Jakie są najważniejsze wymogi NIS 2 dla szpitala?

Wymogi NIS 2 dla szpitala

Wymogi NIS 2 dla szpitala, które zostały ustanowione w treści ustawy Krajowym Systemie Cyberbezpieczeństwa (KSC) fundamentalnie zmieniają otoczenie prawne, w którym funkcjonują szpitale. Obowiązki nakładane przez dyrektywę NIS 2 przestają być jedynie dyrektywą parlamentu europejskiego, a stają się bezwzględnym wymogiem operacyjnym dla całego sektora ochrony zdrowia.

Współczesne szpitale stają przed wyzwaniem, które nie ma charakteru wyłącznie technologicznego, lecz przede wszystkim organizacyjny. Zakup sprzętu i wdrożenie systemów cyberbezpieczeństwa to za mało, gdy nowe przepisy kładą nacisk na procedury, ciągłość działania i odpowiedzialność osobistą Zarządu szpitala.
Przyjęcie przez Sejm ustawy o Krajowym Systemie Cyberbezpieczeństwa, która nakłada nowe regulacje na kluczowe sektory gospodarki, należy postrzegać w kontekście realnych wyzwań i praktyk, w jakich funkcjonuje na co dzień sektor ochrony zdrowia.
Nowe regulacje dotyczące cyberbezpieczeństwa odnoszą się do wielu aspektów wpływających na ochronę przed cyberatakami, a ostatecznie na sam proces funkcjonowania i utrzymania ciągłości działania szpitali w Polsce.

Spis treści

najważniejsze wymogi NIS 2 dla szpitala - cyberbezpieczeństwo szpitala

Wymogi NIS 2 dla szpitala a odpowiedzialność Zarządu

Wielu dyrektorów szpitali zapewnienie bezpieczeństwa IT pozostawiało wy wyłącznej decyzji osób zarządzających działami IT. Jednak obecnie ustawa o Krajowym Systemie Cyberbezpieczeństwa zmienia ten paradygmat, czyniąc z cyberbezpieczeństwa placówki medycznej zagadnienie, o które powinni troszczyć się wszyscy pracownicy szpitala. Nowa ustawa dotycząca cyberbezpieczeństwa kluczowych sektorów gospodarki brutalnie weryfikuje dotychczasowe postrzeganie zagrożeń cybernetycznych i ochrony danych osobowych pacjentów jedynie w kontekście RODO.

Przepisy dyrektywy NIS 2 oraz ustawa o KSC jednoznacznie wskazują, że odpowiedzialność za zarządzanie ryzykiem cybernetycznym spoczywa na Zarządzie szpitala. Wobec czego nie może on pozostać bierny na takie kwestie jak:

  • cyberhigiena,
  • bezpieczeństwo łańcucha dostaw,
  • bezpieczeństwo danych pacjentów,
  • zgłaszanie incydentów cyberbezpieczeństwa,
  • wdrożenie systemów zarządzania ciągłością działania placówki medycznej.

Obowiązki dotyczące zarządzania są precyzyjne: Zarząd musi brać udział w szkoleniach i osobiście zatwierdzać środki bezpieczeństwa oraz aktywnie uczestniczyć w tworzeniu procedur i ich przestrzeganiu przez szpital. Jeśli dojdzie do incydentu, a dyrektor nie dopełnił nowych obowiązków cyberbezpieczeństwa (np. nie zlecił audytu), naraża się na kary administracyjne oraz środki nadzorcze, włącznie z zawieszeniem w pełnieniu funkcji.
Nowe przepisy oznaczają, że cyberbezpieczeństwo placówek medycznych powinno stanowić dla Zarządów taki sam priorytet, jak podpisanie i rozliczenie kontraktu z NFZ lub zapewnienie dostaw mediów potrzebnych do funkcjonowania szpitala.

