Spis treści
Jak wybrać firmę do wdrożenia NIS 2 w szpitalu? Kluczowe jest sprawdzenie trzech rzeczy: czy wykonawca rozumie specyfikę placówki medycznej, czy rozpoczyna pracę od oceny stanu faktycznego zamiast od oferty produktowej oraz czy zapewnia wsparcie po zakończeniu prac. Cena jest kryterium czwartym, nie pierwszym.
Audyt cyberbezpieczeństwa wykonany na starcie kosztuje mniej niż korekta źle dobranych rozwiązań, a rzetelny audyt cyberbezpieczeństwa porządkuje priorytety, a audyt bezpieczeństwa systemów pokazuje, czego placówka faktycznie potrzebuje.
Powód jest prosty. Dyrektywa NIS 2 nakłada obowiązki na podmiot, a nie na jego wykonawców. Odpowiedzialność za spełnienie wymogów spoczywa więc na szpitalu i jego kierownictwie — nie na firmie zewnętrznej. Wykonawca może pomóc, ale nie przejmie ani odpowiedzialności prawnej, ani konsekwencji nietrafionych decyzji.
Kary za niewdrożenie NIS 2 obciążają podmiot i osobiście kierownika placówki. Żadna umowa z wykonawcą tego nie zmienia — można w niej zapisać kary umowne, ale nie da się przenieść odpowiedzialności administracyjnej na dostawcę. Krajowy system cyberbezpieczeństwa wiąże obowiązki z podmiotem, a przepisy dotyczące cyberbezpieczeństwa nie przewidują tu wyjątków. To pierwsza rzecz, którą warto sobie uświadomić przed rozpoczęciem rozmów.
Druga wynika z konstrukcji przepisów. Dyrektywa NIS 2 wprost obejmuje relacje z podmiotami zewnętrznymi. Bezpieczeństwo łańcucha dostaw jest jednym z obszarów, które szpital ma obowiązek kontrolować, a firma wdrażająca sama staje się częścią tego łańcucha. Uzyskuje dostęp do infrastruktury, konfiguracji i dokumentacji, a bezpieczeństwo łańcucha dostaw obejmuje również jego. Ocena ryzyka powinna więc obejmować także samego wykonawcę. Nietrafiony wybór potrafi podnieść ryzyko zamiast je obniżyć — i to jest realna stawka tej decyzji.
Warto też pamiętać, że kary za niewdrożenie NIS 2 to nie jedyny koszt. Znacznie dotkliwszy bywa przestój: incydenty bezpieczeństwa w szpitalu przekładają się na odwołane zabiegi, a nie tylko na straty finansowe. Kary za niewdrożenie NIS 2 są więc jednym z kilku kosztów, a nie jedynym.
Jak wybrać firmę do wdrożenia NIS 2, nie mając przygotowania technicznego? Poniższe pytania tego nie wymagają. Można je zadać na pierwszym spotkaniu, a sposób odpowiedzi mówi o wykonawcy więcej niż prezentacja referencji. Dyrektywa NIS 2 jest przy tym dokumentem publicznym — warto sprawdzić, czy rozmówca faktycznie ją zna.
Sprawdzian jest prosty: zapytaj, jak wykonawca zaplanuje segmentację sieci obejmującej aparaturę diagnostyczną i co zrobi z urządzeniami, których nie można aktualizować ze względu na certyfikację medyczną. Firma bez doświadczenia w ochronie zdrowia odpowie ogólnikami o dobrych praktykach, choć dyrektywa NIS 2 wymaga rozwiązań dopasowanych do realnego ryzyka.
Sektor zdrowia rządzi się własnymi ograniczeniami — całodobowa praca oddziałów, sprzęt o cyklu życia liczonym w kilkunastu latach, dokumentacja objęta osobnym reżimem prawnym. Wdrożenie NIS 2 w szpitalu wymaga uwzględnienia tych realiów od pierwszego dnia, a nie po pierwszej awarii. Z tego samego powodu wdrożenie NIS 2 w szpitalu prowadzi się inaczej niż w firmie produkcyjnej.
