Zbliża się 3 października 2026 r., kiedy to zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa podmioty ważne i kluczowe powinny z własnej inicjatywy zgłosić się do ministerialnego wykazu. Dotyczy on podmiotów z sektora działalności leczniczej, które ponadto spełniają określone kryteria wielkości. Poniższe uwagi dotyczą podmiotów ważnych, ale są analogiczne do kryteriów podmiotów kluczowych. Zamierzenie prawodawcy nie ogranicza się do sporządzenia wykazu, ale przewiduje szereg znacznych ciężarów organizacyjnych dla wpisanych do niego podmiotów., w tym przekazanie szczegółowych danych na temat ich działalności i infrastruktury organizacyjnej.

Ma to na celu, zgodnie z art. 3 ustawy, „zapewnienie cyberbezpieczeństwa na poziomie krajowym, w tym niezakłóconego świadczenia usług przez podmioty kluczowe lub podmioty ważne, przez osiągnięcie odpowiedniego poziomu bezpieczeństwa systemów informacyjnych służących do świadczenia tych usług oraz zapewnienie obsługi incydentów”. Prawodawca uznał, że ten cel nie wymaga objęcia wykazem podmiotów wykonujących działalność leczniczą tworzonych przez Szefa Agencji Bezpieczeństwa Wewnętrznego lub Szefa Agencji Wywiadu.

Podmiotem ważnym jest każdy podmiot leczniczy, który nadto spełnia wymogi dla średniego przedsiębiorcy określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE z dnia 17 czerwca 2014 r. Dz.Urz.UE.L 2014 Nr 187, str. 1, czyli jest to przedsiębiorstwo, które zatrudnia przynajmniej 50 pracowników i którego roczny obrót lub roczna suma bilansowa przekracza 10 milionów EUR. Zgodnie z artykułem 4 i 5 tego rozporządzenia, w kryterium zatrudnienia decydująca jest liczba pracowników zatrudnionych w pełnym wymiarze czasu pracy w obrębie danego przedsiębiorstwa lub w jego imieniu w ciągu całego uwzględnianego roku referencyjnego. Praca osób, które nie przepracowały pełnego roku, osób, które pracowały w niepełnym wymiarze godzin, bez względu na długość okresu zatrudnienia, lub pracowników sezonowych jest obliczana jako część ułamkowa etatu. W skład personelu wchodzą:

a) pracownicy;

b) osoby pracujące dla przedsiębiorstwa, podlegające mu i uważane za pracowników na mocy prawa krajowego,

c) właściciele-kierownicy;

d) partnerzy prowadzący regularną działalność w przedsiębiorstwie i czerpiący z niego korzyści finansowe. (Nie dotyczy to moim zdaniem rehabilitantów B2B, samodzielnie organizujących swoja pracę.)

Praktykanci lub studenci odbywający szkolenie zawodowe na podstawie umowy o praktyce lub szkoleniu zawodowym nie wchodzą w skład personelu. Nie wlicza się okresu trwania urlopu macierzyńskiego ani wychowawczego.

Zgodnie z art. 5 ust 8 Podmiot leczniczy, który nie jest przedsiębiorcą, jest podmiotem ważnym, jeżeli spełnia wyłącznie kryterium wielkości zatrudnienia dla podmiotu średniego – przynajmniej 50 pracowników, bez względu na dochód i obroty. Natomiast definicja przedsiębiorcy w odniesieniu do podmiotu leczniczego, a co za tym idzie uznanie danego podmiotu ze będący lub niebędący przedsiębiorcą może budzić wątpliwości. Ich omówienie nie mieści się jednak w tym artykule.

Należy też zwrócić uwagę, że jedynymi konsekwencjami nadmiernej zdaniem władz publicznych skromności podmiotu (który nie uważa się za ważny) jest uznanie go za taki przez ministra i następnie zobowiązanie go do uzupełnienia danych w Wykazie. Od wpisania przez ministra podmiotowi przysługuje skarga do sądu. Dopiero niewykonanie prawomocnego i wykonalnego wezwania w terminie 6 miesięcy może skutkować karą pieniężną.