IS Consulting

Szpital w KSC z małym działem IT: co zrobić do kwietnia 2027

Stan prawny na 27 października 2026 · Michał Zdunowski

Szpital, który nie jest przedsiębiorcą, na przykład SP ZOZ, jest podmiotem ważnym, gdy zatrudnia od 50 do 249 osób, a podmiotem kluczowym od 250 osób. Szpital działający jako spółka kwalifikuje się według progów dla przedsiębiorców. Obowiązki trzeba wdrożyć do 3 kwietnia 2027. Przy kilkuosobowym dziale IT nie da się zrobić wszystkiego naraz, więc liczy się kolejność.

Czy lekarze na kontraktach liczą się do zatrudnienia?

Tak. Ministerstwo Cyfryzacji w Q&A wlicza do personelu także osoby na umowach zlecenia i innych umowach o świadczenie usług, niezależnie od wymiaru czasu pracy. W szpitalu to zwykle lekarze, pielęgniarki i ratownicy na kontraktach. Placówka, która ma na etatach 200 osób, po ich doliczeniu może przekroczyć 250 i zostać podmiotem kluczowym.

Różnica jest istotna: podmiot kluczowy musi przeprowadzić pierwszy audyt bezpieczeństwa do 3 kwietnia 2028, a potem powtarzać go co najmniej raz na 3 lata. Więcej w artykule o audycie KSC.

Co jest pilne do kwietnia 2027?

  1. Decyzje dyrektora. Kierownik podmiotu odpowiada osobiście, planuje środki na cyberbezpieczeństwo i raz w roku przechodzi szkolenie.
  2. Dostawcy systemów. Spisz, którzy dostawcy HIS, EDM, PACS i systemu laboratoryjnego mają zdalny dostęp, wymuś dla nich uwierzytelnianie wieloskładnikowe i dopisz do umów obowiązek informowania o incydentach.
  3. Kopie zapasowe dokumentacji medycznej odseparowane od sieci szpitala i sprawdzony test odtworzenia.
  4. Procedury awaryjne dla procesów klinicznych: SOR, blok operacyjny, laboratorium, apteka. Ustal na podstawie analizy wpływu, jak długo każdy z nich wytrzyma bez systemu.
  5. Procedura obsługi incydentów z terminami 24 i 72 godzin oraz konta w S46 z zastępstwami. Szczegóły w artykule o incydencie poważnym.

Na start warto wypełnić bezpłatną ankietę samooceny, którą udostępnia CSIRT Centrum e-Zdrowia.

Co może poczekać?

  1. Certyfikacja ISO/IEC 27001. Ustawa jej nie wymaga.
  2. Własny zespół monitorujący 24 godziny na dobę. Ustawa pozwala powierzyć obsługę incydentów zewnętrznemu dostawcy usług bezpieczeństwa.
  3. Zakup nowych narzędzi, zanim powstanie analiza ryzyka. Bez niej trudno uzasadnić, które z nich są potrzebne.

Kto ma to zrobić, skoro IT ma trzy osoby?

Dział IT utrzymuje systemy i nie powinien sam zarządzać bezpieczeństwem, bo wtedy sam siebie kontroluje. Ustawa wymaga od dyrektora zaplanowania zasobów i pozwala korzystać z podmiotów zewnętrznych. W małym szpitalu sprawdza się podział: osoba odpowiedzialna po stronie szpitala, zewnętrzne wsparcie w zarządzaniu bezpieczeństwem i dostawca usług bezpieczeństwa do monitorowania i obsługi incydentów.

Ile ryzykuje dyrektor?

Po 3 kwietnia 2028 organ może nałożyć na kierownika podmiotu karę do 300% wynagrodzenia. Dla kierownika podmiotu publicznego limit wynosi 100%, ale nie wtedy, gdy podmiot podlega ustawie także jako podmiot z innego sektora. Szpital podlega jej jako podmiot leczniczy, więc dyrektora SP ZOZ obejmuje limit 300%. Więcej w artykule o odpowiedzialności kierownika.

Źródła

Michał Zdunowski, CEO IS Consulting. Od ponad 15 lat zajmuje się cyberbezpieczeństwem, jest autorem książki o NIS2 w Polsce (INFORLEX) i bierze udział w konsultacjach publicznych przepisów o cyberbezpieczeństwie.

Więcej o nas

Powiązane artykuły