Apteka a ustawa o cyberbezpieczeństwie. Kto musi złożyć wniosek o wpis do wykazu do 3 października

Przedsiębiorca prowadzący aptekę ogólnodostępną jest wymieniony w załączniku nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa, w sektorze ochrony zdrowia. Naczelna Izba Aptekarska zwraca jednak uwagę, że sama obecność na tej liście nie czyni każdej apteki podmiotem kluczowym ani ważnym. Rozstrzyga wielkość przedsiębiorcy, a nie fakt prowadzenia apteki.¹

Kwalifikacja wygląda następująco:

• przedsiębiorca, który spełnia wymogi dla średniego przedsiębiorstwa, co do zasady jest podmiotem ważnym,
• przedsiębiorca, który przewyższa wymogi dla średniego przedsiębiorstwa, co do zasady jest podmiotem kluczowym,
• mikroprzedsiębiorstwo i małe przedsiębiorstwo co do zasady nie staje się podmiotem kluczowym ani ważnym tylko dlatego, że prowadzi aptekę.

Progi wielkości wynikają z załącznika I do rozporządzenia Komisji (UE) nr 651/2014:

Izba podkreśla, że nie liczy się zatrudnienie w jednej aptece, lecz dane całego przedsiębiorcy. Przy aptekach działających w grupie albo sieci trzeba też uwzględnić przedsiębiorstwa partnerskie i powiązane. Ustawa przewiduje wyjątek: gdy próg zostaje przekroczony dopiero po doliczeniu powiązanych firm, a apteka ma od nich niezależny system informatyczny albo nie świadczy z nimi usług wspólnie, stosuje się szczególne zasady kwalifikacji. Status ocenia się według stanu na dzień sporządzenia sprawozdania finansowego.¹

Mała apteka nie jest przy tym całkowicie poza zasięgiem ustawy. Organ właściwy do spraw cyberbezpieczeństwa może w drodze decyzji uznać ją za podmiot kluczowy, jeżeli w szczególności zakłócenie jej usługi groziłoby poważnym zagrożeniem dla zdrowia publicznego albo miałoby znaczenie na poziomie wojewódzkim lub krajowym.¹

Przedsiębiorca, który według tych kryteriów jest podmiotem kluczowym albo ważnym, ma obowiązek złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych do 3 października 2026 r., o ile spełniał te przesłanki już w dniu wejścia nowelizacji w życie, czyli 3 kwietnia 2026 r. Wniosek składa się elektronicznie w serwisie wykaz-ksc.gov.pl, po zalogowaniu przez Węzeł Krajowy, a podpisuje go kierownik podmiotu albo osoba przez niego upoważniona.² Terminy wynikają z przepisów przejściowych nowelizacji i z komunikatu Ministra Cyfryzacji:

• do 3 października 2026 r. – wniosek o wpis do wykazu,
• do 3 kwietnia 2027 r. – termin na realizację obowiązków z rozdziału 3 ustawy (12 miesięcy od wejścia nowelizacji w życie 3 kwietnia 2026 r.),
• po upływie dwóch lat od wejścia nowelizacji w życie (3 kwietnia 2028 r.) – dopiero wtedy mogą być po raz pierwszy nałożone kary pieniężne za naruszenia wskazanych w ustawie obowiązków.³