{"id":3796,"date":"2026-08-13T10:17:11","date_gmt":"2026-08-13T09:17:11","guid":{"rendered":"https:\/\/healthcarepoland.pl\/?p=3796"},"modified":"2026-08-13T12:02:03","modified_gmt":"2026-08-13T11:02:03","slug":"stanowisko-koalicji-cyberc4he-incydent-u-dostawcy-dokumentacji-medycznej-to-incydent-w-systemie-ochrony-zdrowia","status":"publish","type":"post","link":"https:\/\/healthcarepoland.pl\/pl\/stanowisko-koalicji-cyberc4he-incydent-u-dostawcy-dokumentacji-medycznej-to-incydent-w-systemie-ochrony-zdrowia\/","title":{"rendered":"Stanowisko Koalicji CyberC4HE: incydent u dostawcy dokumentacji medycznej to incydent w systemie ochrony zdrowia"},"content":{"rendered":"\n
\n\n
\n
\n Koalicja CyberC4HE  ·  Stanowisko koordynatora\n <\/div>\n
\n Incydent u dostawcy dokumentacji medycznej to incydent w systemie ochrony zdrowia\n <\/div>\n
\n Stanowisko Koalicji na rzecz Cyberbezpiecze\u0144stwa w Ochronie Zdrowia (CyberC4HE) w zwi\u0105zku z incydentem dotycz\u0105cym firmy MyDr i komunikatem Centrum e-Zdrowia z 12 sierpnia 2026 r.\n <\/div>\n
\n Warszawa, 13 sierpnia 2026 r.  |  Koordynator koalicji: Healthcare Poland Foundation\n <\/div>\n <\/div>\n\n

\n Centrum e-Zdrowia potwierdzi\u0142o 12 sierpnia 2026 r., \u017ce incydent cyberbezpiecze\u0144stwa dotycz\u0105cy firmy MyDr pozostaje pod monitoringiem s\u0142u\u017cb pa\u0144stwowych, i jednocze\u015bnie zastrzeg\u0142o, \u017ce nie dosz\u0142o do naruszenia bezpiecze\u0144stwa centralnych us\u0142ug e-zdrowia<\/strong>. To rozr\u00f3\u017cnienie jest kluczowe i wymaga utrzymania w ca\u0142ej dalszej komunikacji. Bezpiecze\u0144stwo warstwy centralnej i bezpiecze\u0144stwo danych przetwarzanych po stronie dostawcy oprogramowania to dwie r\u00f3\u017cne rzeczy. Mylenie ich prowadzi albo do fa\u0142szywego uspokojenia, albo do paniki — a obie reakcje utrudniaj\u0105 plac\u00f3wkom wykonanie tego, co realnie maj\u0105 dzi\u015b do zrobienia.\n <\/p>\n\n

Co wiemy, a czego nie wiemy<\/h2>\n
<\/div>\n\n
\n \n \n \n \n \n \n \n
Twierdzenie<\/th>\n Status<\/th>\n \u0179r\u00f3d\u0142o<\/th>\n <\/tr>\n
Incydent u MyDr mia\u0142 miejsce; sprawa jest monitorowana przez s\u0142u\u017cby<\/td>\n potwierdzone<\/span><\/td>\n Centrum e-Zdrowia, komunikat z 12.08.2026<\/td>\n <\/tr>\n
Nie dosz\u0142o do naruszenia bezpiecze\u0144stwa centralnych us\u0142ug e-zdrowia; dost\u0119p pacjent\u00f3w do \u015bwiadcze\u0144 nie jest zak\u0142\u00f3cony<\/td>\n potwierdzone<\/span><\/td>\n Centrum e-Zdrowia, komunikat z 12.08.2026<\/td>\n <\/tr>\n
Osoba nieuprawniona mog\u0142a uzyska\u0107 dost\u0119p do danych; s\u0142u\u017cby badaj\u0105 okoliczno\u015bci<\/td>\n w toku ustale\u0144<\/span><\/td>\n Wypowied\u017a wicepremiera, ministra cyfryzacji Krzysztofa Gawkowskiego, relacjonowana 11–12.08.2026<\/td>\n <\/tr>\n
Skala: ok. 18,8 mln unikalnych numer\u00f3w PESEL<\/td>\n twierdzenie sprawc\u00f3w<\/span><\/td>\n Deklaracja atakuj\u0105cych relacjonowana w mediach; pe\u0142ny zakres nie zosta\u0142 dot\u0105d urz\u0119dowo potwierdzony<\/td>\n <\/tr>\n
Zakres kategorii danych: PESEL, imi\u0119 i nazwisko, data urodzenia, numer telefonu, dane recepty, oddzia\u0142 NFZ<\/td>\n cz\u0119\u015bciowo zweryfikowane<\/span><\/td>\n Weryfikacja pr\u00f3bki przez portal Zaufana Trzecia Strona, relacjonowana przez cyberdefence24.pl<\/td>\n <\/tr>\n <\/table>\n <\/div>\n\n

