Cyberbezpieczeństwo w ochronie zdrowia – wdrożenie dyrektywy NIS2

Podniesienie świadomości sektora ochrony zdrowia dotyczącej planowanych przepisów w obszarze cyberbezpieczeństwa, wprowadzanie odpowiednich zmian organizacyjnych w placówkach oraz wzmocnienie ich obszarów IT – to najważniejsze wyzwania dla sektora w związku z implementacją dyrektywy NiS2, podkreślają eksperci i przedstawiciele branży medycznej.

Unijna dyrektywa NIS2, która ma niebawem zostać wdrożona w Polsce, nakłada na wiele sektorów, w tym na sektor opieki zdrowotnej, nowe, rygorystyczne obowiązki związane z cyberbezpieczeństwem. Na spotkaniu branżowym zorganizowanym przez Medical Innovation Institute oraz Związek Firm Biotechnologicznych BioForum, z udziałem ekspertów ds. cyberbepieczeństwa i przedstawicieli branży medycznej, rozmawiano o wyzwaniach i szansach związanych z tym procesem, a także o gotowości polskich placówek medycznych do spełnienia nowych wymogów.

Wdrożenie dyrektywy NIS2 wiąże się z długo oczekiwaną nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC). Projekt rozszerza stosowanie ustawy na kilkadziesiąt tysięcy podmiotów z 18 branż, w tym na sektor ochrony zdrowia. Nowe regulacje obejmą 1248 podmiotów w tym obszarze. Obecnie trwają konsultacje nowelizacji ustawy.

W dyskusji wzięli udział przedstawiciele branży medycznej i eksperci w obszarze cyberbezpieczeństwa. Wśród nich m.in.: Monika Woźniak-Cichuta (KRK Legal), Marta Chalimoniuk-Nowak (Head of Innovations in Medicine wEuropejskiej Fundacji Innowacji), Rafał Dunal (prezes zarządu CloudiMed Sp. z o.o. , wiceprezes zarządu Polskiej Izby Informatyki Medycznej), Michał Czarnuch (adwokat, partner w departamencie korporacyjnym kancelarii Rymarz Zdort Maruta oraz szef praktyki Life Sciences) , Michał Bieńkowski (wiceprezes zarządu warszawskiego oddziału Stowarzyszenia Menedżerów Opieki Zdrowotnej STOMOZ), dr hab. Bogdan Księżopolski (kierownik Katedry Cyberbezpieczeństwa Akademii Leona Koźmińskiego), Patryk Kozłowski (IT Security Specialist w Comarch Healthcare), Paweł Paczuski (CEO Upmedic), Wojciech Komnata, (współzałożyciel i wiceprezes spółki Nivalit), Michał Sosinka (Partner Associate i Cyber Cloud and Strategy Lead w Deloitte), Dariusz Piaścik (Sales & Development Director w Sagenso.com), Jakub Kulesza (ekspert ds. IT w Forum Prawo dla Rozwoju), Jakub Betka (prawnik, audytor i trener w Conexus Law & Consulting).

Niska świadomość branży

Monika Woźniak-Cichuta z KRK Legal podkreślała, że świadomość dotycząca cyberbezpieczeństwa w wielu publicznych placówkach medycznych jest niska. – Placówki te będą musiały zainwestować w szkolenia i zatrudnienie personelu odpowiedzialnego za wprowadzenie wymaganych systemów – mówiła, dodając, że wzrost wydatków związanych z ochroną danych w placówkach, które nie były dotąd objęte dyrektywą, może wynieść aż 22%.

Marta Chalimoniuk-Nowak z Europejskiej Fundacji Innowacji zwróciła uwagę na liczne wyzwania związane z wdrażaniem strategii cyberbezpieczeństwa w placówkach medycznych, które często nie dysponują dedykowanymi zespołami IT. Wskazała na konieczność budowania długoterminowej strategii wdrażania nowych reguł, wyznaczenia odpowiedzialnych osób do jej realizacji, a także konieczność zaplanowania kosztów i zmiany kultury organizacyjnej. Podkreślała, że dla zapewnienia bezpieczeństwa danych kluczowe jest wprowadzenie w placówkach wieloskładnikowego uwierzytelniania użytkownika i bieżąca aktualizacja oprogramowania. Przypomniała, że każdy system jest tak bezpieczny, jak jego najsłabsze ogniwo. Zwróciła również uwagę, że cyberataki na podmioty ochrony zdrowia często są przeprowadzane poprzez systemy dostawców i osób trzecich.

