Cyberbezpieczeństwo w ochronie zdrowia – wdrożenie dyrektywy NIS2

Potrzeba więcej personelu i edukacji

Michał Bieńkowski, wiceprezes zarządu warszawskiego oddziału Stowarzyszenia Menedżerów Opieki Zdrowotnej STOMOZ zauważył, że zagrożenia cybernetyczne pochodzące ze Wschodu oraz wynikające z postępu technologicznego wymagają inwestycji w cyberbezpieczeństwo. Także porównał obecną sytuację do wdrożenia przepisów RODO, sugerując, że właściwą drogą byłoby stworzenie kodeksu dobrych praktyk dla podmiotów leczniczych. Wskazał na trudności, z jakimi borykają się mniejsze placówki, takie jak: brak finansowania, brak personelu i ograniczony dostęp do specjalistycznej wiedzy.

Dyrektywa NIS-2 to nie tylko obowiązek, ale także szansa na podniesienie poziomu bezpieczeństwa w polskich placówkach medycznych – podkreślał z kolei dr hab. Bogdan Księżopolski Kierownik Katedry Cyberbezpieczeństwa Akademii Leona Koźmińskiego. Jego zdaniem nie możemy sobie pozwolić na to, żeby jej nie wprowadzić. – Musimy działać teraz, aby zapewnić bezpieczną przyszłość dla naszych systemów ochrony zdrowia – podkreślił.
Wskazał również, że nawet najlepsze systemy zabezpieczeń są bezużyteczne, jeśli pracownicy nie są odpowiednio przeszkoleni i świadomi zagrożeń. Przytoczył przykład międzynarodowej firmy, w której, po rocznym, solidnym szkoleniu aż 150 z 400 pracowników kliknęło w fałszywy link, a 88 podało swoje dane logowania.

Ważne wsparcie NFZ i Ministerstw

Patryk Kozłowski, IT Security Specialist w Comarch Healthcare, wyraził nadzieję, że dofinansowania na podniesienie poziomu cyberbezpieczeństwa, dostępne m.in. z NFZ i CEZ, pomogą wielu szpitalom w Polsce wdrożyć niezbędne procedury i zabezpieczenia. Podkreślił, że wsparcie techniczne i merytoryczne, jakie mogą otrzymać placówki medyczne, jest kluczowe dla skutecznego podnoszenia poziomu bezpieczeństwa.

Paweł Paczuski, CEO Upmedic, podkreślał, że już od początku roku start-upy muszą spełniać liczne wymagania związane z cyberbezpieczeństwem, mimo że jako małe firmy nie są bezpośrednio objęta nowymi regulacjami. Wskazał także, że współpracując z największymi graczami na rynku, jego firma – Upmedic musi dostosowywać swoje procesy do rygorystycznych standardów bezpieczeństwa. Paczuski zauważył, że wdrażanie bardziej bezpiecznych procesów w istniejących systemach informatycznych jest ogromnym wyzwaniem, które wiąże się z kosztownymi i skomplikowanymi zmianami organizacyjnymi.

Z perspektywy dostawców oprogramowania, Wojciech Komnata, współzałożyciel i wiceprezes spółki Nivalit podkreślił, że producenci muszą dostosować swoje produkty do nowych regulacji.–- Naszym obowiązkiem jest zapewnienie, że systemy informatyczne, które dostarczamy, spełniają najwyższe standardy bezpieczeństwa – powiedział Komnata, dodając, że współpraca z klientami w zakresie edukacji i świadomości jest równie ważna.

Istotna koordynacja przepływu informacji dotyczących cyberbezpieczeństwa

Michał Sosinka, Partner Associate i Cyber Cloud and Strategy Lead w Deloitte, zwrócił uwagę, że podejście do cyberbezpieczeństwa jako inwestycji, a nie tylko kosztu, staje się coraz bardziej powszechne. Nowe regulacje, takie jak NIS2 i AI Act, wymuszają konieczność solidnych zabezpieczeń. Podkreślił, że choć duże firmy mają większe zasoby finansowe na spełnianie wymogów regulacyjnych, mniejsze organizacje także muszą dążyć do integracji systemów raportowania incydentów. – Ważne jest, aby system krajowy był gotowy na przyjmowanie i koordynowanie informacji między różnymi podmiotami, w tym sektorowymi zespołami ds. cyberbezpieczeństwa w ochronie zdrowia – podkreślił.

Dariusz Piaścik, Sales & Development Director w Sagenso.com, zaznaczył, że dyrektywa NIS2 wymaga zaangażowania kadry zarządzającej w kwestie bezpieczeństwa, co jest często nowością dla wielu firm, które wcześniej cedowały te obowiązki na działy IT. Wprowadzenie bezpośrednich kar dla zarządów firm – jak wskazywał – ma na celu zwiększenie ich odpowiedzialności i świadomości w zakresie zarządzania ryzykiem technologicznym.

Jakub Kulesza, ekspert ds. IT Forum Prawo dla Rozwoju, zwrócił uwagę na istotne aspekty wdrażania dyrektywy NIS2 w Polsce. Podkreślił, że choć znamy treść dyrektywy NIS2 od grudnia 2022 roku, nadal nie mamy ostatecznej wersji nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Jak mówił, dyrektywa NIS2 wprowadza bardziej proaktywne podejście w obszarze cyberbezpieczeństwa, wymagając zarządzania ryzykiem, planów ciągłości usług oraz odzyskiwania zasobów, a także kładzie większy nacisk na edukację. Jak przypomniał, w nowelizacji ustawy wprowadzono też możliwość uznania dostawców za podmioty wysokiego ryzyka, nawet tych pochodzących z krajów członkowskich NATO, co może – jego zdaniem – wymusić na podmiotach leczniczych i producentach wyrobów medycznych wycofanie produktów tych dostawców. Kulesza zachęcił do udziału w trwających konsultacjach publicznych, aby wpłynąć na kształt przepisów, by były lepiej dostosowane do wymogów dyrektywy NIS2.

Jakub Betka, prawnik, audytor i trener w Conexus Law & Consulting, zwrócił uwagę na problem podejmowania decyzji pod wpływem emocji w kwestii implementacji nowych regulacji, co miało miejsce przy wdrażaniu RODO. Betka podkreślił, że dyrektywa NIS2, podobnie jak RODO, opiera się na analizie ryzyka, ale rozszerza ten proces na bezpieczeństwo informacji i ciągłość działania, obejmując również łańcuch dostaw. Wskazał, że incydenty w Polsce, takie jak ataki na szpital w Łodzi, podkreślają potrzebę wprowadzania takich regulacji.

Źródło: materiały prasowe

Czytaj też: Cyberbezpieczeństwo placówek medycznych