blog.ksbiuro.pl
← Wszystkie wpisy

Apteka a KSC/NIS2 – czy trzeba zarejestrować się do 3 października 2026 r.?

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca w Polsce dyrektywę NIS2, obowiązuje od 3 kwietnia 2026 r.

Jednym z najbliższych ważnych terminów jest 3 października 2026 r. Do tego dnia podmioty spełniające kryteria ustawy, które nie są wpisywane do Wykazu KSC z urzędu, powinny dokonać samorejestracji.

Czy dotyczy to również aptek?

Tak – ale nie każdej apteki.

Apteka została wprost uwzględniona w przepisach

Sektor ochrony zdrowia jest jednym z sektorów kluczowych objętych ustawą o KSC.

W załączniku nr 1, w części dotyczącej produkcji i dystrybucji produktów leczniczych, wskazano również:

przedsiębiorcę prowadzącego działalność w formie apteki ogólnodostępnej.

Oznacza to, że działalność apteki ogólnodostępnej znajduje się w zakresie sektorowym nowych przepisów.

Samo prowadzenie apteki nie oznacza jednak jeszcze automatycznie obowiązku wpisu do Wykazu KSC. Trzeba również sprawdzić kryteria dotyczące wielkości przedsiębiorstwa oraz pozostałe przesłanki wynikające z ustawy.

Kluczowa jest wielkość przedsiębiorstwa

Przy określaniu, czy przedsiębiorca jest podmiotem kluczowym lub ważnym, znaczenie ma m.in. wielkość przedsiębiorstwa.

W uproszczeniu:

  • mikroprzedsiębiorstwo – mniej niż 10 osób oraz roczny obrót lub suma bilansowa do 2 mln EUR,
  • małe przedsiębiorstwo – mniej niż 50 osób oraz roczny obrót lub suma bilansowa do 10 mln EUR,
  • średnie przedsiębiorstwo – mniej niż 250 osób oraz roczny obrót do 50 mln EUR lub suma bilansowa do 43 mln EUR.

W sektorach wskazanych w załączniku nr 1 do ustawy co do zasady:

  • duży przedsiębiorca jest podmiotem kluczowym,
  • średni przedsiębiorca jest podmiotem ważnym.

Oznacza to, że typowa pojedyncza mała lub mikroapteka nie staje się automatycznie podmiotem KSC tylko dlatego, że prowadzi obrót produktami leczniczymi.

Każdy przedsiębiorca powinien jednak przeprowadzić własną samoidentyfikację.

Sieci aptek i przedsiębiorstwa powiązane wymagają dokładniejszej analizy

Przy ustalaniu wielkości przedsiębiorstwa mogą mieć znaczenie również przedsiębiorstwa partnerskie i powiązane.

Nie zawsze wystarczy więc policzyć pracowników jednej placówki.

Oficjalne FAQ KSC wskazuje jednak, że przy ocenie powiązań trzeba brać pod uwagę również m.in. niezależność systemów informacyjnych oraz to, czy powiązane przedsiębiorstwa rzeczywiście świadczą tę samą usługę objętą KSC.

Dlatego w przypadku:

  • sieci kilku lub kilkunastu aptek,
  • grup kapitałowych,
  • wspólnej infrastruktury informatycznej,
  • złożonej struktury właścicielskiej,

warto przeprowadzić indywidualną analizę.

Co trzeba zrobić do 3 października 2026 r.?

Pierwszym krokiem jest samoidentyfikacja.

Przedsiębiorca powinien sprawdzić:

  • czy jego działalność znajduje się w sektorze objętym ustawą,
  • jaki dokładnie rodzaj działalności prowadzi,
  • wielkość przedsiębiorstwa,
  • kryteria finansowe,
  • strukturę właścicielską i ewentualne powiązania,
  • czy występują dodatkowe przesłanki określone w art. 5 ustawy o KSC.

Jeżeli z przeprowadzonej analizy wynika, że podmiot jest podmiotem kluczowym lub ważnym i nie został wpisany do Wykazu KSC z urzędu, powinien dokonać samorejestracji.

Dla podmiotów spełniających kryteria w dniu wejścia w życie nowych przepisów termin upływa:

3 października 2026 r.

Wpisu dokonuje się elektronicznie w aplikacji Wykaz KSC.

Sam wpis to dopiero początek

Podmioty objęte ustawą będą musiały wdrożyć szereg obowiązków związanych z cyberbezpieczeństwem.

Obejmują one m.in.:

  • wdrożenie Systemu Zarządzania Bezpieczeństwem Informacji,
  • zarządzanie ryzykiem,
  • procedury obsługi i zgłaszania incydentów,
  • zapewnienie ciągłości działania,
  • odpowiednie zabezpieczenie systemów informacyjnych,
  • wyznaczenie osób odpowiedzialnych za kontakt w ramach KSC,
  • korzystanie z systemu S46.

Dla podmiotów, które spełniały kryteria w dniu wejścia w życie nowelizacji, zasadniczy termin wdrożenia obowiązków oraz rozpoczęcia korzystania z S46 upływa 3 kwietnia 2027 r.

Co powinien zrobić właściciel apteki?

Jeżeli prowadzisz pojedynczą niewielką aptekę, nowe przepisy nie oznaczają automatycznie obowiązku rejestracji w KSC.

Jeżeli jednak prowadzisz większą firmę, kilka lub kilkanaście aptek albo działasz w strukturze podmiotów powiązanych, warto już teraz sprawdzić swoją sytuację.

Najprostsza kolejność działania to:

  1. określenie wielkości przedsiębiorstwa,
  2. sprawdzenie struktury właścicielskiej i powiązań,
  3. weryfikacja kryteriów KSC,
  4. w razie spełnienia przesłanek – dokonanie wpisu do Wykazu KSC,
  5. rozpoczęcie przygotowań do obowiązków organizacyjnych i technicznych.

Cyberbezpieczeństwo pozostaje ważne również poza KSC

Brak obowiązku rejestracji w KSC nie oznacza, że niewielka apteka może pominąć kwestie bezpieczeństwa.

Codzienna praca apteki zależy dziś od wielu systemów informatycznych:

  • systemu aptecznego,
  • e-recept,
  • komunikacji z NFZ,
  • poczty elektronicznej,
  • kopii bezpieczeństwa,
  • dostępu zdalnego,
  • połączeń sieciowych i VPN,
  • ochrony stacji roboczych i serwerów.

Awaria, utrata danych albo przejęcie jednego z tych elementów może realnie uniemożliwić funkcjonowanie placówki.

Dlatego wymagania KSC/NIS2 warto potraktować nie tylko jako obowiązek prawny dla części przedsiębiorców, ale również jako dobry punkt odniesienia do oceny własnego poziomu bezpieczeństwa.

Przydatne materiały

Stan informacji: 12 września 2026 r.

Powyższy materiał ma charakter informacyjny. Przed dokonaniem lub zaniechaniem wpisu do Wykazu KSC warto indywidualnie zweryfikować sytuację przedsiębiorstwa na podstawie aktualnych przepisów oraz oficjalnych materiałów Ministerstwa Cyfryzacji.