Dyrektywa NIS 2 w szpitalu oznacza nowy zestaw obowiązków w zakresie cyberbezpieczeństwa, wprowadzony do prawa polskiego nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Obejmuje podmioty lecznicze spełniające kryteria wielkości, nakłada odpowiedzialność osobistą na kierownictwo placówki i wyznacza terminy, które biegną niezależnie od tego, czy szpital rozpoczął przygotowania. Ta strona porządkuje całość: kto podlega przepisom, jakie obowiązki wynikają z ustawy, ile czasu placówka ma na ich wdrożenie i od czego zacząć.
Dyrektywa NIS 2 to unijne przepisy o cyberbezpieczeństwie podmiotów działających w sektorach istotnych dla funkcjonowania państwa. Ochrona zdrowia należy do nich od początku, ale dopiero nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa przeniosła te wymogi do prawa polskiego i uczyniła je egzekwowalnymi wobec polskich placówek.
Zmiana dotyczy trzech rzeczy naraz. Pierwsza: obowiązki przestały być zaleceniami i stały się środkami, których wdrożenie podlega kontroli. Druga: odpowiedzialność za nie została przypisana osobowo kierownikowi podmiotu, a nie działowi informatycznemu. Trzecia: status podmiotu ustala się samodzielnie, bez oczekiwania na decyzję organu.
Z perspektywy dyrekcji najistotniejsza jest konsekwencja trzeciej zmiany. Brak zgłoszenia do wykazu jest naruszeniem niezależnym od poziomu zabezpieczeń, więc kara może dotknąć placówkę przygotowaną technicznie wzorowo. Szerzej o zasadach kwalifikacji piszemy we wpisie o tym, kogo dotyczy NIS 2.
Dyrektywa nie obowiązuje w Polsce bezpośrednio. Obowiązuje ustawa o krajowym systemie cyberbezpieczeństwa, która tę dyrektywę wdraża – i to jej przepisy wskazują progi, terminy oraz wysokość kar. W praktyce oznacza to, że dyrektywa NIS 2 w szpitalu realizowana jest przez wymogi ustawowe, a odwołania do samej dyrektywy mają znaczenie wyłącznie interpretacyjne.
Rozróżnienie ma skutek praktyczny przy sporach z dostawcami. Zapisy umowne powinny odwoływać się do przepisów ustawy, nie do dyrektywy, ponieważ tylko pierwsze da się wyegzekwować przed polskim organem.
Przepisy obejmują podmioty lecznicze udzielające świadczeń w warunkach szpitalnych, unijne laboratoria referencyjne, podmioty prowadzące badania i rozwój produktów leczniczych, wytwórców produktów farmaceutycznych oraz producentów wyrobów medycznych krytycznych dla ratowania życia.
O przypisaniu do kategorii rozstrzyga wielkość: podmiot leczniczy niebędący przedsiębiorcą jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób i podmiotem kluczowym od 250 osób. Placówki prowadzone jako działalność gospodarcza rozliczają się według progów ogólnych, gdzie wystarcza spełnienie jednego z dwóch kryteriów – zatrudnienia albo obrotu. Pełne omówienie kryteriów, wraz z sytuacjami niejednoznacznymi i listą kontrolną do samodzielnego sprawdzenia, znajduje się we wpisie o tym, kogo dotyczy NIS 2.
Szpital, który spełniał kryteria w dniu wejścia w życie nowelizacji ustawy o KSC, czyli 3 kwietnia 2026 r., ma czas na wdrożenie środków bezpieczeństwa do 3 kwietnia 2027 r. Podmiot kluczowy musi dodatkowo przeprowadzić pierwszy audyt do 3 kwietnia 2028 r. Terminy biegną niezależnie od stanu przygotowań, a dla części placówek rozpoczęły się w momencie spełnienia kryteriów kwalifikacji.