\n Koalicja nie powiela liczb bez atrybucji i nie traktuje deklaracji atakuj\u0105cych jak ustale\u0144. Do czasu zako\u0144czenia czynno\u015bci s\u0142u\u017cb w\u0142a\u015bciw\u0105 podstaw\u0105 dzia\u0142ania plac\u00f3wki jest mo\u017cliwy<\/em>, a nie potwierdzony<\/em> zakres naruszenia — i to wystarczy, by uruchomi\u0107 obowi\u0105zki, o kt\u00f3rych mowa ni\u017cej.\n <\/p>\n\n

Mechanizm: ryzyko przenios\u0142o si\u0119 do \u0142a\u0144cucha dostaw<\/h2>\n
<\/div>\n\n

\n Zdarzenie nie wydarzy\u0142o si\u0119 w szpitalu ani w przychodni. Wydarzy\u0142o si\u0119 u dostawcy systemu dokumentacji medycznej — czyli w miejscu, w kt\u00f3rym pojedyncza podatno\u015b\u0107 techniczna przek\u0142ada si\u0119 na ekspozycj\u0119 danych z wielu tysi\u0119cy niezale\u017cnych podmiot\u00f3w naraz. To jest r\u00f3\u017cnica jako\u015bciowa, nie ilo\u015bciowa: przy ataku na jeden szpital ryzyko jest ograniczone do jego populacji pacjent\u00f3w; przy zdarzeniu u dostawcy warstwy aplikacyjnej mno\u017cnikiem jest ca\u0142a baza wdro\u017ceniowa tego dostawcy.\n <\/p>\n

\n Publicznie opisywany wektor \u0142\u0105czy podatno\u015b\u0107 aplikacyjn\u0105 z ekspozycj\u0105 danych uwierzytelniaj\u0105cych do interfejs\u00f3w API. Nie komentujemy szczeg\u00f3\u0142\u00f3w technicznych na poziomie umo\u017cliwiaj\u0105cym powielenie ataku. Na poziomie klasy ryzyka wniosek jest jednak jednoznaczny i dotyczy ka\u017cdego dostawcy oprogramowania medycznego, nie tylko tego jednego: higiena sekret\u00f3w, rotacja kluczy API i separacja \u015brodowisk to dzi\u015b kontrola o randze klinicznej<\/strong>, a nie zagadnienie wewn\u0119trzne dzia\u0142u IT dostawcy.\n <\/p>\n\n

\n
Teza koalicji<\/div>\n

\n Powierzenie przetwarzania danych przenosi na dostawc\u0119 czynno\u015bci, nie odpowiedzialno\u015b\u0107. Podmiot leczniczy pozostaje administratorem danych i to on odpowiada za ocen\u0119 ryzyka, zg\u0142oszenie naruszenia i zawiadomienie pacjent\u00f3w — niezale\u017cnie od tego, po czyjej stronie wyst\u0105pi\u0142a podatno\u015b\u0107.\n <\/p>\n <\/div>\n\n

\n Prezes Urz\u0119du Ochrony Danych Osobowych przypomnia\u0142 to wprost w komunikacie do administrator\u00f3w korzystaj\u0105cych z MyDr: to na nich, a nie na podmiocie przetwarzaj\u0105cym, spoczywa obowi\u0105zek analizy ryzyka, zg\u0142oszenia naruszenia organowi nadzorczemu w terminie 72 godzin od stwierdzenia oraz — przy wysokim ryzyku dla praw i wolno\u015bci — zawiadomienia os\u00f3b, kt\u00f3rych dane dotycz\u0105. Podstaw\u0105 s\u0105 art. 33 i art. 34 RODO.\n <\/p>\n\n

Rekomendacje — w kolejno\u015bci, nie r\u00f3wnolegle<\/h2>\n
<\/div>\n\n

\n „Wszystko naraz” to brak rekomendacji. Poni\u017cej kolejno\u015b\u0107, kt\u00f3r\u0105 koalicja uznaje za w\u0142a\u015bciw\u0105 dla podmiotu leczniczego korzystaj\u0105cego z systemu obj\u0119tego incydentem.\n <\/p>\n\n

