Ile trwa wdrożenie NIS 2 w szpitalu? Realny harmonogram krok po kroku
- Pełne wdrożenie NIS 2 w szpitalu trwa zwykle od 6 do 12 miesięcy — decyduje wielkość placówki i stan wyjściowy infrastruktury.
- Podmioty objęte ustawą mają 12 miesięcy na wdrożenie systemu zarządzania bezpieczeństwem informacji i 6 miesięcy na zgłoszenie do wykazu.
- Pierwszy audyt podmiotu kluczowego przypada po 24 miesiącach — od tego momentu organ nadzoru może również nakładać kary.
- Zgłaszanie incydentów obowiązuje od pierwszego dnia, niezależnie od tego, na jakim etapie wdrożenia jest szpital.
- Bezpłatna diagnoza oferowana przez Coongi trwa 1–2 godziny i wyznacza harmonogram wdrożenia dopasowany do konkretnej placówki.
Spis treści
- Ile trwa wdrożenie NIS 2 w szpitalu?Ile trwa wdrożenie NIS2 w szpitalu?
- Podmiot kluczowy czy podmiot ważny — od tego zależy zakres obowiązków
- Terminy wdrożenia NIS 2 w szpitalu wynikające z ustawy o KSC
- Termin ustawowy a realny czas pracy przy wdrożeniu NIS 2 w szpitalu
- Od czego zależy, ile trwa wdrożenie NIS 2 w szpitalu?
- Harmonogram wdrożenia NIS 2 w szpitalu – 5 etapów
- Co dokładnie trzeba wdrożyć w ciągu tych dwunastu miesięcy
- Jak te wymogi układają się w praktyce szpitala?
- Obowiązki raportowe: 24 godziny, 72 godziny i sprawozdanie końcowe
- Co przyspiesza wdrożenie NIS 2 w szpitalu?
- Co najczęściej wydłuża harmonogram wdrożenia?
- Ile trwa wdrożenie NIS 2 w szpitalu?
- Plan awaryjny: co zrobić, gdy do terminu zostało kilka miesięcy?
- Najczęściej zadawane pytania dotyczące czasu wdrożenia NIS 2 w szpitalu
- Sprawdź harmonogram dla swojej placówki
Ile trwa wdrożenie NIS 2 w szpitalu?
Odpowiedź na pytanie, ile trwa wdrożenie NIS 2 w szpitalu, brzmi: zwykle od 6 do 12 miesięcy, licząc od analizy luk do uruchomienia stałego monitoringu. Krótszy termin dotyczy placówek z uporządkowaną infrastrukturą i aktualną inwentaryzacją zasobów, w których bezpieczeństwo danych pacjentów jest już realnie zarządzane.
Dłuższy odnosi się do szpitali z długiem technologicznym i rozproszoną odpowiedzialnością za bezpieczeństwo.
Warto od razu rozdzielić trzy horyzonty czasowe, które w rozmowach o NIS 2 bywają mylone:
- Termin formalny — zgłoszenie szpitala do wykazu podmiotów kluczowych i ważnych. To kwestia jednego dnia roboczego, ale samo zgłoszenie nie oznacza jeszcze zgodności z ustawą.
- Termin operacyjny — wdrożenie środków bezpieczeństwa wymaganych przepisami. To wspomniane 6–12 miesięcy realnej pracy.
- Horyzont ciągły — utrzymanie zgodności. Nie ma daty końcowej, ponieważ NIS 2 nie jest projektem zamykanym protokołem odbioru.
Mieszanie tych trzech porządków to najczęstsza przyczyna błędnego planowania. Szpital, który zdąży z rejestracją, może wciąż być bardzo daleko od spełnienia wymogów, jakie stawia dyrektywa NIS 2 i wdrażające ją przepisy krajowe.
Podmiot kluczowy czy podmiot ważny — od tego zależy zakres obowiązków
Zanim ustali się harmonogram, trzeba wiedzieć, w której kategorii znajduje się placówka. Dyrektywa NIS 2 dzieli podmioty objęte ustawą na dwie grupy, a szpital trafia do jednej z nich z mocy prawa. Podmiot kluczowy i podmiot ważny mają ten sam termin na wdrożenie, ale różny zakres obowiązków, inny tryb nadzoru oraz inne górne granice kar.