To najmocniejsze pytanie z całej siódemki. Jeśli na pierwszym spotkaniu pada nazwa konkretnego produktu, zanim ktokolwiek obejrzał infrastrukturę, rozmawiasz ze sprzedawcą narzędzia, a nie z doradcą. Rzetelny wykonawca proponuje najpierw ocenę przygotowania do NIS 2 i dopiero z niej wyprowadza zakres prac.
Ocena przygotowania do NIS 2 jest też punktem odniesienia przy późniejszym odbiorze.
Kolejność ma także znaczenie finansowe. Zarządzanie ryzykiem polega na dobraniu środków proporcjonalnych do zagrożeń, a nie na kupowaniu najbogatszego funkcjonalnie rozwiązania. Zarządzanie ryzykiem cyberbezpieczeństwa zaczyna się od oceny ryzyka placówki, a nie od katalogu produktów, dlatego zakres zarządzania ryzykiem ustala się po analizie, nie przed nią. O to warto zapytać wprost: jak wykonawca prowadzi zarządzanie ryzykiem cyberbezpieczeństwa i czym różni się ono od zwykłego przeglądu technicznego? Bez wcześniejszej analizy nie da się ocenić, czy proponowane odpowiednie środki bezpieczeństwa rzeczywiście adresują to, co w danej placówce najbardziej zagrożone. Dobrze dobrane środki zarządzania ryzykiem wynikają z oceny ryzyka konkretnego szpitala, a ocena ryzyka bez znajomości procesów klinicznych jest niepełna. Środki zarządzania ryzykiem opisuje się przy tym funkcjonalnie — odpowiednie środki bezpieczeństwa w placówce powiatowej i klinicznej wyglądają inaczej, choć przepisy są te same.
Wskazówka Coongi: Zapytaj o rekomendację, na której wykonawca nie zarobi.
Poproś, aby wskazał dwa lub trzy działania, które szpital może wykonać samodzielnie, bez jego udziału i bez budżetu — jeszcze zanim ruszy audyt bezpieczeństwa. Wykonawca znający temat wymieni je bez wahania — zmianę haseł domyślnych, odebranie zbędnych uprawnień, spis dostępów zdalnych. Ten, który nie potrafi wskazać niczego poza własną ofertą, prawdopodobnie nie prowadził jeszcze wdrożenia od strony organizacyjnej. Dyrektywa NIS 2 premiuje skuteczność, nie wielkość faktury.
Szpital nie ma okna serwisowego w środku tygodnia. Pytanie o harmonogram sprawdza, czy wykonawca to rozumie i czy przewidział testowanie zmian przed ich wprowadzeniem na systemy produkcyjne. Odpowiedź „ustalimy to na etapie realizacji” oznacza, że nie planował tego wcześniej. Dyrektywa NIS 2 nie przewiduje przy tym taryfy ulgowej dla placówek, które nie zdążyły.
Dobry plan uwzględnia również ciągłość działania podczas samego wdrożenia. Prace nad bezpieczeństwem nie mogą zagrażać temu, co mają chronić — a wdrożenie środków bezpieczeństwa prowadzone bez uzgodnienia z oddziałami potrafi wywołać dokładnie ten skutek. Harmonogram powinien więc rozkładać wdrożenie środków bezpieczeństwa na etapy dopasowane do pracy oddziałów. Zapytaj też, czy wykonawca przewiduje plan ciągłości działania na czas samych prac; ciągłość działania placówki jest tu warunkiem brzegowym.
Zapytaj, czym różnią się obowiązki podmiotu kluczowego od obowiązków podmiotu ważnego i jakie terminy obowiązują placówkę. Podmioty kluczowe i ważne mają wspólne ramy czasowe, ale różny zakres nadzoru i sprawozdawczości. Szpitale świadczą usługi kluczowe dla bezpieczeństwa zdrowotnego, więc jako podmioty objęte dyrektywą trafiają do wykazu z mocy prawa. Podmioty kluczowe i ważne podlegają jednak innemu trybowi nadzoru. Podmioty kluczowe i ważne różnią się też zakresem wymaganej dokumentacji — wykonawca, który tego nie rozróżnia, zna technikę, lecz nie zna przepisów.
