Szpital też musi sprawdzić dostawcę oprogramowania

Placówka medyczna nie może tłumaczyć się, że zaufała dostawcy oprogramowania bez odpowiednich podstaw. Skoro powierza dane pacjentów podmiotom zewnętrznym, to nawet jeśli nie będzie mieć statusu podmiotu kluczowego lub ważnego w Krajowym Systemie Cyberbezpieczeństwa, nadal musi rzetelnie zweryfikować, czy kontrahent jest godny zaufania. To wszystko trzeba sprawdzić przed podpisaniem umowy.

– Powstaną nowe sektorowe zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT –computer security incident response team), wzmocnimy koordynację działań na poziomie krajowym, zgłaszanie incydentów cyberprzestrzeni będzie łatwiejsze, a reakcja na nie szybsza. Ustawa KSC daje konkretne narzędzia do ochrony danych, usług publicznych i infrastruktury krytycznej – poinformował o nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa w lutym 2026 r. Krzysztof Gawkowski, minister cyfryzacji.

Prawo.pl przypomniało, że że zgodnie z przepisami termin na samodzielną rejestrację podmiotu, który na podstawie ustawy o Krajowym Systemie Cyberbezpieczeństwa uznał się za ważny albo kluczowy z punktu widzenia definicji zawartych w przepisach (a jednocześnie nie jest wpisywany do wykazu z urzędu), minął na początku października. Po tej dacie w systemie znalazło się ponad 70 tys. takich instytucji.

Od 3 kwietnia przyszłego roku wejdą w życie obowiązki związane z raportowaniem i cyberbezpieczeństwem, natomiast w 2028 r. zaczną obowiązywać pierwsze audyty oraz możliwość nakładania ewentualnych kar finansowych.

Ministerstwo Cyfryzacji wydało właśnie rekomendacje pełnomocnika rządu do spraw cyberbezpieczeństwa (rolę tę pełni Krzysztof Gawkowski), które zawierają podstawowy katalog działań wzmacniających cyfrową odporność organizacji. Dokument może stanowić punkt wyjścia dla placówek budujących swoje bezpieczeństwo. Określa on również najważniejsze kierunki i obszary, które powinny zostać uwzględnione przy budowie, utrzymaniu i doskonaleniu systemu zarządzania cyberbezpieczeństwem w podmiotach objętych KSC.

Rejestr w dużym stopniu dotyczy ochrony zdrowia, na przykład szpitali czy firm dostarczających oprogramowanie do placówek medycznych, co ma szczególne znaczenie w kontekście ostatnich dużych cyberincydentów, między innymi w systemie MyDr. Jednocześnie resort zwraca uwagę, że nawet jednostki formalnie niepodlegające wpisowi do KSC nie mogą uznać, że są zwolnione z obowiązków.

Co po ataku na MyDr? ►– Platforma P1 i dane publiczne są bezpieczne – wiceminister Tomasz Maciejewski poinformował, że incydent w spółce MyDr nie naruszył centralnego systemu e-zdrowia, a wszystkie usługi publiczne działały bez zakłóceń.

Podkreślił to w odpowiedzi na poselską interpelację dotyczącą wycieku danych w MyDr Paweł Olszewski, wiceminister cyfryzacji.

Jak zaznaczył, w obecnych realiach prawnych resort nie prowadził w firmie dostarczającej oprogramowanie do placówek medycznych kontroli ani audytów, bo nie było ku temu podstaw. Pewne kwestie zmieniają się jednak właśnie w związku z KSC. Art. 8 ustawy wskazuje wymóg wdrożenia systemu zarządzania bezpieczeństwem informacji dla podmiotów zidentyfikowanych jako kluczowe, ważne oraz publiczne. Najprostszą sytuacją byłaby ta, w której MyDr dokonała samorejestracji (tego jednak nie wiemy, bo wykaz nie jest jawny). Jeśli tego nie zrobiono, organ właściwy do spraw cyberbezpieczeństwa nadal może w przyszłości uznać firmę za podlegającą regulacjom.

