Rozszerzone omówienie działań Koalicji CyberC4HE w odniesieniu do przepisów krajowych i regulacji europejskich
✓ Powstanie Koalicji Cyber4HE
✓ Dyrektywa NIS2
✓ Ustawa o krajowym systemie cyberbezpieczeństwa (KSC)
✓ RODO i rozporządzenie eIDAS
✓ Wnioski z analizy 140 szpitali w 2024 r.
✓ Identyfikacja dobrych praktyk
✓ Rekomendacje na 2025 r.
✓ Harmonogram wdrażania rekomendacji
✓ Formy wsparcia oferowane przez CyberC4HE
Powstanie Koalicji CyberC4HE
Koalicja CyberC4HE powstała w odpowiedzi na szybko rosnące zagrożenia cybernetyczne w sektorze ochrony zdrowia, wynikające z coraz większego uzależnienia systemów medycznych od technologii cyfrowych oraz z przestarzałej infrastruktury IT wielu placówek. Koalicja działa jako platforma współpracy między sektorem publicznym i prywatnym, instytucjami państwowymi, organizacjami pozarządowymi i ekspertami.
Od momentu powstania Koalicja zgromadziła wiodące organizacje, takie jak Centrum e-Zdrowia (CeZ), sektorowy CSIRT, Fundacja Healthcare Poland, Polska Federacja Szpitali (PFSz), okręgowe izby lekarskie, a także kluczowych ekspertów w zakresie cyberbezpieczeństwa, zarządzania ryzykiem i transformacji cyfrowej.
Celem Koalicji jest zebranie informacji o stanie przygotowania podmiotów ochrony zdrowia oraz opracowanie optymalnego procesu wdrażania zintegrowanego systemu ochrony infrastruktury krytycznej zgodnie z wymogami dyrektywy NIS2, standardami unijnej agencji ENISA oraz przepisami krajowymi, takimi jak ustawa o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560 z późn. zm.) oraz przepisy RODO (rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679).
Dyrektywa NIS2
Dyrektywa NIS2, przyjęta w grudniu 2022 r., jest kluczowym aktem prawnym dotyczącym ochrony infrastruktury krytycznej w Unii Europejskiej i rozszerza obowiązki na sektor ochrony zdrowia. Do najważniejszych przepisów należą:
Obowiązek zarządzania ryzykiem
Każda objęta regulacją organizacja musi wdrożyć system zarządzania ryzykiem cybernetycznym.
Zgłaszanie incydentów
Placówki medyczne są zobowiązane zgłaszać poważne incydenty cybernetyczne w ciągu 24 godzin do sektorowego CSIRT (w Polsce: zespołu działającego w Centrum e-Zdrowia).
Obowiązek audytu
Organizacje muszą regularnie przeprowadzać audyty w celu oceny zgodności infrastruktury IT z wymogami bezpieczeństwa.
KSC
Ustawa o krajowym systemie cyberbezpieczeństwa
(KSC)
W Polsce przepisy dyrektywy NIS2 są wdrażane poprzez nowelizację ustawy o KSC, która wejdzie w życie 1 stycznia 2025 r. Najważniejsze przepisy ustawy:
- Nadanie szpitalom o szczególnym znaczeniu dla ochrony zdrowia statusu operatorów usług kluczowych.
- Wprowadzenie obowiązku tworzenia planów zarządzania ryzykiem i procedur reagowania na incydenty.
- Obowiązek zapewnienia zgodności z wymogami bezpieczeństwa określonymi w art. 8 ustawy.
- Wymóg prowadzenia sprawozdawczości zgodnie z ESG (środowisko, społeczeństwo, ład korporacyjny), co stanowi nowy element powiązany z finansowaniem rozwiązań technologicznych.
Analiza
Wnioski z analizy 140 szpitali w 2024 r.
Wnioski z analizy 210 szpitali w 2025 r.
1
Braki w infrastrukturze IT
62% szpitali korzysta z systemów informatycznych starszych niż pięć lat, co uniemożliwia ich aktualizację zgodnie z wymogami bezpieczeństwa.
48% placówek nie wdrożyło systemów monitorowania zagrożeń w czasie rzeczywistym.
2
Brak zintegrowanych procedur zarządzania ryzykiem
Większość szpitali nie posiada planów reagowania na incydenty ani określonych procedur zgłaszania.
3
Niewystarczające finansowanie
Tylko 30% szpitali przeznacza więcej niż 5% budżetu IT na cyberbezpieczeństwo, co jest wartością znacznie poniżej rekomendacji ENISA.
