NIA w sprawie objęcia przedsiębiorców prowadzących apteki ogólnodostępne przepisami ustawy o krajowym systemie cyberbezpieczeństwa

Naczelna Izba Aptekarska opublikowała komunikat dotyczący objęcia przedsiębiorców prowadzących apteki ogólnodostępne przepisami ustawy o krajowym systemie cyberbezpieczeństwa.

Podstawa prawna

I. Apteka ogólnodostępna jako podmiot objęty ustawą o KSC

Załącznik nr 1 do ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, dalej zwanej „ustawą o KSC” zalicza do sektora ochrony zdrowia, w podsektorze dotyczącym produkcji i dystrybucji substancji czynnych, produktów leczniczych i wyrobów medycznych, m.in. przedsiębiorcę prowadzącego działalność w formie apteki ogólnodostępnej w rozumieniu ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne.

Samo prowadzenie apteki ogólnodostępnej nie oznacza jednak automatycznie, że przedsiębiorca jest podmiotem kluczowym albo ważnym. Co do zasady konieczne jest dodatkowo spełnienie kryterium wielkości przedsiębiorstwa określonego w art. 5 ustawy o KSC.

1. Podmiot kluczowy

Zgodnie z art. 5 ust. 1 pkt 1 ustawy o KSC podmiotem kluczowym jest podmiot wskazany w załączniku nr 1 do ustawy, który przewyższa wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia Komisji (UE) nr 651/2014.

Oznacza to, że przedsiębiorca prowadzący aptekę ogólnodostępną, który przewyższa wymogi dla średniego przedsiębiorstwa, co do zasady jest podmiotem kluczowym.

2. Podmiot ważny

Zgodnie z art. 5 ust. 2 pkt 1 ustawy o KSC podmiotem ważnym jest podmiot wskazany w załączniku nr 1 do ustawy, który spełnia wymogi dla średniego przedsiębiorstwa określone w art. 2 ust. 1 załącznika I do rozporządzenia 651/2014/UE i jednocześnie nie jest podmiotem kluczowym.

W konsekwencji przedsiębiorca prowadzący aptekę ogólnodostępną, który spełnia wymogi dla średniego przedsiębiorstwa, co do zasady jest podmiotem ważnym.

II. Kryteria wielkości przedsiębiorstwa

Zgodnie z art. 2 załącznika I do rozporządzenia 651/2014/UE:

• do kategorii mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw („MŚP”) należą przedsiębiorstwa, które zatrudniają mniej niż 250 osób i których roczny obrót nie przekracza 50 mln EUR lub roczna suma bilansowa nie przekracza 43 mln EUR;
• małe przedsiębiorstwo – zatrudnia mniej niż 50 osób oraz jego roczny obrót lub roczna suma bilansowa nie przekracza 10 mln EUR;
• mikroprzedsiębiorstwo – zatrudnia mniej niż 10 osób oraz jego roczny obrót lub roczna suma bilansowa nie przekracza 2 mln EUR.

Na potrzeby kwalifikacji na gruncie ustawy o KSC jako średnie należy zatem traktować przedsiębiorstwo mieszczące się w kategorii MŚP, które nie spełnia kryteriów przedsiębiorstwa małego ani mikroprzedsiębiorstwa.

Dla objęcia przedsiębiorcy prowadzącego aptekę ogólnodostępną ustawą o KSC zasadnicze znaczenie ma zatem ustalenie, czy przedsiębiorca co najmniej spełnia wymogi właściwe dla średniego przedsiębiorstwa.

Oceny tej nie można jednak dokonywać wyłącznie na podstawie liczby osób zatrudnionych w konkretnej aptece. Przepisy art. 3–6 załącznika I do rozporządzenia 651/2014/UE określają zasady uwzględniania danych przedsiębiorstw partnerskich i powiązanych. W przypadku przedsiębiorcy funkcjonującego w ramach grupy lub sieci aptek konieczne jest zatem zbadanie tych powiązań i – w przypadkach określonych w rozporządzeniu – uwzględnienie danych innych przedsiębiorstw.

