15 minut rozmowy • wstępna ocena sytuacji • rekomendacja pierwszego kroku
Wspólne wsparcie wdrożeniowe i eksperckie w jednym procesie.
Podejście oparte na systemach zarządzania bezpieczeństwem informacji.
Proces dopasowany do ciągłości świadczeń i środowiska placówki.
Sam fakt działania w ochronie zdrowia nie przesądza statusu. Znaczenie mają rodzaj prowadzonej działalności, forma prawna, wielkość organizacji, powiązania z innymi przedsiębiorstwami, wykorzystywane systemy oraz rola w łańcuchu świadczeń.
Od 50 do 249 zatrudnionych oznacza co do zasady status podmiotu ważnego, a co najmniej 250 zatrudnionych — podmiotu kluczowego.
Średni przedsiębiorca w sektorze z załącznika nr 1 jest co do zasady podmiotem ważnym, a podmiot przewyższający kryteria średniego przedsiębiorstwa — kluczowym. Ostateczna ocena wymaga uwzględnienia przedsiębiorstw partnerskich i powiązanych oraz wyjątków ustawowych.
Dodatkowej analizy wymagają m.in. organizacje z SOR lub centrum urazowym, publiczna służba krwi, wybrani podwykonawcy świadczeń, jednostki zdrowia publicznego oraz część sektora farmaceutycznego i wyrobów medycznych.
Mniej niż 50 zatrudnionych nie zawsze oznacza automatyczne wyłączenie. Ustawa przewiduje szczególne przypadki i możliwość uznania podmiotu decyzją organu. Dlatego zaczynamy od udokumentowanej analizy statusu.
Poniższa oś dotyczy podmiotów, które spełniały kryteria już w dniu wejścia nowelizacji w życie. Dla organizacji objętych regulacją później terminy są liczone od dnia spełnienia przesłanek.
Wejście nowelizacji KSC w życie.
Samorejestracja w Wykazie KSC dla podmiotów niewpisywanych z urzędu. Po tym terminie brak wpisu jest naruszeniem obowiązku.
Dostęp nowych podmiotów do systemu S46.
Wdrożenie obowiązków i rozpoczęcie korzystania z S46.
Pierwszy ustawowy audyt nowych podmiotów kluczowych.
Podmioty kluczowe przeprowadzają kolejne audyty co najmniej raz na trzy lata. Dotychczasowi operatorzy usług kluczowych zachowują swój cykl audytowy.
Za wykonywanie obowiązków odpowiada kierownik podmiotu także wtedy, gdy część działań zostanie zlecona na zewnątrz. Kierownictwo planuje środki, przydziela zadania, nadzoruje wykonanie i przechodzi udokumentowane szkolenie raz w roku kalendarzowym.
Ustawa przewiduje administracyjne kary pieniężne dla podmiotu oraz odrębną odpowiedzialność finansową kierownika podmiotu.
Większość kar za brak wdrożenia obowiązków może być nakładana dopiero po upływie okresu przejściowego. To odroczenie sankcji, a nie odroczenie obowiązków — harmonogram przygotowania biegnie od teraz.
Kto nadzoruje i komu zgłaszasz incydent. Nadzór nad sektorem ochrony zdrowia sprawuje organ właściwy do spraw cyberbezpieczeństwa dla tego sektora, a zgłoszenia incydentów obsługuje właściwy CSIRT za pośrednictwem systemu S46. [DO WERYFIKACJI — wskazanie organu i CSIRT sektorowego przed publikacją]
Ustawa wymaga działającego systemu zarządzania, a nie jednorazowego zestawu dokumentów. Każdy element musi mieć właściciela, dowody realizacji i cykl przeglądu.
Decyzje, budżet, odpowiedzialności, przeglądy i coroczne udokumentowane szkolenie kierownictwa.
Systematyczna identyfikacja, analiza i ocena ryzyka oraz plan jego ograniczania.
Polityki, procedury, instrukcje, dokumentacja techniczna i zapisy potwierdzające działanie systemu.
Bezpieczne nabywanie, rozwój, utrzymanie, testowanie, aktualizacje i ochrona integralności.
Inwentaryzacja, uprawnienia, MFA, bezpieczna komunikacja, szyfrowanie i kontrola zmian.
Ocena dostawców HIS, PACS/RIS, LIS, chmury, telemedycyny, urządzeń i outsourcingu IT — wraz z wymaganiami umownymi, ryzykiem koncentracji i planem wyjścia.