Wdrożenie dyrektywy NIS 2 vs. inwentaryzacja systemów IT

Jakie przeszkody i bariery mogą się pojawiać w ramach wdrażania dyrektywy NIS 2 w szpitalu? Z perspektywy audytora, największą barierą nie zawsze jest brak budżetu, lecz brak wiedzy o tym, co faktycznie znajduje się w sieci. W placówkach medycznych często funkcjonują zasoby, o których istnieniu oficjalny dział IT nie wie, np. routery WiFi podłączone przez personel „na własną rękę” czy prywatne laptopy lekarzy wpięte do sieci szpitalnej. To zjawisko shadow IT sprawia, że bezpieczeństwo systemów informatycznych szpitala jest zagrożone, a nie zarejestrowane urządzenia (narzędzia IT) mogą stanowić poważną lukę w zapewnieniu bezpieczeństwa.

shadow IT zagrożenie dla cyberbezpieczeństwa szpitala

Wdrożenie dyrektywy NIS wymaga pełnej widoczności infrastruktury. Podmioty kluczowe muszą wiedzieć, co chronią. Dlatego pierwszą barierą do pokonania jest przeprowadzenie rzetelnej inwentaryzacji. Często ujawnia ona krytyczne luki: niezabezpieczone systemy informatyczne, zapomniane serwery czy usługi cyfrowe uruchomione bez wiedzy administratora. Bez tego kroku system cyberbezpieczeństwa może okazać się nieszczelny, a w konsekwencji podatny na cyberataki.
Wdrożenie dyrektywy NIS 2 ma na celu m.in. zidentyfikowanie tych szarych stref, uświadomienie jakie to stwarza zagrożenie dla poziomu bezpieczeństwa oraz wyeliminowanie tego typu sytuacji.

Nowe obowiązki cyberbezpieczeństwa - zarządzanie ryzykiem

Wiele osób decyzyjnych w placówkach medycznych traktuje zarządzanie ryzykiem jako jednorazowy dokument potrzebny do „odhaczenia” przepisów związanych z bezpieczeństwem danych pacjentów. Tymczasem wymogi dyrektywy NIS i Krajowy System Cyberbezpieczeństwa (KSC) definiują to jako proces dynamiczny. Sektor ochrony zdrowia jest specyficzny ze względu na dość łatwą i powszechną zmianę lub rozwój infrastruktury IT i urządzeń korzystających z niej. Wobec tego istnieje duże prawdopodobieństwo, że poziom bezpieczeństwa systemów informatycznych szpitala może ulec zmianie w wyniku realizacji inwestycji w ramach szeroko rozumianej transformacji cyfrowej sektora ochrony zdrowia. Nowe narzędzia IT, narzędzia diagnostyczne czy urządzenia peryferyjne mogą sprawić, że skala i zakres zarządzania ryzykiem w szpitalu może ulec zmianie nawet na przestrzeni kilku miesięcy.

Cyberbezpieczeństwo szpitala - zarządzanie ryzykiem

Szpitale jako podmioty objęte dyrektywą NIS2 muszą zidentyfikować swoje kluczowe aktywa i odpowiedzieć na pytanie: które procesy są niezbędne, aby pacjent przeżył? Zakres zarządzania ryzykiem obejmuje ocenę zagrożeń dla tych aktywów i dobór adekwatnych środków.
Środki zarządzania ryzykiem muszą być proporcjonalne. Nie chodzi o to, by kupić najdroższy firewall, ale by wdrożyć rozwiązania, które realnie mitygują zidentyfikowane zagrożenia. Podmioty objęte regulacjami muszą udowodnić, że ich analiza jest aktualna, a nie odnosi się do realiów, które były aktualne 1 – 2 lata temu.

Ciągłość działania placówki medycznej

Czy Twój SOR będzie działał, gdy systemy] informatyczny szpitala zostanie zablokowany? Zapewnienie ciągłości działania to jeden z fundamentalnych wymogów dyrektywy NIS 2 dla szpitala. Dyrektywa parlamentu europejskiego wymusza posiadanie planów awaryjnych (procedur), które pozwalają na funkcjonowanie szpitala bez wsparcia cyfrowego. Szpitale jako część infrastruktury krytycznej państwa muszą być przygotowane na taki scenariusz, a ataki na podmioty lecznicze tylko w 2025 r. w Europie dowiodły, że ryzyko jest realne, a standardy bezpieczeństwa systemów informatycznych muszą być podniesione.