Sektor ochrony zdrowia jest w przepisach traktowany jako sektor kluczowy dla funkcjonowania państwa. Jako sektor kluczowy podlega ostrzejszym wymogom niż branże,
w których przerwane świadczenie usług oznacza wyłącznie stratę finansową — szpitale świadczą usługi kluczowe dla zdrowia obywateli. Publiczny szpital działający jako samodzielny publiczny zakład opieki zdrowotnej jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób, a od 250 osób staje się podmiotem kluczowym.
Szpital prowadzony w formie przedsiębiorcy kwalifikuje się natomiast według wielkości przedsiębiorstwa.
W praktyce niemal wszystkie szpitale powiatowe, wojewódzkie i kliniczne to podmioty objęte ustawą. Dotychczasowi operatorzy usług kluczowych, wyznaczeni jeszcze pod poprzednim stanem prawnym, trafiają do nowego wykazu z mocy przepisów, ale zakres ich obowiązków wyraźnie się rozszerza. Szpital, który jako podmiot kluczowy NIS2 trafia do wykazu, przechodzi ponadto pod ściślejszy nadzór niż podmiot ważny.
Dla harmonogramu ma to konkretne znaczenie. Podmiot kluczowy podlega obowiązkowemu audytowi po 24 miesiącach, a podmioty publiczne muszą dodatkowo pogodzić prace z procedurami zamówień. Podmiot kluczowy ma też szerszy zakres obowiązków sprawozdawczych wobec organu nadzoru. Podmiot kluczowy prowadzi też szerszą dokumentację na potrzeby kontroli. Ustalenie statusu jest więc pierwszą czynnością, od której zależy cała reszta planu i pierwszym pytaniem, jakie zadajemy podczas bezpłatnej diagnozy.
Terminy wdrożenia NIS 2 w szpitalu wynikające z ustawy o KSC
Ramy czasowe wyznacza nowelizacja ustawy, którą do prawa polskiego wdrożona została dyrektywa NIS 2. Krajowy system cyberbezpieczeństwa obejmuje od tego momentu również szpitale. Terminy liczone są od dnia wejścia przepisów w życie, a ten przypada miesiąc po ogłoszeniu w Dzienniku Ustaw
Termin | Obowiązek | Co to oznacza dla szpitala |
|---|---|---|
+6 miesięcy | Zgłoszenie do wykazu podmiotów kluczowych i ważnych | Szpital zgłasza się samodzielnie, w ciągu 6 miesięcy od dnia spełnienia przesłanek. Organy nie wysyłają indywidualnych zawiadomień. |
+12 miesięcy | Wdrożenie systemu zarządzania bezpieczeństwem informacji
| Pełny zakres obowiązków: analiza ryzyka, kopie zapasowe, segmentacja sieci, monitoring, szkolenia i polityki bezpieczeństwa. |
+24 miesiące
| Pierwszy audyt i sankcje
| Audyt podmiotu kluczowego oraz możliwość nakładania kar przez organ nadzoru.
|
Dwie uwagi praktyczne. Po pierwsze, termin zgłoszenia liczy się od dnia spełnienia przesłanek uznania za podmiot kluczowy lub podmiot ważny, a nie od wejścia ustawy
w życie. Dla większości szpitali te momenty się pokrywają, ale nie jest to regułą. Po drugie, obowiązki regulacyjne nie zaczynają się dopiero po dwunastu miesiącach: zgłaszanie incydentów działa od pierwszego dnia obowiązywania przepisów, a nowelizacja ustawy nie przewiduje tu okresu przejściowego.
Termin ustawowy a realny czas pracy przy wdrożeniu NIS 2 w szpitalu
Dwanaście miesięcy to termin na osiągnięcie określonego stanu, a nie budżet czasu na projekt. W szpitalu wdrożenie NIS 2 wykonuje ten sam zespół, który odpowiada za codzienną ciągłość działania placówki: utrzymanie systemów, obsługę użytkowników, rozliczenia i bieżące awarie. Prace nad bezpieczeństwem konkurują więc o te same zasoby co świadczenie usług medycznych, zamiast toczyć się obok nich.
