Patryk Korzeniowski
Kiedy w maju pisałem o NIS2 i o tym, kogo w ogóle dotyczy, najwięcej wiadomości dostałem nie od firm IT, tylko od ludzi z ochrony zdrowia. Pytania były bardzo konkretne: czy nasz SPZOZ podlega, co z naszym HIS-em, czy backup, który mamy, wystarczy. Ten tekst jest odpowiedzią na te pytania. Piszę go dla dyrektorów, kierowników IT i pełnomocników do spraw bezpieczeństwa w placówkach medycznych.
Jeśli dopiero zaczynasz temat i chcesz najpierw zrozumieć samą dyrektywę, terminy i kary, przeczytaj najpierw tamten wpis. Tutaj skupiam się wyłącznie na szpitalach i przychodniach: kto podlega, co trzeba zmienić i w jakiej kolejności.
Czy Twój szpital podlega NIS2?
Krótka odpowiedź: jeśli zarządzasz szpitalem powiatowym, wojewódzkim albo klinicznym, to niemal na pewno tak. Ochrona zdrowia jest w załączniku I dyrektywy, wśród sektorów wysoce krytycznych, a progi wielkości są niższe, niż wielu dyrektorów zakłada.
- SPZOZ podlega zawsze, niezależnie od liczby pracowników i przychodów, bo jest podmiotem publicznym w sektorze krytycznym.
- Podmiot leczniczy od 50 osób zatrudnienia lub 10 mln EUR obrotu podlega jako podmiot ważny, a po przekroczeniu progów dużego przedsiębiorstwa jako kluczowy.
- Szpital z SOR-em lub centrum urazowym jest podmiotem kluczowym z urzędu, bez patrzenia na progi.
- Mała prywatna przychodnia poniżej progów zwykle nie podlega wprost, ale wymagania i tak do niej dotrą przez umowy z większymi podmiotami.
Ten ostatni punkt bywa zaskoczeniem. Jeśli Twoje laboratorium robi badania dla szpitala klinicznego, to ten szpital, jako podmiot kluczowy, musi zarządzać ryzykiem swojego łańcucha dostaw. W praktyce oznacza to aneksy do umów: polityka bezpieczeństwa, MFA, zgłaszanie incydentów. Nie podlegasz ustawie, a i tak wdrażasz jej kawałek.
Co NIS2 realnie zmienia w szpitalu
Artykuł 21 dyrektywy wymienia środki zarządzania ryzykiem, które musi wdrożyć każdy podmiot. Zamiast cytować ustawę, przełożę to na systemy i sytuacje, które znasz ze swojej placówki.
- Inwentaryzacja i analiza ryzyka. Musisz wiedzieć, które systemy trzymają procesy kliniczne (HIS, RIS, PACS, laboratorium, e-rejestracja) i co się stanie, gdy któryś z nich przestanie działać. To fundament pod wszystko dalej.
- Kontrola dostępu i MFA. Konto współdzielone na oddziale i hasło przyklejone do monitora przestają być folklorem, a stają się niezgodnością. Uwierzytelnianie wieloskładnikowe obejmuje co najmniej administratorów i dostęp zdalny.
- Segmentacja sieci. Aparatura medyczna i stacje diagnostyczne nie powinny stać w tej samej płaskiej sieci co recepcja i poczta. To segmentacja zatrzymuje ransomware na jednym oddziale zamiast na całym szpitalu.
- Łańcuch dostaw. Dostawca HIS, firma serwisująca PACS i zewnętrzny informatyk to Twoje ryzyko. NIS2 każe je ocenić i zapisać wymagania bezpieczeństwa w umowach.
- Ciągłość działania. Backup, plan awaryjny, procedury pracy papierowej i przetestowany powrót do systemów.
- Szkolenia. Również zarządu i dyrekcji, bo kierownictwo odpowiada za zgodność osobiście i musi rozumieć, co zatwierdza.
Backup, który przetrwa ransomware i audyt
O backupie piszę osobno, bo to najczęstszy fałszywy spokój, jaki widzę w placówkach. Kopia zapasowa jest, robi się co noc, wszyscy śpią spokojnie. Problem w tym, że NIS2 nie pyta, czy masz kopię, tylko czy umiesz z niej wrócić w akceptowalnym czasie.
- Zdefiniowane RTO i RPO dla każdego krytycznego systemu: ile godzin przestoju HIS placówka wytrzyma i ile danych może stracić.
- Kopia odłączona od sieci (offline) albo niezmienna (immutable), której ransomware nie zaszyfruje razem ze środowiskiem produkcyjnym.
- Regularny test odtworzenia z protokołem: raz na kwartał odtwarzacie wybrany system i mierzycie czas.
- Kopie obejmują też konfiguracje, nie tylko bazy danych: systemy operacyjne, integracje HL7, ustawienia PACS.
Szpitale, które wiosną stały trzy tygodnie na papierze, miały backupy. Nie miały przećwiczonego odtworzenia. Różnica między dobą a trzema tygodniami przestoju prawie nigdy nie leży w dyskach i taśmach, tylko w tym, czy ktoś zrobił próbę generalną, zanim zdarzyło się naprawdę.
Zgłaszanie incydentów: 24 godziny, 72 godziny, miesiąc
Poważny incydent zgłaszasz do właściwego CSIRT w trzech krokach: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełna notyfikacja w ciągu 72 godzin i raport końcowy do miesiąca.
