NIS2 / KSC dla hurtu farmaceutycznego

Czy hurtownia farmaceutyczna podlega pod KSC?

Zacznijmy od faktu, którego wiele opracowań nie mówi wprost: dystrybucja hurtowa leków nie jest samodzielnym sektorem w załącznikach do ustawy. Sektor zdrowia w załączniku nr 1 obejmuje świadczeniodawców, laboratoria referencyjne, producentów substancji farmaceutycznych i leków, producentów krytycznych wyrobów medycznych oraz podmioty prowadzące badania nad lekami — o hurcie nie ma tam mowy. Uczciwa odpowiedź na pytanie „czy podlegamy” wymaga więc analizy czterech ścieżek, a nie prostego „tak/nie”.

1. 1

   Inne segmenty działalności

   Firma o działalności mieszanej podlega, jeśli choć jeden istotny segment mieści się w załącznikach. Przykłady z praktyki dystrybucji: produkcja lub konfekcjonowanie (sektor zdrowia lub produkcja), dystrybucja substancji i wyrobów chemicznych (sektor chemikalia, załącznik nr 2 — obejmuje produkcję, wytwarzanie i dystrybucję), usługi kurierskie (załącznik nr 2). Decyduje faktycznie prowadzona działalność, nie kod PKD.

2. 2

   Grupa kapitałowa

   Dane przedsiębiorstw partnerskich (25–50%) i powiązanych (powyżej 50%) się sumują. Hurtownia należąca do grupy z wytwórcą leków musi ocenić kwalifikację na poziomie struktury właścicielskiej — a obowiązki mogą objąć spółki, które same wyglądają na nieobjęte.

3. 3

   Indywidualna decyzja organu

   Ustawa pozwala wskazać podmiot decyzją — np. jedynego dostawcę usługi istotnej dla państwa albo podmiot, którego zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne. Skala i rola dystrybutora w zaopatrzeniu w leki może mieć tu znaczenie.

4. 4

   Reżim podmiotów krytycznych (CER)

   Podmiot uznany za krytyczny w równolegle wdrażanym reżimie odporności podlega KSC niezależnie od progów wielkości. Dla firm z pogranicza infrastruktury krytycznej oba systemy trzeba czytać razem.

W przypadkach granicznych — a hurt farmaceutyczny często taki jest — bezpieczniejsza jest kwalifikacja ostrożnościowa: skoro obowiązki i tak biegną od spełnienia przesłanek, błąd „w dół” jest znacznie droższy niż błąd „w górę”. Rozstrzygnięcie w sprawach spornych należy do analizy prawnej na tekście ustawy.

Druga strona medalu: wymogi przyjdą z umów, nie z ustawy

Nawet jeśli analiza wykaże, że hurtownia nie podlega ustawie wprost, temat wróci drzwiami kontraktowymi. Podmioty objęte ustawą mają obowiązek zarządzać bezpieczeństwem łańcucha dostaw: identyfikować dostawców istotnych dla bezpieczeństwa, oceniać ich ryzyko i wpisywać wymogi do umów — od poziomów usług, przez obowiązek informowania o incydentach, po prawo audytu. Jeśli Twoim klientem jest szpital, sieć apteczna należąca do grupy objętej ustawą albo wytwórca leków — to on tych klauzul zacznie wymagać od Ciebie. KSC rozlewa się w dół łańcucha także na firmy formalnie nieobjęte.

Dla dystrybutora oznacza to w praktyce: uporządkowane minimum bezpieczeństwa (MFA dla dostępów zdalnych i uprzywilejowanych, kopie zapasowe z testami odtworzenia, zarządzanie podatnościami, rejestrowanie zdarzeń), zdolność zareagowania na incydent i poinformowania klientów oraz gotowość do odpowiedzi na ankiety bezpieczeństwa i audyty klientów — niezależnie od formalnej kwalifikacji.

Typowe luki w firmach dystrybucyjnych

• kwalifikacja „po szyldzie”: ocena całej firmy zamiast segmentów działalności (dystrybucja leków, chemia, konfekcjonowanie, transport, usługi dla aptek)
• brak analizy grupy kapitałowej — hurtownia w grupie z wytwórcą ocenia się w oderwaniu od struktury właścicielskiej
• systemy magazynowe i zamówieniowe bez inwentaryzacji zależności — nie wiadomo, co naprawdę zatrzymuje dystrybucję
• kopie zapasowe bez testów odtworzenia — backup nietestowany to deklaracja, nie zabezpieczenie
• zdalne dostępy dostawców systemów bez MFA i bez rejestrowania sesji
• umowy z klientami objętymi ustawą podpisywane bez czytania klauzul bezpieczeństwa — i bez zdolności ich realnego wykonania
• brak ścieżki eskalacji incydentów liczonej w godzinach — klienci objęci ustawą mają zegar 24/72 h i oczekują szybkiej informacji od dostawców

Jak to wygląda w praktyce

Ten łańcuch znamy z obu stron stołu: prowadzimy wdrożenie NIS2/KSC jako podmiot kluczowy u wytwórcy leków z listy leków krytycznych — a bezpieczeństwo łańcucha dostaw jest w takim programie obowiązkowym obszarem SZBI. To oznacza listę dostawców istotnych dla bezpieczeństwa, ocenę ich ryzyka i klauzule w umowach: informowanie o incydentach, standardy bezpieczeństwa, prawo audytu. Dystrybucja i logistyka leków są naturalną częścią tej układanki.

Praktyczna rada dla hurtowni: zacznij od rzetelnej kwalifikacji (cztery ścieżki wyżej, z grupą kapitałową), a równolegle zbuduj minimum, które i tak będzie potrzebne kontraktowo — inwentaryzację systemów krytycznych dla dystrybucji, MFA, testowane kopie, prostą procedurę incydentową z progiem informowania klientów. W kontroli i w audycie klienta bronią się dowody operacyjne, nie deklaracje.

Czy hurtownia farmaceutyczna jest podmiotem kluczowym jak wytwórca leków?

Nie wprost. W załączniku nr 1 (sektor zdrowia) wymienieni są producenci substancji farmaceutycznych i leków oraz krytycznych wyrobów medycznych — nie dystrybucja hurtowa. Hurtownia może jednak podlegać przez inny segment działalności, grupę kapitałową z wytwórcą, indywidualną decyzję organu lub reżim podmiotów krytycznych (CER). To analiza indywidualna — w przypadkach granicznych zalecamy kwalifikację ostrożnościową i weryfikację prawną.

Nie podlegamy pod ustawę — czy możemy odłożyć temat cyberbezpieczeństwa?

Dystrybuujemy też substancje chemiczne — czy to zmienia kwalifikację?

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.