Wyobraź sobie firmę, która sprowadza szczepionki dla bydła spoza Unii. Magazyn, kilkadziesiąt osób, stali odbiorcy w całym kraju. Nikt w tej firmie nie zastanawia się nad ustawą o krajowym systemie cyberbezpieczeństwa, bo ta kojarzy się z bankami, szpitalami i operatorami sieci. A jednak ta firma może mieć obowiązek zgłosić się do wykazu podmiotów kluczowych i podmiotów ważnych.
Zacznijmy od prostego pytania: czy przepisy o cyberbezpieczeństwie mogą dotyczyć firmy, która nie ma nic wspólnego ze zdrowiem ludzi? Odpowiedź brzmi: mogą. Pokażę trzy tropy, które prowadzą z branży weterynaryjnej wprost do ustawy KSC, i trzy pytania, którymi sprawdzisz to u siebie.
Ustawa KSC to nie tylko informatyka
Ustawę o Krajowym Systemie Cyberbezpieczeństwa najczęściej opisuje się jako przepisy dla sektora IT, administracji publicznej albo dla obszarów strategicznych w rodzaju energetyki. Rozmowy z firmami z ostatnich miesięcy pokazują coś innego. Pod przepisy mogą podlegać branże, które na pierwszy rzut oka nie mają z cyberbezpieczeństwem nic wspólnego.
W grupach kapitałowych pojawia się jeszcze jedna myśl: „pewnie chodzi o usługi świadczone wewnątrz grupy”. To też potrafi przesądzić o podleganiu, ale dziś nie o tym. Dziś o firmach, które pracują ze zwierzętami.
Wielkość otwiera temat, załącznik go rozstrzyga
Przedsiębiorca może podlegać pod ustawę jako podmiot kluczowy albo podmiot ważny. To, którym z nich będzie, zależy przede wszystkim od wielkości firmy. O tym, jak zbadać swoją wielkość, piszemy w osobnym wpisie – Jak sprawdzić status wobec NIS2 – i czy jest mi to potrzebne?
Załóżmy, że Twoja spółka spełnia kryterium co najmniej średniego przedsiębiorcy. Wtedy kolejny krok to załączniki nr 1 i 2 do ustawy, czyli listy sektorów i rodzajów podmiotów. To w nich chowają się pułapki, bo weterynaria nie ma tam własnego wiersza. Ma za to sektor, który ją obejmuje bokiem: ochrona zdrowia, podsektor „produkcja i dystrybucja substancji czynnych, produktów leczniczych i wyrobów medycznych”.
Sześć pozycji, którym warto się przyjrzeć
Ten podsektor wymienia dwanaście rodzajów podmiotów. Zacznijmy od tych, które w sektorze weterynaryjnym mogą się pojawić:
- Przedsiębiorca prowadzący hurtownię farmaceutyczną w rozumieniu Prawa farmaceutycznego.
- Importer produktu leczniczego lub substancji czynnej w rozumieniu Prawa farmaceutycznego.
- Wytwórca produktu leczniczego lub substancji czynnej w rozumieniu Prawa farmaceutycznego.
- Dystrybutor substancji czynnej w rozumieniu Prawa farmaceutycznego.
- Podmiot, który uzyskał pozwolenie na dopuszczenie do obrotu produktu leczniczego.
- Podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne z sekcji C dział 21 klasyfikacji NACE Rev. 2.
Nie zgaduj, do której grupy trafiasz. Samoidentyfikacja, czyli samodzielne ustalenie, czy jesteś podmiotem kluczowym albo ważnym, to obowiązek po Twojej stronie. Nikt Cię o tym nie powiadomi. NIS2 Tester przeprowadza przez te pytania po kolei i pokazuje, w którym miejscu ustawy się znajdujesz.
Produkt leczniczy to także lek dla zwierząt
Tu dochodzimy do sedna. Wymienione pozycje odsyłają do Prawa farmaceutycznego, więc trzeba zajrzeć do jego definicji. Zgodnie z art. 2 tej ustawy produktem leczniczym jest substancja lub mieszanina substancji, przedstawiana jako mająca właściwości zapobiegania lub leczenia chorób występujących u ludzi lub zwierząt. U ludzi lub zwierząt. Trzy słowa, które przesądzają o wszystkim.