Identyfikacja dobrych praktyk
Wojewódzkie SOC (Security Operations Center)
W 3 województwach utworzono wojewódzkie centra operacji bezpieczeństwa, które zapewniają monitorowanie i wsparcie techniczne dla placówek ochrony zdrowia.
Programy pilotażowe
Szpitale uczestniczące w programach CeZ, takich jak EZLA (elektroniczna dokumentacja medyczna), wykazały większą odporność na incydenty.
Rekomendacje na lata 2025/2026
🏢
Budowa rozproszonych SOC
Utworzenie wojewódzkich i samorządowych SOC zintegrowanych z CeZ oraz sektorowymi CSIRT.
Finansowanie budowy SOC ze środków unijnych (Horizon Europe, Digital Europe) oraz z komponentu ESG w ramach KPO (Krajowego Planu Odbudowy).
🛂
Uproszczony model audytu i certyfikacji
Uproszczony audyt: dedykowany szpitalom średniej wielkości, umożliwiający ocenę zgodności z dyrektywą NIS2 i ustawą o KSC.
Certyfikacja ESG: placówki spełniające wymogi bezpieczeństwa IT będą mogły uzyskać certyfikaty potwierdzające zgodność z ESG, co otwiera dostęp do dodatkowych środków.
👨🏻💻
Izolowana infrastruktura i fizyczne środki bezpieczeństwa
Sieci air-gapped: dla krytycznych systemów informatycznych, takich jak systemy zarządzania danymi pacjentów.
Blokowanie portów USB: obowiązkowe na wszystkich urządzeniach medycznych i administracyjnych, z wyjątkiem autoryzowanych kluczy sprzętowych.
📑
Cyfryzacja i eliminacja procedur papierowych
Dokumentacja cyfrowa: wdrożenie podpisów cyfrowych zgodnych z eIDAS, umożliwiające całkowite przejście na elektroniczne formularze zgody pacjenta i dokumentację medyczną.
System EZLA: rozszerzenie na wszystkie szpitale, eliminacja ryzyk związanych z urządzeniami do wystawiania recept.
👩🏻⚕️
Szkolenia i wsparcie personelu medycznego i administracyjnego
Ogólnopolski program szkoleń z zakresu cyberhigieny i zarządzania incydentami dla personelu medycznego i administracyjnego.
Warsztaty dla kadry zarządzającej dotyczące integracji cyberbezpieczeństwa z zarządzaniem ESG.
Harmonogram wdrażania rekomendacji
Krótkoterminowo
(2025)
Projekt pilotażowy obejmujący uproszczone audyty w 10 szpitalach
Budowa 5 wojewódzkich SOC
Przeszkolenie 20 000 pracowników ochrony zdrowia w zakresie cyberbezpieczeństwa
Średnioterminowo
(2026–2027)
Certyfikacja 80 szpitali zgodnie z ESG
Pełne wdrożenie sieci izolowanych w jednostkach kluczowych
Długoterminowo
(2028+)
Rozwój krajowego systemu cyberbezpieczeństwa w ochronie zdrowia jako wzorca dla innych sektorów
CyberC4HE
Podsumowanie
Opierając się na przepisach krajowych i unijnych, Koalicja CyberC4HE opracowała kompleksowy plan transformacji cyberbezpieczeństwa w polskim sektorze ochrony zdrowia. Wdrożenie rekomendacji zapewni zgodność z dyrektywą NIS2, ochronę danych pacjentów oraz zwiększy skuteczność finansowania, w tym w ramach przygotowania do sprawozdawczości ESG.
Formy wsparcia oferowane przez CyberC4HE
Sprawdź, jakie formy wsparcia Koalicja CyberC4HE oferuje swoim członkom.
Kompleksowy plan transformacji cyberbezpieczeństwa
Plan obejmuje wdrożenie systemów zarządzania ryzykiem, ochronę infrastruktury IT oraz zgodność z dyrektywą NIS2, wspierając szpitale w poprawie finansowania i przygotowaniu do sprawozdawczości ESG.
CyberBook
Podręcznik dobrych praktyk i standardów cyberbezpieczeństwa, który wspiera realizację obowiązków wynikających z regulacji unijnych (NIS2, RODO, eIDAS).
Budowa rozproszonych SOC
Lokalne centra bezpieczeństwa w regionach UE monitorujące zagrożenia, współfinansowane ze środków Horizon Europe i Digital Europe.