Warto też sprawdzić znajomość obowiązków raportowych. Zgłaszanie incydentów do właściwego zespołu CSIRT ma sztywne terminy liczone od momentu wykrycia,
a zgłaszanie incydentów cyberbezpieczeństwa po czasie jest osobnym naruszeniem. Zgłaszanie incydentów to obowiązek działający od pierwszego dnia, niezależnie od postępu prac. Firma prowadząca wdrożenie dyrektywy NIS 2 powinna umieć opisać tę ścieżkę bez zaglądania do ustawy. Wdrożenie dyrektywy NIS 2 obejmuje bowiem procedury i obowiązki sprawozdawcze, nie tylko konfigurację. To właśnie w wymogach dyrektywy NIS 2 najczęściej gubią się firmy o profilu czysto technicznym.
Dostawcy usług ICT mają zwykle zdalny dostęp do systemów placówki, a każdy taki dostęp jest elementem ryzyka. Bezpieczeństwo łańcucha dostaw to obszar, w którym szpitale mają najwięcej zaległości, bo dostawcy usług bywają traktowani jako część infrastruktury, a nie jako osobne źródło zagrożeń. Pytanie brzmi: czy wykonawca przewiduje uporządkowanie tych dostępów i weryfikację umów, czy zajmie się wyłącznie infrastrukturą wewnętrzną.
Zarządzanie łańcuchem dostaw obejmuje także dostawców usług cyfrowych i firmy serwisujące aparaturę. Dostawcy usług cyfrowych bywają przy tym pomijani w analizach, choć przetwarzają dane placówki. Dostawcy usług chmurowych podlegają odrębnej ocenie, podobnie jak pozostali dostawcy usług ICT przetwarzający dane placówki. Warto zapytać, jak wykonawca zamierza sklasyfikować dostawców usług ICT według poziomu ryzyka. Dostawcy usług ICT o dostępie do systemów dziedzinowych wymagają ostrzejszych zasad niż dostawcy usług cyfrowych obsługujący obszar administracyjny. Odpowiedź powinna wskazywać konkretne działania — inwentaryzację dostępów, ograniczenie ich czasu, wymóg szyfrowanego połączenia — a nie deklarację, że „temat zostanie przeanalizowany”.
Zgodność nie kończy się protokołem odbioru — dyrektywa NIS 2 traktuje bezpieczeństwo jako proces ciągły. Wdrożenie dyrektywy NIS 2 ma więc etap utrzymania, a nie tylko datę zakończenia. Infrastruktura się zmienia, personel rotuje, a nowe obowiązki wynikające z przepisów wymagają aktualizacji dokumentacji. Nowe obowiązki pojawiają się też przy każdej większej inwestycji informatycznej, dlatego zakres cyberbezpieczeństwa objęty umową powinien to przewidywać. Nowe obowiązki bywają zresztą tańsze do spełnienia od razu niż po kontroli. Zapytaj wprost, co dzieje się miesiąc i rok po zakończeniu projektu i jaki zakres cyberbezpieczeństwa pozostaje wtedy po stronie wykonawcy.
Szczególnie istotne jest zarządzanie incydentami oraz raportowanie incydentów do organów. Wykonawca powinien określić, czy zapewnia wsparcie przy obsłudze zdarzenia i raportowaniu incydentów, czy kończy współpracę na przekazaniu procedur. Zarządzanie incydentami wymaga bowiem dostępności o trzeciej w nocy, a nie wyłącznie zapisu w umowie. Zarządzanie incydentami obejmuje też klasyfikację zdarzenia — a to najczęstszy punkt sporny przy odbiorze. To pytanie o realną dostępność, nie o zapis w ofercie.
Na spotkaniach handlowych bywają inne osoby niż te, które później realizują prace. Zapytaj o imienny skład zespołu, o osobę odpowiedzialną za kontakt oraz o to, kto zastąpi ją podczas nieobecności. Brak jasnej odpowiedzi to sygnał, że projekt nie ma jeszcze przypisanych zasobów.