To trochę jak z alergią na orzechy. Z przodu opakowania nikt nie pisze wielkimi literami „zawiera orzechy”. Informacja siedzi drobnym drukiem w składzie, z tyłu. Ustawa KSC nigdzie nie wymienia weterynarii z nazwy. Wymienia „produkt leczniczy”, a definicja tego pojęcia, w innej ustawie, obejmuje także zwierzęta.
Zobaczmy więc, co ten skład zawiera. Trzy tropy.
Trop pierwszy: import to nie tylko przywóz
Importem produktu leczniczego jest, zgodnie z Prawem farmaceutycznym, każde działanie polegające na sprowadzaniu produktu leczniczego spoza Unii Europejskiej lub państw EFTA należących do Europejskiego Obszaru Gospodarczego. Co ważne, definicja obejmuje także magazynowanie, kontrolę jakości przy zwalnianiu serii oraz dystrybucję.
W praktyce znaczy to tyle, że firma sprowadzająca leki weterynaryjne spoza EOG i trzymająca je u siebie w magazynie może mieścić się w tym opisie. Nie trzeba niczego produkować.
Trop drugi: wytwarzanie to cały łańcuch
Wytwórcą jest przedsiębiorca, który na podstawie zezwolenia wykonuje co najmniej jedną z czynności składających się na wytwarzanie produktu leczniczego. A wytwarzanie to nie tylko produkcja. To również zakup i przyjmowanie materiałów w miejscu wytwarzania, dopuszczanie do kolejnych etapów, pakowanie i przepakowywanie, magazynowanie oraz dystrybucja wytwarzanych produktów. Przepakowanie brzmi jak czynność techniczna, prawie logistyczna.
W świetle tej definicji jest elementem wytwarzania.
Trop trzeci: hurt, gdzie przepis mówi wprost
Najmocniejszy dowód zostawiłem na koniec. Art. 72 Prawa farmaceutycznego definiuje obrót hurtowy jako zaopatrywanie się, przechowywanie, dostarczanie lub eksportowanie produktów leczniczych. I dodaje: „lub produktów leczniczych weterynaryjnych”. Wymienia przy tym wprost zakłady lecznicze dla zwierząt jako odbiorców takiego obrotu.
Tutaj nie trzeba już niczego wyprowadzać z definicji. Przepis mówi o weterynarii wprost.
Powtórzmy krótko
Ustawa KSC nie wymienia weterynarii. Wymienia importerów, wytwórców i hurtownie produktów leczniczych, a definicja produktu leczniczego obejmuje leki dla zwierząt.
Stąd trzy tropy:
- Import, czyli sprowadzanie leków spoza EOG razem z ich magazynowaniem i dystrybucją.
- Wytwarzanie, czyli cały łańcuch od przyjęcia materiałów po pakowanie i przepakowywanie.
- Obrót hurtowy, w którym przepis wymienia produkty lecznicze weterynaryjne wprost.
Trzy pytania, od których zacznij
Wniosek o wpis do wykazu podmiotów kluczowych i podmiotów ważnych trzeba złożyć do 3 października 2027 r. We wniosku podaje się dane wymienione w art. 7 ust. 2 pkt 1 do 18 ustawy.
Jest jeszcze jeden element, o którym warto wiedzieć wcześniej niż później. Do wniosku dołącza się oświadczenie kierownika podmiotu o zgodności danych z prawdą, składane pod rygorem odpowiedzialności karnej za fałszywe oświadczenie. Podpisuje je konkretna osoba, z imienia i nazwiska. To dobry powód, żeby ustalenie zakresu zrobić spokojnie i z wyprzedzeniem, a nie w ostatnim tygodniu przed terminem.
Pierwszy krok jest prosty i nic nie kosztuje: przejdź samoidentyfikację w NIS2 Testerze. Jeśli wynik okaże się niejednoznaczny, a w branży weterynaryjnej często taki bywa, napisz do nas. Przejdziemy przez to razem.