| Obowiązek | Termin | Od kiedy liczony |
|---|---|---|
| Zgłoszenie do wykazu podmiotów kluczowych i ważnych | 6 miesięcy | od dnia spełnienia kryteriów kwalifikacji, nie od otrzymania pisma |
| Wdrożenie środków technicznych i organizacyjnych | 12 miesięcy (do 3 kwietnia 2027 r.) | od wejścia w życie nowelizacji ustawy o KSC, czyli od 3 kwietnia 2026 r. |
| Przeprowadzenie pierwszego audytu bezpieczeństwa | 24 miesiące (do 3 kwietnia 2028 r.), dotyczy podmiotów kluczowych | od wejścia w życie nowelizacji ustawy o KSC, czyli od 3 kwietnia 2026 r. |
| Szkolenie kierownika podmiotu i osoby, której powierzono obowiązki | raz w roku kalendarzowym | w każdym roku, z udokumentowanym udziałem |
Terminy ustawowe to jednak nie to samo co czas pracy. Wdrożenie środków w placówce o kilkuset pracownikach zajmuje więcej niż kwartał, a część zadań – na przykład opracowanie dokumentacji z udziałem personelu medycznego – nie skraca się po zwiększeniu budżetu. Realny harmonogram wraz z pracochłonnością poszczególnych etapów rozpisaliśmy we wpisie o tym, ile trwa wdrożenie NIS 2 w szpitalu.
Przepisy nie są listą kontrolną do odhaczenia, lecz wymogiem zarządzania ryzykiem. Obowiązki dyrektywy NIS 2 w ochronie zdrowia obejmują dziewięć obszarów, które stanowią minimum dla każdej objętej placówki. Zakres techniczny jest w nich zbliżony dla podmiotów kluczowych i ważnych – różni je tryb nadzoru i wysokość kar, nie katalog środków.
Poniższe zestawienie porządkuje te obszary wraz ze wskazaniem, kto w placówce zwykle odpowiada za ich wdrożenie. Kolumna trzecia bywa pomijana w planach, a przesądza o tym, czy zadanie ma właściciela.
| Obszar obowiązku | Czego wymaga | Kto zwykle odpowiada |
|---|---|---|
| Zarządzanie incydentami | Monitorowanie w trybie ciągłym oraz zgłaszanie w terminach ustawowych | Dział informatyczny i wyznaczona osoba kontaktowa |
| Ciągłość działania | Kopie zapasowe z testem odtworzenia, plany awaryjne i odtworzenia działalności | Dział informatyczny wspólnie z kierownikami komórek |
| Bezpieczeństwo łańcucha dostaw | Weryfikacja kontrahentów i zapisy umowne | Dział zamówień, dział informatyczny, obsługa prawna |
| Cyberhigiena i szkolenia | Cykliczne szkolenia całego personelu wraz z dokumentacją | Kadry lub inspektor ochrony danych |
| System zarządzania bezpieczeństwem informacji | Udokumentowane polityki i procedury zarządzania ryzykiem | Kierownictwo podmiotu |
| Kontrola dostępu | Uwierzytelnianie wieloskładnikowe, konta imienne, minimalne uprawnienia | Dział informatyczny |
| Ochrona punktów końcowych | Wykrywanie zachowań na stacjach i serwerach, nie tylko sygnatur | Dział informatyczny |
| Kryptografia | Szyfrowanie danych przechowywanych i przesyłanych | Dział informatyczny |
| Dokumentacja i nadzór nad nią | Opracowanie, aktualizacja, wersjonowanie i przechowywanie | Kierownictwo podmiotu |
Każdy z tych obszarów rozwijamy w dalszych sekcjach. Pełną listę zadań do wykonania w podziale na etapy zebraliśmy osobno we wpisie o wymogach NIS 2 dla szpitala po nowelizacji KSC, a zakres prac wdrożeniowych w tekście o tym, z czego składa się wdrożenie NIS 2 w szpitalu.
Przepisy przypisują odpowiedzialność za wdrożenie i utrzymanie środków bezpieczeństwa osobowo kierownikowi podmiotu. Nie da się jej scedować na dział informatyczny – a co istotniejsze, pozostaje ona przy kierowniku także wtedy, gdy obowiązki zostały powierzone innej osobie za jej zgodą. Jeżeli kierownikiem jest organ wieloosobowy i nie wskazano osoby odpowiedzialnej, odpowiadają wszyscy jego członkowie.
| Kto odpowiada | Maksymalna kara |
|---|---|
| Podmiot kluczowy | 10 000 000 EUR lub 2% rocznego obrotu |
| Podmiot ważny | 7 000 000 EUR lub 1,4% rocznego obrotu |
| Kierownik podmiotu publicznego | 100% rocznego wynagrodzenia |
| Kierownik podmiotu niepublicznego | 300% rocznego wynagrodzenia |
Odpowiedzialności towarzyszy obowiązek, o którym mówi się rzadziej: kierownik podmiotu oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym, a udział w nim jest udokumentowany. Podczas kontroli pytanie o to potwierdzenie pada zwykle przed pytaniem o frekwencję personelu, ponieważ najszybciej pokazuje, czy nadzór funkcjonuje realnie.