\n
1  ·  Pierwsze 72 godziny — obowi\u0105zek administratora<\/div>\n

Ustal, czy Twoja plac\u00f3wka jest administratorem danych przetwarzanych w systemie obj\u0119tym incydentem. Przeprowad\u017a udokumentowan\u0105 ocen\u0119 ryzyka naruszenia praw i wolno\u015bci. Je\u017celi naruszenie jest prawdopodobne — zg\u0142o\u015b je Prezesowi UODO w terminie 72 godzin od stwierdzenia; przy zg\u0142oszeniu po terminie do\u0142\u0105cz wyja\u015bnienie op\u00f3\u017anienia. Zabezpiecz korespondencj\u0119 z dostawc\u0105 jako materia\u0142 dowodowy.<\/p>\n <\/div>\n\n

\n
2  ·  Umowa powierzenia i realny zakres przetwarzania<\/div>\n

Wyjmij umow\u0119 powierzenia i sprawd\u017a trzy rzeczy: jakie kategorie danych realnie opuszczaj\u0105 Twoj\u0105 infrastruktur\u0119, jaki jest umowny termin i tryb informowania Ci\u0119 o incydencie po stronie procesora oraz czy masz prawo audytu i dost\u0119p do wynik\u00f3w analizy pow\u0142amaniowej. Braki w tych trzech punktach s\u0105 dzi\u015b najcz\u0119stsz\u0105 przyczyn\u0105 tego, \u017ce administrator dowiaduje si\u0119 o naruszeniu z medi\u00f3w.<\/p>\n <\/div>\n\n

\n
3  ·  Zawiadomienie pacjent\u00f3w i komunikacja<\/div>\n

Przy wysokim ryzyku zawiadomienie os\u00f3b jest obowi\u0105zkiem, nie decyzj\u0105 wizerunkow\u0105. Tre\u015b\u0107 powinna zawiera\u0107 charakter naruszenia, kategorie danych, dane kontaktowe inspektora ochrony danych, mo\u017cliwe konsekwencje — w tym ryzyko wy\u0142udzenia zobowi\u0105zania finansowego przy ujawnieniu numeru PESEL — oraz konkretne \u015brodki zaradcze. Przygotuj jednolity komunikat dla rejestracji i infolinii, zanim odezwie si\u0119 pierwszy pacjent.<\/p>\n <\/div>\n\n

\n
4  ·  Ci\u0105g\u0142o\u015b\u0107 dzia\u0142ania, nie tylko zgodno\u015b\u0107<\/div>\n

Zadaj sobie pytanie kontrolne: ile godzin Twoja plac\u00f3wka realizuje \u015bwiadczenia bez dost\u0119pu do systemu dokumentacji medycznej, zanim procedura kliniczna zaczyna si\u0119 sypa\u0107? Je\u017celi odpowied\u017a brzmi „nie wiemy”, to jest to wa\u017cniejsze ustalenie ni\u017c cokolwiek w tym komunikacie. Niedost\u0119pno\u015b\u0107 systemu HIS\/EDM jest zdarzeniem klinicznym, nie awari\u0105 techniczn\u0105 — i tak powinna by\u0107 rejestrowana oraz \u0107wiczona.<\/p>\n <\/div>\n\n

\n
5  ·  Wykorzystaj okno regulacyjne, kt\u00f3re i tak jest otwarte<\/div>\n

Nowelizacja ustawy o krajowym systemie cyberbezpiecze\u0144stwa, wdra\u017caj\u0105ca dyrektyw\u0119 NIS2, obowi\u0105zuje od 3 kwietnia 2026 r. Termin z\u0142o\u017cenia wniosku o wpis do wykazu podmiot\u00f3w kluczowych i wa\u017cnych up\u0142ywa 3 pa\u017adziernika 2026 r., wdro\u017cenie obowi\u0105zk\u00f3w — 3 kwietnia 2027 r., a pierwszy audyt podmiot\u00f3w kluczowych — 3 kwietnia 2028 r. Map\u0119 dostawc\u00f3w i tak trzeba w tym oknie zbudowa\u0107. Zrobienie tego teraz, przy \u015bwie\u017cym do\u015bwiadczeniu, kosztuje mniej ni\u017c zrobienie tego za rok pod presj\u0105 terminu.<\/p>\n <\/div>\n\n

Rekomendacje systemowe<\/h2>\n
<\/div>\n\n

Dla dostawc\u00f3w system\u00f3w medycznych.<\/strong> Bezpiecze\u0144stwo produktu przestaje by\u0107 argumentem handlowym, a staje si\u0119 warunkiem dopuszczenia do rynku publicznego. Rekomendujemy jako minimum: udokumentowany proces zarz\u0105dzania sekretami i rotacji po\u015bwiadcze\u0144, testy bezpiecze\u0144stwa przed ka\u017cdym wydaniem produkcyjnym, kontraktowe zobowi\u0105zanie do powiadomienia administratora w czasie liczonym w godzinach oraz gotowo\u015b\u0107 do udost\u0119pnienia wynik\u00f3w analizy pow\u0142amaniowej klientom b\u0119d\u0105cym administratorami.<\/p>\n

