Prowadzimy szpitale przez całe wdrożenie NIS 2 – od oceny stanu i procedur, przez dobór rozwiązań, po szkolenia personelu. Specjalizujemy się w ochronie zdrowia, dlatego każde działanie projektujemy pod realia pracy klinicznej: ciągłość leczenia, bezpieczeństwo dokumentacji i oddziały działające przez całą dobę.
Efektem audytu zero jest wstępna diagnoza gotowości placówki do NIS 2 wraz z listą priorytetów. Bez zobowiązań.
Co nas wyróżnia:
Na harmonogram warto spojrzeć szerzej niż przez pryzmat dat. Każdy etap – rejestracja w wykazie, wdrożenie środków bezpieczeństwa, gotowość na kontrolę – to praca wymagająca konkretnej wiedzy, a w szpitalu wykonuje ją zwykle ten sam zespół, który odpowiada za codzienną ciągłość pracy placówki. Pełny katalog obowiązków wynikających z przepisów opisaliśmy na stronie poświęconej dyrektywie NIS 2 w szpitalu.
I to jest miejsce, w którym Coongi daje realne wsparcie. Przejmujemy te zadania i prowadzimy placówkę przez kolejne etapy w tempie dopasowanym do pracy oddziałów. Im wcześniej zaczynamy, tym więcej da się rozłożyć w czasie i tym mniej decyzji trzeba podejmować pod presją terminu.
Data | Wydarzenie prawne | Co to oznacza dla szpitala |
|---|---|---|
3 kwietnia 2026 | Wejście w życie nowelizacji ustawy o KSC | Ustawa obowiązuje. Zaczyna biec czas na osiągnięcie zgodności. |
3 października 2026 | Termin rejestracji w wykazie podmiotów kluczowych i ważnych (6 miesięcy od wejścia w życie) | Szpital rejestruje się samodzielnie. Nikt nie przyśle zawiadomienia – obowiązek jest po stronie placówki. |
3 kwietnia 2027 | Wdrożenie środków bezpieczeństwa (12 miesięcy od wejścia w życie) | Pełna zgodność: kopie zapasowe, segmentacja sieci, monitorowanie, szkolenia, polityki bezpieczeństwa. |
3 kwietnia 2028 | Kary i pierwszy audyt (24 miesiące od wejścia w życie) | Organy nadzoru mogą nakładać kary. Obowiązkowy audyt systemu informacyjnego. |
Ostatnia data z tabeli nie jest granicą bezpieczeństwa i warto to powiedzieć wprost. Kara może zostać nałożona wcześniej, jeśli w placówce dojdzie do incydentu – a szpital, ze względu na ciągłość leczenia, na incydent pozwolić sobie nie może.
Tego ryzyka nie da się wykluczyć całkowicie, ale dobrze przygotowana placówka znacząco je ogranicza i wie, co zrobić, gdy incydent wystąpi. Na tym polega rola Coongi: przeprowadzamy szpital przez wdrożenie zgodne z ustawą, jednocześnie obniżając prawdopodobieństwo zdarzenia i jego skutki.
Audyt zero pokazuje, które z tych terminów są dla konkretnej placówki realne, a które wymagają przyspieszenia.
Ustawa o krajowym systemie cyberbezpieczeństwa zalicza sektor ochrony zdrowia do podmiotów kluczowych lub ważnych, a szpitale wskazuje wprost. O tym, czy placówka jest podmiotem kluczowym, czy ważnym, decyduje jej forma prawna i wielkość. Podstawę prawną podajemy za tekstem ustawy w Dzienniku Ustaw.
Szpital jako SPZOZ, czyli podmiot leczniczy niebędący przedsiębiorcą – liczy się wyłącznie liczba zatrudnionych, bez progu obrotu:
Szpital działający jako przedsiębiorca, na przykład spółka lub część NZOZ – decyduje wielkość przedsiębiorstwa:
Niezależnie od progów wielkości świadczeniodawcy posiadający w strukturze Szpitalny Oddział Ratunkowy lub Centrum Urazowe są wskazani wprost w wykazie sektora ochrony zdrowia. W praktyce przepisy obejmują zdecydowaną większość szpitali powiatowych, wojewódzkich, specjalistycznych i klinicznych w Polsce.
„Podmiot leczniczy, który nie jest przedsiębiorcą:
1) jest podmiotem ważnym, jeżeli zatrudnia od 50 do 249 osób;
2) jest podmiotem kluczowym, jeżeli zatrudnia co najmniej 250 osób.”