Zakres tej odpowiedzialności, wraz z konsekwencjami dla organów wieloosobowych, omawiamy szerzej we wpisie o odpowiedzialności zarządu za NIS 2.
Szpital ma na zgłoszenie incydentu trzy terminy, a nie jeden. Każdy z nich dotyczy innego dokumentu i innego etapu obsługi zdarzenia.
Wczesne ostrzeżenie – w ciągu 24 godzin od wykrycia. Jest to krótka informacja o zdarzeniu, nie analiza; jej celem jest umożliwienie reakcji po stronie zespołu CSIRT.
Zgłoszenie incydentu poważnego – w ciągu 72 godzin. Zawiera wstępną ocenę skutków i zakresu.
Sprawozdanie końcowe – po zakończeniu obsługi incydentu, z opisem przebiegu, przyczyn i zastosowanych środków.
Właściwym adresatem dla podmiotów z sektora ochrony zdrowia jest zespół CSIRT sektorowy prowadzony dla tego sektora. Ustalenie, kto w placówce ma obowiązek dokonać zgłoszenia i w jaki sposób, należy do procedury wewnętrznej – i jest to jeden z tych elementów, których brak ujawnia się dopiero przy pierwszym zdarzeniu.
Zgłoszenie po terminie stanowi osobne naruszenie, niezależne od samego incydentu. Mechanizmy ataków, które najczęściej prowadzą do takich zdarzeń w placówkach medycznych, opisaliśmy w tekście o phishingu w szpitalu.
Przepisy wymagają objęcia systemu informacyjnego monitorowaniem w trybie ciągłym. Nie wskazują przy tym żadnego konkretnego rozwiązania – nazwa SOC w ustawie nie występuje. Wskazują skutek: monitorowanie ma trwać bez przerwy.
Security Operations Center to zespół, który ten skutek zapewnia. Monitoruje ruch sieciowy, zapisy systemowe i aktywność na stacjach roboczych, weryfikuje alerty, oddziela fałszywe alarmy od realnych zagrożeń i reaguje na potwierdzone incydenty – na przykład odłączając zainfekowane stanowisko od sieci, zanim oprogramowanie szyfrujące dosięgnie serwerów z systemem szpitalnym.
Związek z obowiązkiem zgłaszania jest bezpośredni. Wczesne ostrzeżenie w ciągu 24 godzin wymaga wykrycia zdarzenia, a wykrycie wymaga kogoś, kto patrzy. Bez ciągłego monitorowania termin pozostaje niewykonalny nie z powodu braku procedury, lecz z powodu braku informacji.
Tryb ciągły to 8 760 godzin w roku. Jeden etat pokrywa realnie około 1 700–1 800 godzin po odliczeniu urlopów i nieobecności, co daje minimum pięć stanowisk – przy założeniu, że na dyżurze jest jedna osoba, bez zastępstwa i bez nikogo do obsługi zdarzenia. Ten rachunek, a nie cennik, przesądza o wyborze modelu w większości placówek.
Do kosztu etatów dochodzą dwie bariery. Specjaliści od bezpieczeństwa należą do najbardziej poszukiwanych grup zawodowych, a placówka publiczna konkuruje o nich z sektorem prywatnym na nierównych warunkach płacowych. Wdrożenie i utrzymanie narzędzi monitorujących wymaga przy tym kompetencji, które trudno zbudować przy jednoosobowym dziale informatycznym.
Dlatego większość placówek wybiera usługę zewnętrzną rozliczaną abonamentowo. Zmienia się struktura wydatku – z inwestycji w etaty na koszt stały – ale nie jego charakter: pozostaje pozycją obecną w budżecie każdego kolejnego roku. Warto przy tym powiedzieć, że usługa zewnętrzna nie zdejmuje odpowiedzialności z placówki. Dostawca monitoruje, natomiast obowiązek zgłoszenia i odpowiedzialność za jego terminowość pozostają po stronie podmiotu.
Narzędzia techniczne są środkami. System zarządzania bezpieczeństwem informacji jest strukturą, która je spina i którą ustawa wymienia jako obowiązek odrębny od samych zabezpieczeń. W praktyce to zbiór polityk i procedur odpowiadających na cztery pytania: kto odpowiada za bezpieczeństwo, jak klasyfikowane są dane, jak wygląda reakcja na incydent krok po kroku oraz jak zarządzany jest dostęp pracowników i dostawców.
