Wyciek danych w ochronie zdrowia a NIS2 – test, pod który pisano nowe przepisy

Z publicznych komunikatów i doniesień medialnych wynika, że doszło do jednego z największych wycieków danych w Polsce. Zaatakowany został system informatyczny wykorzystywany przez tysiące placówek ochrony zdrowia do obsługi pacjentów. Według przekazu Ministerstwa Cyfryzacji skala może obejmować dane nawet 19 mln osób, a wśród nich informacje wyjątkowo wrażliwe, jak historia przepisywanych leków. Część danych o rozmiarach incydentu pochodzi od samych sprawców i jest wciąż weryfikowana – kierunek sprawy jest jednak jednoznaczny.

Nie komentujemy działań konkretnego podmiotu ani przebiegu tego incydentu. Na co dzień wdrażamy u klientów wymogi NIS2/KSC i wspieramy ich w obszarze RODO. Ta sprawa jest modelowym przykładem ryzyka, dla którego powstały nowe przepisy dotyczące cyberbezpieczeństwa, a zarazem pokazuje, jak mocno oba reżimy stykają się w praktyce.

Dlaczego akurat ochrona zdrowia

NIS2 zalicza podmioty lecznicze do sektorów o wysokim stopniu krytyczności. To oznacza najwyższy poziom wymagań w zakresie zarządzania ryzykiem, ciągłości działania i obsługi incydentów oraz najbardziej intensywny nadzór. W sektorze, w którym przetwarza się dane o zdrowiu, poprzeczka dojrzałości cyberbezpieczeństwa jest z założenia ustawiona wysoko.

Kluczowy wniosek: odpowiedzialność za łańcuch dostaw

Najważniejsza lekcja nie dotyczy jednej firmy, lecz relacji między organizacjami. Podmiot kluczowy lub ważny odpowiada za bezpieczeństwo swojego łańcucha dostaw ICT. Nawet jeśli formalnie regulacji podlega placówka medyczna, a nie dostawca oprogramowania, to na placówce ciąży obowiązek takiego ułożenia współpracy z dostawcami, by wymogi bezpieczeństwa realnie obowiązywały: prawo do audytu, obowiązki notyfikacji incydentów, wymagania wobec podwykonawców, zasady ciągłości działania i odpowiedzialność kontraktowa.

W praktyce oznacza to, że skutki NIS2 odczują także firmy formalnie nieobjęte ustawą. Dostawca usług lub produktów IT dla podmiotu kluczowego bądź ważnego zmierzy się z nowymi wymaganiami swoich kontrahentów – ankietami bezpieczeństwa, klauzulami umownymi i obowiązkami raportowania – nawet jeśli sam nie musi rejestrować się w wykazie. Dlatego pytanie „czy podlegam NIS2?” warto uzupełnić o drugie: „czy podlegają mu moi najważniejsi klienci i partnerzy?”.

Terminy, które biegną niezależnie od incydentu

Ustawa o KSC obowiązuje od 3 kwietnia 2026 r. Podmioty spełniające kryteria mają obowiązek złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych – dla organizacji, które spełniały przesłanki na dzień wejścia przepisów w życie, termin ten upływa 3 października 2026 r. Kolejne obowiązki (m.in. system zarządzania bezpieczeństwem informacji, osoby do kontaktu z CSIRT, pełna dokumentacja) wchodzą etapami w 2027 i 2028 r.

Osobno biegnie czas reakcji na incydent: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie do CSIRT w 72 godziny, sprawozdanie końcowe w miesiąc. Tych ścieżek nie da się zaprojektować w dniu, w którym dochodzi do naruszenia – muszą być gotowe i przećwiczone wcześniej.

Jeden incydent, dwa reżimy: NIS2/KSC i RODO

Incydent cyberbezpieczeństwa dotyczący danych osobowych może równolegle uruchomić obowiązki wynikające z RODO. Administrator musi ocenić, czy doszło do naruszenia ochrony danych osobowych, czy wymaga ono zgłoszenia Prezesowi UODO, a przy wysokim ryzyku – także zawiadomienia osób, których dane dotyczą. Przy zdarzeniu obejmującym bardzo dużą liczbę pacjentów wyzwaniem staje się więc nie tylko terminowe zgłoszenie, ale również sprawne ustalenie, kogo i w jaki sposób należy poinformować.

Rola zarządu i czas na przygotowanie

NIS2 przesuwa cyberbezpieczeństwo z poziomu technicznego na zarządczy. Kierownictwo ma rozumieć ryzyka, zapewniać zasoby i nadzorować środki bezpieczeństwa.

Kary dla podmiotów kluczowych mogą sięgać 10 mln euro lub 2% rocznego obrotu grupy, dla podmiotów ważnych – 7 mln euro lub 1,4%. Przewidziano również osobistą odpowiedzialność finansową osób zarządzających. Przepisy dają jednak czas na przygotowanie obowiązki wchodzą etapami, a reżim kontroli i ewentualnych kar rusza dopiero od 3 kwietnia 2028 r.

Powód, by wprowadzić odpowiednie procedury, jest jednak bardziej praktyczny niż kary. Jak pokazuje ta sprawa, realne ryzyko – operacyjne i reputacyjne – istnieje już dziś, niezależnie od sankcji prawnych.

Co warto sprawdzić teraz

1. Ustalić status organizacji: czy i jako jaki podmiot (kluczowy czy ważny) Państwa firma podlega pod KSC oraz do kiedy biegnie termin rejestracji.
2. Zmapować dostawców IT z dostępem do danych, w szczególności do danych o zdrowiu i innych danych wrażliwych.
3. Przejrzeć umowy z dostawcami pod kątem wymogów bezpieczeństwa, prawa do audytu i obowiązków zgłaszania incydentów.
4. Przetestować ścieżkę 24 godz. / 72 godz. / 1 miesiąc: kto, komu i co zgłasza.
5. Uwzględnić w procedurze incydentowej równoległą ścieżkę RODO: ocenę naruszenia, zgłoszenie do Prezesa UODO i – gdy jest wymagane – zawiadomienie osób, których dane dotyczą.
6. Potwierdzić, że zarząd formalnie zatwierdził środki zarządzania ryzykiem: jako dowód należytej staranności.

Jak możemy pomóc

Wspieramy klientów w wypełnieniu obowiązków NIS2/KSC kompleksowo – od opinii o statusie organizacji i matrycy obowiązków, przez procedury obsługi incydentów, analizę roli w łańcuchu dostaw i analizę krzyżową z RODO, po wdrożenie dokumentacji i procedur bezpieczeństwa oraz stałe wsparcie po wdrożeniu.

W razie wątpliwości chętnie omówimy sytuację Państwa firmy, aby potwierdzić status organizacji, termin rejestracji i zakres niezbędnych działań.