Wdrożenie NIS 2 nie jest projektem informatycznym. To zarządzanie ryzykiem operacyjnym i prawnym na poziomie całej placówki, a brak działania uderza w dwa miejsca naraz: w budżet szpitala i w osobistą odpowiedzialność jego kierownictwa.
Wysokość kary zależy od kategorii podmiotu. Dla podmiotu kluczowego sięga 10 mln EUR albo 2% rocznego obrotu, zależnie od tego, która kwota jest wyższa. Dla podmiotu ważnego jest to do 7 mln EUR albo 1,4% rocznego obrotu. W obu przypadkach mówimy o kwotach, które dla budżetu szpitala oznaczałyby realne ograniczenie możliwości leczenia.
Przepisy przenoszą część odpowiedzialności bezpośrednio na kierownika podmiotu. W placówce publicznej kara może sięgnąć 100% jego rocznego wynagrodzenia, w niepublicznej 300%. Odpowiedzialność pozostaje przy nim także wtedy, gdy obowiązki w zakresie cyberbezpieczeństwa powierzył innej osobie. To zmienia charakter tematu: wdrożenie przestaje być sprawą działu informatycznego.
Najpoważniejsze konsekwencje nie mają jednak postaci kary. Incydent może unieruchomić systemy HIS i PACS oraz pracę SOR, a to przekłada się bezpośrednio na bezpieczeństwo pacjentów. W placówce działającej całą dobę nawet kilka godzin przestoju oznacza odwołane zabiegi.
Skutki wykraczają poza mury szpitala: utrata zaufania pacjentów i płatnika, ryzyko kontroli, a w skrajnych sytuacjach zagrożenie dla kontraktu. Organ nadzoru może przy tym nałożyć karę jeszcze przed upływem ustawowego terminu pełnej zgodności, jeśli dojdzie do incydentu.
Wdrożenie dyrektywy NIS 2 nie jest standardowym projektem informatycznym, który da się zamknąć w sztywnych ramach czasowych i uznać za zakończony. Ramy prawne są uniwersalne dla wszystkich podmiotów kluczowych, ale dostosowanie do NIS 2 w szpitalu wymaga znajomości procesów klinicznych i specyfiki sprzętu medycznego.
Różnica jest wymierna. Niedostępność systemu dziedzinowego albo serwerów z badaniami obrazowymi nie jest problemem administracyjnym działu informatycznego – to wstrzymanie ciągłości leczenia i paraliż Szpitalnego Oddziału Ratunkowego. Każda godzina przestoju i przymusowy powrót do dokumentacji papierowej tworzy zaległości, których rozładowanie obciąża personel przez kolejne tygodnie.
Skuteczna ochrona wymaga działania na kilku poziomach jednocześnie: nawyków personelu, przećwiczonych procedur awaryjnych i regularnie testowanego odtwarzania kopii zapasowych. Dzięki temu utrzymanie ciągłości działania w sytuacji kryzysowej opiera się na wyćwiczonych procedurach, a nie na improwizacji pod presją czasu.
Poniżej osiem wymogów, które przepisy stawiają placówce, wraz ze wskazaniem, co każdy z nich oznacza w praktyce i jak realizujemy go po stronie Coongi.
Analiza ryzyka i polityki bezpieczeństwa
Chronić trzeba nie tylko serwery, ale system z dokumentacją pacjentów, archiwum badań obrazowych i oddział ratunkowy działający całą dobę. Ryzyko trzeba liczyć od strony skutków dla leczenia, nie od strony sprzętu.
Jak realizuje to Coongi
Prowadzimy analizę ryzyka dla infrastruktury medycznej, nie dla ogólnego IT - z udziałem kierowników komórek, bo tylko oni wskażą, co musi działać bez przerwy.
Kopie zapasowe i ciągłość działania
Atak szyfrujący poprzedza zwykle kilkutygodniowe rozpoznanie, w trakcie którego lokalizowane są także kopie zapasowe. Dlatego co najmniej jedna kopia musi być odseparowana i odporna na nadpisanie. Kopia, której nigdy nie odtworzono, w praktyce nie istnieje.
Jak realizuje to Coongi
Projektujemy kopie z jedną odseparowaną, a czas odtworzenia dobieramy do krytyczności każdego systemu. Przywracanie testujemy cyklicznie, żeby po ataku powrót do pracy był przewidywalny.
