Z czego składa się wdrożenie NIS 2 w szpitalu? Pełny zakres prac krok po kroku

z czego składa się wdrożenie NIS 2 w szpitalu - Coongi
Najważniejsze elementy wdrożenia NIS 2 w szpitalu:
 
  • Zakres wdrożenia NIS 2 w szpitalu obejmuje pięć etapów: audyt gotowości, plan zgodności, wdrożenie środków, monitoring oraz utrzymanie zgodności.
  • To nie jest projekt zamykany protokołem odbioru — dyrektywa NIS 2 wymaga procesu ciągłego, więc ostatni etap nie ma daty końcowej.
  • Każdy etap kończy się konkretnym rezultatem, który zostaje w placówce niezależnie od dalszych decyzji.
  • Poza techniką zakres obejmuje procedury, szkolenia personelu oraz wymogi dotyczące dostawców — bezpieczeństwo systemu informacyjnego to nie tylko sprzęt.

Spis treści

Zakres wdrożenia NIS 2 w szpitalu — krótka odpowiedź

Zakres wdrożenia NIS 2 w szpitalu obejmuje pięć elementów: audyt gotowości NIS 2 wraz z analizą ryzyka, plan osiągnięcia zgodności, wdrożenie środków bezpieczeństwa i procesów, monitoring z obsługą incydentów oraz utrzymanie zgodności. Ta sama struktura opisuje proces prowadzony przez Coongi — szczegóły każdego etapu znajdziesz na stronie poświęconej wdrożeniu NIS 2 w szpitalu.

Warto od razu zaznaczyć, czym ten zakres nie jest. Nie jest listą zakupów ani zestawem narzędzi do wdrożenia. Dyrektywa NIS 2 opisuje cele, nie środki techniczne,
a systemy informacyjne szpitala traktuje jako całość. Wymogi bezpieczeństwa NIS 2 opisują funkcje, jakie placówka ma zapewnić, a nie produkty, które ma kupić — i to rozróżnienie przesądza o kosztach całego projektu. Dyrektywa NIS 2 posługuje się bowiem kategorią adekwatności: środki mają odpowiadać ryzyku, a nie budżetowi dostawcy. Wymogi bezpieczeństwa NIS 2 dotyczą przy tym całego bezpieczeństwa systemu informacyjnego placówki, a nie wybranych serwerów. Bezpieczeństwo systemu informacyjnego obejmuje więc także stacje robocze w rejestracji i urządzenia w gabinetach zabiegowych.

schemat zakresu wdrożenia NIS 2 w szpitalu

Kogo obejmuje ten zakres — podmioty objęte zakresem ustawy

Sektor ochrony zdrowia jest w przepisach traktowany jako obszar kluczowy, a szpitale trafiają do wykazu z mocy prawa. Zakres podmiotów jest przy tym szerszy, niż wielu dyrektorów zakłada: obejmuje nie tylko duże ośrodki, lecz także placówki medyczne średniej wielkości. Szczegółowe kryteria opisaliśmy we wpisie o tym, kogo dotyczy NIS 2.

Dla praktyki ma to jedną konsekwencję. Podmioty objęte zakresem regulacji realizują ten sam katalog obowiązków, choć w skali proporcjonalnej do ryzyka i wielkości. Szpital powiatowy nie wdroży tego, co kliniczny, ale musi zaadresować te same obszary — inaczej rozłoży jedynie akcenty. Zakres podmiotów objętych przepisami obejmuje przy tym również placówki medyczne prowadzące działalność ambulatoryjną, jeśli spełniają kryteria wielkości.

Sektor medyczny został potraktowany surowiej niż wiele innych branż, ponieważ przerwane świadczenie usług oznacza tu zagrożenie zdrowia, a nie wyłącznie stratę finansową. Szpital jako podmiot kluczowy NIS 2 podlega dodatkowo obowiązkowemu audytowi po upływie terminu ustawowego, bo tak przewiduje dyrektywa NIS 2 wdrożona ustawą o KSC. To właśnie zakres podmiotów i przypisana im kategoria decydują o tym, jak szeroki będzie zakres samych prac. Obowiązki szpitala wynikające z NIS 2 są w obu przypadkach zbliżone, różni je natomiast tryb nadzoru. Podmioty objęte zakresem regulacji muszą też zgłosić się do wykazu samodzielnie.

