka czy mały gabinet nie osiągają nawet progu małego przedsiębiorstwa (50 zatrudnionych, 10 mln EUR obrotu), a ustawa o KSC obejmuje placówki ochrony zdrowia dopiero od progu średniego przedsiębiorstwa, czyli co najmniej 50 zatrudnionych. Wyjątkiem są rzadkie sytuacje, gdy gabinet jest jedynym dostawcą określonego świadczenia w regionie. To warto zweryfikować indywidualnie.

Jakie kary grożą za brak wdrożenia?

Podmiot kluczowy ryzykuje karą do 10 mln EUR albo 2% rocznego przychodu, przy czym ustawa nakazuje zastosować kwotę wyższą (art. 73 ust. 3). Przy podmiocie ważnym granicą jest 7 mln EUR albo 1,4% przychodu, ale przepis o kwocie wyższej dotyczy wyłącznie podmiotu kluczowego. Organ nie nałoży kar przed 3 kwietnia 2028 roku (art. 35 ustawy nowelizującej), co nie przesuwa terminu wdrożenia: ten upływa 3 kwietnia 2027 roku i odroczenie sankcji nie daje dodatkowego roku na przygotowania.

Od kiedy obowiązują przepisy?

Znowelizowana ustawa o KSC obowiązuje od 3 kwietnia 2026 roku (Dz.U. 2026 poz. 252). Wdrożenie procedur bezpieczeństwa ma ustawowy termin: 12 miesięcy od wejścia w życie, czyli do 3 kwietnia 2027. Wpis do wykazu KSC nie ma sztywnej daty w samej ustawie: podmioty kwalifikujące się już 3 kwietnia 2026 rejestrują się zgodnie z harmonogramem ministra właściwego do spraw informatyzacji (aktualnie do 3 października 2026, zgodnie z komunikatem z 8 kwietnia 2026 r., który może się zmienić), a podmioty przekraczające próg później mają 6 miesięcy od dnia spełnienia przesłanek.

Czy placówka poza zakresem ustawy o KSC nie ma żadnych obowiązków w cyberbezpieczeństwie?

Ma, tylko wynikają z RODO. Artykuł 32 RODO wymaga od każdego administratora danych, niezależnie od wielkości, wdrożenia środków bezpieczeństwa odpowiednich do ryzyka, a dane medyczne są danymi szczególnej kategorii. Brak statusu podmiotu kluczowego czy ważnego nie oznacza więc braku odpowiedzialności za bezpieczeństwo danych pacjentów.

Źródła

Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani podatkowej. Twoja sytuacja może wymagać indywidualnej analizy - .