Branża farmaceutyczna nie jest gotowa na wdrożenie nowelizacji ustawy o KSC

Projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) ma na celu implementację dyrektywy NIS2 Parlamentu Europejskiego i Rady UE, dotyczącej środków zapewnienia wysokiego poziomu cyberbezpieczeństwa, której termin wdrożenia minął 17 października 2024 r. To istotna kwestia, zwłaszcza w obliczu rosnącej liczby cyberataków. Polska postanowiła wdrożyć zarówno rozwiązania wynikające z tej dyrektywy, jak i 5G Toolbox, rozszerzając regulacje dotyczące dostawców wysokiego ryzyka (DWR) na wszystkie 18 sektorów, nie tylko sieci 5G. Jest to unikalne na tle innych krajów UE. Jednak tak szerokie regulacje mogą mieć istotne konsekwencje dla objętych nimi podmiotów.

Setki milionów kosztów, które poniesie branża

Eksperci z Polskiego Towarzystwa Koordynowanej Ochrony Zdrowia, Izby Gospodarczej „Farmacja Polska” oraz Fundacji AI LAW-TECH opracowali raport pt. „Wpływ projektu nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa na przedsiębiorców branży farmaceutycznej”. Dokument powstał na podstawie danych z ankiety, której celem było oszacowanie potencjalnych skutków finansowych wdrożenia nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa dla branży farmaceutycznej.

Uwzględniono podmioty z podsektora „Produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych”. Ankieta została przeprowadzona wśród 151 podmiotów, m.in. aptek, hurtowni, importerów. Raport wskazuje, że przedsiębiorcy z tego sektora będą musieli liczyć się z istotnymi kosztami związanymi z wdrożeniem nowych regulacji. Autorzy dokumentu zwracają uwagę na koszty nadregulacji, wynikające z nowelizacji ustawy o KSC. Projektodawca tej ustawy mając świadomość zwiększenia nakładów finansowych, które będą musieli ponieść przedsiębiorcy, nie podał jednak szacunkowych kosztów. Przewidziany został jedynie wpływ na jednostki sektora finansów publicznych.

– Raport prezentuje szczegółowe szacunki kosztów związanych z koniecznością wymiany produktów i usług dostarczanych przez tzw. dostawców wysokiego ryzyka. Oszacowany koszt dla jednego podmiotu może wynieść około 1,5 mln zł netto w perspektywie pięciu lat, co w skali całego sektora przekłada się na blisko 675 mln zł netto – podkreśla Urszula Szybowicz, ekspertka zdrowia publicznego. Szacunkowy koszt dla jednego podmiotu (1,5 mln zł) obejmuje zakup nowych urządzeń, deinstalację starych, instalację nowych, a także utylizację zużytego sprzętu.

W ankietach nie uwzględniono jednak ważnego podsektora ochrony zdrowia – placówek leczniczych, zwłaszcza szpitali, które stanowią 65 proc. wszystkich podmiotów w sektorze. Oznacza to, że faktyczny całkowity koszt dla całego sektora ochrony zdrowia będzie znacznie wyższy od tego oszacowanego jedynie na podstawie danych z branży farmaceutycznej.

Niska świadomość konsekwencji wynikających z ustawy

Autorzy raportu zaprezentowali szacunkowe koszty związane z koniecznością wymiany produktów i usług dostarczanych przez tzw. dostawców wysokiego ryzyka (DWR). Projektowana nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) zakłada narzucenie wymiany sprzętu i oprogramowania od tzw. dostawców wysokiego ryzyka.

Niestety aż 61 proc. firm farmaceutycznych i 82 proc. producentów i hurtowni farmaceutycznych nie zdaje sobie sprawy, jakie są skutki nowelizacji ustawy. Respondenci nie widzą też realnych możliwości wymiany obecnie używanego sprzętu oraz oprogramowania na produkty pochodzące wyłącznie z państw UE i NATO. Branża farmaceutyczna nie jest gotowa na skutki finansowe i operacyjne wynikające z nowelizacji ustawy o KSC.