Obsługa incydentów
Termin liczy się od wykrycia, a najtrudniejsze bywa właśnie wykrycie - bez stałego monitorowania zdarzenie potrafi pozostać niezauważone tygodniami. Potem obowiązuje sztywny harmonogram: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, sprawozdanie końcowe w 30 dni.
Jak realizuje to Coongi
Wdrażamy monitorowanie pozwalające wykryć zdarzenie wcześnie oraz gotowe procedury zgłaszania z podziałem ról - także na noc i weekend, bo wtedy zgłoszenia najczęściej przepadają.
Bezpieczeństwo sieci i systemów
Aparatura diagnostyczna objęta certyfikacją medyczną nie przyjmie aktualizacji, bo unieważniłoby to dopuszczenie wyrobu do użytku. Jedynym rozwiązaniem jest wydzielenie jej w osobnym segmencie sieci, odciętym od stanowisk ogólnodostępnych i od systemu dziedzinowego.
Jak realizuje to Coongi
Dzielimy sieć na odrębne segmenty dla aparatury medycznej, administracji, pacjentów i systemu dziedzinowego. Krytyczne urządzenia zostają odizolowane bez przerywania pracy oddziałów.
Bezpieczeństwo łańcucha dostaw
Serwisanci zewnętrzni mają zwykle dostęp zdalny o uprawnieniach szerszych niż własny personel. Jeśli połączenie jest stałe i nierejestrowane, placówka nie kontroluje najsłabszego ogniwa własnego łańcucha dostaw.
Jak realizuje to Coongi
Porządkujemy dostęp serwisowy: połączenia aktywowane na czas czynności, uwierzytelnianie wieloskładnikowe i rejestrowanie sesji. Pomagamy też wpisać odpowiednie klauzule do umów.
Zarządzanie podatnościami
Każdy szpital ma dług technologiczny - systemy i urządzenia bez wsparcia producenta, dla których poprawek po prostu nie ma. Przepisy wymagają wtedy środków zastępczych, nie udawania, że problem nie istnieje.
Jak realizuje to Coongi
Dla sprzętu bez poprawek projektujemy środki zastępcze: segmentację, odcięcie od sieci publicznej i monitorowanie zachowania. Nie ingerujemy w oprogramowanie aparatury.
Szkolenia personelu
Najgroźniejsze ataki nie wykorzystują luk w oprogramowaniu, lecz pośpiech. Trafiają do rejestracji, pielęgniarek i lekarzy pracujących pod presją czasu, a cała warstwa techniczna może zostać ominięta jednym kliknięciem.
Jak realizuje to Coongi
Prowadzimy szkolenia w formie krótkich modułów osadzonych w realiach oddziału, w cyklu zamiast jednorazowo. Kierownictwo otrzymuje dokumentację na potrzeby kontroli.
Monitorowanie i raportowanie
Monitorowanie ma działać bez przerwy, bo szpital pracuje bez przerwy. Przepisy wymagają wczesnego ostrzeżenia w 24 godziny, zgłoszenia w 72 godziny i sprawozdania końcowego w 30 dni od wykrycia.
Jak realizuje to Coongi
Uruchamiamy monitorowanie dopasowane do trybu pracy placówki oraz gotowe szablony zgłoszeń do właściwego zespołu CSIRT, z przypisaną odpowiedzialnością za każdy krok.
Nie narzucamy, co jest w danej placówce najważniejsze. Pomagamy to zdiagnozować, a następnie dobrać rozwiązanie, które ten konkretny problem usuwa.
Audyt zero wskazuje, które z tych ośmiu obszarów wymagają działania najpilniej i które da się zamknąć bez wydatków.
Z Coongi cały projekt prowadzi jeden zespół znający realia szpitala – od analizy luk, przez dobór i wdrożenie rozwiązań, szkolenia, po monitorowanie i utrzymanie zgodności. Pierwszym efektem jest raport z mapą luk i priorytetów: lista tego, co zrobić najpierw, zanim placówka wyda pieniądze na sprzęt.
Nie jesteśmy przywiązani do jednego producenta ani gotowego pakietu. Po analizie dobieramy te komponenty – kopie zapasowe, segmentację, monitorowanie, szkolenia – które odpowiadają realiom i budżetowi danej placówki. Szpital płaci za to, co realnie ogranicza jego ryzyko, a nie za nadmiarowe licencje. Kryteria, według których warto oceniać każdego wykonawcę, w tym nas, zebraliśmy we wpisie o tym, jak wybrać firmę do wdrożenia.
