Resort cyfryzacji zapowiada objęcie większą kontrolą firmy przetwarzające dane medyczne, chce również określić wobec nich nowe obowiązki. Na razie projektów nie pokazano, ale prawnicy zaznaczają, że ewentualne zmiany legislacyjne trzeba skoordynować z tymi, które już wkrótce wejdą w życie. Najbliższy istotny termin dla wielu placówek medycznych to 3 października - wówczas mija termin na wpis do wykazu Krajowego Systemu Cyberbezpieczeństwa.
Choć na razie nie przedstawiono jeszcze konkretnych projektów w tym zakresie, resort cyfryzacji podał pięć obszarów, w których w najbliższej przyszłości mają zajść zmiany w odniesieniu do szczególnych wymagań dla podmiotów przetwarzających dane medyczne. Ma to pomóc w zapobieganiu takim incydentom, jaki miał ostatnio miejsce w firmie MyDr, zapewniającej oprogramowania do tworzenia elektronicznej dokumentacji medycznej.
Nie wiadomo nadal, jakie dokładnie dane wyciekły w wyniku ostatniego cyberataku na firmę, potencjalnie mogą one jednak dotyczyć prawie 19 milionów osób. Rządowa strona „Bezpieczne dane” udostępniła formularz, dzięki któremu można sprawdzić, czy wyciekiem został objęty konkretny numer PESEL. Zainteresowanie jest tak duże, że zazwyczaj trzeba czekać przez kilka minut w kolejce, by w ogóle wejść na stronę. Firma MyDr w ostatnim komunikacie zaznacza jednak, że to, iż dany PESEL został oznaczony jako objęty incydentem, nie oznacza, że dane te zostały opublikowane lub znalezione w internecie. Jak wskazali, zgodnie z posiadanymi przez nich informacjami numery PESEL zostały przekazane CERT NASK przez organy ścigania w ramach prowadzonego postępowania. Nie zostały pozyskane poprzez znalezienie publicznie dostępnej bazy danych w sieci.
- MyDr wraz z zewnętrznymi ekspertami ds. cyberbezpieczeństwa cały czas monitoruje internet pod kątem ewentualnej publikacji lub rozpowszechniania danych związanych z incydentem. Do tej pory nie znaleźliśmy dowodów na to, że dane zostały publicznie udostępnione w internecie. Ściśle współpracujemy z prezesem Urzędu Ochrony Danych Osobowych i wkrótce rozpoczniemy przekazywanie placówkom medycznym zweryfikowanych informacji potrzebnych do realizacji ich obowiązków wynikających z RODO. Będziemy również wspierać placówki w zawiadamianiu UODO oraz pacjentów, których dane zostały objęte incydentem – zaznacza firma.
W kontekście planowanych zmian legislacyjnych chodzi o tzw. „cyber piątkę”, która ma objąć w szczególności: certyfikację firm przetwarzających dane medyczne, określenie wobec nich minimalnych wymagań technologicznych, wprowadzenie obowiązku informowania pacjentów o powierzeniu przetwarzania ich danych podmiotom zewnętrznym, powiadomienia o zdarzeniach medycznych oraz nowe obowiązki dla podmiotów masowo przetwarzających takie dane. - Firmy i instytucje masowo obracające wrażliwymi danymi Polaków wezmą na siebie większą odpowiedzialność, niezależnie od ich roli. Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie – podkreślił Dariusz Standerski, wiceminister cyfryzacji.
O konkretnych rozwiązaniach będzie można oczywiście mówić, gdy ukażą się założenia i projekty. Prawnicy na razie wskazują, że zapowiedzi resortu mogą być racjonalne, ale trzeba sensownie połączyć je z tymi zmianami, które już czekają na podmioty medyczne, bo wynikają z przyjętych ustaw. A tych jest kilka.