Plany BCP, awaryjne i DR, kopie zapasowe oraz regularne testy scenariuszy.
Ciągłe monitorowanie, zbieranie informacji o zagrożeniach, aktualizacje i reakcja na podatności.
Edukacja całego personelu oraz szkolenia dopasowane do ról i realiów medycznych.
Klasyfikacja, obsługa, komunikacja i gotowość do ścieżki 24 h / 72 h / 1 miesiąc w S46.
Najważniejsze pytanie audytora nie brzmi tylko „czy macie procedurę?”, lecz również „jak potwierdzicie, że jest stosowana i działa?”
Ustalamy status, usługi objęte regulacją, systemy i jednostki organizacyjne.
Oceniamy stan obecny, luki, ryzyka, dokumentację i realne praktyki.
Łączymy procesy medyczne z systemami, danymi, infrastrukturą i łańcuchem dostaw.
Budujemy rejestr ryzyka, priorytety, właścicieli, terminy i budżet.
Przygotowujemy potrzebne polityki, procedury, role, mechanizmy kontroli i dokumentację.
Szkolimy kierownictwo oraz personel i ćwiczymy reakcję na incydent.
Weryfikujemy skuteczność, zamykamy luki i porządkujemy dowody dla audytu.
Pomagamy podczas niezależnego audytu oraz w kolejnych przeglądach i aktualizacjach.
Harmonogram zależy od wielkości, rozproszenia, dojrzałości i zakresu systemów. Realny plan powstaje po kwalifikacji i audycie zero.
Wybierz punkt startu odpowiadający temu, gdzie dziś jest Twoja organizacja. Zakres można rozszerzyć na każdym etapie.
Dla organizacji, która nie ma pewności co do statusu i stanu przygotowania.
Dla organizacji z ustalonym statusem, która buduje system od podstaw lub porządkuje istniejący.
Dla organizacji, która ma system i chce utrzymać go w stanie zgodnym i aktualnym.
Dokumentacja jest punktem wyjścia. Efektem ma być system, który ma właścicieli, działa w praktyce i jest regularnie sprawdzany.
Incydent z danymi pacjentów uruchamia dwie ścieżki naraz. Zgłoszenie w reżimie KSC (wczesne ostrzeżenie do 24 h, zgłoszenie do 72 h, sprawozdanie końcowe co do zasady w ciągu miesiąca) biegnie równolegle do zgłoszenia naruszenia ochrony danych osobowych do Prezesa UODO w trybie 72 h wynikającym z RODO. To odrębne obowiązki o różnych adresatach, progach i treści zgłoszenia. Procedura incydentowa musi obsłużyć obie, z jasnym podziałem ról między IT, IOD, dyrekcję i komunikację.
Narzędzia sztucznej inteligencji w diagnostyce obrazowej, triażu czy planowaniu zasobów wchodzą do inwentarza aktywów, do oceny ryzyka i do wymagań wobec dostawców na równi z pozostałym oprogramowaniem. Równolegle podlegają wymaganiom AI Act.
Wsparcie w tym obszarze opieramy na podejściu zgodnym z ISO/IEC 42001, tak aby ocena systemów AI nie była prowadzona obok SZBI, lecz w jego ramach.
Porównanie audytu zero, ustawowego audytu KSC w ochronie zdrowia i certyfikacji ISO/IEC 27001.
Ustawa nie wymaga „certyfikatu KSC” ani obowiązkowego certyfikatu ISO 27001. Wymaga natomiast działającego SZBI i — w przypadku podmiotów kluczowych — niezależnego audytu w ustawowym cyklu.
Model niezależności i skład zespołu audytowego ustalamy przed rozpoczęciem projektu, aby nie mieszać ról wdrożeniowych i ustawowej oceny.
Koordynuje proces, przekłada wymagania na działania operacyjne, wspiera wdrożenie, rozwój kompetencji, standardy pracy i utrzymanie zmian w organizacji.
Wnosi doświadczenie w systemach zarządzania, audytach, wymaganiach norm, jakości oraz łączeniu procesów biznesowych z technologią.
Wspólnie budujemy spójny proces od diagnozy i planu po szkolenia, wdrożenie, przygotowanie dowodów i gotowość do niezależnej oceny. LeanTrix oferuje i prowadzi usługę przy merytorycznej współpracy z QualiTeam.