Dwie cechy odróżniają ten obowiązek od pozostałych. Pierwsza: nie jest projektem z datą zakończenia, lecz cyklem obejmującym analizę ryzyka, wdrożenie, przegląd i korektę. Druga: jego realizacja wymaga udziału personelu medycznego, bo procedura napisana bez konsultacji z oddziałem nie zostanie zastosowana.
Najczęściej stosowanym wzorcem jest norma ISO 27001, która pokrywa znaczną część wymogów ustawowych. Certyfikat nie jest przy tym wymagany – przepisy nie przewidują certyfikacji podmiotów. Oparcie systemu na normie skraca jednak pracę, bo dostarcza gotowej struktury dokumentacji.
Ustawa nakłada obowiązki nie tylko co do treści dokumentacji, ale i co do sposobu jej prowadzenia. Ten obszar bywa pomijany w planach wdrożenia, a podczas kontroli jest sprawdzany jako jeden z pierwszych, bo nie wymaga analizy technicznej.
Podział dokumentacji – normatywna opisuje, co podmiot zamierza robić (polityki, procedury, plany). Operacyjna to zapisy potwierdzające, że czynności zostały wykonane. Dowodem zgodności jest zestawienie jednej z drugą.
Nadzór nad dokumentacją – dostęp wyłącznie dla osób upoważnionych, ochrona przed utratą integralności oraz oznaczanie kolejnych wersji w sposób umożliwiający ustalenie wprowadzonych zmian. Nadpisywanie tego samego pliku bez historii wersji jest niezgodnością.
Forma – papierowa albo elektroniczna. Forma elektroniczna nie jest słabsza dowodowo, a przy wersjonowaniu bywa łatwiejsza do obrony.
Przechowywanie – ustawa wskazuje okres co najmniej dwóch lat od wycofania dokumentacji z użytkowania. Wyłączenie dotyczy jednak podmiotów objętych przepisami o narodowym zasobie archiwalnym – a tym podlega większość publicznych placówek, gdzie kwalifikację i okres określa jednolity rzeczowy wykaz akt.
Brakowanie – zniszczenie wycofanej dokumentacji potwierdza się protokołem. Usunięcie plików po upływie okresu przechowywania nie wystarcza.
Praktyczna konsekwencja dla publicznej placówki: zanim ustali własną zasadę przechowywania, powinna skonsultować kwalifikację nowego typu dokumentu z osobą odpowiedzialną za archiwum zakładowe. Przyjęcie dwuletniego okresu tam, gdzie obowiązuje wykaz akt, prowadzi do zniszczenia dokumentacji przed czasem.
Przepisy wymagają stosowania silnych mechanizmów kontroli dostępu, a hasło – niezależnie od złożoności – przestało nim być. Powód jest praktyczny: hasła są wyłudzane, nie łamane. Przejęcie poświadczeń lekarza albo administratora daje wejście do zasobów, których żadne inne zabezpieczenie już nie chroni.
Uwierzytelnianie wieloskładnikowe polega na dołożeniu do hasła drugiego, niezależnego czynnika: kodu z aplikacji, powiadomienia na telefonie albo klucza sprzętowego. Dwa systemy wymagają tego w pierwszej kolejności – poczta elektroniczna, która jest główną drogą wejścia, oraz system z dokumentacją medyczną, który przechowuje najcenniejszy zasób placówki.
Dla dyrekcji jest to jeden z najtańszych środków z całego katalogu. Nie wymaga zakupu infrastruktury, a usuwa najczęstszy scenariusz przejęcia dostępu. Warto natomiast zaplanować etap przyzwyczajania personelu, bo wdrożenie wprowadzone bez uprzedzenia generuje w pierwszym tygodniu obciążenie dla działu informatycznego.
Obowiązek dotyczy dwóch stanów danych i oba trzeba obsłużyć osobno. Szyfrowanie danych przechowywanych chroni bazy na serwerach oraz nośniki z kopiami zapasowymi – bez niego kradzież dysku z kopią daje dostęp do pełnej dokumentacji. Szyfrowanie danych przesyłanych zabezpiecza transmisję w sieci placówki oraz komunikację z podmiotami zewnętrznymi, na przykład z laboratorium.