Dochodzą do tego ograniczenia, których nie ma w organizacji biurowej: brak okien serwisowych w środku tygodnia, całodobowy tryb pracy oddziałów oraz konieczność testowania każdej zmiany przed wdrożeniem na systemach, od których zależy dostęp do dokumentacji i bezpieczeństwo danych pacjentów.
Dlatego harmonogram planuje się od końca. Od terminu ustawowego wstecz, z rezerwą na etapy zależne od stron trzecich: postępowań zakupowych, dostawców i decyzji budżetowych.
Od czego zależy, ile trwa wdrożenie NIS 2 w szpitalu?
Czas realizacji nie jest wartością stałą. To wypadkowa kilku czynników, które można ocenić już podczas wstępnej analizy ryzyka.
Czynnik | Skraca harmonogram | Wydłuża harmonogram |
|---|---|---|
Inwentaryzacja zasobów | Aktualny spis systemów i urządzeń | Brak wiedzy, co faktycznie pracuje w sieci |
Stan infrastruktury | Sprzęt objęty wsparciem producenta | Aparatura na nieaktualnych systemach |
Dostawcy usług IT | Uporządkowane umowy i dostępy serwisowe | Wielu dostawców ze stałym dostępem zdalnym |
Procedury | Istniejąca dokumentacja do aktualizacji | Zarządzanie danymi oparte wyłącznie na zwyczaju |
Decyzyjność | Wyznaczona osoba i zaangażowane kierownictwo | Rozproszona odpowiedzialność |
Budżet | Środki zabezpieczone w roku bieżącym | Oczekiwanie na kolejny cykl budżetowy |
Najsilniej działa pierwszy wiersz. Wdrożenie systemu zabezpieczeń w placówce, która nie wie, ile urządzeń pracuje w jej sieci, zaczyna się nie od konfiguracji, lecz od kilku tygodni inwentaryzacji. Zarządzanie danymi i zarządzanie podatnościami wymagają najpierw wiedzy o tym, co w ogóle podlega ochronie.
Harmonogram wdrożenia NIS 2 w szpitalu - 5 etapów
Poniżej prezentujemy realny przebieg prac z orientacyjnym czasem trwania każdego etapu. Ta sama struktura opisuje proces prowadzony przez Coongi, więc każdy etap można prześledzić szczegółowo na stronie poświęconej wdrożeniu NIS 2 w szpitalu.
Etap 1 — Audyt luk i analiza ryzyka | 3–6 tygodni
Punktem wyjścia jest audyt bezpieczeństwa systemów: inwentaryzacja HIS, PACS, RIS, aparatury diagnostycznej oraz urządzeń podłączonych do sieci poza wiedzą działu IT. Równolegle prowadzona jest analiza ryzyka. Nie ogólna, lecz odniesiona do procesów klinicznych. Bezpieczeństwo danych pacjentów jest tu punktem odniesienia,
a nie jednym z wielu kryteriów technicznych.
Rezultat: raport z mapą luk i priorytetami. To dokument, na którym opiera się cały dalszy harmonogram wdrożenia. Czas trwania zależy głównie od liczby lokalizacji i jakości dotychczasowej dokumentacji. Audyt bezpieczeństwa na tym etapie nie służy ocenie zespołu IT, lecz ustaleniu punktu startu. Bez niego wdrożenie systemu zabezpieczeń opiera się na domysłach, a zarządzanie danymi zostaje nieudokumentowane.
Etap 2 — Plan osiągnięcia zgodności | 2–4 tygodnie
Luki zostają uporządkowane według ryzyka i przełożone na plan prac z budżetem, kolejnością działań i przypisaną odpowiedzialnością. Ustalane są też mierniki, którymi kierownictwo będzie rozliczać postęp.
