Cyberbezpieczeństwo w szpitalu nie kończy się na serwerowni. Niedostępność systemu HIS, awaria aparatury diagnostycznej, nieaktualne oprogramowanie urządzenia medycznego czy niekontrolowany zdalny dostęp firmy serwisowej mogą bezpośrednio wpłynąć na możliwość udzielania świadczeń.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa sprawia, że szpitale muszą lepiej rozumieć te zależności, właściwie nimi zarządzać i dokumentować podejmowane działania.

Krajowy system cyberbezpieczeństwa, czyli KSC, określa zasady współpracy podmiotów odpowiedzialnych za bezpieczeństwo cyfrowe w Polsce oraz obowiązki organizacji działających w sektorach szczególnie istotnych dla państwa i społeczeństwa. Należy do nich również ochrona zdrowia.

Nowelizacja ustawy o KSC wdraża do polskiego prawa unijną dyrektywę NIS2. Została ogłoszona 2 marca 2026 roku, a zgodnie z jej art. 49 weszła w życie 3 kwietnia 2026 roku. Pełny tekst przepisów znajduje się w Dzienniku Ustaw z 2026 roku pod pozycją 252.

Kogo dotyczą nowe obowiązki?

Sektor ochrony zdrowia został wymieniony w załączniku nr 1 do ustawy o KSC. Zasady kwalifikacji organizacji jako podmiotu kluczowego lub ważnego określa natomiast art. 5 ustawy.

W przypadku podmiotów leczniczych niebędących przedsiębiorcami:

• podmiot zatrudniający od 50 do 249 osób jest podmiotem ważnym,
• podmiot zatrudniający co najmniej 250 osób jest podmiotem kluczowym.

Podmioty lecznicze będące przedsiębiorcami powinny brać pod uwagę między innymi kryteria wielkości przedsiębiorstwa wskazane w art. 5 ust. 1 i 2. Każdy szpital powinien więc indywidualnie zweryfikować swój status.

Podmioty publiczne są co do zasady wpisywane do Wykazu KSC z urzędu, a następnie uzupełniają wymagane dane. Pozostałe podmioty spełniające ustawowe kryteria składają wniosek o wpis na zasadach określonych w art. 7c ustawy. Dla szpitali, które spełniały te kryteria w dniu wejścia nowych przepisów w życie, termin samorejestracji upływa 3 października 2026 roku. Szczegóły dotyczące wpisu opisuje Ministerstwo Cyfryzacji.

Sam wpis do wykazu jest jednak dopiero początkiem. Podmioty objęte nowymi przepisami mają czas do 3 kwietnia 2027 roku na wdrożenie obowiązków. Nowe podmioty kluczowe powinny natomiast przeprowadzić pierwszy obowiązkowy audyt do 3 kwietnia 2028 roku.

Dokumentacja to za mało

Najważniejsze obowiązki organizacyjne i techniczne określa art. 8 ustawy o KSC. Podmiot kluczowy lub ważny powinien wdrożyć system zarządzania bezpieczeństwem informacji w systemach wykorzystywanych w procesach wpływających na świadczenie usług.

Obejmuje to między innymi zarządzanie ryzykiem i aktywami, bezpieczeństwo dostawców, ciągłość działania, obsługę incydentów oraz zarządzanie podatnościami i aktualizacjami.

Samo przygotowanie polityk i procedur nie wystarczy. Zgodnie z art. 10 ustawy szpital powinien również prowadzić dokumentację operacyjną potwierdzającą, że opisane działania zostały wykonane.

W praktyce potrzebny jest spójny proces:

wymaganie → zadanie → osoba odpowiedzialna → termin → wykonana czynność → dowód.

Jeżeli procedura zakłada testowanie odtworzenia danych, potrzebny jest zapis z testu. Jeżeli szpital okresowo ocenia dostawców, powinien posiadać wyniki tych ocen. Jeżeli podatność nie może zostać natychmiast usunięta, należy udokumentować podjętą decyzję i zastosowane zabezpieczenia zastępcze.

Najpierw trzeba wiedzieć, co podlega ochronie

Sama lista komputerów i serwerów nie wystarcza. Szpital powinien wiedzieć, które systemy, urządzenia i elementy infrastruktury są rzeczywiście potrzebne do realizacji konkretnych procesów medycznych.

Funkcjonowanie diagnostyki obrazowej może zależeć od całego łańcucha:

tomograf → stacja technika → RIS/PACS → HIS → sieć → serwery → zasilanie awaryjne → dostawca serwisu.

Każdy z tych elementów może mieć innego właściciela, dostawcę, okres wsparcia i poziom krytyczności. Dopiero połączenie tych informacji pozwala ocenić, jakie skutki spowoduje niedostępność jednego z zasobów.

Ewidencja aktywów jako podstawa zarządzania ryzykiem

Obowiązek zarządzania aktywami wynika z art. 8 ust. 1 pkt 2 lit. m ustawy. Appmedica pozwala już gromadzić informacje o aparaturze medycznej, sprzęcie IT, oprogramowaniu, infrastrukturze, umowach, przeglądach, awariach i pracach serwisowych.

