Cyberbezpieczeństwo w sanatoriach i uzdrowiskach – co zmienia NIS2 i jak się przygotować?

Sanatoria i uzdrowiska – jako instytucje łączące funkcje medyczne, administracyjne i hotelowe – przetwarzają dane osobowe i medyczne o szczególnej wrażliwości. Dlatego właśnie znalazły się w centrum zainteresowania nowej unijnej dyrektywy NIS2, której celem jest zwiększenie odporności całego sektora ochrony zdrowia na zagrożenia cyfrowe.

NIS2 wprowadza szereg obowiązków, które wymagają nie tylko modernizacji infrastruktury IT, ale też przemyślanego podejścia organizacyjnego: analizy ryzyka, wdrożenia procedur, szkoleń oraz współpracy z zespołami reagowania na incydenty. W artykule wyjaśniamy, kogo dokładnie dotyczy dyrektywa, co się zmienia, jakie obowiązki będą ciążyć na placówkach i jak krok po kroku przygotować się na nadchodzące regulacje.

Dlaczego sanatoria i uzdrowiska są szczególnie narażone na cyberataki?

Placówki lecznicze i uzdrowiskowe gromadzą dane wyjątkowo wrażliwe: dane osobowe pacjentów, informacje medyczne, wyniki badań, dane kontaktowe oraz informacje o usługach i płatnościach. Są one przetwarzane w różnych systemach – takich jak chociażby Kuracjusz – i dostępne przez wiele kanałów (rejestracja online, aplikacje, stacje robocze, sieć Wi-Fi dla pacjentów itd.).

Dla cyberprzestępców te dane to realna wartość – na czarnym rynku kompletna dokumentacja medyczna może być wielokrotnie droższa niż dane kart kredytowych. W odróżnieniu od finansów, danych zdrowotnych nie da się „zmienić” ani unieważnić.

Wystarczy luka w zabezpieczeniach, niezałatana podatność systemu, nieuwaga personelu albo skuteczny phishing – a cała placówka może zostać sparaliżowana. Przerwa w działaniu systemu informatycznego, może oznaczać brak możliwości świadczenia usług, niedostępność dokumentacji medycznej i chaos organizacyjny. A do tego: ryzyko odpowiedzialności prawnej i utraty reputacji.

NIS2 – nowa rzeczywistość dla sektora zdrowia

Dyrektywa NIS2 (Network and Information Security Directive 2), uchwalona przez Parlament Europejski w grudniu 2022 roku, to odpowiedź Unii Europejskiej na rosnące zagrożenia cyfrowe i coraz bardziej złożone ataki na infrastrukturę krytyczną. Ochrona zdrowia znalazła się na liście sektorów, które mają kluczowe znaczenie dla funkcjonowania społeczeństwa – i w związku z tym wymagają wzmocnionych standardów bezpieczeństwa IT.

Jak wygląda harmonogram?

• 18 października 2024 r. – to termin, do którego państwa członkowskie UE miały obowiązek wdrożyć NIS2 do prawa krajowego.
• W Polsce dyrektywa ma zostać zaimplementowana poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), która – zgodnie z zapowiedziami – ma zostać przyjęta w 3. kwartale 2025 roku.
• Po ogłoszeniu ustawy przewidziano vacatio legis (6 miesięcy), a następnie kolejne terminy dla podmiotów na zgłoszenie się do wykazu oraz wdrożenie systemów zarządzania bezpieczeństwem informacji (SZBI).

Co oznacza NIS2 w praktyce?

Dyrektywa rozszerza zakres regulacji o wiele nowych sektorów i podmiotów – w tym placówki ochrony zdrowia, w tym uzdrowiska i sanatoria, jeśli prowadzą działalność medyczną. Nowością jest również objęcie przepisami nie tylko instytucji „kluczowych”, ale także „ważnych”, a także firm działających w ich łańcuchu dostaw (np. dostawców systemów IT, firm outsourcingowych).

Kryteria kwalifikacji mają charakter obiektywny i mierzalny – dotyczą liczby zatrudnionych pracowników oraz rocznego obrotu finansowego. To właśnie te dane, a nie typ działalności czy forma prawna, decydują o objęciu obowiązkiem.

Z tego względu każda placówka medyczna – niezależnie od rozmiaru czy lokalizacji – powinna zweryfikować swoją sytuację w kontekście zmian. Monitorowanie legislacji krajowej, śledzenie szczegółów nowelizacji UKSC i analiza własnego statusu organizacyjnego to pierwszy krok do świadomego zarządzania ryzykiem.