Dlaczego to proces ciągły, a nie projekt z datą końcową

Najczęstsze nieporozumienie dotyczy końca prac. Dostosowanie szpitala do NIS 2 nie kończy się w dniu uruchomienia ostatniego zabezpieczenia, ponieważ infrastruktura placówki zmienia się szybciej niż raz na rok. Nowa aparatura, kolejny dostawca, zmiana w systemie dziedzinowym — każde z tych zdarzeń zmienia obraz ryzyka,
a wraz z nim zakres wymaganych działań.

Taki jest zresztą cel dyrektywy NIS 2: nie jednorazowe podniesienie zabezpieczeń, lecz trwałe zarządzanie bezpieczeństwem w szpitalach i innych podmiotach kluczowych. Zarządzanie bezpieczeństwem w szpitalach różni się przy tym od modelu korporacyjnego, bo obejmuje środowisko, którego nie da się zatrzymać na czas prac.
Zarządzanie bezpieczeństwem w szpitalach musi też uwzględniać sektor ochrony zdrowia jako obszar o podwyższonych wymaganiach — dyrektywa NIS 2 stawia tu poprzeczkę wyżej niż w branżach, gdzie przestój oznacza wyłącznie stratę finansową.

Dlatego cyberodporność szpitala buduje się etapami, a ostatni z nich trwa bezterminowo. Krajowy system cyberbezpieczeństwa traktuje bezpieczeństwo jako stan wymagający utrzymania, co szerzej opisaliśmy w tekście o cyberbezpieczeństwie szpitala zgodnie z ustawą o KSC. Tak rozumiane przygotowanie do NIS 2 zaczyna się od diagnozy, a kończy na rutynie. Zarządzanie bezpieczeństwem w szpitalach opiera się bowiem na powtarzalności, nie na jednorazowym wysiłku

ZOBACZ RÓWNIEŻ:

Etap 1 — Audyt gotowości NIS 2 i analiza ryzyka

Pierwszy etap odpowiada na pytanie, gdzie placówka faktycznie się znajduje. Audyt gotowości NIS 2 obejmuje inwentaryzację zasobów: systemy krytyczne, w tym System Informacji Szpitalnej (HIS), systemy laboratoryjne i obrazowe, aparaturę podłączoną do sieci oraz systemy informatyczne obszaru administracyjnego.

Równolegle prowadzona jest analiza ryzyka. Nie ogólna, lecz odniesiona do procesów klinicznych: co się stanie, gdy dany system przestanie działać na godzinę, a co, gdy na dobę. Ocena ryzyka wykonana bez tego kontekstu daje listę podatności zamiast listy priorytetów, a rzetelna ocena ryzyka jest podstawą całego dalszego planu.

Analiza ryzyka obejmuje też obszary spoza serwerowni. Zarządzanie bezpieczeństwem w laboratoriach bywa pomijane, choć systemy laboratoryjne przetwarzają dane pacjentów i wpływają na decyzje kliniczne. Zarządzanie bezpieczeństwem w laboratoriach obejmuje również aparaturę pomiarową podłączoną do sieci.
Zarządzanie bezpieczeństwem w laboratoriach, gdzie usługi cyfrowe wspierają diagnostykę, oraz w pracowniach obrazowych powinno więc wejść do zakresu na tym samym poziomie co bezpieczeństwo systemu informacyjnego obsługującego oddziały. Bezpieczeństwo systemu informacyjnego rozumiemy tu szeroko: obejmuje ono systemy informacyjne wspierające leczenie, administrację i diagnostykę. W praktyce bezpieczeństwo systemu informacyjnego ocenia się osobno dla każdej grupy — systemy krytyczne dla ciągłości leczenia mają inny priorytet niż systemy informacyjne obszaru wsparcia. Wszystkie systemy informacyjne trafiają jednak do jednego rejestru,
bo bez pełnej listy nie da się wykazać zgodności.