Rezultat: roadmapa wdrożenia. Zarządzanie bezpieczeństwem projektów zaczyna się właśnie tutaj od decyzji, czego świadomie nie robimy w pierwszej kolejności. Dobrze ułożone zarządzanie ryzykiem to świadoma hierarchia, nie próba zrobienia wszystkiego naraz. Osiągniecie zgodności z dyrektywą NIS 2 wymaga działań na wielu płaszczyznach funkcjonowania szpitala i zaangażowania różnych grup pracujących na co dzień w placówce medycznej. Dlatego też stworzenie i realizacja planu osiągnięcia zgodności jest optymalnym rozwiązaniem. Co ważne szpitale są organizacjami, w których zmienność warunków funkcjonowania jest powszechnym zjawiskiem (nowe systemy, urządzenia, oddziały) i dlatego proces ten nigdy nie może być uznany za zakończony.
Etap 3 — Wdrożenie środków, procesów i szkoleń | 3–6 miesięcy
Najdłuższy etap, który w praktyce przesądza o długości całego projektu. Prowadzony jest trzema równoległymi ścieżkami:
- procedury — polityki bezpieczeństwa, plany ciągłości działania oraz procedury awaryjne na wypadek niedostępności systemów;
- technika — segmentacja sieci, kontrola dostępu, kopie zapasowe systemów medycznych z testem odtworzenia, uwierzytelnianie wieloskładnikowe;
- ludzie — szkolenia z cyberbezpieczeństwa dla personelu medycznego, administracji i kadry zarządzającej.
Warto zatrzymać się przy trzeciej ścieżce, bo bywa planowana najbardziej pobieżnie. Szkolenie przeprowadzone raz do roku albo, co częstsze, raz na kilka lat spełnia wymóg formalny, ale nie zmienia zachowań. Wiedza o rozpoznawaniu podejrzanych wiadomości zaciera się w ciągu kilku tygodni, a personel pod presją dyżuru wraca do starych nawyków.
Skuteczna cyberhigiena wymaga cykliczności: krótkich, powtarzalnych form zamiast jednego długiego wykładu. Sprawdzają się warsztaty w małych grupach, kontrolowane próby phishingowe z omówieniem wyników oraz scenki sytuacyjne odtwarzające realne zdarzenia — telefon od rzekomego serwisanta, wiadomość z „pilnymi wynikami”, prośba o pilne przelanie środków podpisana nazwiskiem dyrektora. Dopiero przećwiczona reakcja staje się odruchem. Ma to też wymiar formalny. Rotacja personelu sprawia, że po roku część zespołu nigdy nie przeszła szkolenia, a dokumentacja szkoleń jest jednym z pierwszych dokumentów sprawdzanych podczas kontroli. Cykliczny plan szkoleń rozwiązuje oba problemy naraz. Utrwala procedury i tworzy dowód należytej staranności.
Rezultat: działające zabezpieczenia i wdrożone polityki, udokumentowane na potrzeby kontroli. Połączenie tych trzech ścieżek sprawia, że bezpieczeństwo danych pacjentów przestaje zależeć od pojedynczej osoby lub pojedynczego narzędzia. Tu też powstają procedury ciągłości działania opisujące pracę oddziału bez dostępu do systemów, czyli element, o którym najłatwiej zapomnieć.
Etap 4 — Uruchomienie monitoringu i obsługi incydentów | 4–8 tygodni
Objęcie systemów monitorowaniem w trybie ciągłym, ustalenie progów alarmowych i ścieżki reakcji. Monitoring incydentów bez procedury pozostaje wyłącznie źródłem alertów, dlatego równolegle powstaje obsługa incydentów: kto klasyfikuje zdarzenie, kto je zgłasza i w jakim terminie. Dwie rzeczy warto ustalić, zanim monitoring w ogóle ruszy.
Po pierwsze próg, od którego zdarzenie staje się incydentem poważnym, opisany językiem klinicznym, a nie technicznym: na przykład niedostępność systemu HIS na izbie przyjęć dłuższa niż ustalona liczba minut. Bez takiej definicji pierwsze godziny po wykryciu schodzą na sporze, czy sprawa w ogóle podlega zgłoszeniu, a termin biegnie od momentu wykrycia, nie od zakończenia analizy.
