Placówka medyczna nie może tłumaczyć się, że zaufała dostawcy oprogramowania bez odpowiednich podstaw. Skoro powierza dane pacjentów podmiotom zewnętrznym, to nawet jeśli nie będzie mieć statusu podmiotu kluczowego lub ważnego w Krajowym Systemie Cyberbezpieczeństwa, nadal musi rzetelnie zweryfikować, czy podmiot jest godny zaufania. To wszystko trzeba sprawdzić przed podpisaniem umowy, a także zadbać o to, by znalazły się w niej jasne obowiązki dla dostawcy.
- Powstaną nowe sektorowe zespoły CSIRT, wzmocnimy koordynację działań na poziomie krajowym, zgłaszanie incydentów cyberprzestrzeni będzie łatwiejsze, a reakcja na nie szybsza. Ustawa KSC daje konkretne narzędzia do ochrony danych, usług publicznych i infrastruktury krytycznej – pisał o nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) na portalu X w lutym br. Krzysztof Gawkowski, minister cyfryzacji.
Przypomnijmy, że, zgodnie z przepisami, termin na samodzielną rejestrację podmiotu, który na podstawie ustawy o Krajowym Systemie Cyberbezpieczeństwa uznał się za ważny albo kluczowy z punktu widzenia definicji zawartych w przepisach (a jednocześnie nie jest wpisywany do wykazu z urzędu), minął na początku października. Jak poinformował resort cyfryzacji, po tym terminie w systemie znalazło się ponad 70 tys. podmiotów kluczowych i ważnych.
Najistotniejsze jeszcze przed nami – od 3 kwietnia przyszłego roku wejdą w życie obowiązki związane z raportowaniem i cyberbezpieczeństwem, natomiast w 2028 r. zaczną obowiązywać pierwsze obowiązkowe audyty oraz możliwość nakładania ewentualnych kar finansowych. Ministerstwo Cyfryzacji wydało też właśnie rekomendacje pełnomocnika rządu ds. cyberbezpieczeństwa (rolę tę pełni Krzysztof Gawkowski, minister cyfryzacji), które zawierają podstawowy katalog działań wzmacniających cyberbezpieczeństwo organizacji. Może on stanowić punkt wyjścia dla podmiotów, które budują swoją cyberodporność lub muszą ją wzmocnić. Dokument określa również najważniejsze kierunki i obszary, które powinny zostać uwzględnione przy budowie, utrzymaniu i doskonaleniu systemu zarządzania cyberbezpieczeństwem w podmiotach objętych KSC.
Rejestr w dużym stopniu będzie dotyczył też podmiotów ochrony zdrowia, np. szpitali czy podmiotów dostarczających oprogramowania do placówek medycznych, co ma szczególnie znaczenie w kontekście ostatnich dużych cyberincydentów, m.in. w systemie MyDr. Jednocześnie resort cyfryzacji zwraca uwagę, że nawet te podmioty, które formalnie nie będą podlegały wpisowi do KSC, też nie mogą uznać, że nie mają w tej sytuacji obowiązków.
To podkreślił w odpowiedzi na poselską interpelację dotyczącą wycieku danych w MyDr Paweł Olszewski, wiceminister cyfryzacji. Jak zaznaczył, w obecnych realiach prawnych resort nie prowadził w firmie dostarczającej oprogramowania do placówek medycznych kontroli ani audytów, bo nie było ku temu podstaw. Pewne kwestie zmieniają się jednak właśnie w związku z KSC. Art. 8 ustawy wskazuje obowiązki w zakresie wdrożenia systemu zarządzania bezpieczeństwem informacji zarówno dla podmiotów zidentyfikowanych jako kluczowe i ważne, ale też publiczne. Najprostszą sytuacją byłaby ta, w której MyDr dokonała samorejestracji (tego jednak nie wiemy, bo rejestr podmiotów kluczowych i ważnych nie jest publicznie jawny). Jeśli nawet samorejestracji nie dokonano, organ właściwy ds. cyberbezpieczeństwa nadal może w przyszłości uznać go za podlegający regulacjom.
Ale, co istotne, nawet w sytuacji, gdy firma dostarczająca oprogramowania do placówek medycznych nie trafi do wykazu, ustawa o KSC i wynikające z niej obowiązki wciąż mogą mieć kluczowe znaczenie. Tyle tylko, że ciężar odpowiedzialności zostanie przeniesiony – z firmy na placówkę medyczną, która korzysta z usług dostawcy.
Jednocześnie należy podkreślić, że ustawa o KSC przewiduje także wymagania bezpieczeństwa w obszarze łańcucha dostaw. Oznacza to, że nawet jeśli podmiot MyDr Sp. z o.o. lub inni dostawcy systemów wykorzystywanych przez podmioty lecznicze na szeroką skalę nie podlegaliby pod ustawę o KSC, to ze względu na to, że swoje usługi świadczą podmiotom, które są podmiotami kluczowymi lub podmiotami ważnymi, również ma obowiązki z zakresu cyberbezpieczeństwa. Obowiązek zagwarantowania bezpiecznego łańcucha dostaw spoczywałby w takiej sytuacji na podmiotach leczniczych jako podmiotach kluczowych, a nie na samym dostawcy – wyjaśnia wiceminister Olszewski.