Rezultat: raport z mapą luk i priorytetami. Ten dokument wyznacza zakres pozostałych etapów, dlatego stanowi też punkt odniesienia przy odbiorze prac.
Etap ten odpowiada pierwszej sekcji opisanej na stronie wdrożenia NIS 2 w szpitalu.

 

Etap 2 — Plan osiągnięcia zgodności

Luki z audytu zostają uporządkowane według ryzyka i przełożone na harmonogram z budżetem oraz przypisaną odpowiedzialnością. Na tym etapie zapada też najwięcej decyzji zarządczych: co robimy w pierwszej kolejności, czego świadomie nie robimy teraz i kto personalnie odpowiada za każdy obszar. Plan powinien uwzględniać cykl budżetowy placówki, bo to on częściej niż technika wyznacza tempo prac. 

Rezultat: roadmapa wdrożenia z kosztorysem i miernikami postępu. Dobrze przygotowany plan pozwala też odpowiedzieć organowi założycielskiemu na pytanie, dlaczego akurat te wydatki i w tej kolejności. Zarządzanie ryzykiem staje się na tym etapie decyzją zarządczą, a nie zadaniem zleconym informatykom — dyrektywa NIS 2 wprost wiąże je z odpowiedzialnością kierownictwa. Plan powinien też określać, jaki zakres cyberbezpieczeństwa placówka utrzymuje samodzielnie, a jaki powierza na zewnątrz.

Czynnik
Skraca harmonogram
Wydłuża harmonogram
Inwentaryzacja zasobów
Aktualny spis systemów i urządzeń
Brak wiedzy, co faktycznie pracuje w sieci
Stan infrastruktury
Sprzęt objęty wsparciem producenta
Aparatura na nieaktualnych systemach
Dostawcy usług IT
Uporządkowane umowy i dostępy serwisowe
Wielu dostawców ze stałym dostępem zdalnym
Procedury
Istniejąca dokumentacja do aktualizacji
Zarządzanie danymi oparte wyłącznie na zwyczaju
Decyzyjność
Wyznaczona osoba i zaangażowane kierownictwo
Rozproszona odpowiedzialność
Budżet
Środki zabezpieczone w roku bieżącym
Oczekiwanie na kolejny cykl budżetowy

Etap 3 — Wdrożenie środków bezpieczeństwa i procesów

Najdłuższy etap całego procesu, prowadzony trzema równoległymi ścieżkami. To tutaj zakres cyberbezpieczeństwa zamienia się z dokumentu w działające rozwiązania,
a wdrożenie dyrektywy NIS 2 przestaje być planem.

Ścieżka 1 — procedury i polityki bezpieczeństwa

Wdrożenie polityki bezpieczeństwa, procedur zgłaszania zdarzeń oraz planów ciągłości działania. Ta ostatnia grupa dokumentów opisuje pracę oddziału bez dostępu do systemów i jest najczęściej pomijana — a bez niej zarządzanie bezpieczeństwem informacji pozostaje teorią.

Ścieżka 2 — zabezpieczenia techniczne

Segmentacja sieci uwzględniająca systemy medyczne i aparaturę, kontrola dostępu, uwierzytelnianie wieloskładnikowe (MFA), kopie zapasowe z testem odtworzenia oraz narzędzia detekcji. Zarządzanie lukami bezpieczeństwa obejmuje tu również sprzęt, którego nie da się aktualizować — wtedy stosuje się rozwiązania zastępcze zamiast łatek. Wdrożenie środków bezpieczeństwa prowadzi się etapami, żeby systemy krytyczne pozostały dostępne przez cały czas prac.

Zakres tej ścieżki wynika wprost z analizy ryzyka, a nie z katalogu producenta. Środki bezpieczeństwa dobrane bez wcześniejszej oceny chronią to, co łatwo zabezpieczyć, zamiast tego, co najbardziej narażone. Ocena ryzyka powinna więc poprzedzać każdy zakup, a nie go uzasadniać. Skuteczne środki bezpieczeństwa w szpitalu obejmują zarówno systemy medyczne, jak i bezpieczeństwo systemów informatycznych obszaru administracyjnego, w którym również przetwarzane są dane pacjentów.
Środki bezpieczeństwa opisuje się przy tym funkcjonalnie, żeby dało się je odebrać i zweryfikować.

Ochrona danych ma tu wymiar podwójny: prawny i kliniczny. Zarządzanie bezpieczeństwem danych pacjentów obejmuje szyfrowanie, kontrolę dostępu i kopie zapasowe,
a ochrona danych bez możliwości ich odtworzenia nie chroni nikogo. W praktyce zarządzanie bezpieczeństwem danych pacjentów wymaga też uporządkowania uprawnień, bo nadmiarowe dostępy są najczęstszą przyczyną wycieków. Dlatego zarządzanie bezpieczeństwem danych pacjentów planuje się razem z ciągłością działania, a nie osobno. Dane pacjentów podlegają przy tym podwójnemu reżimowi: wymogi bezpieczeństwa NIS 2 nakładają się na przepisy o dokumentacji medycznej, co wpływa na zakres kopii zapasowych.

Ścieżka 3 — szkolenia i cyberhigiena personelu

Szkolenia obejmują lekarzy, pielęgniarki, rejestrację, administrację i kadrę zarządzającą — każdą z tych grup w innym formacie. To najczęściej niedoceniany element zakresu, choć statystyki incydentów konsekwentnie wskazują czynnik ludzki jako pierwszy punkt wejścia. Piszemy o tym w tekście o phishingu w szpitalu a dyrektywie NIS 2.

Wskazówka Coongi: Nie planuj szkoleń jako jednorazowego punktu w harmonogramie.
Szkolenie przeprowadzone raz spełnia wymóg formalny, ale nie zmienia zachowań — wiedza o rozpoznawaniu podejrzanych wiadomości zaciera się w kilka tygodni. Zaplanuj cykl: krótkie warsztaty, kontrolowane próby phishingowe z omówieniem wyników i scenki sytuacyjne. Przy okazji rozwiązuje to problem rotacji, przez którą po roku część zespołu nigdy nie była szkolona.

Etap 4 — Monitoring i zarządzanie incydentami

Objęcie systemów monitorowaniem w trybie ciągłym oraz uruchomienie ścieżki reagowania. Zarządzanie incydentami bezpieczeństwa wymaga ustalenia, kto klasyfikuje zdarzenie, kto podejmuje decyzję i kto wykonuje zgłoszenie — również w nocy i w weekend.

Wymogi raportowania do CSIRT są przy tym sztywne: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia incydentu poważnego, pełne zgłoszenie w 72 godziny, na końcu sprawozdanie z obsługi incydentu. Zgłaszanie incydentów obowiązuje niezależnie od tego, na jakim etapie wdrożenia jest placówka, więc tę część zakresu uruchamia się najwcześniej. Wymogi raportowania do CSIRT są też jednym z niewielu elementów, w których dyrektywa NIS 2 nie pozostawia miejsca na interpretację.
To dlatego wdrożenie dyrektywy NIS 2 zaczyna się w praktyce od ustalenia tej ścieżki, a nie od zakupu narzędzi.

Warto rozróżnić dwie rzeczy. Obsługa incydentu to działanie operacyjne: powstrzymanie zdarzenia, ograniczenie skutków, przywrócenie systemów.
Zgłaszanie incydentów to obowiązek formalny wobec organów. Obsługa incydentu bez udokumentowanego zgłoszenia nie wystarczy, a incydenty cyberbezpieczeństwa raportowane po terminie stają się osobnym naruszeniem. Wymogi raportowania do CSIRT warto więc rozpisać w procedurze na poziomie ról, a nie nazwisk.

Utrzymanie takiej gotowości całodobowo przekracza możliwości większości działów IT w szpitalach. Modele współpracy w tym obszarze porównaliśmy we wpisie o obsłudze cyberbezpieczeństwa w szpitalu a dziale IT.