Po drugie ścieżkę eskalacji trzeba przetestować tak samo jak kopie zapasowe. Próbny telefon o trzeciej w nocy pod numer wpisany do procedury bywa najtańszym testem w całym projekcie i zaskakująco często kończy się korektą listy kontaktów.
Warto też przygotować szablon zgłoszenia do CSIRT z wypełnionymi stałymi polami. Nocna zmiana nie powinna redagować go od zera pod presją czasu.
Praktyczna wskazówka na start: monitoringiem obejmuje się najpierw systemy, których awaria zatrzymuje leczenie — HIS, PACS, kontroler domeny i infrastrukturę kopii zapasowych. Objęcie wszystkiego naraz kończy się lawiną alertów, a te po kilku tygodniach przestają być czytane.
Rezultat: zdolność wykrycia i obsłużenia incydentu również w nocy oraz w weekend. Zarządzanie incydentami staje się procesem, a nie improwizacją.
Etap 5 — Utrzymanie zgodności i ciągłe doskonalenie | proces ciągły
Cykliczne przeglądy, testy odtwarzania kopii zapasowych, aktualizacja polityk, kontrolowane próby phishingowe i przygotowanie do audytu podmiotu kluczowego.
Ten etap nie ma daty końcowej: infrastruktura szpitala zmienia się szybciej niż raz na rok, a system bezpieczeństwa musi za tym nadążać.
Rezultat: utrzymana zgodność poparta dokumentami — aktualna analiza ryzyka, wyniki testów odtworzeniowych, rejestr incydentów i potwierdzenia przeszkolenia personelu
Co dokładnie trzeba wdrożyć w ciągu tych dwunastu miesięcy
Przepisy nie mówią ogólnie o „poprawie bezpieczeństwa”. Krajowy system cyberbezpieczeństwa wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji i wskazuje konkretne obszary. Zarządzanie bezpieczeństwem informacji jest tu pojęciem ustawowym, a nie hasłem — obejmuje wdrożenie systemu opartego na ocenie ryzyka. Poniżej katalog przełożony na realia placówki medycznej:
- systematyczne szacowanie ryzyka oraz zarządzanie ryzykiem wystąpienia incydentu;
- polityki szacowania ryzyka i bezpieczeństwa systemu informacyjnego, w tym polityki tematyczne;
- bezpieczeństwo w procesie nabywania, rozwoju i utrzymania systemów — a więc także w projektach informatyzacji i przy zakupie nowej aparatury;
- bezpieczeństwo fizyczne i środowiskowe wraz z kontrolą dostępu;
- bezpieczeństwo zasobów ludzkich;
- zarządzanie łańcuchem dostaw, czyli bezpieczeństwo produktów, usług i procesów ICT, od których zależy świadczenie usług;
- plany ciągłości działania, procedury awaryjne oraz plany odtworzenia działalności;
- objęcie systemu informacyjnego monitorowaniem w trybie ciągłym;
- ocena skuteczności zastosowanych środków technicznych i organizacyjnych;
- edukacja z zakresu cyberbezpieczeństwa oraz podstawowe zasady cyberhigieny dla personelu;
- kryptografia i szyfrowanie, czyli ochrona danych zarówno przechowywanych, jak i przesyłanych;
- uwierzytelnianie wieloskładnikowe oraz bezpieczne środki komunikacji elektronicznej;
- zarządzanie aktywami i polityki kontroli dostępu.
Jak te wymogi układają się w praktyce szpitala?
Katalog wygląda na listę zadań dla działu IT, ale w rzeczywistości rozkłada się na cztery obszary o różnym ciężarze: dane, sieć, dostawcy i procesy organizacyjne.
Dopiero razem tworzą zarządzanie bezpieczeństwem informacji w rozumieniu przepisów — pominięcie któregokolwiek sprawia, że zakres cyberbezpieczeństwa pozostaje niespełniony, nawet jeśli pozostałe obszary dopięto wzorowo.