Nie wdrażamy technologii, wdrażamy rozwiązania. W szpitalu chodzi o pacjentów, nie o serwery.
Wdrożenie NIS 2 w szpitalu brzmi jak ogromny projekt. Rozkłada się jednak na pięć czytelnych etapów, z których każdy ma jasny cel i konkretny rezultat zostający w placówce. Dostosowanie do NIS 2 w szpitalu zaczyna się przy tym zawsze od diagnozy, nie od zakupu – kolejność odwrotna oznacza wydatki podejmowane bez wiedzy o tym, gdzie luka jest największa. Ile zajmują poszczególne etapy, rozpisaliśmy osobno we wpisie o tym, ile trwa wdrożenie NIS 2.
Zaczynamy od warsztatów z zespołem informatycznym i kierownictwem, ankiet oraz przeglądu technicznego. Inwentaryzujemy systemy - dziedzinowy, obrazowy, radiologiczny, sieć, kopie zapasowe, aparaturę medyczną - i wychwytujemy urządzenia podpięte poza wiedzą działu informatycznego. Ustalamy, gdzie są realne luki i co zagraża ciągłości leczenia.
Raport z oceną luk i rekomendacjami. Kierownictwo otrzymuje uporządkowaną listę priorytetów.
Porządkujemy luki według ryzyka, układamy harmonogram i szacujemy budżet dopasowany do cyklu finansowego placówki. Każde zadanie ma przypisaną odpowiedzialność i mierzalny cel.
Plan wdrożenia z harmonogramem, kosztorysem, miarami postępu i przypisaniem odpowiedzialności.
Prowadzimy równolegle trzy ścieżki. Pierwsza to procedury i polityki: system zarządzania bezpieczeństwem informacji oraz plany ciągłości działania wraz z trybem pracy na papierze na wypadek awarii. Druga to zabezpieczenia techniczne: segmentacja sieci, kontrola dostępu, kopie zapasowe systemów medycznych, narzędzia detekcji. Trzecia to szkolenia personelu.
Wdrożone polityki i procedury, uruchomione zabezpieczenia oraz przeszkolony personel z dokumentacją gotową do kontroli.
Całodobowe monitorowanie sieci przejmuje zespół bezpieczeństwa: wykrywa zdarzenia, reaguje i działa również w nocy oraz w weekend, gdy placówka pracuje pełną parą. Zgłoszenia prowadzimy zgodnie z terminami ustawowymi.
Całodobowe wykrywanie i reakcja oraz raportowanie do właściwego zespołu CSIRT w wymaganych terminach.
Zgodność nie jest jednorazowym projektem. Prowadzimy cykliczne przeglądy, aktualizujemy reguły detekcji, przeprowadzamy testy oraz kontrolowane próby wyłudzenia danych wśród personelu, a kierownictwo otrzymuje regularne raporty na potrzeby zarządu i organów nadzoru.
Utrzymana zgodność w czasie - aktualne zabezpieczenia, wyniki testów i gotowe raporty.
Pierwszy etap, czyli audyt zero, przeprowadzamy bezpłatnie – jego efektem jest wstępna diagnoza gotowości placówki.
Audyt zero to pierwszy etap wdrożenia, który przeprowadzamy bezpłatnie. Jest to prowadzona sesja robocza, zwykle jedno- lub dwugodzinna, z udziałem naszego eksperta oraz osoby odpowiedzialnej za infrastrukturę w placówce. Szerzej o zakresie takiego raportu piszemy we wpisie o tym, co zawiera raport z audytu zero.
W trakcie sesji ustalamy cztery rzeczy: które systemy są krytyczne dla ciągłości leczenia, jaki jest obecny stan zabezpieczeń i kto nimi zarządza, jakie luki są znane działowi informatycznemu oraz jak w placówce rozłożona jest odpowiedzialność.
Czego audyt zero nie obejmuje, warto powiedzieć równie wyraźnie. Nie jest testem penetracyjnym, bo nie szuka podatności technicznych. Nie jest certyfikacją, bo przepisy certyfikatu nie przewidują. Nie wymaga też dostępu do danych pacjentów.
Efektem jest lista rozbieżności uporządkowana według pilności, z rozdzieleniem działań wymagających budżetu od tych, które wymagają wyłącznie decyzji organizacyjnej. Druga grupa bywa liczniejsza, niż zakłada dyrekcja, i nie czeka na postępowanie zakupowe.