Etap 5 — Utrzymanie zgodności i ciągłe doskonalenie

Cykliczne przeglądy, testy odtwarzania kopii, aktualizacja polityk, kontrolowane próby phishingowe i przygotowanie do obowiązkowego audytu. Ten etap nie ma daty zakończenia, ponieważ poziom cyberbezpieczeństwa placówki zmienia się wraz z każdą inwestycją informatyczną. Regularny audyt bezpieczeństwa pozwala wychwycić moment, w którym stan faktyczny rozjechał się z dokumentacją. Bezpieczeństwo systemu informacyjnego bywa bowiem aktualne wyłącznie w dniu odbioru prac.

Na tym etapie widać też, czy zarządzanie ryzykiem cybernetycznym zostało wpisane w rutynę placówki, czy pozostało projektem. System cyberbezpieczeństwa działa wtedy, gdy przegląd odbywa się bez przypominania, a wymagania dyrektywy są odwzorowane w bieżących procedurach. Krajowy system cyberbezpieczeństwa przewiduje zresztą cykliczność jako standard, nie jako dobrą praktykę.

Rezultat: utrzymana zgodność poparta dokumentami — aktualna analiza ryzyka, wyniki testów, rejestr incydentów i potwierdzenia szkoleń.

5 etapów wdrożenia w szpitalu NIS 2

Wymogi dotyczące dostawców — osobna część zakresu

Bezpieczeństwo łańcucha dostaw bywa traktowane jako dodatek, a jest pełnoprawnym elementem zakresu. Dostawcy usług mających dostęp do infrastruktury — systemów dziedzinowych, aparatury, usług cyfrowych — stanowią realny wektor ryzyka, ponieważ ich uprawnienia często przewyższają uprawnienia własnego personelu.

Wymogi dotyczące dostawców obejmują trzy działania: inwentaryzację wszystkich dostępów zdalnych, weryfikację umów pod kątem klauzul bezpieczeństwa oraz ograniczenie dostępu czasowo i zakresowo. Dostawcy usług cyfrowych przetwarzający dane pacjentów podlegają dodatkowo osobnej ocenie, podobnie jak firmy, których usługi cyfrowe wspierają świadczenie usług medycznych.

Wymagania dyrektywy w tym obszarze sprowadzają się do prostej zasady: szpital odpowiada za to, kogo wpuszcza do swojej sieci. Wymogi dotyczące dostawców warto więc przenieść do umów przy najbliższym przedłużeniu, bo wtedy nie wymagają osobnego postępowania. Tak rozumiane wdrożenie dyrektywy NIS 2 obejmuje również dział zamówień, nie tylko dział IT.

Wskazówka Coongi: Zacznij od jednego pisma do wszystkich dostawców. Wyślij jednakowe zapytanie do dostawców systemów dziedzinowych i firm serwisujących aparaturę: czy spełniają wymogi NIS 2, jak realizują dostęp serwisowy i w jakim czasie dostarczają poprawki bezpieczeństwa. Przygotowanie zajmuje kilka godzin, a odpowiedzi — także te, które nigdy nie przyjdą — dają gotową mapę ryzyka w łańcuchu dostaw.

Co zostaje w szpitalu po każdym etapie?

Zakres prac warto oceniać po tym, co realnie pozostaje w placówce — od dokumentacji po działające bezpieczeństwo systemu informacyjnego. Poniższe zestawienie porządkuje rezultaty poszczególnych etapów.

Etap
Co zostaje w szpitalu
1. Audyt gotowości i analiza ryzyka
Raport z mapą luk, priorytetami i listą działań natychmiastowych
2. Plan osiągnięcia zgodności
Roadmapa z harmonogramem, kosztorysem i przypisaną odpowiedzialnością
3. Wdrożenie środków i procesów
Działające zabezpieczenia, wdrożone polityki, przeszkolony personel, dokumentacja
4. Monitoring i obsługa incydentów
Procedura zgłoszeń, zdefiniowane role, zdolność reakcji poza godzinami pracy
5. Utrzymanie zgodności
Aktualna dokumentacja, wyniki testów, rejestr incydentów, gotowość do audytu

Czego zakres wdrożenia NIS 2 w szpitalu nie obejmuje?