Wartość tego środka ujawnia się dopiero po naruszeniu. Dane wyprowadzone w postaci zaszyfrowanej pozostają dla atakującego bezużyteczne, co zmienia kwalifikację zdarzenia i zakres obowiązków informacyjnych. Jest to więc zabezpieczenie, które nie zapobiega incydentowi, lecz ogranicza jego skutki – i warto to rozróżnienie zachować przy planowaniu budżetu.
Oprogramowanie antywirusowe rozpoznaje znane wzorce plików. Współczesne ataki tego unikają, działając bez zapisywania plików na dysku albo nadużywając narzędzi, które w systemie już są i mają prawo działać. Dla zabezpieczenia opartego na sygnaturach taka aktywność jest niewidoczna.
Dlatego wymogiem staje się rozwiązanie monitorujące zachowanie, a nie zawartość. Analizuje ono procesy, ruch sieciowy i zmiany w konfiguracji, szukając wzorców wskazujących na włamanie – na przykład nietypowego uruchomienia narzędzia systemowego przez aplikację biurową. Rozszerzeniem tego podejścia jest zbieranie danych nie tylko ze stacji roboczych, ale także z sieci, poczty i usług chmurowych, co daje pełniejszy kontekst zdarzenia.
W szpitalu dochodzi tu okoliczność, której nie ma w innych sektorach: część urządzeń nie przyjmie takiego oprogramowania, bo aktualizacja unieważniłaby dopuszczenie wyrobu medycznego do użytku. Dla nich rozwiązaniem nie jest ochrona stanowiska, lecz wydzielenie w osobnym segmencie sieci i monitorowanie zachowania z zewnątrz.
Szpital odpowiada za poziom zabezpieczeń stosowanych przez swoich kontrahentów, nawet jeśli dany dostawca nie jest samodzielnie objęty przepisami. Konsekwencja jest jednoznaczna: incydent, który wejdzie do placówki przez systemy dostawcy, obciąża podmiot leczniczy, a kara trafia do szpitala, nie do firmy, której serwisant zostawił otwarte połączenie.
Najsłabszym ogniwem bywa przy tym nie największy dostawca, lecz ten o najszerszych uprawnieniach. Firma obsługująca infrastrukturę sieciową ma zwykle dostęp do wszystkiego, choć jej umowa należy do najtańszych w całym zestawieniu. Przeciętna placówka współpracuje z kilkunastoma podmiotami mającymi dostęp do systemów, a każdy z nich to osobne wejście.
Weryfikacja polega na sprawdzeniu konkretnych zobowiązań i przeniesieniu ich do umowy, bo tylko zapis umowny da się wyegzekwować. Deklaracja zgodności złożona w ofercie nie ma wartości dowodowej – przepisy nie przewidują certyfikatu potwierdzającego taki status. Kryteria oceny wykonawców i pytania do zadania przed podpisaniem umowy zebraliśmy we wpisie o tym, jak wybrać firmę do wdrożenia NIS 2.
Wymóg obejmuje trzy elementy: kopie zapasowe, przetestowaną zdolność ich odtworzenia oraz plany pozwalające pracować, gdy systemy są niedostępne. Najczęstszym brakiem nie jest przy tym brak kopii, lecz brak testu odtworzenia – kopia, której nigdy nie przywracano, pozostaje założeniem, a nie zabezpieczeniem.
W środowisku szpitalnym liczy się też drugi wymiar: co personel robi w czasie przestoju. Plan, który nie opisuje przejścia na dokumentację prowadzoną ręcznie i powrotu do systemu po awarii, jest planem na papierze. Jego opracowanie wymaga udziału kierowników komórek medycznych, bo tylko oni potrafią wskazać, które procesy muszą działać bez przerwy.
Osobnym zagadnieniem jest czas powrotu do pracy, który trzeba ustalić przed zdarzeniem, a nie w jego trakcie. Temu obszarowi poświęciliśmy osobny tekst o ciągłości działania szpitala a NIS 2.
Przepisy wymieniają edukację z zakresu cyberbezpieczeństwa oraz podstawowe zasady cyberhigieny jako odrębne pozycje katalogu środków. Obowiązek obejmuje wszystkich zatrudnionych, nie wyłącznie dział informatyczny, a jego spełnienie trzeba udokumentować – szkolenie przeprowadzone bez rejestru nie istnieje z punktu widzenia kontroli.
Drugim wymogiem jest cykliczność. Jednorazowe szkolenie spełnia obowiązek w roku, w którym się odbyło; przy rotacji personelu po dwunastu miesiącach część zespołu nigdy w nim nie uczestniczyła. Stąd przewaga krótkich, powtarzanych form nad jednym wydarzeniem w kalendarzu.