Co do zasady tak. Dla podmiotu leczniczego niebędącego przedsiębiorcą decyduje wyłącznie liczba zatrudnionych: od 50 do 249 osób oznacza podmiot ważny, od 250 osób podmiot kluczowy. Progu obrotu w tym przypadku nie ma. Placówki działające jako przedsiębiorca rozliczają się według progów ogólnych, gdzie wystarcza spełnienie jednego z dwóch kryteriów.
Rejestracja w wykazie podmiotów kluczowych i ważnych ma termin sześciu miesięcy od wejścia ustawy w życie, czyli do 3 października 2026. Wdrożenie środków bezpieczeństwa – dwunastu miesięcy, do 3 kwietnia 2027. Kary mogą być nakładane po dwudziestu czterech miesiącach, a w razie incydentu wcześniej.
Tak. Obowiązuje samoidentyfikacja: placówka sama ustala swój status i sama dokonuje zgłoszenia do wykazu podmiotów kluczowych i ważnych. Organy nadzoru nie wysyłają indywidualnych zawiadomień, a brak wpisu jest naruszeniem niezależnym od poziomu zabezpieczeń.
Kierownik podmiotu odpowiada osobiście. Kara może sięgnąć 100% jego rocznego wynagrodzenia w placówce publicznej i 300% w niepublicznej. Odpowiedzialność pozostaje przy nim także wtedy, gdy obowiązki powierzył innej osobie. Sama placówka odpowiada do 10 mln EUR albo 2% obrotu jako podmiot kluczowy.
Dobrze zaplanowane wdrożenie nie wymaga zatrzymania placówki. Prace dzielimy na etapy i prowadzimy w oknach uzgodnionych z oddziałami, z uwzględnieniem dyżurów. Zmiany testujemy przed uruchomieniem, żeby nie zakłócać ciągłości leczenia.
Zwykle nie. Zgodność częściej osiąga się przez konfigurację niż przez zakupy: segmentację sieci, kontrolę dostępu, kopie zapasowe i procedury. Wymiana sprzętu jest ostatecznością, gdy dany element realnie zagraża bezpieczeństwu. O kolejności decyduje diagnoza.
Koszt zależy od wielkości placówki, posiadanej infrastruktury i zidentyfikowanych luk. Zakres i szacunkowy budżet wyznacza diagnoza, od której zaczynamy każdą współpracę – dlatego nie podajemy kwot przed jej przeprowadzeniem.
Nie jest to konieczne. Monitorowanie w trybie ciągłym oznacza 8 760 godzin w roku, a jeden etat pokrywa realnie 1 700–1 800 godzin, czyli potrzeba minimum pięciu stanowisk. Przejmujemy analizę, wdrożenie i monitorowanie, a wewnętrzny zespół skupia się na codziennej pracy placówki.
Wdrożenie nie wymaga dostępu do danych medycznych. Pracujemy na konfiguracji systemów, sieci i procedurach. Tam, gdzie dostęp byłby niezbędny, odbywa się na zasadach powierzenia przetwarzania zgodnych z przepisami o ochronie danych i pod kontrolą placówki.
Nie. Placówka otrzymuje wstępną ocenę luk i priorytetów oraz informację, od czego zacząć. Decyzję o dalszej współpracy podejmuje samodzielnie, na podstawie wniosków z diagnozy. Wynikiem audytu zero jest lista rozbieżności uporządkowana według pilności, którą placówka może wykorzystać także samodzielnie.
Na podstawie audytu zero placówka dowie się, od czego zacząć, co jest priorytetem i czego potrzebuje w pierwszej kolejności. Bez zobowiązań i bez kosztów.
Bez zobowiązań. Audyt zero nie jest rozmową handlową. Placówka otrzymuje listę priorytetów niezależnie od tego, czy zdecyduje się na dalszą współpracę.
Żadnej sprzedaży z góry. Nie proponujemy technologii, zanim nie poznamy sytuacji placówki. Najpierw diagnoza, potem rozwiązanie.
Odpowiedź w 24 godziny robocze. Odpisujemy, oddzwaniamy i proponujemy rozmowę online albo telefoniczną, bez zobowiązań.
Zespół znający specyfikę szpitala. Nie jesteśmy dużym integratorem. Specjalizujemy się w cyberbezpieczeństwie i wdrożeniach w ochronie zdrowia.