Równie ważne jest to, czego w zakresie nie ma — bo tu najczęściej pojawiają się nieporozumienia przy odbiorze prac. Wymagania dyrektywy bywają rozumiane szerzej, niż wynika to z przepisów, a zakres cyberbezpieczeństwa objęty umową powinien być opisany precyzyjnie.

  • Wymiany systemów dziedzinowych. Zgodność osiąga się zwykle przez konfigurację i procedury, a nie przez zakup nowego oprogramowania — dyrektywa NIS 2 nie wymaga wymiany działających rozwiązań.
  • Gwarancji, że incydent nie wystąpi. Żaden zakres prac tego nie zapewnia — celem jest ograniczenie prawdopodobieństwa i skutków.
  • Przejęcia odpowiedzialności prawnej. Obowiązki pozostają po stronie podmiotu i jego kierownictwa, niezależnie od zapisów umowy.
  • Testów penetracyjnych na starcie. Mają sens po wdrożeniu zabezpieczeń, jako weryfikacja skuteczności, nie jako punkt wyjścia.

le trwa i ile kosztuje pełny zakres prac

Wdrożenie w typowym szpitalu trwa od sześciu do dwunastu miesięcy, zależnie od stanu wyjściowego i wielkości placówki. Szczegółowy harmonogram z podziałem na etapy opisaliśmy w osobnym wpisie o tym, ile trwa wdrożenie NIS 2 w szpitalu, a zakres i przebieg wstępnej diagnozy — w tekście o audycie zero i raporcie z audytu NIS 2.

Koszt zależy od pięciu czynników: wielkości placówki, liczby lokalizacji, stanu infrastruktury, liczby dostawców z dostępem zdalnym oraz zakresu szkoleń. Sam audyt gotowości jest bezpłatny, co pozwala oszacować pozostałe pozycje bez zobowiązań. Dostosowanie szpitala do NIS 2 rozkłada się przy tym na kilka lat budżetowych, jeśli plan powstanie odpowiednio wcześnie.

Najczęściej zadawane pytania

Czy trzeba przechodzić przez wszystkie pięć etapów jednocześnie?

Nie. Etapy następują po sobie, a trzeci dzieli się na trzy równoległe ścieżki: procedury, technikę i szkolenia. Poszczególne obszary można wdrażać partiami, według priorytetów z analizy ryzyka. Warunkiem jest osiągnięcie wymaganego stanu przed upływem terminu ustawowego, a wymogi bezpieczeństwa NIS 2 traktuje się wtedy łącznie, nie etapami.

Czy można zacząć od etapu trzeciego, pomijając audyt?

Technicznie tak, ale kończy się to zwykle wydatkami niedopasowanymi do realnego ryzyka. Bez audytu gotowości nie wiadomo, które systemy informacyjne i systemy krytyczne wymagają ochrony w pierwszej kolejności, a dokumentacja z takiego wdrożenia nie wykazuje należytej staranności.

Czy po zakończeniu etapu piątego wdrożenie jest zamknięte?

Nie, etap piąty z założenia nie ma daty końcowej. Zmiany w infrastrukturze, rotacja personelu i nowe zagrożenia wymagają cyklicznych przeglądów. Zgodność jest stanem, który się utrzymuje, a nie wynikiem, który się osiąga raz. Wymogi bezpieczeństwa NIS 2 odnoszą się do stanu bieżącego, a nie do dnia odbioru prac.

Czy zakres wdrożenia NIS 2 w szpitalu obejmuje także dostawców?

Tak. Bezpieczeństwo łańcucha dostaw jest pełnoprawnym elementem zakresu i obejmuje inwentaryzację dostępów zdalnych, weryfikację umów oraz ograniczenie uprawnień firm zewnętrznych. Dotyczy to zarówno dostawców systemów dziedzinowych, jak i serwisu aparatury.

Sprawdź, jak ten zakres wygląda w Twojej placówce

Zakres prac wyznacza dopiero ocena stanu wyjściowego. Bezpłatna diagnoza trwa 1–2 godziny i kończy się raportem z priorytetami przygotowanym dla konkretnego szpitala.

Bezpłatna analiza
Bezpłatna analiza