NIS2 dla producentów wyrobów medycznych: podmiot kluczowy czy ważny?

Klient przesyła Ci certyfikat ISO 13485 i pyta: „Czyli jesteśmy objęci, prawda?". To producent diagnostyki in vitro z Wielkopolski, 180 pracowników. Certyfikat nic nie mówi o NIS2.

Regulacje produktowe i cyberbezpieczeństwo organizacji to dwa różne reżimy. MDR i IVDR regulują wyrób. NIS2, wdrożona w Polsce przez znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa (KSC), reguluje firmę, która go produkuje. Jeśli doradzasz producentom wyrobów medycznych w świetle NIS2, musisz wiedzieć, w którym załączniku znajduje się każdy klient. To przesądza o modelu nadzoru, limicie kar i presji audytowej.

Farmacja i wyroby medyczne: dwa załączniki

NIS2 (dyrektywa (UE) 2022/2555) umieszcza podmioty life sciences w dwóch miejscach.

Załącznik I, sektor 5 (zdrowie) obejmuje m.in.:

• producentów podstawowych produktów farmaceutycznych i preparatów farmaceutycznych;
• podmioty prowadzące badania i prace rozwojowe nad produktami leczniczymi;
• referencyjne laboratoria UE;
• producentów wyrobów medycznych uznawanych za krytyczne w stanie zagrożenia zdrowia publicznego, czyli wyrobów z wykazu na podstawie art. 22 rozporządzenia (UE) 2022/123.

Załącznik II, sektor 5 (produkcja niektórych produktów krytycznych) obejmuje producentów wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro, których nie ma na tym wykazie.

Kluczowy czy ważny: decyduje wielkość

Zgodnie z art. 3 dyrektywy duży podmiot z sektora załącznika I jest podmiotem kluczowym. Średni podmiot z załącznika I jest podmiotem ważnym. Każdy objęty podmiot z załącznika II jest ważny.

Klient	Załącznik	Typowa klasyfikacja
Duży producent farmaceutyczny	I	Kluczowy
Średnia firma badawcza leków	I	Ważny
Duży producent wyrobów z wykazu kryzysowego	I	Kluczowy
Średni producent diagnostyki in vitro	II	Ważny
Duży producent zwykłych wyrobów medycznych	II	Ważny

Wielkość wynika z zalecenia 2003/361/WE: średni oznacza co najmniej 50 pracowników albo ponad 10 mln EUR obrotu lub sumy bilansowej. Małe i mikroprzedsiębiorstwa co do zasady nie są objęte, z wąskimi wyjątkami.

Nie zakładaj, że producent wyrobów medycznych jest w załączniku I. Większość nie jest. Wykaz kryzysowy ma znaczenie dopiero po uznaniu stanu zagrożenia zdrowia publicznego; typowy klient trafia do załącznika II.

Polska: KSC i rejestr S46

W Polsce przepisy NIS2 działają przez znowelizowaną ustawę o KSC. Ministerstwo Cyfryzacji prowadzi rejestr S46, w którym podmioty muszą się samodzielnie zarejestrować; termin samorejestracji upłynął 3 października 2026 r. Jeśli klient go nie dotrzymał, to pierwsza rzecz do sprawdzenia. Szerszy kontekst znajdziesz w Prawo NIS2 w Polsce obowiązuje.

Dla sektora ochrony zdrowia sprawdź z klientem, który organ właściwy sektorowo go dotyczy. Obie kategorie mają te same obowiązki zarządzania ryzykiem (art. 21 NIS2) i zgłaszania incydentów (art. 23). Różni się nadzór i kary. Podmioty kluczowe podlegają nadzorowi proaktywnemu, ważne reaktywnemu. Art. 34 przewiduje kary do 10 mln EUR lub 2 % światowego obrotu dla kluczowych i do 7 mln EUR lub 1,4 % dla ważnych.

Nadzór reaktywny nie znaczy łagodny. Gdy producent podłączonej pompy infuzyjnej padnie ofiarą ransomware, status „ważny" niewiele pociesza.

Co znajdzie audyt u klienta life sciences

Systemy jakości są dojrzałe. Zarządzanie bezpieczeństwem zwykle nie.

Sieci OT i laboratoryjne. Linie produkcyjne, pomieszczenia czyste i aparatura działają na starszych systemach, których nie da się łatać w rytmie IT. Realistyczną miarą jest segmentacja. Zobacz NIS2 dla producentów: granica IT/OT.

Systemy zwalidowane. Walidacja systemów komputerowych zamraża wersje oprogramowania. Zespoły traktują to jako powód, by nie łatać. NIS2 wymaga udokumentowanego procesu zarządzania podatnościami ze środkami kompensacyjnymi, a nie milczenia.

Ryzyko dostawców. Producenci kontraktowi, CRO, chmurowe LIMS i dostawcy oprogramowania podlegają art. 21 ust. 2 lit. d). Umowa jakościowa nie jest oceną bezpieczeństwa.

Odpowiedzialność kierownictwa. Art. 20 czyni organ zarządzający odpowiedzialnym za zatwierdzanie i nadzór nad środkami. Kierownik ds. jakości nie podpisze tego w jego imieniu.

Bezpieczeństwo produktu to nie bezpieczeństwo firmy. Wymogi MDR i IVDR dotyczące cyberbezpieczeństwa wyrobu obejmują cykl życia produktu. Nie dają procesu incydentowego dla sieci firmy, rejestracji ani wczesnego ostrzeżenia w 24 godziny.

Zgłaszanie obok systemu vigilance

Poważny incydent wymaga wczesnego ostrzeżenia w 24 godziny, zgłoszenia w 72 godziny i sprawozdania końcowego w ciągu miesiąca. Te terminy są odrębne od zgłoszeń vigilance dla wyrobów medycznych. Jedno zdarzenie może uruchomić oba.

Zbuduj jeden playbook: kto decyduje, czy incydent jest poważny, kto zgłasza do CSIRT, kto składa zgłoszenie vigilance. Przetestuj go raz. Pełne terminy opisuje NIS2: 24 godziny, 72 godziny, 1 miesiąc.

Producenci z zakładami w wielu krajach

Niemcy, Włochy, Polska i Holandia mają przepisy w mocy; Francja i Hiszpania zostały w lipcu 2026 r. skierowane do TSUE. Producent z wieloma zakładami może podlegać kilku reżimom naraz.

Potwierdź dla każdej osoby prawnej, które prawo ma zastosowanie i jaki organ sprawuje nadzór. Zobacz artykuł 26.

Co zrobić w tym miesiącu

1. Wypisz osoby prawne. NIS2 dotyczy podmiotu, nie marki grupy.
2. Sklasyfikuj każdy podmiot według załączników I i II i zastosuj kryterium wielkości.
3. Sprawdź, czy któryś wyrób jest na wykazie kryzysowym.
4. Potwierdź wpis do rejestru S46 i rejestracje w innych krajach.
5. Zestaw luki z dziesięcioma środkami z art. 21, zaczynając od łańcucha dostaw i zarządzania podatnościami.

Potrzebujesz szybkiego, obronnego punktu wyjścia? Zacznij od oceny gotowości. Uruchom bezpłatny NIS2 Quick Scan, a dostaniesz analizę luk dla zarządu.

Sklasyfikuj klienta, znajdź luki, najpierw napraw łańcuch dostaw i podatności. Tam producenci tracą najwięcej punktów w audycie.