W dokumentacji obszary te mają własne nazwy: zarządzanie bezpieczeństwem danych, zarządzanie bezpieczeństwem w sieciach, zarządzanie bezpieczeństwem
w produktach i usługach dostawców oraz zarządzanie bezpieczeństwem procesów. Warto je znać, bo w takim właśnie układzie audytor poprosi o dowody.
Każdy z nich ma swoją typową pułapkę. Segmentacja sieci, która omija aparaturę medyczną, chroni tylko część placówki. Sprzęt kupiony bez klauzul serwisowych przenosi ryzyko z dostawcy na szpital. Nowy system wdrożony bez wymagań bezpieczeństwa wchodzi do placówki z długiem, który ktoś spłaci później — zwykle w najgorszym momencie. A polityka opisana w dokumencie, lecz nieznana personelowi, nie działa w ogóle.
Osobno warto spojrzeć na parę: ochrona danych i zarządzanie ciągłością działania. Przepisy traktują je równorzędnie i jest w tym logika — kopia bez możliwości szybkiego odtworzenia nie ratuje leczenia, a sprawne odtworzenie niezabezpieczonych danych oznacza tylko szybszy powrót do stanu podatnego na kolejny atak.
Na końcu tej listy stoi człowiek. Najlepiej skonfigurowana technika nie zadziała, jeśli personel nie rozpozna próby wyłudzenia danych — a to właśnie pracownik pod presją dyżuru bywa pierwszym punktem wejścia do sieci szpitalnej. Dlatego cyberhigiena jest w katalogu osobną pozycją, a nie dodatkiem do szkolenia wstępnego.
Obowiązki raportowe: 24 godziny, 72 godziny i sprawozdanie końcowe
Zgłaszanie incydentów to obowiązek działający od pierwszego dnia — niezależnie od tego, na jakim etapie wdrożenia znajduje się szpital. To najmocniejszy argument przeciwko odkładaniu prac na później.
Terminy liczone są od momentu wykrycia incydentu poważnego:
- 24 godziny — wczesne ostrzeżenie przekazywane do właściwego CSIRT sektorowego;
- 72 godziny — pełne zgłoszenie incydentu wraz z oceną jego skutków;
- sprawozdanie końcowe z obsługi incydentu po zakończeniu działań naprawczych.
Sektor ochrony zdrowia ma własny zespół reagowania: właściwy dla szpitali jest Zespół CSIRT CeZ działający w Centrum e-Zdrowia. Zgłoszenie do CSIRT musi mieć przypisanego właściciela, dlatego zarządzanie incydentami bezpieczeństwa zaczyna się nie od narzędzia, lecz od decyzji: kto w szpitalu klasyfikuje zdarzenie i kto podpisuje zgłoszenie incydentu w nocy z soboty na niedzielę.
Bez tej decyzji nawet prawidłowo wykryte incydenty cyberbezpieczeństwa kończą się przekroczeniem terminu. Obowiązki raportowe są niezależne od skali szkody: incydenty bezpieczeństwa zgłoszone po czasie stają się osobnym naruszeniem, a obsługa incydentów bez udokumentowanej ścieżki jest nie do wykazania podczas kontroli. Incydenty cyberbezpieczeństwa w szpitalu mają przy tym wymiar kliniczny — opóźniona reakcja to nie tylko sankcje, ale i odwołane zabiegi.
Co przyspiesza wdrożenie NIS 2 w szpitalu?
Część działań daje efekt niemal natychmiast i nie wymaga postępowania zakupowego ani nowego budżetu:
- zmiana haseł domyślnych na urządzeniach sieciowych i aparaturze;
- odebranie uprawnień administratora kontom, które ich nie potrzebują;
- włączenie logowania zdarzeń tam, gdzie zostało wyłączone;
- spisanie wszystkich dostępów zdalnych dostawców i wyłączenie nieużywanych;
- wyznaczenie osoby odpowiedzialnej za kontakt z CSIRT.
Te kroki nie zastępują pełnego projektu, ale skracają jego późniejsze etapy i realnie obniżają ryzyko już w pierwszym miesiącu. Dyrektywa NIS 2 wprost premiuje takie działania: liczy się skuteczność środków, a nie ich cena.