Niektóre odpowiedzi powinny wzbudzić czujność niezależnie od tego, jak dobrze wypadła reszta rozmowy:
Ostatni punkt bywa lekceważony. Statystyki incydentów w ochronie zdrowia konsekwentnie wskazują czynnik ludzki jako najczęstszy punkt wejścia, więc oferta bez komponentu szkoleniowego jest z definicji niepełna. Edukacja i cyberhigiena bywają zresztą najtańszym elementem całego projektu.
Zarządzanie ryzykiem wygląda inaczej z perspektywy gabinetu dyrektora, a inaczej z serwerowni. Dla zarządu liczy się przewidywalność: czy wykonawca potrafi opisać zakres, koszt i termin w sposób nadający się do uchwały i do rozmowy z organem założycielskim. Ważne jest też, czy dokumentacja z projektu będzie stanowiła dowód należytej staranności, bo przy kontroli to ona jest przedmiotem oceny, nie deklaracje.
Dla działu IT liczy się co innego: czy prace nie sparaliżują bieżącej pracy, kto realnie wykona konfigurację i jak będzie wyglądać przekazanie wiedzy. Zarządzanie ryzykiem sprowadza się tu do pytania, co może się zepsuć w trakcie prac. Kierownik IT szpitala szybciej niż zarząd wychwyci też, czy wykonawca rozumie bezpieczeństwo systemu informacyjnego w praktyce, czy operuje wyłącznie hasłami z materiałów marketingowych. Bezpieczeństwo systemu informacyjnego szpitala obejmuje przy tym również aparaturę, a nie wyłącznie serwery — a bezpieczeństwo systemu informacyjnego trzeba wykazać dokumentacją, nie deklaracją.
Wskazówka Coongi: Rozdzielcie ocenę ofert na dwie karty.
Niech zarząd i dział IT ocenią wykonawców niezależnie, według własnych kryteriów, i dopiero potem porównają wyniki. Oferta wygrywająca w obu zestawieniach jest zwykle właściwym wyborem. Rozbieżność również jest cenna: pokazuje, czy większe ryzyko widzicie w kosztach, czy w wykonalności — a tę różnicę lepiej rozstrzygnąć przed podpisaniem umowy niż w jej trakcie.
Deklaracja ze spotkania nie jest zobowiązaniem. Odpowiedzi na siedem powyższych pytań warto przełożyć na zapisy, które będzie można egzekwować. W praktyce sprawdzają się cztery:
Ten ostatni punkt bywa pomijany, a jest wymowny: firma, która sama proponuje ograniczenie własnego dostępu, traktuje bezpieczeństwo poważnie.
Dostosowanie szpitala do NIS 2 zaczyna się bowiem także od tego, na jakich zasadach do placówki wchodzą firmy zewnętrzne.
Można, ale trzeba liczyć się z dłuższym harmonogramem i większym udziałem własnego zespołu. Firma bez doświadczenia w sektorze zdrowia uczy się specyfiki placówki
w trakcie projektu, co wydłuża etap analizy i zwiększa ryzyko rozwiązań nieprzystających do pracy oddziałów.
Zwykle od czterech do ośmiu tygodni, licząc od zebrania ofert do podpisania umowy. W podmiotach publicznych czas wydłużają procedury zakupowe, dlatego wybór warto rozpocząć z wyprzedzeniem, zanim termin ustawowy zacznie wymuszać pośpiech.
Tak i zwykle jest to korzystniejsze niż dzielenie prac między kilku wykonawców, bo odpowiedzialność pozostaje w jednym miejscu. Warunkiem jest, aby zakres obejmował także utrzymanie zgodności, a nie kończył się na wdrożeniu środków bezpieczeństwa. Wdrożenie środków bezpieczeństwa jest bowiem środkiem etapu, nie jego końcem.
Najprostszy sposób, aby ocenić wykonawcę, to zobaczyć go przy pracy. Bezpłatny audyt zero trwa 1–2 godziny i kończy się raportem z priorytetami, bez zobowiązań i bez oferty produktowej na wstępie.