W praktyce oznacza to konieczność posiadania procedur pracy analogowej („na papierze”) i regularnego ich testowania. Jeśli system cyberbezpieczeństwa zawiedzie i dojdzie do ataku ransomware, szpital musi być w stanie prowadzić triaż, zlecać leki i wykonywać zabiegi. Podmioty lecznicze, które nie mają przetestowanych scenariuszy awaryjnych, w momencie kryzysu ulegają paraliżowi, co stwarza bezpośrednie zagrożenia zdrowia publicznego. Ciągłość działania to w tym ujęciu kwestia medyczna, a nie tylko informatyczna.
Przykład ten dobitnie dowodzi, że dyrektywa NIS 2 to nie tylko zbiór nowych obowiązków i kar dla jednostek ochrony zdrowia, ale przede wszystkim przygotowanie ich na sytuacje, w których systemy informatyczne nie mogą być wykorzystywane.
Wymogi NIS 2 dla szpitala w dużej mierze koncentrują się na technologii, jej wdrożeniu, zabezpieczeniu i prawidłowemu użytkowaniu z świadomością zaistnienia realnych prób ataków. Mimo to podmioty lecznicze powinny wykorzystać zmiany, które wprowadza dyrektywa NIS 2, jako impuls tworzenia zachowań i procedur postępowania, gdy narzędzia cyfrowe nie mogą być wykorzystywane w leczeniu pacjentów.

ZOBACZ RÓWNIEŻ:

Łańcuch dostaw IT a wymogi NIS 2 dla szpitala

Dyrektywa NIS 2 zmienia perspektywę wyboru partnerów i dostawców usług cyfrowych? Dział Zamówień Publicznych w szpitalu musi zaktualizować kryteria oceny ofert. Cena nie może być najważniejszym wyznacznikiem wyboru oferty. Bezpieczeństwo łańcucha dostaw wymaga, aby każdy dostawca oprogramowania czy aparatury gwarantował zgodność z normami.
Nakładane przez dyrektywę NIS 2 wymogi nie ograniczają się jedynie do nowych metod działania, procedur awaryjnych, czy wdrożenia systemów poprawiających cyberbezpieczeństwo szpitala. Krajowy System Cyberbezpieczeństwa (KSC) wskazuje na dostawców usług IT jako potencjalnego źródła ataku na jednostki ochrony zdrowia. Oznacza to, że firmy oferujące swoje usługi i produkty dla sektorów kluczowych w ramach zapewnienia bezpieczeństwa łańcucha dostaw same muszą wdrożyć nowe regulacje, których źródłem jest dyrektywa NIS 2.

W praktyce oznacza to konieczność redefinicji zapisów w Specyfikacji Warunków Zamówienia (SWZ). Przykładowo, przy zakupie nowego tomografu lub systemu ERP, szpital powinien wymagać od dostawcy usług IT nie tylko certyfikatu ISO 27001, ale przede wszystkim gwarancji dostarczania poprawek bezpieczeństwa (security patches) przez cały okres amortyzacji sprzętu (np. 7-10 lat).

Warto również wprowadzić klauzulę dotyczącą bezpiecznego dostępu serwisowego. Dostawcy usług cyfrowych nie mogą żądać otwarcia „stałego łącza” do serwisowanych urządzeń. Zgodnie z nowymi standardami, dostęp zdalny powinien być realizowany wyłącznie przez szyfrowane tunele VPN, z wykorzystaniem wieloskładnikowego uwierzytelniania (MFA) i tylko na czas trwania naprawy (tzw. dostęp Just-in-Time). Takie podejście eliminuje ryzyko, w którym zhakowany dostawca staje się „koniem trojańskim” wpuszczającym hakera do infrastruktury krytycznej szpitala – systemu dziedzinowego HIS.

Cyberbezpieczeństwo szpitala = raportowanie w 24 godziny

Krajowy System Cyberbezpieczeństwa (KSC) narzuca rygorystyczne ramy czasowe na zgłaszanie naruszeń. Poważne incydenty bezpieczeństwa muszą być raportowane do właściwego CSIRT w ciągu 24 godzin.
Wyzwanie polega na tym, że bez zaawansowanych narzędzi monitorujących, podmioty objęte dyrektywą często nawet nie wiedzą, że zostały zaatakowane. Systemy IT muszą być wyposażone w mechanizmy detekcji, a personel musi znać procedurę: kto klasyfikuje zdarzenie i kto wysyła zgłoszenie.
Niedotrzymanie terminów raportowania to prosta droga do nałożenia kar finansowych przez organ nadzorczy. To kolejny powód, dla którego wdrożenie systemów zarządzania incydentami jest tak istotne.
Cele dyrektywy NIS 2 skupiają się nie tylko na niwelowaniu zagrożeń, luk które mogą doprowadzić do ataku, ale jednocześnie minimalizowania skutków cyberataków i utrzymania ciągłości funkcjonowania jednostek ochrony zdrowia. W tym właśnie celu monitorowanie i raportowanie m.in. za pomocą SOC jest kluczowe, gdyż pozwala wykryć incydent cyberbezpieczeństwa i podjąć kroki zaradcze przed całkowitym paraliżem szpitala.

