Nowelizacja przepisów o krajowym systemie cyberbezpieczeństwa (KSC) wzbudziła spore zaniepokojenie wśród właścicieli aptek. Pojawiły się obawy, iż każda placówka – niezależnie od skali działania – zostanie obciążona kosztownymi i skomplikowanymi obowiązkami z zakresu ochrony systemów informatycznych. Naczelna Izba Aptekarska (NIA) opublikowała komunikat, w którym jednoznacznie wyjaśnia, kogo faktycznie dotyczą nowe wymogi.
Wyjaśnijmy, iż wspomniana nowelizacja stanowi wdrożenie unijnej dyrektywy NIS2. Ma na celu podniesienie odporności cyfrowej kluczowych sektorów gospodarki oraz ujednolicenie standardów ochrony systemów informatycznych w całej Unii Europejskiej. Zmiany te odchodzą od dotychczasowego nadawania statusu operatora usług kluczowych z urzędu na rzecz zasady samokwalifikacji i samorejestracji. Oznacza to, iż przedsiębiorcy sami muszą ustalić, czy spełniają kryteria branżowe i wielkościowe (głównie jako średnie i duże firmy) oraz zgłosić się do rejestru KSC. Nowela obejmuje znacznie szerszy katalog branż niż dotychczas (m.in. ochronę zdrowia, produkcję i dystrybucję leków, energetykę, usługi pocztowe czy branżę spożywczą). Za brak realizacji obowiązków przewiduje wysokie surowe kary finansowe sięgające milionów euro.
Z opublikowanego stanowiska NIA wynika jasny wniosek: sam fakt prowadzenia apteki ogólnodostępnej nie oznacza automatycznego objęcia nowymi obowiązkami w zakresie cyberbezpieczeństwa. najważniejsze znaczenie ma jednak wielkość przedsiębiorstwa oraz architektura używanych systemów IT.
Apteka w ustawie – co mówi prawo?
W załączniku nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa apteki ogólnodostępne zostały zakwalifikowane do sektora ochrony zdrowia (w podsektorze dotyczącym produkcji i dystrybucji produktów leczniczych i wyrobów medycznych). Obecność w tym wykazie oznacza jedynie, iż branża mieści się w obszarze zainteresowania ustawy, ale nie przesądza automatycznie o nadaniu konkretnej aptece statusu podmiotu kluczowego lub ważnego. Aby przedsiębiorca musiał spełniać rygorystyczne wymogi, musi spełnić dodatkowe kryteria.
O tym, czy apteka podlega pod przepis KSC, decyduje przede wszystkim skala prowadzonej działalności (zatrudnienie, obrót finansowy lub suma bilansowa):
- Mikro- i małe przedsiębiorstwa (NIE podlegają ustawie)
Firma, która zatrudnia mniej niż 50 osób, a jej roczny obrót lub suma bilansowa nie przekracza 10 mln EUR, nie staje się podmiotem kluczowym ani ważnym z samego faktu prowadzenia apteki. Dotyczy to zdecydowanej większości pojedynczych, niezależnych placówek. - Średnie przedsiębiorstwa (Podmioty Ważne)
Firma zatrudniająca od 50 do 249 pracowników, z obrotem do 50 mln EUR (lub bilansem do 43 mln EUR), co do zasady uzyskuje status podmiotu ważnego. - Duże przedsiębiorstwa (Podmioty Kluczowe)
Podmioty przekraczające kryteria dla średnich firm są kwalifikowane jako podmioty kluczowe.
Pułapka sieci i powiązań kapitałowych
NIA zwraca szczególną uwagę na sposób ustalania statusu przedsiębiorcy. Oceny wielkości firmy nie dokonuje się wyłącznie na podstawie liczby pracowników w jednej aptece. W przypadku aptek funkcjonujących w ramach grup kapitałowych lub sieci konieczne jest zbadanie powiązań prawno-finansowych. o ile podmiot jest powiązany z innymi firmami, ich dane mogą być sumowane, co potencjalnie zmieni status małej apteki na średnie lub duże przedsiębiorstwo.
Wyjątek od reguły sumowania: Niezależność IT
Ustawa o KSC przewiduje jednak istotny wyjątek. jeżeli osiągnięcie wyższych progów zatrudnienia lub obrotów wynika wyłącznie z uwzględnienia podmiotów powiązanych, ale system informatyczny danej apteki jest całkowicie niezależny od systemów partnerów i apteka nie świadczy z nimi usług wspólnie, wówczas zastosowanie mają szczególne zasady pozwalające na odrębne traktowanie (art. 5 ust. 6 i 7 ustawy).
Wyjątkowa decyzja organu (Art. 71 KSC)
Nawet jeżeli apteka jest mikro- lub małym przedsiębiorstwem i teoretycznie nie podlega przepisom, organ adekwatny ds. cyberbezpieczeństwa może – na podstawie art. 71 ustawy – wydać indywidualną decyzję nakładającą obowiązki.
Może się tak stać w szczególnych przypadkach, np. gdy zakłócenie działania danej apteki spowodowałoby poważne zagrożenie dla zdrowia publicznego lub generowało ryzyko systemowe w skali regionalnej lub krajowej. W sytuacji wydania takiej decyzji, apteka ogólnodostępna od razu zyskuje status podmiotu kluczowego.
Wnioski dla właścicieli aptek
Z komunikatu Naczelnej Izby Aptekarskiej wynika, iż sam fakt posiadania zezwolenia na prowadzenie apteki ogólnodostępnej nie nakłada obowiązków z ustawy o KSC. Właściciele aptek powinni przeanalizować status swojego przedsiębiorstwa według stanu na dzień sporządzenia sprawozdania finansowego. Podmioty działające w sieciach lub grupach powinny zweryfikować stopień niezależności swoich systemów informatycznych.
– Konkludując, obowiązki adekwatne dla podmiotów kluczowych i ważnych nie dotyczą automatycznie każdego przedsiębiorcy prowadzącego aptekę ogólnodostępną. Decydujący jest status przedsiębiorcy, ustalany przede wszystkim na podstawie kryteriów wielkości przedsiębiorstwa oraz zasad dotyczących przedsiębiorstw partnerskich i powiązanych, z uwzględnieniem wyjątków przewidzianych w ustawie o KSC, w tym możliwości uznania przedsiębiorcy za podmiot najważniejszy w drodze decyzji wydanej na podstawie art. 7l ustawy – czytamy w komunikacie NIA.