Ustawa o KSC przewiduje przy tym istotne wyjątki. Jeżeli osiągnięcie progów wynika z uwzględnienia przedsiębiorstw partnerskich lub powiązanych, a system informacyjny danego przedsiębiorcy jest niezależny od systemów tych przedsiębiorstw lub przedsiębiorca nie świadczy z nimi usług wspólnie, art. 5 ust. 6 i 7 przewidują szczególne zasady kwalifikacji takiego przedsiębiorcy jako podmiotu kluczowego albo ważnego.

III. Wnioski

Nie każdy przedsiębiorca prowadzący aptekę ogólnodostępną podlega obowiązkom ustawy o KSC jako podmiot kluczowy albo ważny. Umieszczenie przedsiębiorców prowadzących apteki ogólnodostępne w załączniku nr 1 do ustawy oznacza objęcie tej kategorii przedsiębiorców zakresem podmiotowym ustawy, jednak dla zakwalifikowania konkretnego przedsiębiorcy jako podmiotu kluczowego albo ważnego konieczne jest co do zasady spełnienie dodatkowego kryterium wielkości przedsiębiorstwa.

W rezultacie:

• przedsiębiorca prowadzący aptekę ogólnodostępną, który spełnia wymogi dla średniego przedsiębiorstwa, co do zasady jest podmiotem ważnym;
• przedsiębiorca prowadzący aptekę ogólnodostępną, który przewyższa wymogi dla średniego przedsiębiorstwa, co do zasady jest podmiotem kluczowym;
• przedsiębiorca będący mikroprzedsiębiorstwem albo małym przedsiębiorstwem co do zasady nie staje się podmiotem kluczowym ani ważnym wyłącznie z tego powodu, że prowadzi aptekę ogólnodostępną.

Przy ustalaniu statusu konkretnego przedsiębiorcy należy badać nie tylko dane pojedynczej apteki, lecz dane przedsiębiorcy prowadzącego aptekę, a w odpowiednich przypadkach także dane przedsiębiorstw partnerskich i powiązanych. Należy przy tym uwzględnić szczególne regulacje art. 5 ust. 6 i 7 ustawy o KSC dotyczące niezależności systemów informacyjnych i wspólnego świadczenia usług. Ustawa wskazuje również, że gdy status zależy od wielkości podmiotu, przesłanki ocenia się według stanu na dzień sporządzenia sprawozdania finansowego.

Niezależnie od powyższych progów organ właściwy do spraw cyberbezpieczeństwa może, na podstawie art. 7l ustawy o KSC, w drodze decyzji uznać podmiot niespełniający zasadniczych kryteriów z art. 5 za podmiot kluczowy lub ważny, jeżeli jest on podmiotem wskazanym w załączniku nr 1 lub 2 oraz spełnia co najmniej jedną z przesłanek określonych w art. 7l ust. 1 pkt 2 ustawy, dotyczących znaczenia usługi świadczonej za pomocą systemu informacyjnego. Dotyczy to w szczególności sytuacji, gdy zakłócenie takiej usługi spowodowałoby poważne zagrożenie dla zdrowia publicznego, usługa ma istotne znaczenie na poziomie wojewódzkim lub krajowym albo jej zakłócenie powodowałoby określone w ustawie ryzyko systemowe. W przypadku przedsiębiorcy prowadzącego aptekę ogólnodostępną, jako podmiotu wymienionego w załączniku nr 1, wydanie takiej decyzji skutkuje uznaniem go za podmiot kluczowy, niezależnie od niespełniania progów wielkości przedsiębiorstwa. Wynika to wprost z art. 7l ust. 2 pkt 1 ustawy.

Konkludując, obowiązki właściwe dla podmiotów kluczowych i ważnych nie dotyczą automatycznie każdego przedsiębiorcy prowadzącego aptekę ogólnodostępną. Decydujący jest status przedsiębiorcy, ustalany przede wszystkim na podstawie kryteriów wielkości przedsiębiorstwa oraz zasad dotyczących przedsiębiorstw partnerskich i powiązanych, z uwzględnieniem wyjątków przewidzianych w ustawie o KSC, w tym możliwości uznania przedsiębiorcy za podmiot kluczowy w drodze decyzji wydanej na podstawie art. 7l ustawy.