W szpitalu oznacza to, że procedura musi działać także w nocy i w weekend, bo incydenty lubią się wtedy zaczynać. Wyznacz dwie osoby kontaktowe, zapisz im to w zakresach obowiązków i umieść ścieżkę zgłoszenia tam, gdzie dyżurny informatyk ją znajdzie. A jeśli incydent dotyczy danych pacjentów, równolegle biegnie 72-godzinny termin zgłoszenia naruszenia do UODO wynikający z RODO. To dwa osobne zgłoszenia do dwóch instytucji.
Gdzie to się załatwia: wykaz KSC i platforma S46
Dwie praktyczne rzeczy, których szuka każdy, komu ten temat właśnie wylądował na biurku. Wpis do wykazu podmiotów kluczowych i ważnych składa się elektronicznie w systemie prowadzonym przez ministra cyfryzacji; wykaz działa od 13 kwietnia 2026. Incydenty zgłasza się przez platformę S46 albo formularz właściwego CSIRT; jeśli Twój sektor ma CSIRT sektorowy, zgłoszenie trafia najpierw tam, a on przekazuje je do CSIRT krajowego w ciągu 8 godzin.
Konto w S46 warto założyć, zanim będzie potrzebne. Rejestracja wymaga weryfikacji i chwili formalności, a środek nocy w trakcie incydentu to najgorszy możliwy moment na zakładanie kont.
Umowa z dostawcą HIS pod lupą NIS2
Szpital sam nie napisze sobie łatki do HIS. Dlatego na umowy z dostawcami patrzy się dziś równie uważnie jak na technikę. Jeśli masz przed sobą renegocjacje albo przetarg, to lista zapisów, o które warto zawalczyć:
- Gwarantowany czas reakcji i naprawy dla podatności krytycznych, nie tylko dla awarii.
- Obowiązek poinformowania szpitala o incydencie u dostawcy w konkretnym terminie, na przykład 24 godzin.
- Wsparcie dostawcy przy Twoim zgłoszeniu do CSIRT: logi, analiza, wskazana osoba kontaktowa.
- Jasne zasady aktualizacji: kto, jak często i w jakim oknie serwisowym wgrywa poprawki.
- Plan wyjścia: eksport danych w otwartym formacie i współpraca przy migracji, gdyby współpraca się skończyła.
Te zapisy nie są egzotyką, coraz częściej wpisują je same szpitale po pierwszych gap analysis. A dostawca, który nie chce rozmawiać o żadnym z tych punktów, sam jest ryzykiem, które trzeba odnotować w analizie.
Plan dostosowania krok po kroku
Pierwsze 30 dni
- Przygotuj krótką notę dla zarządu lub dyrekcji: czym jest NIS2, jaki mamy status, co nam grozi.
- Wyznacz sponsora w zarządzie i dwie osoby kontaktowe do systemu KSC.
- Spisz krytyczne systemy i zależności między nimi: HIS, RIS, PACS, laboratorium, e-rejestracja, integracje.
- Sprawdź stan backupu: kiedy ostatnio ktoś realnie odtworzył system z kopii.
Do 6 miesięcy
- Złóż wpis do wykazu podmiotów kluczowych i ważnych. Dla placówek, które spełniały kryteria w dniu wejścia ustawy w życie, termin mija 3 października 2026.
- Zrób gap analysis względem art. 21: co już mamy, czego brakuje, ile to kosztuje.
- Uruchom MFA dla administratorów i dostępu zdalnego oraz procedurę zgłaszania incydentów.
- Zaplanuj budżet na kolejny rok: segmentacja sieci, testy odtworzeniowe, szkolenia.
Do 12 miesięcy
- Oceń dostawców (HIS, PACS, serwis aparatury, zewnętrzne IT) i wpisz wymagania bezpieczeństwa do umów.
- Przeprowadź test ciągłości działania: symulowany incydent z pracą papierową i odtworzeniem systemów.
- Przeszkol personel oraz zarząd i zbierz potwierdzenia szkoleń.
Pierwszy obowiązkowy audyt cyberbezpieczeństwa podmioty kluczowe muszą mieć za sobą do 3 kwietnia 2028 roku. Brzmi jak dużo czasu, ale gap analysis w szpitalu potrafi wykazać listę na dwa lata pracy. Im wcześniej ją poznasz, tym spokojniej rozłożysz koszty.
Najczęstsze błędy przy dostosowaniu
- Zakupy przed inwentaryzacją: nowy firewall nie pomoże, jeśli nikt nie wie, co dokładnie chroni.
- Projekt oddany w całości działowi IT: bez sponsora w zarządzie dostosowanie umiera przy pierwszym sporze o budżet, a odpowiedzialność i tak zostaje na górze.
- Dokumentacja pisana do szuflady: polityki, których personel nie zna, dają tylko fałszywe poczucie zgodności.
- Backup bez kalendarza testów: kopia, której nikt nigdy nie odtworzył, to hipoteza, nie zabezpieczenie.
- Procedury działające tylko w godzinach pracy sekretariatu: incydenty wybierają weekendy i święta.
Od czego zacząć, gdy budżet jest mały
Nie wszystko wymaga pieniędzy. Inwentaryzacja, procedura zgłaszania incydentów, wyznaczenie osób odpowiedzialnych i przegląd umów z dostawcami to praca organizacyjna, nie zakupowa. Z wydatków najpierw te, które zmniejszają ryzyko przestoju: backup z testem odtworzenia i MFA. Segmentację sieci można planować etapami, zaczynając od odcięcia aparatury medycznej od reszty sieci.
Jeśli chcesz przegadać, gdzie Twoja placówka jest dziś i co ma sens jako pierwszy krok, napisz do mnie. Budujemy oprogramowanie dla ochrony zdrowia i pomagamy zespołom IT przejść przez wymagania NIS2 bez paniki i bez kupowania rzeczy, których potem nikt nie używa.