Dla organ\u00f3w za\u0142o\u017cycielskich i podmiot\u00f3w tworz\u0105cych.<\/strong> Pojedynczy szpital nie zbuduje samodzielnie zdolno\u015bci monitorowania i reakcji. Model regionalnego centrum operacji bezpiecze\u0144stwa, wsp\u00f3lnego dla podmiot\u00f3w jednego organu za\u0142o\u017cycielskiego, jest ta\u0144szy i szybszy ni\u017c mno\u017cenie jednostkowych zespo\u0142\u00f3w — i pozostaje rekomendacj\u0105 koalicji niezmienion\u0105 od 2024 r.<\/p>\n

Dla regulatora.<\/strong> Postulujemy rozszerzenie nadzoru nad \u0142a\u0144cuchem dostaw w ochronie zdrowia o warstw\u0119, kt\u00f3ra dzi\u015b jest najs\u0142abiej uregulowana: dostawc\u00f3w oprogramowania obs\u0142uguj\u0105cych r\u00f3wnocze\u015bnie tysi\u0105ce podmiot\u00f3w leczniczych. Zdarzenie u takiego dostawcy ma skutek systemowy, a odpowiedzialno\u015b\u0107 regulacyjna rozprasza si\u0119 na setki administrator\u00f3w, z kt\u00f3rych ka\u017cdy z osobna ma ograniczon\u0105 mo\u017cliwo\u015b\u0107 wymuszenia standardu. To asymetria wymagaj\u0105ca korekty na poziomie przepisu, nie umowy.<\/p>\n\n

\n

Zgodno\u015b\u0107 to nie odporno\u015b\u0107.<\/strong> Wpis do wykazu podmiot\u00f3w kluczowych, zestaw procedur i przeprowadzony audyt nie zast\u0119puj\u0105 odpowiedzi na pytanie, czy plac\u00f3wka umie leczy\u0107, gdy systemy nie dzia\u0142aj\u0105. Koalicja m\u00f3wi to konsekwentnie i powtarza przy tej okazji.<\/p>\n <\/div>\n\n

Dla pacjent\u00f3w<\/h2>\n
<\/div>\n

Podtrzymujemy rekomendacje Centrum e-Zdrowia: zastrze\u017cenie numeru PESEL, stosowanie silnych i unikalnych hase\u0142, w\u0142\u0105czenie uwierzytelniania wielosk\u0142adnikowego, ostro\u017cno\u015b\u0107 wobec nieoczekiwanych wiadomo\u015bci powo\u0142uj\u0105cych si\u0119 na plac\u00f3wk\u0119 medyczn\u0105 lub na sam incydent oraz monitorowanie aktywno\u015bci na kontach. Dost\u0119p do \u015bwiadcze\u0144 i do centralnych us\u0142ug e-zdrowia — zgodnie z komunikatem CeZ — nie jest zak\u0142\u00f3cony. Fala pr\u00f3b wy\u0142udze\u0144 wykorzystuj\u0105cych rozg\u0142os wok\u00f3\u0142 sprawy jest natomiast scenariuszem wysoce prawdopodobnym i warto si\u0119 jej spodziewa\u0107.<\/p>\n\n

\n

Koalicja CyberC4HE pozostaje w gotowo\u015bci do wsparcia podmiot\u00f3w leczniczych w ocenie ekspozycji, przegl\u0105dzie um\u00f3w powierzenia i przygotowaniu procedur ci\u0105g\u0142o\u015bci dzia\u0142ania. Zg\u0142oszenia i pytania: michal@dybowski.co<\/a>.<\/p>\n

\n
Micha\u0142 P. Dybowski<\/div>\n
Prezes Zarz\u0105du Healthcare Poland Foundation
Koordynator Koalicji na rzecz Cyberbezpiecze\u0144stwa w Ochronie Zdrowia (CyberC4HE)<\/div>\n <\/div>\n

Koalicja CyberC4HE zosta\u0142a powo\u0142ana w maju 2024 r. pod egid\u0105 Healthcare Poland Foundation i Polskiej Federacji Szpitali. W\u015br\u00f3d cz\u0142onk\u00f3w koalicji znajduje si\u0119 Centrum e-Zdrowia. Niniejsze stanowisko odnosi si\u0119 do informacji publicznie dost\u0119pnych na dzie\u0144 13 sierpnia 2026 r. i nie zawiera danych pochodz\u0105cych z czynno\u015bci prowadzonych przez s\u0142u\u017cby.<\/p>\n <\/div>\n\n

\n
\u0179r\u00f3d\u0142a<\/div>\n