Wskazówka Coongi: Najtańsza analiza łańcucha dostaw, jaką można zrobić w jedno popołudnie. Wyślij do dostawców HIS, PACS i RIS krótkie, jednakowe zapytanie: czy i w jakim zakresie spełniają wymogi NIS 2, jak realizowany jest dostęp serwisowy do systemów szpitala oraz w jakim czasie dostarczają poprawki bezpieczeństwa. Przygotowanie pisma zajmuje kilka godzin, a odpowiedzi łącznie z tymi, które nigdy nie przyjdą dają gotową mapę ryzyka w łańcuchu dostaw.
To także mocny materiał do negocjacji przy najbliższym przedłużeniu umowy, kiedy klauzule bezpieczeństwa da się wprowadzić bez osobnego postępowania.
Wskazówka Coongi: Dokumentuj quick winy od pierwszego dnia, nie od pierwszej kontroli. Większość szpitali te działania wykonuje, ale ich nie zapisuje,
a po roku nikt nie pamięta, komu i kiedy odebrano uprawnienia administratora. Prosta tabela z datą, opisem czynności i osobą odpowiedzialną kosztuje kilka minut tygodniowo, a podczas kontroli staje się dowodem należytej staranności. Reguła jest bezlitosna: praca, której nie udokumentowano, formalnie nie istnieje.
Co najczęściej wydłuża harmonogram wdrożenia?
Opóźnienia rzadko wynikają z technologii. Najczęstsze przyczyny mają charakter organizacyjny:
- brak inwentaryzacji — nie da się chronić zasobów, o których istnieniu nikt nie wie;
- dług technologiczny — aparatura, której nie można aktualizować ze względu na certyfikację medyczną, wymaga rozwiązań zastępczych;
- rozproszona odpowiedzialność — gdy zarządzanie bezpieczeństwem należy „do wszystkich”, nie należy do nikogo;
- brak decyzji kierownictwa — obowiązki dyrektora szpitala obejmują zatwierdzenie analizy ryzyka i środków, więc projekt bez tej decyzji stoi w miejscu;
- cykl budżetowy i procedury zamówień — potrafią dodać do harmonogramu cały kwartał.
Ostatni punkt jest szczególnie dotkliwy dla placówek będących podmiotami publicznymi, gdzie termin ustawowy w żaden sposób nie skraca procedur zakupowych. Podmioty objęte ustawą, które planują zakupy dopiero po analizie, muszą uwzględnić ten czas w harmonogramie.
Ile trwa wdrożenie NIS 2 w szpitalu?
Poniższe zestawienie ma charakter poglądowy i nie stanowi oferty i służy wyłącznie zaplanowaniu rezerwy czasowej dla trzech typowych sytuacji spotykanych w ochronie zdrowia.
Etap | Szpital powiatowy | Szpital wojewódzki | Szpital kliniczny |
|---|---|---|---|
Audyt luk i analiza ryzyka | 3 tygodnie | 4–5 tygodni | 6 tygodni |
Plan osiągnięcia zgodności | 2 tygodnie | 3 tygodnie | 4 tygodnie |
Wdrożenie środków i szkoleń | 3–4 miesiące | 4–5 miesięcy | 5–6 miesięcy |
Uruchomienie monitoringu | 4 tygodnie | 6 tygodni | 8 tygodni |
Razem do stanu zgodności | ok. 6 miesięcy | ok. 8–9 miesięcy | ok. 11–12 miesięcy |
Wniosek praktyczny jest jeden: nawet największe placówki mieszczą się w terminie NIS 2, ale wyłącznie pod warunkiem odpowiednio wczesnego startu.
Szpital, który zacznie na pół roku przed terminem, będzie prowadził prace w trybie awaryjnym, a to zawsze kosztuje więcej.
Plan awaryjny: co zrobić, gdy do terminu zostało kilka miesięcy?
Jeśli do terminu pozostało kilka miesięcy, kolejność działań zmienia się z „kompletnej” na „ograniczającą ryzyko”. W praktyce sprawdza się następujący porządek:
- Ustalić status placówki — czy szpital to podmiot kluczowy, czy podmiot ważny i potwierdzić zgłoszenie do wykazu.