Jak się przygotować?

Choć prace legislacyjne nadal trwają, warto podjąć działania już teraz. Powód jest prosty: cyberzagrożenia nie czekają na wdrożenie przepisów. Ataki na sektor zdrowia odbywają się codziennie, a skutki incydentów mogą być poważne – zarówno dla funkcjonowania placówki, jak i dla pacjentów, których dane zostały powierzone w dobrej wierze.

Dodatkowo, wdrożenie środków bezpieczeństwa – takich jak analiza ryzyka, zabezpieczenie systemów czy procedury reagowania – wymaga czasu, zasobów i zaangażowania. Odkładanie tych kroków na ostatni moment może skutkować pośpiechem, błędami lub niedopasowaniem rozwiązań do specyfiki działalności.

Dlatego rekomendowany plan obejmuje:

• Analizę aktualnej sytuacji – identyfikację systemów, procesów i obszarów narażonych na ryzyko (w tym platform takich jak Kuracjusz).
• Wyznaczenie osoby odpowiedzialnej za cyberbezpieczeństwo – nawet jeśli nie jest to formalny obowiązek.
• Opracowanie planu działań dostosowawczych – obejmującego technologie, polityki wewnętrzne i szkolenia personelu.
• Rozpoczęcie współpracy z CSIRT – przygotowanie procedur na wypadek incydentu.
• Systematyczne testy i przeglądy – audyty, skanowanie podatności, testy socjotechniczne.
• Budowanie świadomości zespołu – poprzez szkolenia i komunikację wewnętrzną.

Warto pamiętać, że nawet podstawowe działania – wdrożone z wyprzedzeniem – mogą znacząco zredukować potencjalne ryzyko.

Oprogramowanie dla sanatoriów i uzdrowisk, a bezpieczeństwo informacji 

System Betasi Kuracjusz jest centralnym elementem cyfrowego ekosystemu wielu sanatoriów i uzdrowisk. Zarządza informacjami medycznymi, administracyjnymi i organizacyjnymi, wspierając codzienne funkcjonowanie placówek. Ze względu na charakter przetwarzanych danych – w tym danych wrażliwych – od samego początku przykładamy szczególną wagę do kwestii bezpieczeństwa informacji.

Jako dostawca systemu Kuracjusz traktujemy cyberbezpieczeństwo jako integralną część naszego produktu i procesu wdrożenia. Dbamy o to, by sam system spełniał wysokie standardy technologiczne i umożliwiał realizację wymagań związanych z ochroną danych – zarówno w kontekście codziennego użytkowania, jak i zgodności z nowymi regulacjami, w tym dyrektywą NIS2.

Wiemy jednak, że skuteczne bezpieczeństwo to efekt współpracy obu stron – dostawcy systemu i zespołu zarządzającego placówką. Dlatego w ramach wdrożeń i bieżącego wsparcia:

• dostarczamy rozwiązanie projektowane z myślą o bezpieczeństwie (szyfrowanie, zarządzanie dostępem, kontrola ról),
• rekomendujemy dobre praktyki konfiguracyjne zgodne z polityką bezpieczeństwa danego obiektu,
• oferujemy możliwość integracji Kuracjusza z istniejącymi systemami bezpieczeństwa IT (np. domeną Active Directory i zabezpieczeniami oferowanymi przez środowisko Windows, usługami audytu czy backupu),
• przekazujemy dokumentację i wskazówki wspierające zgodność z wewnętrznymi procedurami oraz przepisami,
• pozostajemy w dialogu z placówkami, uwzględniając ich potrzeby i aktualne wyzwania.

Naszym celem jest, by Kuracjusz był nie tylko sprawnym systemem zarządzania, ale również stabilnym i bezpiecznym ogniwem całej infrastruktury informatycznej sanatorium czy uzdrowiska.

Podsumowanie

Placówki uzdrowiskowe są dziś nie tylko miejscem leczenia i wypoczynku – to także dynamiczne jednostki zarządzające ogromną ilością wrażliwych danych. Systemy takie jak Kuracjusz są ich technologicznym kręgosłupem. Dlatego zabezpieczenie tych systemów staje się nie tylko obowiązkiem wynikającym z prawa (NIS2), ale też fundamentem zaufania pacjentów, partnerów i instytucji publicznych.

W świecie, w którym dane = pieniądze, a każda luka to potencjalne drzwi do ataku, jedyną odpowiedzialną drogą jest świadome i aktywne zarządzanie cyberbezpieczeństwem.

Materiał przygotowany we współpracy: