Cyfryzujemy zdrowie szybciej, niż potrafimy je chronić. Czego naprawdę uczy nas sprawa MyDr?

Sprawa MyDr pokazuje, że pytanie nie brzmi już: czy dojdzie do poważnego incydentu? Pytanie brzmi: jak duże będą jego skutki i czy system ochrony zdrowia będzie przygotowany, aby sobie z nimi poradzić.

Ministerstwo Cyfryzacji potwierdziło nieuprawniony dostęp do historycznych danych przechowywanych w systemach MyDr – dostawcy oprogramowania dla lekarzy i placówek medycznych. Potencjalna skala jest ogromna: 18,8 mln osób i ponad 12 tys. placówek medycznych. Resort zaznaczył jednocześnie, że incydent nie objął centralnych systemów e-zdrowia i nie zakłócił bieżącego udzielania świadczeń ani wystawiania recept.

To ważne. Ale nie powinno uspokajać.

Dane medyczne to nie jest „zwykły wyciek”

Informacja o diagnozie, historii leczenia, przyjmowanych lekach czy świadczeniach może należeć do najbardziej wrażliwych informacji o człowieku. Dlatego UODO po incydencie MyDr przypomniał placówkom i lekarzom o bardzo istotnej rzeczy: każdy administrator korzystający z usług tego dostawcy musi przeprowadzić własną analizę ryzyka i ustalić, czy zachodzi obowiązek zgłoszenia naruszenia Prezesowi UODO, a przy wysokim ryzyku – również poinformowania osób, których dane dotyczą.

I tutaj pojawia się pierwsza lekcja MyDr: outsourcing IT nie oznacza outsourcingu odpowiedzialności.

Szpital, przychodnia czy gabinet mogą powierzyć przetwarzanie danych profesjonalnej firmie. Nie mogą jednak po incydencie ograniczyć się do stwierdzenia: „to nie był nasz system, tylko system dostawcy”.

Prawie 5 milionów złotych za brak realnego nadzoru

To nie jest teoria.

W sprawie Fortum Prezes UODO nałożył na administratora karę blisko 5 mln zł, choć techniczna przyczyna naruszenia powstała po stronie procesora. Organ zarzucił administratorowi m.in. brak odpowiedniej weryfikacji podmiotu przetwarzającego i realnego nadzoru nad zmianami w środowisku IT. W marcu 2026 r. UODO poinformował, że NSA uchylił wcześniejszy wyrok WSA korzystny dla administratora i zaakceptował znaczenie ustaleń dotyczących rzeczywistego nadzoru nad procesorem.

To powinno być obowiązkową lekturą dla każdego dyrektora szpitala.

Umowa z dostawcą HIS, EDM czy chmury nie może kończyć się na cenie, funkcjonalności oraz deklaracji, że „system jest zgodny z RODO”. Trzeba pytać o audyty, podatności, szyfrowanie, MFA, logi, kopie zapasowe, podwykonawców, aktualizacje i czas reakcji na incydent. Trzeba też wiedzieć, co stanie się z danymi i procesem leczenia, jeżeli dostawca przestanie działać.

150 incydentów. Potem 1441

MyDr nie wydarza się w próżni.

Dane CSIRT CeZ pokazują, że liczba incydentów cyberbezpieczeństwa w sektorze zdrowia wzrosła ze 150 w 2021 r. do 1441 w 2025 r. To niemal dziesięciokrotny wzrost w ciągu czterech lat. Wśród najczęstszych zagrożeń Centrum e-Zdrowia wymienia phishing, fałszywe strony oraz ransomware.

Sygnały ostrzegawcze pojawiały się już wcześniej. NIK po kontroli sześciu szpitali i jednego ośrodka zdrowia w województwie warmińsko-mazurskim wskazywała na problemy z ochroną danych pacjentów. Kontrolerzy stwierdzali m.in. przypadki dostępu do informacji medycznych przez personel niemedyczny oraz byłych pracowników.

Problem nie polega więc na tym, że nie mamy prawa.