Warto przy tym pamiętać, że cała warstwa techniczna może zostać ominięta jednym kliknięciem. Gotowy program budujący te nawyki wraz z dokumentacją na potrzeby kontroli opisaliśmy na stronie poświęconej szkoleniom z cyberbezpieczeństwa dla personelu medycznego.
Lista obowiązków jest długa, dlatego pierwszym krokiem nie powinna być decyzja zakupowa. Audyt zero to prowadzona sesja robocza, zwykle jedno- lub dwugodzinna, z udziałem eksperta oraz osoby odpowiedzialnej za infrastrukturę w placówce. Jego celem nie jest wskazanie, co kupić, lecz ustalenie, jak daleko stan faktyczny jest od wymogów ustawy.
Podczas sesji inwentaryzowane są cztery obszary: systemy krytyczne dla ciągłości leczenia, obecny stan zabezpieczeń wraz z informacją, kto nimi zarządza, znane luki z perspektywy działu informatycznego oraz podział odpowiedzialności w placówce. Efektem jest zwięzły raport wskazujący największe obszary ryzyka i priorytety.
Dwie rzeczy warto przy tym podkreślić. Audyt zero nie jest testem penetracyjnym, bo nie szuka podatności technicznych, ani certyfikacją, bo przepisy certyfikatu nie przewidują. Oraz: wynik rozdziela działania wymagające budżetu od tych, które wymagają wyłącznie decyzji organizacyjnej – a druga grupa bywa liczniejsza, niż zakłada dyrekcja, i nie czeka na postępowanie zakupowe.
Zakres raportu i to, czego można się z niego dowiedzieć, opisaliśmy we wpisie o tym, co zawiera raport z audytu zero. Pytania pozwalające wstępnie ocenić gotowość placówki przed taką sesją zebraliśmy natomiast w teście gotowości szpitala na kontrolę NIS 2.
Pełny przebieg współpracy – od oceny punktu wyjścia, przez wdrożenie środków, po utrzymanie zgodności – opisaliśmy na stronie poświęconej wdrożeniu NIS 2 w szpitalu.
Nie. W Polsce obowiązuje ustawa o krajowym systemie cyberbezpieczeństwa, która wdraża dyrektywę do prawa krajowego, i to jej przepisy wskazują progi, terminy oraz wysokość kar. Odwołania do samej dyrektywy mają znaczenie interpretacyjne, dlatego zapisy w umowach z dostawcami powinny powoływać się na ustawę.
Nie. Podmiot leczniczy niebędący przedsiębiorcą jest podmiotem ważnym przy zatrudnieniu od 50 do 249 osób i kluczowym od 250 osób. Katalog środków jest dla obu kategorii zbliżony – różni je tryb nadzoru oraz górna granica kary.
Nie. Przepisy nie wymieniają żadnego konkretnego rozwiązania, wymagają natomiast monitorowania w trybie ciągłym. Tryb ciągły to 8 760 godzin w roku, a jeden etat pokrywa realnie 1 700–1 800 godzin, więc samodzielna obsługa oznacza minimum pięć stanowisk. Placówki wybierają albo własny zespół zmianowy, albo usługę zewnętrzną.
Sześć miesięcy od spełnienia kryteriów kwalifikacji, a nie od otrzymania jakiegokolwiek pisma. Obowiązuje samoidentyfikacja: żaden organ nie przyśle decyzji informującej o podleganiu przepisom. Brak zgłoszenia jest naruszeniem niezależnym od poziomu zabezpieczeń.
Tak. Kierownik podmiotu oraz osoba, której powierzono obowiązki w zakresie cyberbezpieczeństwa, przechodzą szkolenie raz w roku kalendarzowym, z udokumentowanym udziałem. To obowiązek odrębny od szkolenia pozostałego personelu.
Taki certyfikat nie istnieje, ponieważ przepisy nie przewidują certyfikacji podmiotów. Weryfikację prowadzi szpital we własnym zakresie i musi ją udokumentować. Polega ona na sprawdzeniu konkretnych zobowiązań i przeniesieniu ich do umowy.
Nie. Dostawca realizuje monitorowanie, natomiast obowiązek zgłoszenia incydentu i odpowiedzialność za jego terminowość pozostają po stronie podmiotu. Odpowiedzialność kierownika nie przenosi się również przez powierzenie obowiązków innej osobie.
Dlaczego warto zacząć od rozmowy