Apteki a ustawa o KSC – kogo obejmują nowe obowiązki w zakresie cyberbezpieczeństwa? Komunikat NIA

Naczelna Izba Aptekarska opublikowała 2 października 2026 r. komunikat, który wyjaśnia, czy przedsiębiorcy prowadzący apteki ogólnodostępne muszą spełniać wymogi znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Termin na rejestrację w Wykazie KSC mija już 3 października 2026 r.

Skąd te przepisy?

Polska wdrożyła unijną dyrektywę NIS2 przez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. Nowelizacja z 23 stycznia 2026 r. została opublikowana w Dzienniku Ustaw 2 marca 2026 r. i obowiązuje od 3 kwietnia 2026 r. Wcześniej ustawa dotyczyła głównie operatorów infrastruktury krytycznej. Przed nowelizacją było to około 400 podmiotów, a teraz krąg firm objętych obowiązkami zwiększył się ponad stukrotnie. nisd2telko

Apteka jest w ustawie, ale nie każda apteka podlega obowiązkom

Załącznik nr 1 do ustawy o KSC wymienia w sektorze ochrony zdrowia przedsiębiorcę prowadzącego aptekę ogólnodostępną w rozumieniu Prawa farmaceutycznego. NIA podkreśla jednak, że samo prowadzenie apteki nie czyni przedsiębiorcy automatycznie podmiotem kluczowym ani ważnym. Decyduje przede wszystkim kryterium wielkości przedsiębiorstwa z art. 5 ustawy. niania

W praktyce:

  • Podmiot ważny – przedsiębiorca, który spełnia unijne wymogi dla średniego przedsiębiorstwa i nie jest podmiotem kluczowym. nia
  • Podmiot kluczowy – przedsiębiorca, który przewyższa wymogi dla średniego przedsiębiorstwa. nia
  • Mikro- i małe przedsiębiorstwa – co do zasady nie stają się podmiotem kluczowym ani ważnym tylko dlatego, że prowadzą aptekę ogólnodostępną. nia

Progi wielkości

Kryteria pochodzą z rozporządzenia Komisji (UE) nr 651/2014:

  • MŚP to firma zatrudniająca mniej niż 250 osób, z rocznym obrotem do 50 mln EUR lub sumą bilansową do 43 mln EUR nia
  • małe przedsiębiorstwo to firma poniżej 50 pracowników, z obrotem lub sumą bilansową do 10 mln EUR nia
  • mikroprzedsiębiorstwo to firma poniżej 10 pracowników, z obrotem lub sumą bilansową do 2 mln EUR nia

Za średnie uznaje się więc przedsiębiorstwo z kategorii MŚP, które nie jest ani małe, ani mikro. nia

Uwaga na sieci i grupy aptek

Liczy się nie pojedyncza apteka, tylko cały przedsiębiorca. NIA zaznacza, że oceny nie można opierać wyłącznie na liczbie pracowników jednej apteki. Gdy przedsiębiorca działa w grupie lub sieci, trzeba zbadać powiązania i w określonych przypadkach doliczyć dane innych przedsiębiorstw. nia

Są też wyjątki. Jeżeli progi zostają przekroczone tylko dzięki doliczeniu przedsiębiorstw partnerskich lub powiązanych, a system informacyjny przedsiębiorcy jest od nich niezależny albo nie świadczy on z nimi usług wspólnie, stosuje się szczególne zasady z art. 5 ust. 6 i 7. Gdy status zależy od wielkości, ocenia się go według stanu na dzień sporządzenia sprawozdania finansowego. niania

Mała apteka też może zostać objęta przepisami – decyzją organu

Organ właściwy do spraw cyberbezpieczeństwa może na podstawie art. 7l ustawy uznać decyzją za podmiot kluczowy lub ważny także firmę poniżej progów. Dzieje się tak np. wtedy, gdy zakłócenie usługi groziłoby poważnym zagrożeniem dla zdrowia publicznego albo usługa ma istotne znaczenie wojewódzkie lub krajowe. W przypadku apteki ogólnodostępnej taka decyzja oznacza uznanie jej za podmiot kluczowy, niezależnie od wielkości. W sektorze ochrony zdrowia organem właściwym jest Minister Zdrowia. Komunikat Naczelnej Izby Aptekarskiej dotyczący objęcia przedsiębiorców prowadzących apteki ogólnodostępne przepisami ustawy o krajowym systemie cyberbezpieczeństwa – Naczelna Izba Aptekarska +2

Najważniejsze terminy

  • 3 października 2026 r. – koniec samorejestracji. Samorejestracja w Wykazie KSC trwa od 7 maja do 3 października 2026 r. i dotyczy podmiotów, które nie zostały wpisane z urzędu. www
  • 3 kwietnia 2027 r. – koniec okresu dostosowawczego na rozpoczęcie korzystania z systemu S46 i wdrożenie obowiązków ustawowych. www
  • 3 kwietnia 2028 r. – termin pierwszego audytu dla podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych. www
  • 3 kwietnia 2028 r. – od tej daty można nakładać kary pieniężne. Karę poprzedza ostrzeżenie i informacja o wstępnych ustaleniach. www

Jak dokonać wpisu?

Wejdź na https://wykaz-ksc.gov.pl i zaloguj się przez Węzeł Krajowy: Profil Zaufany, mObywatel, e-Dowód, bankowość elektroniczną lub kwalifikowany certyfikat. Wniosek składa kierownik podmiotu albo osoba przez niego upoważniona. Instrukcja ze zrzutami ekranu jest dostępna na https://www.gov.pl/web/system-s46/wpis-do-wykazu-ksc. Start nowego systemu zapisy ruszyly Kogo obejmuje nowy obowiazek 9130106 +2

Co dalej po wpisie?

Podmioty kluczowe i ważne muszą m.in.:

  • zaplanować wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI) www
  • mieć procedury wykrywania, analizy, obsługi i zgłaszania incydentów oraz wyznaczyć osoby do kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa www
  • zgłaszać incydenty poważne: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, a pełne zgłoszenie w ciągu 72 godzin pit
  • szkolić kierownictwo: zgodnie z art. 8e kierownik podmiotu ważnego lub kluczowego musi przejść szkolenie co najmniej raz w roku kalendarzowym poradnikprzedsiebiorcy

Odpowiedzialność spoczywa na kierownictwie. Ustawa przewiduje odpowiedzialność zarówno samego podmiotu, jak i jego kierownika. pit

Podsumowanie

Typowa apteka indywidualna, będąca mikro- lub małym przedsiębiorstwem, co do zasady nie musi rejestrować się w Wykazie KSC. Obowiązek dotyczy przede wszystkim większych przedsiębiorców i sieci aptek, które spełniają lub przekraczają kryteria średniego przedsiębiorstwa, z uwzględnieniem podmiotów powiązanych. Właściciele aptek działających w ramach grup kapitałowych powinni jak najszybciej przeanalizować swój status, ponieważ termin samorejestracji upływa 3 października 2026 r.

Źródła: Naczelna Izba Aptekarska, Ministerstwo Cyfryzacji (gov.pl), cyber.gov.pl