Nowelizacja ustawy o cyberbezpieczeństwie może kosztować branżę farmaceutyczną 675 mln zł

Planowane regulacje cyberbezpieczeństwa mogą kosztować branżę farmaceutyczną blisko 675 mln zł netto w ciągu pięciu lat. Przedsiębiorcy z branży farmaceutycznej mogą ponieść koszty sięgające nawet 1,5 mln zł netto na jeden podmiot – wynika z raportu analizującego skutki nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC).

W związku z planowaną nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, sektor farmaceutyczny w Polsce stanie przed sporymi wyzwaniami organizacyjnymi i finansowymi. Nowe przepisy mogą wymusić wymianę sprzętu i oprogramowania pochodzącego od tzw. dostawców wysokiego ryzyka. Według opublikowanego raportu, średni koszt takiej operacji dla jednej firmy może przekroczyć 1,5 mln zł netto w pięcioletniej perspektywie. Dla całej branży oznacza to łączny koszt rzędu 675 mln zł. Co więcej, aż 61% ankietowanych firm nie zna szczegółów nadchodzących zmian, co dodatkowo potęguje niepewność regulacyjną.

W kwietniu 2024 r. na stronie Rządowego Centrum Legislacji został opublikowany projekt nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. Wnioskodawcą projektu jest Minister Cyfryzacji. Wersja po uzgodnieniach w ramach Komitetu do Spraw Europejskich została opublikowana 14 lutego br. i w oparciu o ten dokument był analizowany kontekst sprawy. Projekt ma implementować do krajowego porządku prawnego tzw. dyrektywę NIS2, czyli dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2555 w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii. Zgodnie z ogólnie dostępnymi stanowiskami i opiniami prawnymi, projekt dokonuje transpozycji postanowień NIS2 w szerszym zakresie niż wymaga tego sama dyrektywa.

Zgodnie z nowelizacją ustawy, kwalifikacja dostawcy jako wysokiego ryzyka (DWR) odbywa się na podstawie oceny ryzyka przeprowadzanej przez ministra cyfryzacji. Uwzględnia się przy tym kryteria techniczne (np. incydenty bezpieczeństwa, podatności) oraz nietechniczne (np. zagrożenia ekonomiczne, wywiadowcze, wpływ państw spoza UE i NATO, powiązania z podmiotami objętymi sankcjami). Po uznaniu dostawcy za DWR, podmioty kluczowe i ważne muszą w ciągu 4 lub 7 lat (w zależności od rodzaju podmiotu) zaprzestać używania jego produktów i usług ICT, co oznacza znaczne koszty związane z zakupem i wdrożeniem nowych rozwiązań. W sektorze ochrony zdrowia nowelizacja obejmie 1248 podmiotów. Szacuje się, że około 450 z nich to firmy farmaceutyczne. Ocena Skutków Regulacji nie podaje szczegółowych danych finansowych, ale wskazuje na konieczność poniesienia kosztów związanych z audytami, zatrudnieniem specjalistów, zakupem sprzętu i usług doradczych. Koszty wycofania produktów od dostawców DWR są obecnie nie do oszacowania, ponieważ decyzje w tej sprawie będzie podejmował minister informatyzacji, a ich zakres nie jest jeszcze znany.

Najnowszy raport „Wpływ projektu nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC)” zrealizowany przez Polskie Towarzystwo Koordynowanej Ochrony Zdrowia, Izbę Gospodarczą "Farmacja Polska" i Fundację AI LAW TECH przedstawia potencjalne skutki wprowadzenia nowelizacji. Z opracowania wynika, że branża farmaceutyczna nie jest gotowa na skutki finansowe wynikające z nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa. Aż 82% firm wytwarzających produkty lecznicze i prowadzących hurtownie nie zdaje sobie sprawy z konsekwencji nowych regulacji.

- Przeprowadzone badania pokazują, że koszty związane z koniecznością dostosowania się do nowych regulacji mogą znacząco wpłynąć na działalność firm, a brak odpowiednich zamienników technologicznych może utrudniać ciągłość prowadzenia działalności gospodarczej – czytamy we wstępie do raportu.

W grupie podmiotów wypełniających ankiety były apteki ogólnodostępne oraz sieci aptek, hurtownie farmaceutyczne, importerzy równolegli, importerzy substancji czynnych oraz producenci substancji czynnych, wyrobów medycznych i produktów leczniczych, czyli reprezentatywna grupa firm z branży farmaceutycznej. Analiza informacji zawartych w ankietach wskazuje, że przedsiębiorcy z tego podsektora mają niską świadomość konsekwencji i skutków finansowych wejścia w życie tych przepisów prowadzenia działalności gospodarczej. Ponad 60% ankietowanych uważa, że nie istnieje realna możliwość wymiany posiadanego sprzętu i oprogramowania i zastąpienia ich jedynie produktami wytwarzanymi przez firmy z państw Unii Europejskiej i NATO.