Łączy ponad 35 lat doświadczenia w IT i zarządzaniu rozwojem oprogramowania z ponad 25-letnim doświadczeniem akademickim, szkoleniowym i mentorskim. Pracuje na styku technologii, systemów zarządzania, strategii i rozwoju ludzi, dzięki czemu potrafi rozmawiać zarówno z kadrą zarządzającą, jak i zespołami technicznymi.
BSI Training Academy, 2025
BSI Training Academy, 2025
Przekazane dokumenty potwierdzają ukończenie kursów i szkoleń. Nie stanowią potwierdzenia uprawnień do samodzielnego przeprowadzenia ustawowego audytu KSC.
Wybrane szkolenia i usługi doradcze mogą być objęte wsparciem w ramach aktualnych programów krajowych, regionalnych lub Bazy Usług Rozwojowych. Podmioty publiczne korzystają zwykle z innych źródeł niż przedsiębiorcy. Dostępność i poziom wsparcia zależą od programu, operatora, regionu, statusu organizacji i kwalifikowalności konkretnej usługi.
Rodzaj podmiotu i planowany zakres decydują o tym, które ścieżki wsparcia w ogóle wchodzą w grę.
Weryfikujemy nabory na dzień rozmowy — osobno dla podmiotów publicznych i osobno dla przedsiębiorców.
Podpowiadamy, jak ułożyć zakres usługi, aby odpowiadał warunkom konkretnego programu.
Informacja o dofinansowaniu nie jest jego gwarancją. Każdy przypadek wymaga osobnej weryfikacji, a warunki naborów zmieniają się w trakcie roku.
Nie. Ochrona zdrowia jest sektorem wskazanym w ustawie, ale status konkretnej organizacji zależy m.in. od rodzaju podmiotu, formy prawnej, wielkości, powiązań i szczególnych przesłanek. Dlatego pierwszym krokiem jest analiza kwalifikacyjna.
Nie zawsze. Obowiązek oceny statusu spoczywa na organizacji, a podmiot spełniający kryteria może podlegać obowiązkom niezależnie od opóźnionego wpisu. Pomagamy przygotować analizę i przejść proces rejestracji.
Podmioty spełniające kryteria 3 kwietnia 2026 r. mają co do zasady czas do 3 kwietnia 2027 r. na wdrożenie obowiązków i korzystanie z S46. Dla podmiotów objętych regulacją później terminy są liczone od dnia spełnienia przesłanek.
Nie. Ustawa wymaga działającego SZBI, ale nie nakazuje posiadania certyfikatu ISO 27001. Norma może jednak ułatwić uporządkowanie systemu i przygotowanie dowodów.
Audyt zero jest dobrowolną diagnozą stanu obecnego i służy zaplanowaniu wdrożenia. Ustawowy audyt KSC jest formalną, niezależną oceną wymaganą cyklicznie od podmiotów kluczowych i kończy się raportem.
Podmiot ważny nie ma ustawowego obowiązku regularnego audytu co trzy lata, ale właściwy organ może nakazać audyt, m.in. po poważnym incydencie lub naruszeniu przepisów.
Kierownik podmiotu oraz osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, przechodzą udokumentowane szkolenie raz w roku kalendarzowym. Ustawa wymaga również edukacji personelu i wdrożenia zasad cyberhigieny.
Samoocena pokazuje obraz z perspektywy placówki. Kolejnym krokiem jest niezależna weryfikacja tego obrazu, uzupełnienie luk dowodowych i przełożenie wyniku na plan działań z właścicielami i terminami. Od tego zwykle zaczynamy.
Tak. Właśnie od tego zaczynamy. Ustalamy podstawę kwalifikacji, zakres usług i systemów, a następnie rekomendujemy właściwy poziom prac.
Tak. Przygotowujemy organizację, porządkujemy dowody, pomagamy zamknąć luki i wspieramy zespół podczas niezależnego audytu. Skład i niezależność audytorów ustalamy zgodnie z wymogami ustawy.
Wybrane szkolenia i usługi doradcze mogą być objęte wsparciem w ramach aktualnych programów krajowych, regionalnych lub Bazy Usług Rozwojowych. Podmioty publiczne korzystają zwykle z innych źródeł niż przedsiębiorcy. Dostępność i poziom wsparcia zależą od programu, operatora, regionu, statusu organizacji i kwalifikowalności konkretnej usługi.
Kontakt
Telefon: +48 887 120 108
Email: [email protected]
Stan prawny: 11 sierpnia 2026 r. Treść ma charakter informacyjny i nie stanowi porady prawnej. Kwalifikacja konkretnego podmiotu wymaga analizy jego sytuacji.