Za szczególnie interesujący uważam kierunek polegający na wprowadzeniu minimalnych wymagań technologicznych i certyfikacji podmiotów przetwarzających dane medyczne. RODO celowo posługuje się w tym obszarze modelem opartym na ryzyku i nie tworzy zamkniętego katalogu konkretnych zabezpieczeń. Sektorowe, odpowiednio aktualizowane standardy mogłyby więc mieć realną wartość praktyczną. Z drugiej strony ich wprowadzenie musi zostać dobrze skoordynowane z KSC, NIS2 oraz obowiązującym już krajowym systemem certyfikacji cyberbezpieczeństwa, tak aby nie stworzyć kolejnej, równoległej warstwy obowiązków. Podobnie oceniam propozycję zwiększenia transparentności w zakresie podmiotów, którym powierzane są dane pacjentów - tutaj rzeczywiście można mówić o rozwiązaniu idącym dalej niż obecny standard informacyjny wynikający z RODO – mówi Karolina Misiak, radca prawny w Kancelarii Ostrowski i Wspólnicy w Toruniu.
Tym bardziej, że część podmiotów medycznych musi przygotować się do zmian wynikających z nowelizacji ustawy o KSC, a pierwsze terminy na realizację obowiązków upływają już za miesiąc. Jak zaznacza CSIRT CeZ (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego Centrum e-Zdrowia), który przygotował specjalny poradnik dla sektora zdrowotnego, od wejścia w życie nowych regulacji cyberbezpieczeństwo nie jest już wyłącznie dobrą praktyką czy rekomendacją, ale staje się obowiązkiem wynikającym wprost z przepisów prawa. Przypomina też, że nowe regulacje obejmują zarówno publiczne, jak i prywatne podmioty lecznicze. Wprowadzają nowe kategorie organizacji (m.in. podmioty kluczowe, podmioty ważne), określają obowiązki związane z zarządzaniem bezpieczeństwem informacji, raportowaniem incydentów, współpracą z dostawcami usług i systemów IT, a także nakładają dodatkową odpowiedzialność na kadrę zarządzającą. CeZ udostępniło również ankietę samooceny, która pomoże placówkom określić, czy obejmą je wymagania wynikające z nowelizacji.
Jedną z istotnych nowości jest obowiązek raportowania tzw. incydentów poważnych do odpowiednich organizacji wskazanych w przepisach. Podmiot ma dobę na dopełnienie obowiązku zgłoszenia wstępnego, 72 godziny na zgłoszenie pełne. Wynika to z faktu, że w przypadku cyberataków kluczowe jest szybkie działanie, aby można było w jak największym stopniu zapobiec negatywnym skutkom i przywrócić organizacji sprawne działanie. Nowelizacja wprowadza też obowiązek przeprowadzania regularnych wewnętrznych audytów.
CeZ przypomina, że nowelizacja kładzie ogromny nacisk na to, aby cyberbezpieczeństwo nie było przerzucane wyłącznie na dział IT. Dlatego kadra kierownicza (zarząd szpitala, dyrektor placówki) musi osobiście zatwierdzać wdrażane środki bezpieczeństwa. Kierownictwo ma także prawny obowiązek regularnego uczestnictwa w szkoleniach z zakresu cyberbezpieczeństwa. Przy tym odpowiedzialność za niedopełnienie obowiązków kształtuje się w ten sposób, że członkowie organów zarządzających mogą ponosić bezpośrednią odpowiedzialność osobistą (w tym finansową) za rażące zaniedbania w obszarze cyberbezpieczeństwa organizacji.
Najbliższy obowiązek czekający placówki przypada na 3 października br. Do tego czasu podmioty kluczowe i ważne mają obowiązek dokonać wpisu do Wykazu KSC. Do 3 kwietnia 2027 r. należy wdrożyć obowiązki wynikające z ustawy, w tym System Zarządzania Bezpieczeństwem Informacji (SZBI), procedury zarządzania i zgłaszania incydentów oraz podłączyć się do systemu S46. Z kolei do 3 kwietnia 2028 r. podmioty kluczowe, które wcześniej nie były operatorami usług kluczowych, muszą przeprowadzić pierwszy obowiązkowy audyt cyberbezpieczeństwa. Kolejne będzie trzeba realizować co najmniej raz na trzy lata.
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
