Szpitale nie są gotowe na NIS2. Za cyberataki grożą im wysokie kary

W 2024 r. aż 35% instytucji ochrony zdrowia zostało zaatakowanych przez cyberprzestępców, którzy blokowali systemy szpitalne i za ich odblokowanie żądali wielomilionowych okupów. Rosnąca skala ataków sprawiła, że dyrektywa NIS2 jasno przenosi odpowiedzialność za cyberbezpieczeństwo na zarządy placówek medycznych.

Placówki medyczne – przetwarzające ogromne ilości danych wrażliwych – coraz częściej stają się celem ataków ransomware, które paraliżują systemy i wymuszają szybkie decyzje pod presją czasu. Instytucje ochrony zdrowia od lat znajdują się w czołówce organizacji najczęściej atakowanych przez cyberprzestępców. Globalnie, w okresie od marca 2024 r. do lutego 2025 r., najwyższy średni koszt wycieków danych – wynoszący prawie 7,42 mln dolarów – odnotowano właśnie w sektorze ochrony zdrowia.

Szpitale w grupie najwyższego ryzyka

Niedziałające systemy i aparatura medyczna, brak możliwości przesłania danych, a w efekcie odwołane zabiegi i pacjenci odsyłani do domu – to coraz częstszy scenariusz w przypadku cyberataków na placówki świadczące usługi medyczne. To między innymi dlatego szpitale zostały uznane za infrastrukturę krytyczną – taką, której zakłócenie może mieć realny wpływ na bezpieczeństwo obywateli.

Przez lata zdarzenia i cyberataki były postrzegane głównie jako odpowiedzialność działu IT lub zewnętrznego dostawcy usług. Dziś ta perspektywa przestaje obowiązywać.

Nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC), czyli rządowy projekt wdrażający dyrektywę NIS2, wprowadza zasadniczą zmianę w podejściu do cyberataków. Odpowiedzialność nie kończy się już na poziomie technicznym, lecz obejmuje całą organizację. Nowe przepisy nie skupiają się na konkretnych technologiach czy zapisach w politykach wewnętrznych, lecz na realnej gotowości do reagowania, zapewnieniu ciągłości działania usług kluczowych oraz możliwości wykazania, że ryzyko jest świadomie zarządzane. W praktyce oznacza to, że to zarządy placówek medycznych będą rozliczane z tego, jak szpital był przygotowany na cyberatak i jak poradził sobie z jego skutkami.

– Zarząd danej organizacji musi na bieżąco wiedzieć, jakie ryzyka istnieją, jak są kontrolowane i co dzieje się w momencie zdarzenia czy incydentu. Nowe przepisy kładą nacisk na to, co faktycznie działa w praktyce. Same procedury czy polityki bezpieczeństwa nie wystarczą, jeśli nie są stosowane na co dzień. Podczas kontroli liczyć się będzie zdolność do szybkiego wykrycia ataku, sprawnej reakcji i – przede wszystkim – udokumentowania podjętych działań – mówi Zbigniew Kniżewski, współzałożyciel i CEO w Cyber360, polskiej firmie, która zapewnia organizacjom realną ochronę przed zagrożeniami cyfrowymi i wspiera je w spełnianiu wymogów NIS2 i DORA.

NIS2 wymusza realną gotowość, nie „papierowe” bezpieczeństwo

Nowe regulacje jasno określają oczekiwania wobec sposobu zarządzania cyberbezpieczeństwem. NIS2 wymusza m.in. systematyczne zarządzanie ryzykiem, zdolność do wykrywania i obsługi incydentów, raportowanie poważnych zdarzeń w ściśle określonych terminach oraz zapewnienie ciągłości działania usług kluczowych. W praktyce największym problemem wielu placówek nie jest brak polityk bezpieczeństwa, lecz luki operacyjne, w tym chociażby ograniczona widoczność tego, co dzieje się w systemach IT i aparaturze medycznej, brak całodobowego monitoringu, nieprzetestowane kopie zapasowe oraz procedury reagowania, które istnieją jedynie na papierze. To właśnie te obszary najczęściej ujawniają się w momencie realnego ataku.

W kontekście cyberataków na szpitale kluczowe staje się także pytanie o konsekwencje formalne. Dyrektywa NIS2 przewiduje, że podmioty objęte jej zakresem, w tym szpitale i inne placówki ochrony zdrowia, mogą być obciążone wysokimi karami za brak zgodności z wymogami w zakresie zarządzania ryzykiem czy raportowania incydentów.

Liczą się godziny, nie dni

Szczególnie wymagający jest czas. Według nowych regulacji unijnych poważne incydenty muszą być zgłaszane bez zbędnej zwłoki, często w ciągu kilkunastu godzin od ich wykrycia. To oznacza konieczność stałego monitorowania systemów i gotowości do działania przez całą dobę. Dla wielu szpitali, które borykają się z brakami kadrowymi, jest to jedno z największych wyzwań.

– Największym problemem nie jest dziś brak narzędzi, ale brak ciągłości. Cyberataki nie zdarzają się w godzinach pracy administracji. Bez całodobowego nadzoru i jasnych procedur nawet dobrze przygotowana placówka może zareagować zbyt późno – podkreśla Kniżewski.

W praktyce NIS2 wprowadza cyberbezpieczeństwo na stałe do agendy zarządów placówek medycznych – zarówno państwowych, jak i prywatnych. Obok finansów, jakości leczenia czy bezpieczeństwa pacjentów pojawia się kolejny obszar ryzyka, który podlega ich odpowiedzialności. W razie zdarzenia czy incydentu kluczowe pytanie brzmi dziś, czy zarząd może wykazać, że świadomie zarządzał ryzykiem cybernetycznym. Jeśli nie, cyberatak przestaje być problemem technicznym, a staje się poważnym kryzysem organizacyjnym. Cyberbezpieczeństwo wciąż bywa traktowane jak kosztowna terapia wdrażana po incydencie, podczas gdy powinno być elementem profilaktyki – znacznie tańszej i skuteczniejszej, wymagającej przede wszystkim zmiany świadomości na poziomie zarządczym.

Źródło: informacja prasowa

Czytaj także: Jak USK w Białymstoku wykorzysta środki z KPO na cyfryzację i cyberbezpieczeństwo?