W kontekście KSC ewidencję można rozszerzyć między innymi o:

• powiązane procesy i świadczenia,
• właściciela biznesowego i technicznego,
• znaczenie zasobu dla ciągłości pracy,
• dostawcę i powiązaną umowę,
• wersję oprogramowania i okres wsparcia,
• zasady dostępu zdalnego,
• status aktualizacji i podatności,
• dostępne rozwiązanie zastępcze.

Celem nie jest stworzenie jak najobszerniejszej ewidencji, ale uzyskanie wiarygodnego obrazu zależności i ryzyka w szpitalu.

Dostawcy, aktualizacje i zdalny serwis

Bezpieczeństwo łańcucha dostaw zostało wskazane w art. 8 ust. 1 pkt 2 lit. e ustawy. Szpital powinien uwzględniać między innymi podatności związane z dostawcami sprzętu i oprogramowania oraz jakość dostarczanych produktów i usług ICT.

Szczególnego nadzoru wymagają firmy posiadające zdalny lub uprzywilejowany dostęp do zasobów szpitala. Przy umowach warto więc rejestrować sposób autoryzacji dostępu, czas reakcji na incydent, zasady informowania o podatnościach, politykę aktualizacji oraz okres wsparcia produktu.

W przypadku aparatury medycznej instalacja poprawki nie zawsze jest prostym działaniem. Może wymagać zgody producenta, sprawdzenia kompatybilności albo zaplanowania przestoju.

Proces obsługi podatności powinien dlatego obejmować:

wykrycie podatności → wskazanie urządzeń → ocenę ryzyka → stanowisko producenta → aktualizację lub wyjątek → zabezpieczenia zastępcze → ponowny przegląd.

Appmedica nie musi zastępować skanerów podatności, systemów EDR ani SIEM. Może natomiast połączyć techniczny alert z konkretnym urządzeniem, jego znaczeniem dla szpitala, dostawcą oraz zadaniem do wykonania.

Ciągłość działania zaczyna się przed awarią

Art. 8 ust. 1 pkt 2 lit. f ustawy wymaga wdrażania, dokumentowania, testowania i utrzymywania planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności.

Szpital powinien wiedzieć, które procesy należy przywrócić w pierwszej kolejności, jakie zasoby są do tego potrzebne oraz czy istnieją rozwiązania zastępcze.

Pomocne są dane, które szpital już gromadzi: historia awarii, długość przestojów, częstotliwość napraw czy czas reakcji firm serwisowych. Dzięki nim plany ciągłości działania mogą opierać się na rzeczywistych doświadczeniach.

Obsługa incydentu wymaga dobrej koordynacji

Obowiązek zarządzania incydentami wynika z art. 8 ust. 1 pkt 4 ustawy, natomiast zasady ich zgłaszania określa art. 11.

W przypadku incydentu poważnego podmiot kluczowy lub ważny powinien przekazać wczesne ostrzeżenie nie później niż w ciągu 24 godzin, zgłosić incydent w ciągu 72 godzin oraz przygotować sprawozdanie końcowe w ciągu miesiąca.

System może wspierać prowadzenie chronologii zdarzenia, wskazywanie dotkniętych urządzeń i systemów, przydzielanie zadań, gromadzenie dokumentacji oraz kontrolowanie terminów.

Appmedica nie musi pełnić funkcji całodobowego centrum monitorowania bezpieczeństwa. Wykrywanie ataków i reakcja techniczna mogą pozostać po stronie zespołu bezpieczeństwa lub zewnętrznego partnera. Rolą Appmedica może być dostarczanie kontekstu operacyjnego i dowodów wykonanych działań.

Od formalnej zgodności do realnej odporności

Najważniejszym efektem wdrożenia KSC nie powinien być kolejny segregator procedur. Szpital powinien znać swoje krytyczne zasoby, rozumieć zależności między systemami i świadczeniami, kontrolować dostawców i aktualizacje oraz posiadać dowody wykonania wymaganych działań.

To naturalne rozszerzenie podejścia Appmedica: dane nie powinny być jedynie przechowywane. Powinny wspierać codzienną pracę, porządkować odpowiedzialność i pomagać podejmować lepsze decyzje.

Podsumowanie

Nowelizacja KSC jest dla szpitali dużym wyzwaniem organizacyjnym, ale może również stać się impulsem do uporządkowania współpracy pomiędzy IT, aparaturą medyczną, działem technicznym, jakością, zakupami i dyrekcją.

Żadne oprogramowanie nie zastąpi kompetentnego zespołu, zabezpieczeń technicznych, analizy prawnej ani niezależnego audytu. Może jednak sprawić, że wiedza o zasobach, odpowiedzialności i realizowanych działaniach przestanie być rozproszona pomiędzy arkuszami, wiadomościami i segregatorami.

Jeżeli chcesz sprawdzić, w jaki sposób Appmedica może wspierać przygotowanie Twojego szpitala do obowiązków wynikających z KSC, skontaktuj się z nami.