NIS2 w placówce medycznej: dokumentacja, odpowiedzialności i dowody wdrożenia

Najpierw kwalifikacja, potem dokumentacja

W placówkach medycznych rozmowa o NIS2 często zaczyna się od pytania "jakie procedury napisać". To pytanie jest przedwczesne. Najpierw trzeba ustalić, czy organizacja w ogóle wchodzi w zakres nowych obowiązków. Ministerstwo Cyfryzacji wskazuje, że podmioty powinny przeanalizować, czy podlegają nowym regulacjom na podstawie załączników do ustawy, i przygotować się do wpisu do wykazu podmiotów kluczowych i ważnych (gov.pl).

To rozróżnienie ma praktyczne znaczenie. Placówka, która nie spełnia przesłanek, nie powinna budować ciężkiej dokumentacji "na zapas", bo generuje to koszty bez pokrycia w obowiązkach. Placówka, która spełnia przesłanki, nie może odkładać kwalifikacji, bo od niej zależą dalsze terminy i zakres wdrożenia.

Ustawa krajowa i dyrektywa to dwa różne poziomy

Dyrektywa (UE) 2022/2555, znana jako NIS2, ustanawia ramy dla państw członkowskich, w tym wymagania dotyczące zarządzania ryzykiem i zgłaszania incydentów (EUR-Lex). Nie jest jednak aktem, który samodzielnie wyznacza każdej placówce konkretny obowiązek w danym kraju. To prawo krajowe wdraża dyrektywę i określa szczegóły.

W Polsce punktem odniesienia jest ustawa o krajowym systemie cyberbezpieczeństwa wraz z nowelizacją. Centrum e-Zdrowia zwraca uwagę, że sektor ochrony zdrowia jest w zakresie zmian, a liczba podmiotów objętych regulacją znacząco wzrośnie (cez.gov.pl). To nie oznacza, że każda placówka automatycznie staje się podmiotem kluczowym lub ważnym. Oznacza, że kwalifikacja wymaga uważnej analizy, a nie założenia.

Co placówka medyczna ma udowodnić

W praktyce audytowej i kontrolnej nie wystarczy posiadanie dokumentu. Trzeba pokazać, że proces działa, ma właściciela i pozostawia ślad. Dlatego dokumentację warto budować wokół czterech elementów: procesu, dokumentu, dowodu i właściciela.

Proces opisuje, co się dzieje w organizacji. Dokument mówi, jak to ma wyglądać. Dowód pokazuje, że tak się dzieje. Właściciel odpowiada za utrzymanie całości. Bez choćby jednego z tych elementów dokumentacja staje się deklaracją intencji, a nie dowodem wdrożenia.

Fikcyjna matryca proces-dokument-dowód-właściciel

Poniższa tabela jest przykładem fikcyjnym. Nie opisuje realnej placówki ani rzeczywistych danych. Pokazuje sposób myślenia, który można przenieść na własne procesy.

Tabela ma jedną zaletę: pokazuje luki. Jeśli przy procesie nie wskazano dowodu, trzeba sprawdzić, czy działa on w praktyce i gdzie znajdują się potwierdzające to zapisy. Jeśli nie ma właściciela, wiadomo, że nikt nie będzie pilnował przeglądów.

Dowody bez danych pacjentów

Do ćwiczeń i testów używaj danych syntetycznych lub odpowiednio zanonimizowanych. Wynik ćwiczenia dowodzi jednak wykonania ćwiczenia, nie zastępuje zapisów z rzeczywistego działania procesu. Dowody operacyjne powinny pochodzić z faktycznych przeglądów, decyzji i działań. Ogranicz ujawniane dane do niezbędnego zakresu, stosuj kontrolę dostępu i redakcję wrażliwych pól. Nie twórz fikcyjnych zapisów udających wykonane działania. Gdy wykazanie konkretnego zdarzenia wymaga danych chronionych, uzgodnij bezpieczny sposób wglądu z uprawnionymi osobami zamiast zamieszczać je w publicznych materiałach.

Dobrą praktyką jest prowadzenie rejestru dowodów obok rejestru dokumentów. Rejestr dowodów zawiera datę, opis zdarzenia, osobę odpowiedzialną i miejsce przechowywania. Dzięki temu w trakcie przeglądu nie trzeba przeszukiwać skrzynek mailowych, tylko otwiera się jedno miejsce.

Odpowiedzialności: kto co podpisuje

W placówce medycznej odpowiedzialności często się rozmywają między działem IT, administracją i personelem medycznym. Matryca pomaga to uporządkować, ale wymaga decyzji kierownictwa. Właściciel procesu powinien mieć realny wpływ na jego kształt, a nie tylko obowiązek podpisu.

Warto rozdzielić trzy role: właściciel procesu, właściciel dokumentu i osoba wykonująca zadanie. W małej placówce może to być ta sama osoba, ale w większej struktura powinna być jawna. Bez tego przy pierwszym incydencie pojawia się pytanie "kto miał to zrobić", na które nikt nie zna odpowiedzi.

Jak utrzymać dokumentację w ryzach

Dokumentacja NIS2 nie może być zbiorem plików, które nikt nie otwiera. Potrzebny jest rytm przeglądów: kto, kiedy i na jakiej podstawie sprawdza, czy dokument jest aktualny. Najprostsze rozwiązanie to harmonogram przeglądów powiązany z rejestrem ryzyk i rejestrem dowodów.

Warto też ustalić zasadę, że każda zmiana procesu wymaga aktualizacji dokumentu i dowodu. Brak takiej oceny może powodować rozjazd między tym, co opisane, a tym, co robione.

Co dalej

Jeśli placówka dopiero zaczyna, pierwszym krokiem jest kwalifikacja podmiotu i ustalenie, które procesy są krytyczne dla świadczenia usług. Dopiero potem warto sięgać po wzory dokumentów. Gotowy generator może przyspieszyć prace, ale nie zastąpi decyzji o zakresie i właścicielach.

Sprawdź, czy Twoja placówka ma już matrycę proces-dokument-dowód-właściciel. Jeśli nie, zacznij od jednego procesu i jednego dowodu. To lepszy start niż stos dokumentów bez pokrycia w codziennej pracy. Zobacz też, jak wygląda kwalifikacja podmiotów kluczowych i ważnych oraz dokumentacja wdrożenia w praktyce.

Przejdź do generatora NIS2, aby uporządkować szkielet dokumentacji, a następnie uzupełnij go własnymi procesami i dowodami.

Generator dokumentów NIS2 i UKSC 2026

99 zł jednorazowo, 30 dni dostępu.

Inne artykuły