Do konsultacji publicznych i opiniowania trafił projekt rozporządzenia Rady Ministrów określający progi uznania incydentu za poważny w poszczególnych sektorach objętych krajowym systemem cyberbezpieczeństwa. Dla ochrony zdrowia przewidziano różne kryteria zależnie od rodzaju usługi – od ponad godziny niedostępności elektronicznej dokumentacji medycznej po ponad 24 godziny w przypadku udzielania świadczeń zdrowotnych. Projekt obejmuje również obrót i dystrybucję substancji czynnych, produktów leczniczych i wyrobów medycznych, a osobne kryteria określono dla producentów wyrobów medycznych i IVD.
Z tego artykułu dowiesz się…
- Jakie progi przewidziano dla cyberincydentów w ochronie zdrowia.
- Kiedy niedostępność EDM, systemów PRM i e-krew może zostać uznana za poważny incydent.
- Jakie kryteria mają dotyczyć rynku leków, wyrobów medycznych i producentów IVD.
- Kiedy projektowane rozporządzenie ma wejść w życie.
Rząd określa progi uznania cyberincydentu za poważny
Projekt rozporządzenia Rady Ministrów z 2 września 2026 r. został skierowany do konsultacji publicznych i opiniowania. Akt ma określić progi uznania incydentu za poważny według rodzaju zdarzenia w sektorach i podsektorach wskazanych w załącznikach nr 1 i 2 do ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.
Regulacja nie będzie obejmowała progów dla tych podmiotów, dla których zostały one określone przez Komisję Europejską w akcie wykonawczym wydanym na podstawie art. 23 ust. 11 dyrektywy NIS 2.
W sektorze ochrony zdrowia co do zasady pozostawiono dotychczasowe progi, uzupełniając je dla podmiotów, które wcześniej nie znajdowały się w krajowym systemie cyberbezpieczeństwa. Dotyczy to m.in. obszaru produkcji i dystrybucji substancji czynnych, produktów leczniczych oraz wyrobów medycznych.
Ochrona zdrowia – kiedy incydent zostanie uznany za poważny?
Projekt szczegółowo różnicuje kryteria w zależności od rodzaju działalności i systemu, którego dotyczy zdarzenie.
Udzielanie świadczeń zdrowotnych i zdrowie publiczne
Incydent dotyczący systemu świadczenia świadczeń gwarantowanych
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do niedostępności usługi powyżej 24 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora:
- incydent doprowadził do braku poufności danych przetwarzanych w usłudze lub
- incydent doprowadził do braku integralności danych przetwarzanych w usłudze.
Incydent dotyczący udzielania świadczenia opieki zdrowotnej
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do niedostępności usługi powyżej 24 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Incydent dotyczący gromadzenia i udostępniania elektronicznej dokumentacji medycznej
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do niedostępności usługi powyżej 1 godziny;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora:
- incydent doprowadził do braku poufności danych przetwarzanych w usłudze lub
- incydent doprowadził do braku integralności danych przetwarzanych w usłudze.
Incydent dotyczący zarządzania danymi epidemiologicznymi
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do niedostępności usługi powyżej 2 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora:
- incydent doprowadził do braku poufności danych przetwarzanych w usłudze lub
- incydent doprowadził do braku integralności danych przetwarzanych w usłudze.
Incydent dotyczący dowodzenia jednostkami systemu Państwowego Ratownictwa Medycznego
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziawania incydentu na świadczoną usługę: incydent doprowadził do niedostępności usługi powyżej 1 godziny;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Laboratoria referencyjne i systemy informacyjne ochrony zdrowia
Incydent dotyczący działalności laboratoriów referencyjnych UE
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do braku możliwości realizacji zadania publicznego powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Incydent dotyczący działalności jednostki podległej ministrowi właściwemu do spraw zdrowia albo przez niego nadzorowanej, właściwej w zakresie systemów informacyjnych ochrony zdrowia
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do braku możliwości realizacji zadania publicznego powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- niemożliwość realizacji zadań z zakresu obronności, bezpieczeństwa państwa, ochrony ludności, obrony cywilnej oraz bezpieczeństwa i porządku publicznego powyżej 2 godzin,
- niedostępność systemu informacyjnego obsługującego rejestr publiczny powyżej 4 godzin,
- niedostępność systemu e-krew powyżej 4 godzin,
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Inspekcja Sanitarna, ratownictwo medyczne i publiczna służba krwi
Incydent dotyczący urzędów obsługujących organy Państwowej Inspekcji Sanitarnej
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do braku możliwości realizacji zadania publicznego powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- niemożliwość realizacji zadań z zakresu obronności, bezpieczeństwa państwa, ochrony ludności, obrony cywilnej oraz bezpieczeństwa i porządku publicznego powyżej 2 godzin,
- niedostępność systemu informacyjnego obsługującego rejestr publiczny powyżej 4 godzin,
- niedostępność systemu e-krew powyżej 4 godzin,
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Incydent dotyczący Krajowego Centrum Monitorowania Ratownictwa Medycznego
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do braku możliwości realizacji zadania publicznego powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- niemożliwość realizacji zadań z zakresu obronności, bezpieczeństwa państwa, ochrony ludności, obrony cywilnej oraz bezpieczeństwa i porządku publicznego powyżej 4 godzin,
- niedostępność systemu informacyjnego obsługującego rejestr publiczny powyżej 4 godzin,
- niedostępność systemu e-krew powyżej 4 godzin,
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Incydent dotyczący działalności jednostek organizacyjnych publicznej służby krwi
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do braku możliwości realizacji zadania publicznego powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- niemożliwość realizacji zadań z zakresu obronności, bezpieczeństwa państwa, ochrony ludności, obrony cywilnej oraz bezpieczeństwa i porządku publicznego powyżej 4 godzin,
- niedostępność systemu informacyjnego obsługującego rejestr publiczny powyżej 4 godzin,
- niedostępność systemu e-krew powyżej 4 godzin,
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Leki i wyroby medyczne również objęte progami
Projekt obejmuje także zdarzenia dotyczące łańcucha dystrybucji produktów istotnych dla ochrony zdrowia.