Technologia i infrastruktura: Segmentacja i szyfrowanie

Częstym błędem w myśleniu o dostosowaniu infrastruktury IT szpitala do standardów bezpieczeństwa nakładanych przez dyrektywę NIS 2 jest założenie, że wymaga to natychmiastowej wymiany wszystkich serwerów. W rzeczywistości kluczem do sukcesu nie są zakupy, lecz inteligentna konfiguracja, a konkretnie segmentacja sieci.

Standardy bezpieczeństwa wymagają bezwzględnego odejścia od tzw. sieci płaskich, w których zainfekowany komputer w rejestracji „widzi” rezonans magnetyczny na bloku operacyjnym. Niezbędne jest logiczne wydzielenie bezpiecznych stref: aparatury medycznej, która powinna być odizolowana od sieci administracji i systemu HIS, oraz zupełnie osobnej sieci Wi-Fi dla pacjentów. Taka architektura sprawia, że atak na jeden segment nie paraliżuje całego szpitala.

Równie krytycznym elementem jest szyfrowanie danych. Nowe obowiązki nakładane przez dyrektywę NIS 2 oznaczają, że dane muszą być bezpieczne zarówno w spoczynku (na dyskach), jak i podczas przesyłania. Dopełnieniem technicznej ochrony jest uwierzytelnianie wieloskładnikowe (MFA). To definitywny koniec ery haseł przyklejanych na monitorach. MFA staje się standardem chroniącym cyfrową tożsamość lekarza przed kradzieżą, co ma bezpośredni wpływ na bezpieczeństwo danych pacjentów i zapobiega nieautoryzowanemu dostępowi do dokumentacji medycznej.

Wymogi NIS 2 dla szpitala - koszt czy inwestycja?

Wdrożenie dyrektywy NIS w szpitalu to proces ciągły, a nie jednorazowy projekt zakupowy. Krajowy System Cyberbezpieczeństwa wymusza głęboką profesjonalizację usług w całym sektorze ochrony zdrowia. Choć podmioty objęte dyrektywą będą musiały znaleźć środki finansowe na znaczne inwestycje w szkolenia, infrastrukturę, nowe narzędzia oraz procedury, to jest to konieczne, by zapewnić ochronę infrastruktury krytycznej państwa, jaką są szpitale.
Wymogi NIS 2 dla szpitala należy traktować jako fundamentalną inwestycję w stabilność i niwelowanie zagrożeń zdrowia publicznego. Skuteczna ochrona infrastruktury krytycznej to dziś warunek konieczny, by szpital mógł bezpiecznie leczyć, nie narażając się na paraliż operacyjny czy gigantyczne kary administracyjne.
Wdrożenie systemów zarządzania ryzykiem, szkolenie z zakresu cyberhigieny, czy opracowanie oraz testowanie procedur utrzymania ciągłości funkcjonowania podmiotów leczniczych z pewnością można postrzegać jako najlepszą inwestycję w cyberbezpieczeństwo szpitala.

W Coongi nie oferujemy „magicznych pudełek”, które rzekomo załatwią sprawę jednym kliknięciem. Oferujemy proces adaptacji do nowych regulacji: od audytu bezpieczeństwa, przez projektowanie procedur i wdrożenie systemów cyberbezpieczeństwa, aż po merytoryczne wsparcie w czasie kontroli. Pomagamy podmiotom kluczowym sektora ochrony zdrowia przejść przez tę cyfrową transformację.

Zacznij od analizy, nie od zakupów. Sprawdź, w jakim miejscu jest Twój szpital w świetle nowych przepisów i uniknij nietrafionych inwestycji.

Sprawdź Audyt zero
Sprawdź Audyt zero