dyrektywa NIS2

Dyrektywa NIS2 i jej obowiązywanie w samorządzie

W odpowiedzi na tytułowe pytanie kluczowe znaczenie ma zaliczenie konkretnego administratora do kategorii PKW na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 i projektu ustawy ją wdrażającej, tj. nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa.

Podmioty publiczne jako adresaci dyrektywy

Obecnie, na ustawa o krajowym systemie cyberbezpieczeństwa zawiera m.in. Rozdział 2 „Identyfikacja i rejestracja operatorów usług kluczowych”. Projektowane przepisy zmieniają zarówno jego tytuł (na „Identyfikacja podmiotów kluczowych i podmiotów ważnych”), jak i istotnie modyfikują brzmienie przepisów, dostosowując je m.in. pod funkcjonującą w ramach dyrektywy kategorię PKW. „Podmiot publiczny” w rozumieniu omawianych przepisów to podmiot wskazany w załączniku nr 1 do uksc w projektowanym brzmieniu w sektorze „podmioty publiczne”.

Administratorzy danych osobowych będący podmiotami kluczowymi i ważnymi (PKW)

Podmioty kluczowe i ważne (PKW) powinny stosować niektóre przepisy dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 (dalej zwanej NIS-2 lub dyrektywą; patrz: podstawa prawna). W jakim zakresie? Podstawowe znaczenie ma tu zaliczenie konkretnego administratora do sektora PKW na podstawie dyrektywy i projektu ustawy ją wdrażającej, tj. nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa.

Szczegóły postępowania z PKW i datę wejścia w życie nowych obowiązków zostaną ustalone we wspomnianej nowelizacji. 

Do podmiotów kluczowych zaliczane są zwłaszcza podmioty będące dużymi przedsiębiorcami, wymienione sektorowo w załączniku nr 1 do projektowanej ustawy. Z kolei do podmiotów ważnych przepisy zaliczają wymienione sektorowo w załączniku nr 1 lub 2 ustawy podmioty, które spełniają wymogi dla średniego przedsiębiorcy i nie są jednocześnie podmiotami kluczowymi.

Przykład: Załącznik nr 1 wymienia np. konkretną działalność wydobywczą, energetyczną, bankową oraz podmioty lecznicze. Załącznik nr 2 obejmuje np. produkcję, wytwarzanie i dystrybucję chemikaliów.

Niezależnie od wielkości podmiotu, za PKW można np. dodatkowo uznać podmiot tak zidentyfikowany na podstawie przepisów ustawy.

Każdy administrator musi samodzielnie ocenić, czy zalicza się do kategorii PKW i na tej podstawie docelowo złożyć wniosek o wpis do wykazu PKW (ustawa będzie regulować procedurę wpisową).

Posiadanie określonej kategorii PKW ma wpływ głównie na zakres odpowiedzialności konkretnego administratora za naruszenie przepisów.

Czym jest dyrektywa NIS2

Przypomnijmy, że dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (dyrektywa NIS2) to regulacja, która w celu podniesienia poziomu cyberbezpieczeństwa w kluczowych sektorach nakłada obowiązki na tzw. podmioty kluczowe i ważne, obligując je do wdrożenia środków zarządzania ryzykiem, zgłaszania incydentów a także przestrzegania zasad nadzoru i egzekwowania przepisów.

Nowe przepisy obejmują szpitale i inne placówki medyczne

Zalicza się do nich średnie i duże placówki medyczne, w tym szpitale, laboratoria oraz producentów farmaceutycznych. Są to także placówki niepubliczne. Do sektorów kluczowych zaliczono bowiem opiekę zdrowotną tj.:

• świadczeniodawców w rozumieniu art. 3 lit. g) dyrektywy Parlamentu Europejskiego i Rady 2011/24/UE;

• laboratoria referencyjne UE, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371;

• podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2001/83/WE;

• podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2

• podmioty produkujące wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123.

Świadczeniodawca to każda osoba fizyczną lub prawną bądź inną jednostkę organizacyjną legalnie świadczącą opiekę zdrowotną na terenie państwa członkowskiego. Z tego względu każda placówka medyczna musi sprawdzić, czy została zobowiązana do stosowania dyrektywy.