Centrum e-Zdrowia potwierdziło 12 sierpnia 2026 r., że incydent cyberbezpieczeństwa dotyczący firmy MyDr pozostaje pod monitoringiem służb państwowych, i jednocześnie zastrzegło, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia. To rozróżnienie jest kluczowe i wymaga utrzymania w całej dalszej komunikacji. Bezpieczeństwo warstwy centralnej i bezpieczeństwo danych przetwarzanych po stronie dostawcy oprogramowania to dwie różne rzeczy. Mylenie ich prowadzi albo do fałszywego uspokojenia, albo do paniki — a obie reakcje utrudniają placówkom wykonanie tego, co realnie mają dziś do zrobienia.

Co wiemy, a czego nie wiemy

Koalicja nie powiela liczb bez atrybucji i nie traktuje deklaracji atakujących jak ustaleń. Do czasu zakończenia czynności służb właściwą podstawą działania placówki jest możliwy, a nie potwierdzony zakres naruszenia — i to wystarczy, by uruchomić obowiązki, o których mowa niżej.

Mechanizm: ryzyko przeniosło się do łańcucha dostaw

Zdarzenie nie wydarzyło się w szpitalu ani w przychodni. Wydarzyło się u dostawcy systemu dokumentacji medycznej — czyli w miejscu, w którym pojedyncza podatność techniczna przekłada się na ekspozycję danych z wielu tysięcy niezależnych podmiotów naraz. To jest różnica jakościowa, nie ilościowa: przy ataku na jeden szpital ryzyko jest ograniczone do jego populacji pacjentów; przy zdarzeniu u dostawcy warstwy aplikacyjnej mnożnikiem jest cała baza wdrożeniowa tego dostawcy.

Publicznie opisywany wektor łączy podatność aplikacyjną z ekspozycją danych uwierzytelniających do interfejsów API. Nie komentujemy szczegółów technicznych na poziomie umożliwiającym powielenie ataku. Na poziomie klasy ryzyka wniosek jest jednak jednoznaczny i dotyczy każdego dostawcy oprogramowania medycznego, nie tylko tego jednego: higiena sekretów, rotacja kluczy API i separacja środowisk to dziś kontrola o randze klinicznej, a nie zagadnienie wewnętrzne działu IT dostawcy.

Prezes Urzędu Ochrony Danych Osobowych przypomniał to wprost w komunikacie do administratorów korzystających z MyDr: to na nich, a nie na podmiocie przetwarzającym, spoczywa obowiązek analizy ryzyka, zgłoszenia naruszenia organowi nadzorczemu w terminie 72 godzin od stwierdzenia oraz — przy wysokim ryzyku dla praw i wolności — zawiadomienia osób, których dane dotyczą. Podstawą są art. 33 i art. 34 RODO.

Rekomendacje — w kolejności, nie równolegle

„Wszystko naraz” to brak rekomendacji. Poniżej kolejność, którą koalicja uznaje za właściwą dla podmiotu leczniczego korzystającego z systemu objętego incydentem.

Rekomendacje systemowe

Dla dostawców systemów medycznych. Bezpieczeństwo produktu przestaje być argumentem handlowym, a staje się warunkiem dopuszczenia do rynku publicznego. Rekomendujemy jako minimum: udokumentowany proces zarządzania sekretami i rotacji poświadczeń, testy bezpieczeństwa przed każdym wydaniem produkcyjnym, kontraktowe zobowiązanie do powiadomienia administratora w czasie liczonym w godzinach oraz gotowość do udostępnienia wyników analizy powłamaniowej klientom będącym administratorami.

Dla organów założycielskich i podmiotów tworzących. Pojedynczy szpital nie zbuduje samodzielnie zdolności monitorowania i reakcji. Model regionalnego centrum operacji bezpieczeństwa, wspólnego dla podmiotów jednego organu założycielskiego, jest tańszy i szybszy niż mnożenie jednostkowych zespołów — i pozostaje rekomendacją koalicji niezmienioną od 2024 r.

Dla regulatora. Postulujemy rozszerzenie nadzoru nad łańcuchem dostaw w ochronie zdrowia o warstwę, która dziś jest najsłabiej uregulowana: dostawców oprogramowania obsługujących równocześnie tysiące podmiotów leczniczych. Zdarzenie u takiego dostawcy ma skutek systemowy, a odpowiedzialność regulacyjna rozprasza się na setki administratorów, z których każdy z osobna ma ograniczoną możliwość wymuszenia standardu. To asymetria wymagająca korekty na poziomie przepisu, nie umowy.

Dla pacjentów

Podtrzymujemy rekomendacje Centrum e-Zdrowia: zastrzeżenie numeru PESEL, stosowanie silnych i unikalnych haseł, włączenie uwierzytelniania wieloskładnikowego, ostrożność wobec nieoczekiwanych wiadomości powołujących się na placówkę medyczną lub na sam incydent oraz monitorowanie aktywności na kontach. Dostęp do świadczeń i do centralnych usług e-zdrowia — zgodnie z komunikatem CeZ — nie jest zakłócony. Fala prób wyłudzeń wykorzystujących rozgłos wokół sprawy jest natomiast scenariuszem wysoce prawdopodobnym i warto się jej spodziewać.