Incydent dotyczący obrotu i dystrybucji substancji czynnych, produktów leczniczych i wyrobów medycznych
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do niedostępności usługi powyżej 24 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- brak poufności danych przetwarzanych w usłudze,
- brak integralności danych przetwarzanych w usłudze.
Incydent dotyczący działalności Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych lub urzędów obsługujących organy Inspekcji Farmaceutycznej
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent doprowadził do braku możliwości realizacji zadania publicznego powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- niemożliwość realizacji zadań z zakresu obronności, bezpieczeństwa państwa, ochrony ludności, obrony cywilnej oraz bezpieczeństwa i porządku publicznego powyżej 4 godzin,
- niedostępność systemu informacyjnego obsługującego rejestr publiczny powyżej 4 godzin.
Produkcja wyrobów medycznych i IVD – próg 8 godzin
Osobne kryteria znalazły się w sektorze produkcji, w podsektorze obejmującym wyroby medyczne oraz wyroby medyczne do diagnostyki in vitro.
Incydent dotyczący wytwarzania wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent skutkuje przerwą w wytwarzaniu wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego podsektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- straty finansowe przekraczające 2 000 000 zł,
- ujawnienie tajemnicy prawnie chronionej w tym tajemnicy przedsiębiorstwa.
Badania naukowe i szkolnictwo wyższe także z określonymi progami
Projekt przewiduje również kryteria dla działalności badawczej, co może mieć znaczenie m.in. dla jednostek naukowych działających w obszarze medycyny i nauk o zdrowiu.
Incydent dotyczący prowadzenia badań naukowych
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent skutkuje niedostępnością systemów informacyjnym służących badaniom naukowym powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego sektora: incydent spowodował co najmniej jedną z poniżej wymienionych okoliczności:
- śmierć człowieka,
- ciężki uszczerbek na zdrowiu,
- inny niż ciężki uszczerbek na zdrowiu więcej niż jednej osoby,
- straty finansowe przekraczające 2 000 000 zł,
- ujawnienie tajemnicy prawnie chronionej w tym tajemnicy przedsiębiorstwa.
Incydent dotyczący działalności podmiotów szkolnictwa wyższego
- liczba użytkowników, których dotyczy zakłócenie świadczenia usługi: nie dotyczy;
- czas oddziaływania incydentu na świadczoną usługę: incydent skutkuje niedostępnością systemów informacyjnym służących realizacji zadań i obowiązków podmiotu powyżej 8 godzin;
- zasięg geograficzny obszaru, którego dotyczy incydent: nie dotyczy;
- inne czynniki charakterystyczne dla danego sektora: nie dotyczy.
Rozporządzenie ma wejść w życie po 14 dniach od ogłoszenia
Na obecnym etapie jest to projekt skierowany do konsultacji publicznych i opiniowania. Ostateczna treść przepisów może więc jeszcze ulec zmianie.
Zgodnie z projektem rozporządzenie ma wejść w życie po upływie 14 dni od dnia ogłoszenia. Nowe przepisy mają ujednolicić kryteria pozwalające ocenić, kiedy skutki incydentu osiągają próg wymagany do uznania go za incydent poważny w danym sektorze lub podsektorze. Dla ochrony zdrowia znaczenie mają nie tylko okresy niedostępności systemów i usług, lecz także skutki dla pacjentów oraz naruszenie poufności lub integralności przetwarzanych danych.
Główne wnioski
- Projekt rozporządzenia z 2 września 2026 r. określa progi uznania incydentów za poważne w sektorach objętych krajowym systemem cyberbezpieczeństwa.
- W przypadku elektronicznej dokumentacji medycznej próg czasowy wynosi ponad 1 godzinę niedostępności, a przy udzielaniu świadczeń zdrowotnych – ponad 24 godziny.
- Regulacja obejmuje również obrót i dystrybucję substancji czynnych, produktów leczniczych i wyrobów medycznych oraz produkcję wyrobów medycznych i IVD.
- Rozporządzenie ma wejść w życie po 14 dniach od ogłoszenia, jeśli projekt zostanie przyjęty w obecnym kształcie.
Źródło:
- https://legislacja.rcl.gov.pl/projekt/12414401/katalog/13225251#13225251