Problem polega na tym, że cyfryzacja rozwija się szybciej niż rzeczywista cyberodporność części systemu.

NIS2 już jest. Cyberprzestępcy nie poczekają na okres dostosowawczy

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 obowiązuje od 3 kwietnia 2026 r. To potrzebna i długo oczekiwana reforma. Tyle że podmioty spełniające kryteria mają czas na wpis do Wykazu KSC do 3 października 2026 r., a na wdrożenie zasadniczych obowiązków – do 3 kwietnia 2027 r. Podmioty kluczowe mają natomiast czas na pierwszy obowiązkowy audyt do 3 kwietnia 2028 r. W przypadku większości obowiązków kary administracyjne także mają być nakładane dopiero po dwóch latach od wejścia ustawy w życie.

I tutaj znajduje się prawdziwa luka.

Nie jest to już luka legislacyjna. To luka czasu i dojrzałości organizacyjnej.

Cyberprzestępca nie będzie przecież czekał do kwietnia 2027 r., aż szpital zakończy wdrażanie SZBI, uporządkuje dostawców i opracuje procedury. Atakuje wtedy, kiedy znajduje podatność.

Co więcej, pełny reżim KSC nie obejmie automatycznie każdego najmniejszego gabinetu medycznego. Tymczasem jeden dostawca systemu może obsługiwać jednocześnie duży szpital i niewielką praktykę. Dla cyberprzestępcy historia choroby pacjenta nie staje się mniej wartościowa tylko dlatego, że pochodzi z trzyosobowego gabinetu.

Europa mówi wprost: sprawdzaj swojego dostawcę

Ciekawy jest moment, w którym doszło do incydentu MyDr.

Zaledwie 22 lipca 2026 r. ENISA opublikowała nowe wytyczne dotyczące cyberbezpieczeństwa zamówień szpitali i świadczeniodawców. Europejska agencja rekomenduje włączenie cyberbezpieczeństwa do całego cyklu zakupu technologii: od oceny ryzyka i dostawcy, przez wymagania umowne i SLA, po zarządzanie podatnościami, aktualizacje, raportowanie incydentów, bezpieczeństwo chmury oraz bezpieczne zakończenie współpracy z dostawcą.

To jest kierunek, którego potrzebujemy.

Nie kolejnej polityki bezpieczeństwa napisanej do segregatora. Potrzebujemy realnego zarządzania ryzykiem łańcucha dostaw.

Dyrektor podmiotu leczniczego powinien dziś potrafić odpowiedzieć na kilka prostych pytań: gdzie naprawdę znajdują się dane pacjentów? Kto poza głównym dostawcą ma do nich dostęp? Kiedy ostatnio audytowaliśmy dostawcę? Jak szybko ma obowiązek poinformować nas o incydencie? Jak wygląda plan ciągłości działania, jeśli jego system zostanie wyłączony?

Jeżeli odpowiedź na któreś z tych pytań brzmi „nie wiem”, problem już istnieje.

Cyberbezpieczeństwo musi być kosztem cyfryzacji

Sprawa MyDr powinna być dla ochrony zdrowia sygnałem ostrzegawczym.

Nie oznacza, że należy zahamować cyfryzację. Przeciwnie – cyfryzacja jest konieczna. Ale każde kolejne rozwiązanie: system EDM, narzędzie AI, teleopieka, e-rejestracja czy platforma wymiany danych powinno mieć od początku budżet na cyberbezpieczeństwo, testy, aktualizacje, audyty i ciągłość działania.

Nie możemy finansować zakupu technologii, zapominając o finansowaniu jej bezpieczeństwa.

Bo w ochronie zdrowia cyberatak może oznaczać coś więcej niż wyciek bazy danych.

Może oznaczać brak dostępu do dokumentacji, opóźnienie diagnostyki, przerwanie ciągłości leczenia, a w skrajnym przypadku – zagrożenie dla pacjenta.

Cyfryzujemy zdrowie coraz szybciej. Najwyższy czas, abyśmy równie szybko nauczyli się je chronić.

Michał Modro
radca prawny