Kosztowna wymiana sprzętu od tzw. dostawców wysokiego ryzyka

Nowelizacja ustawy kwalifikuje dostawcę wysokiego ryzyka na podstawie oceny ryzyka przeprowadzanej przez ministra cyfryzacji. Firmy farmaceutyczne w ciągu 4 do 7 lat będą musiały zrezygnować z produktów dostarczonych przez dostawców wysokiego ryzyka, np. podmiotów spoza UE i NATO. Chodzi tu o dostawców ICT (Information and Communication Technologies), czyli m.in. komputerów, oprogramowania. Zdaniem Ireneusza Wochlika, członka Zarządu Fundacji AI LAW TECH, jednego z twórców raportu, samo miejsce wytworzenia sprzętu czy oprogramowania nie powinno być jednak traktowane jako decydujące kryterium.

– Znacznie ważniejsze są mechanizmy kontroli, sterowania i dostępu do danych – oraz to, kto faktycznie może te dane pozyskiwać i nimi zarządzać. W kontekście dynamicznej sytuacji geopolitycznej zasadne wydaje się opracowanie standardów certyfikacji, które regulowałyby dopuszczanie urządzeń i oprogramowania do użytku w sektorach kluczowych z punktu widzenia bezpieczeństwa państwa i obywateli. Takie podejście umożliwiłoby sprawowanie nadzoru nad całym cyklem życia rozwiązań cyfrowych – od momentu zakupu, poprzez wdrożenie, aż po ich późniejszą eksploatację – zarówno w zakresie oprogramowania, jak i infrastruktury sprzętowej – dodaje Ireneusz Wochlik.

Trzeba liczyć się z tym, że wymiana infrastruktury informatycznej będzie się wiązać nie tylko z dodatkowymi kosztami dla branży farmaceutycznej, ale też utrudnieniami w bieżącej działalności.

Autorzy raportu podkreślają, że niektóre przepisy nowelizacji ustawy o KSC mogą wywołać zamieszanie i niepewną sytuację prawną. Projekt wskazuje bowiem, że za podmioty kluczowe będą uznawane jedynie przedsiębiorstwa średnie, ale organ właściwy ds. cyberbezpieczeństwa będzie mógł określić dowolny podmiot za ważny, niezależnie od jego wielkości. Z kolei Ministerstwo Cyfryzacji będzie decyzyjne w zakresie uznawania przedsiębiorcy za dostawcę wysokiego ryzyka.

Realne koszty mogą przekroczyć szacunkowe koszty

Raport skoncentrował się głównie na kosztach związanych z decyzjami administracyjnymi dotyczącymi dostawców wysokiego ryzyka. Konieczność wymiany sprzętu i oprogramowania, brak świadomości przedsiębiorców oraz brak dostępu do odpowiednich produktów z rynku europejskiego to kluczowe wyzwania. Raport nie uwzględnił jednak takich obowiązków, jak np. wdrożenie systemu zarządzania cyberbezpieczeństwem, zgłaszanie incydentów do CSIRT (Computer Security Incident Response Team) czy przeprowadzanie audytów bezpieczeństwa, które również generują dodatkowe koszty i obciążenia organizacyjne. Skutki wdrożenia nowelizacji ustawy o KSC mogą być krytyczne dla branży farmaceutycznej. Realne koszty mogą przekroczyć szacunkowe koszty, zwłaszcza że analiza nie objęła znaczącej części sektora ochrony zdrowia.

Raport „Wpływ projektu nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa na przedsiębiorców branży farmaceutycznej” został opracowany przez Polskie Towarzystwo Koordynowanej Ochrony Zdrowia, Izbę Gospodarczą „Farmacja Polska” oraz Fundację AI LAW-TECH.

Pełny raport dostępny tutaj: https://ptkoz.org/wp-content/uploads/2025/05/PTKOZ-raport-kwiecien-2025-KSC.pdf.