Ustawa o krajowym systemie cyberbezpieczeństwa a podmioty medyczne

Kto może zostać operatorem usług kluczowych?

Zgodnie z podstawową zasadą prawną obowiązującą w UE kraje członkowskie dokonują tzw. implementacji w swoim prawie krajowym postanowień dyrektywy (odmiennie, jak to ma miejsce w przypadku rozporządzenia UE, które obowiązuje wprost), z uwzględnieniem ewentualnych rozszerzeń wskazanych każdorazowo w dyrektywie. W prawie polskim implementacji dokonuje się poprzez uchwalenie i wydanie ustawy (z ewentualnym rozwinięciem w postaci rozporządzeń wydawanych z tzw. delegacji ustawowej).

Tak też się stało w wypadku dyrektywy NIS. 5 lipca 2018 roku przyjęto Ustawę o krajowym systemie cyberbezpieczeństwa (3), która określa organizację i zadania krajowego systemu cyberbezpieczeństwa oraz wskazuje objęte nim podmioty, a także sposób kontroli nad wykonywaniem postanowień ustawy. Wśród wymienionych w art. 2 definicji zwraca uwagę punkt określający usługę kluczową:

16) usługa kluczowa – usługa, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej, wymienioną w wykazie usług kluczowych.

W art. 4 wskazano klasy podmiotów bądź też konkretne podmioty, które ustawa obejmuje swoim zasięgiem. Ponieważ podmioty świadczące usługi z zakresu ochrony zdrowia nie są w tym artykule bezpośrednio wymienione, lecz przywołane poprzez grupę wymienioną w punkcie 1. „operatorzy usług kluczowych”, należy odwołać się do rozdziału 2: Identyfikacja i rejestracja operatorów usług kluczowych. Tam w art. 5 ust. 1 znajdujemy:

„Operatorem usługi kluc...