Co istotne, nawet w sytuacji, gdy dostawca nie trafi do wykazu, ustawa o KSC i wynikające z niej obowiązki wciąż mają ogromne znaczenie. Tyle tylko, że ciężar odpowiedzialności zostaje przeniesiony z firmy informatycznej na placówkę medyczną korzystającą z jej usług.

Jednocześnie należy podkreślić, że KSC przewiduje także wymagania w obszarze łańcucha dostaw. Oznacza to, że nawet jeśli MyDr sp. z o.o. lub inni dostawcy systemów wykorzystywanych przez podmioty lecznicze na szeroką skalę nie podlegaliby pod ustawę, to ze względu na świadczenie usług jednostkom kluczowym lub ważnym, również mają zadania z zakresu cyberbezpieczeństwa.

– Obowiązek zagwarantowania bezpiecznego łańcucha dostaw spoczywałby w takiej sytuacji na podmiotach leczniczych, a nie na samym dostawcy – wyjaśnił wiceminister Olszewski.

Zaznaczył przy tym, że ministerstwo analizuje dodanie kolejnych wymogów, co wstępnie zapowiadano ostatnio w ramach tak zwanej cyberpiątki.

Kwestię odpowiedzialności placówki akcentuje również adwokat Michał Opala. Jak zaznacza ekspert, bezpieczeństwo łańcucha dostaw to jedno z najistotniejszych zagadnień związanych z nowelizacją ustawy o KSC.

– Oznacza to, że podmioty objęte ustawą nie mogą koncentrować się wyłącznie na ochronie własnych systemów i danych, lecz muszą również zarządzać ryzykiem związanym z dostawcami usług i rozwiązań technologicznych wykorzystywanych w swojej działalności – podkreślił.

Dlatego w praktyce placówka medyczna nie może ograniczyć się do zakupu oprogramowania i polegać wyłącznie na deklaracjach producenta.

– Najpoważniejsze incydenty z ostatnich lat bardzo często rozpoczynały się właśnie od kompromitacji podmiotu trzeciego, a nie bezpośredniego ataku na organizację będącą końcowym użytkownikiem usługi. Dlatego proces weryfikacji powinien zaczynać się jeszcze przed podpisaniem umowy. Placówka musi ocenić, jakie standardy bezpieczeństwa stosuje dostawca, czy posiada odpowiednie procedury ochrony danych i zarządzania incydentami, jakie ma doświadczenia związane z wcześniejszymi naruszeniami oraz czy poddaje się niezależnym audytom lub certyfikacjom – wyjaśnił mec. Opala.

Mateusz Mądry podkreślił, że korzystanie z zewnętrznych usług informatycznych czy chmury obliczeniowej nie zwalnia podmiotu leczniczego z odpowiedzialności za informacje o pacjentach i ciągłość działania systemów.

– Zarówno przepisy RODO, jak i regulacje z obszaru cyberbezpieczeństwa opierają się na tej samej zasadzie: odpowiedzialność za właściwy dobór, nadzór i kontrolę dostawców pozostaje po stronie placówki medycznej – wskazał.

Adwokat Jędrzej Liberacki dodał z kolei, że kwestie bezpieczeństwa powinny zostać szczegółowo uregulowane w kontrakcie. Dotyczy to wymagań wobec samej usługi i organizacji dostawcy, a także zasad raportowania incydentów, dostępu do infrastruktury, obowiązków związanych z testowaniem zabezpieczeń oraz zakończenia współpracy i zwrotu lub usunięcia danych.

– Nie mniej istotny jest stały nadzór nad realizacją umowy. Zarządzanie ryzykiem dostawców nie jest jednorazowym działaniem wykonanym na etapie zakupu, lecz procesem trwającym przez cały okres współpracy. Placówki powinny regularnie weryfikować, czy dostawca utrzymuje deklarowany poziom bezpieczeństwa i wywiązuje się z przyjętych zobowiązań – podsumował mec. Liberacki.