Zaznacza przy tym, że ministerstwo analizuje kwestie dodania kolejnych obowiązków – co wstępnie zapowiadano ostatnio w ramach tzw. „cyber piątki”.
Kwestię odpowiedzialności placówki akcentuje również Michał Opala, adwokat w kancelarii Sołtysiński Kawecki & Szlęzak. Jak zaznacza ekspert, bezpieczeństwo łańcucha dostaw to jedno z najistotniejszych zagadnień związanych z nowelizacją ustawy o KSC. - Oznacza to, że podmioty objęte ustawą nie mogą koncentrować się wyłącznie na ochronie własnych systemów i danych, lecz muszą również zarządzać ryzykiem związanym z dostawcami usług i rozwiązań technologicznych wykorzystywanych w swojej działalności – podkreśla.
Dlatego, jak wyjaśnia mec. Opala, w praktyce placówka medyczna nie może ograniczyć się do zakupu systemu informatycznego i polegać wyłącznie na deklaracjach producenta lub dostawcy. - Najpoważniejsze incydenty cyberbezpieczeństwa ostatnich lat bardzo często rozpoczynały się właśnie od kompromitacji podmiotu trzeciego, a nie bezpośredniego ataku na organizację będącą końcowym użytkownikiem usługi. Dlatego proces weryfikacji powinien zaczynać się jeszcze przed podpisaniem umowy. Placówka powinna ocenić, jakie standardy bezpieczeństwa stosuje dostawca, czy posiada odpowiednie procedury ochrony danych i zarządzania incydentami, jakie ma doświadczenia związane z wcześniejszymi naruszeniami oraz czy poddaje się niezależnym audytom lub certyfikacjom – wyjaśnia ekspert.
Dr Mateusz Mądry, partner, szef praktyki Life Sciences w DZP, podkreśla, że korzystanie z usług zewnętrznych dostawców oprogramowania, chmury obliczeniowej czy infrastruktury IT nie zwalnia podmiotu leczniczego z odpowiedzialności za bezpieczeństwo danych pacjentów i ciągłość działania systemów. - Zarówno przepisy RODO, jak i regulacje z obszaru cyberbezpieczeństwa opierają się na tej samej zasadzie: odpowiedzialność za właściwy dobór, nadzór i kontrolę dostawców pozostaje po stronie placówki medycznej - mówi.
Jędrzej Liberacki, adwokat w kancelarii Sołtysiński Kawecki & Szlęzak, dodaje z kolei, że kwestie bezpieczeństwa powinny zostać szczegółowo uregulowane w umowie. Dotyczy to zarówno wymagań wobec samej usługi, jak i organizacji dostawcy, zasad raportowania incydentów, zasad dostępu do infrastruktury, systemów czy danych, obowiązków związanych z testowaniem bezpieczeństwa oraz zasad zakończenia współpracy i zwrotu lub usunięcia danych.
- Nie mniej istotny jest stały nadzór nad realizacją umowy. Zarządzanie ryzykiem dostawców nie jest jednorazowym działaniem wykonanym na etapie zakupu, lecz procesem trwającym przez cały okres współpracy. Placówki powinny regularnie weryfikować, czy dostawca utrzymuje deklarowany poziom bezpieczeństwa i wywiązuje się z przyjętych zobowiązań – wskazuje mec. Liberacki.
Także dr Aleksandra Auleytner, partner, kieruje praktyką IP&TMT w DZP, zaznacza, że w ramach zarządzania ryzykiem ważne jest, by zapewnić placówce możliwość okresowego sprawdzania, czy uzgodnione wymagania są rzeczywiście realizowane.
Umowa powinna zatem przewidywać dostęp do informacji i dokumentów potwierdzających stosowanie zabezpieczeń, możliwość uzyskiwania raportów z testów lub audytów, a w uzasadnionych przypadkach także przeprowadzenia audytu u dostawcy. Zakres takiej weryfikacji powinien odpowiadać znaczeniu usługi i poziomowi ryzyka, a stwierdzone nieprawidłowości powinny prowadzić do uzgodnienia i sprawdzenia działań naprawczych - wymienia mec. Aleksandra Auleytner.
Mec. Liberacki ocenia również, że to nie tworzenie kolejnych regulacji jest kluczowe, a raczej zmiana podejścia. - Cyberbezpieczeństwo nie kończy się na granicy własnej organizacji. Bezpieczeństwo szpitala czy przychodni w coraz większym stopniu zależy od bezpieczeństwa dostawców oprogramowania, usług chmurowych i wsparcia IT. Dlatego zamiast tworzenia kolejnych regulacji warto skupić się na skutecznym wykorzystaniu narzędzi, które już istnieją, i budowaniu dojrzałych procesów zarządzania ryzykiem w całym łańcuchu dostaw – kwituje mec. Liberacki.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