Konieczna aktualizacja oprogramowania

Rafał Dunal, prezes zarządu CloudiMed Sp. z o.o, zwrócił uwagę, że wiele podmiotów z branży medycznej będzie musiało w krótkim czasie przeprowadzić audyty i aktualizacje oprogramowania. Zauważył, że dla wielu placówek będzie to ogromne wyzwanie logistyczne i finansowe, zwłaszcza że obszar IT jest często pomijany w budżetach na rzecz personelu medycznego. Wskazał na potrzebę zabezpieczenia środków finansowych na te działania. – Obecnie większość włamań dotyczy uzyskania uprawnień administratora w systemach operacyjnych, a nie zdalnych ataków – podkreślił. Za kluczowe uznał budowanie świadomości i dzielenie się informacjami o incydentach. Porównał obecną sytuację do czasu wprowadzenia RODO, sugerując, że stworzy to duże pole do popisu dla kancelarii prawnych przygotowujących dokumentację. Zaznaczył, że – w przypadku RODO – jeśli podczas audytu udowodni się dochowanie wszystkich starań, kary mogą być łagodniejsze. Jego zdaniem może mieć to zastosowanie również w przypadku nowych regulacji dotyczących cyberbezpieczeństwa.

Należy ustalić, czy podmiot podlega nowym przepisom

Adwokat Michał Czarnuch, zwracał uwagę, że kluczowym krokiem dla szpitali, podmiotów leczniczych, producentów wyrobów medycznych i systemów medycznych jest ustalenie, czy są one objęte nowymi przepisami. Jego zdaniem konieczna jest dokładna analiza regulacji, aby upewnić się, czy dany podmiot faktycznie musi się do nich dostosować. Kolejnym krokiem powinno być – w jego opinii – zrozumienie wymagań regulacyjnych, które są często skomplikowane i obejmują szereg standardów i obowiązków, takich jak: szacowanie ryzyka, zarządzanie incydentami oraz zgodność z systemami bezpieczeństwa.

Michał Czarnuch przypomniał, że pojawia się coraz więcej programów pozwalających pozyskać fundusze z Ministerstwa Cyfryzacji, NFZ oraz innych źródeł, które mogą wesprzeć przygotowania i wdrożenie niezbędnych zmian. Szacuje, że koszty tych działań mogą wynosić od kilkudziesięciu do kilkuset tysięcy złotych, a proces ten będzie trwać co najmniej pół roku. Kluczowe – jego zdaniem – jest wdrożenie systemów zarządzania bezpieczeństwem informacji, obsługi incydentów, szacowania ryzyka oraz przekazywania informacji o incydentach. Ważnym elementem jest także zapewnienie bezpieczeństwa IT i fizycznego, opracowanie planów awaryjnych oraz prowadzenie dokumentacji dotyczącej łańcucha dostaw i usług IT. Czarnuch podkreślał, że konieczne są ciągłe działania edukacyjne i szkolenia personelu, a także wyznaczenie odpowiedzialnych osób, które będą nadzorować te procesy.
Michał Czarnuch podkreślał, że kluczowe dla skutecznego wdrożenia regulacji jest wsparcie ze strony Ministerstwa Cyfryzacji, Ministerstwa Zdrowia oraz innych instytucji, w postaci tworzenia wytycznych przetargowych i standardów. Jego zdaniem współpraca między podmiotami medycznymi, a instytucjami centralnymi może znacznie ułatwić proces dostosowania się do nowych wymogów.

Czarnuch zwracał uwagę na rosnącą liczbę cyberataków, w tym ataków typu ransomware, co wymaga intensyfikacji działań prewencyjnych i edukacyjnych. W jego opinii, nawet najlepsze systemy zabezpieczeń będą nieskuteczne bez odpowiednio przeszkolonego personelu, co czyni edukację kluczowym elementem strategii cyberbezpieczeństwa.

Czytaj też: Cyberbezpieczeństwo w jednostkach ochrony zdrowia