- Uruchomić ścieżkę zgłaszania incydentów: to obowiązek natychmiastowy i najtańszy do wdrożenia.
- Zabezpieczyć kopie zapasowe i przetestować odtworzenie systemów krytycznych dla ciągłości leczenia.
- Uporządkować dostępy zdalne, jakie mają dostawcy usług IT, i wyłączyć te zbędne.
- Dopiero potem realizować pozostałe środki, w kolejności wynikającej z mapy ryzyka.
Taki plan nie daje pełnej zgodności z NIS 2 od razu, ale porządkuje priorytety i pozwala wykazać należytą staranność, co ma realne znaczenie, jeśli w międzyczasie dojdzie do incydentu.
Trzeba jednak powiedzieć wprost: zaległości w obszarze cyberbezpieczeństwa nie da się nadrobić w dwa czy trzy miesiące. Prawidłowe wdrożenie NIS 2 w szpitalu to złożony proces, którego nie warto odkładać do ostatniej chwili. Część zmian wymaga czasu niezależnie od budżetu, bo dotyczy nawyków personelu, procedur i umów z dostawcami. Nie warto też liczyć na łut szczęścia i zakładać, że kontrola ominie akurat naszą placówkę. Prawdziwym weryfikatorem przygotowania nie jest bowiem organ nadzoru, lecz atak i jego konsekwencje, a te przychodzą bez zapowiedzi i nie pytają o harmonogram.
Najczęściej zadawane pytania dotyczące czasu wdrożenia NIS 2 w szpitalu
Czy da się przyspieszyć wdrożenie NIS 2 bez utraty jakości?
Tak, pod dwoma warunkami: prace muszą być prowadzone równolegle, a nie sekwencyjnie, oraz opierać się na priorytetach z analizy ryzyka. Przyspieszenie polega na właściwej kolejności, nie na pomijaniu etapów. Największą oszczędność czasu daje rzetelna inwentaryzacja wykonana na starcie.
Czy trzeba wdrażać wszystkie pięć etapów naraz?
Nie. Etapy następują po sobie, a trzeci z nich dzieli się na trzy równoległe ścieżki: procedury, technikę i szkolenia. Poszczególne obszary można wdrażać partiami, według ryzyka. Warunkiem jest osiągnięcie wymaganego stanu przed upływem terminu ustawowego.
Czy mały szpital powiatowy może rozłożyć wdrożenie na dłużej niż 12 miesięcy?
Termin jest identyczny dla wszystkich placówek, niezależnie od wielkości. Podmioty objęte ustawą mają te same daty graniczne. Przepisy dopuszczają natomiast proporcjonalność środków do ryzyka i skali podmiotu, więc zakres prac w mniejszej placówce bywa węższy, ale nie późniejszy.
Czy szpital może odłożyć zgłaszanie incydentów do czasu zakończenia wdrożenia?
Nie. Obowiązki raportowe działają niezależnie od postępu prac: wczesne ostrzeżenie trafia do CSIRT w ciągu 24 godzin od wykrycia incydentu poważnego. Dlatego procedurę zgłoszenia ustala się na samym początku, a nie na końcu projektu.
Od czego zacząć, jeśli do terminu zostało kilka miesięcy?
Od potwierdzenia statusu podmiotu i zgłoszenia do wykazu, a następnie od uruchomienia procedury zgłaszania incydentów oraz zabezpieczenia kopii zapasowych — to na nich opiera się bezpieczeństwo danych pacjentów w razie awarii. To działania najszybsze do wdrożenia i najmocniej ograniczające ryzyko. Kolejność pozostałych prac powinna wynikać z analizy luk.
Sprawdź harmonogram dla swojej placówki
Realny harmonogram NIS 2 można wyznaczyć dopiero po ocenie stanu wyjściowego, bo dyrektywa NIS 2 wymaga środków proporcjonalnych do ryzyka konkretnej placówki. Bezpłatna analiza kończy się listą priorytetów przygotowaną dla konkretnego szpitala bez zobowiązań i bez kosztów.