Interpelacja w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych

Interpelacja w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych Interpelacja nr 8866 do ministra spraw wewnętrznych i administracji, ministra zdrowia w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych Zgłaszający: Janusz Cieszyński Data wpływu: 26-03-2025 Szanowny Panie Ministrze, Szanowna Pani Minister, w dniu 8 marca 2025 roku szpital MSWiA w Krakowie padł ofiarą ataku ransomware, co spowodowało konieczność wyłączenia systemów informatycznych placówki oraz przejścia na dokumentację papierową. Część danych została zaszyfrowana, a jak przyznał dyrektor placówki dr n. med. Michał Zabojszcz, nie można wykluczyć wycieku danych pacjentów. Ten incydent jasno pokazuje, jak poważnym zagrożeniem dla funkcjonowania systemu ochrony zdrowia w Polsce są ataki cybernetyczne. Proces cyfryzacji w ochronie zdrowia postępuje, co jest konieczne, jednak wiąże się z rosnącą liczbą wrażliwych danych pacjentów przechowywanych w formie elektronicznej i wzrostem zagrożenia atakami hackerskimi. Jednocześnie, jak wynika z wypowiedzi dyrektora szpitala MSWiA w Krakowie, placówki medyczne borykają się z niedoborem specjalistów IT oraz ograniczonymi środkami finansowymi na zapewnienie odpowiednich zabezpieczeń systemów informatycznych. Dyrektor przyznał, że miał “najlepszy system zabezpieczeń, na który go było stać”, co sugeruje, że kwestie finansowe są istotną barierą w zapewnieniu odpowiedniego poziomu cyberbezpieczeństwa. W związku z powyższym, zwracam się z następującymi pytaniami: Jakie konkretne działania planują Ministerstwo Zdrowia oraz Ministerstwo Spraw Wewnętrznych i Administracji w celu zwiększenia poziomu cyberbezpieczeństwa w placówkach ochrony zdrowia w Polsce, w szczególności w kontekście niedawnego ataku na szpital MSWiA w Krakowie? Czy planowane jest stworzenie kompleksowej strategii cyberbezpieczeństwa dla sektora ochrony zdrowia, uwzględniającej zarówno aspekty technologiczne, jak i kadrowe? W jaki sposób ministerstwa zamierzają rozwiązać problem niedoboru specjalistów IT w sektorze publicznej ochrony zdrowia, biorąc pod uwagę znaczną różnicę w wynagrodzeniach pomiędzy sektorem publicznym, a prywatnym? Czy planowane jest zwiększenie nakładów finansowych na cyberbezpieczeństwo w placówkach medycznych, w tym na modernizację infrastruktury informatycznej oraz szkolenia personelu? Jakie procedury są obecnie stosowane w przypadku cyberataków na placówki medyczne i czy planowana jest ich standaryzacja oraz udoskonalenie w świetle niedawnych doświadczeń? W jaki sposób ministerstwa planują zabezpieczyć ciągłość świadczenia usług medycznych w przypadku cyberataków, tak aby zminimalizować ich wpływ na pacjentów? Czy planowana jest modernizacja wytycznych dotyczących minimalnych standardów cyberbezpieczeństwa, które powinny spełniać placówki medyczne w Polsce? Jakie są plany w zakresie edukacji i podnoszenia świadomości personelu medycznego na temat zagrożeń związanych z cyberbezpieczeństwem? Czy ministerstwa planują współpracę międzynarodową w zakresie wymiany doświadczeń i dobrych praktyk dotyczących cyberbezpieczeństwa w ochronie zdrowia? Z wyrazami szacunku Janusz Cieszyński

Odpowiedź na interpelację w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych Odpowiedź na interpelację nr 8866 w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych Odpowiadający: sekretarz stanu w Ministerstwie Spraw Wewnętrznych i Administracji Wiesław Szczepański Warszawa, 23-05-2025 Szanowny Panie Marszałku, w odpowiedzi na interpelację numer 8866 Pana Posła Janusza Cieszyńskiego w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych , uprzejmie przedstawiam informacje, pozostające w zakresie właściwości Ministra Spraw Wewnętrznych i Administracji. W odniesieniu do planowanych działań dotyczących zwiększenia poziomu cyberbezpieczeństwa, na wstępie należy wskazać, że mając na uwadze zagrożenie w cyberprzestrzeni oraz wydarzenia związane z incydentem w Samodzielnym Publicznym Zakładzie Opieki Zdrowotnej Ministerstwa Spraw Wewnętrznych i Administracji (MSWiA) w Krakowie, MSWiA niezwłocznie poinformowało wszystkie 29 podmiotów leczniczych MSWiA [1] o konieczności zastosowania dodatkowych nadzwyczajnych środków bezpieczeństwa i ich weryfikacji. Przygotowano i wysłano do ww. podmiotów materiał dotyczący metod zabezpieczania przed atakami typu ransomware oraz tworzenia kopii zapasowych. Jednocześnie na bieżąco są przesyłane także ostrzeżenia o potencjalnych cyberzagrożeniach oraz rekomendacje dotyczące mitygacji tych zagrożeń, w tym materiały przygotowywane przez CIRST [2] GOV. Ponadto w ww. jednostkach zaplanowano kontynuację szkoleń (w tym dodatkowe szkolenia) związanych z zagrożeniami cyberbezpieczeństwem, dedykowanych kadrze kierowniczej oraz pozostałemu personelowi, w tym również personelowi medycznemu. W kontekście zagadnienia dotyczącego obecnie stosowanych procedur w przypadku ataków na placówki medyczne warto zauważyć, że co do zasady, każdy podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej [3] , zgodnie z rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych [4] , a także ustawą z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa [5] wykonuje działania na podstawie wewnętrznych procedur, związanych z ochroną przed cyberzagrożeniami. W tym miejscu pragnę nadmienić, że MSWiA – w podmiotach leczniczych MSWiA – prowadzi cykliczne szkolenia dla kadry IT, w których uwzględnione są zmiany kluczowych zagrożeń i konieczność aktualizacji procedur. Natomiast w odniesieniu do kwestii sposobu zabezpieczenia ciągłości świadczenia usług medycznych w przypadku cyberataków, należy wskazać, że podmioty lecznicze MSWiA posiadają odpowiednie procedury awaryjne, które zapewniają ciągłość udzielania świadczeń medycznych. Pragnę dodać, że ochrona cyberprzestrzeni kraju, w tym sektora ochrony zdrowia, opiera się na spójnych strategiach, ustawach oraz działaniach instytucji rządowych. Do kluczowych dokumentów należy zaliczyć Strategię Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2025-2029, która zastąpi analogiczny dokument obowiązujący w latach 2019-2024, a także nowelizowaną ustawę o KSC , która obowiązuje wszystkie wskazane w niej podmioty krajowego systemu cyberbezpieczeństwa. Za opracowanie przedmiotowych dokumentów odpowiada Minister Cyfryzacji [6] , jednocześnie pełniący funkcję Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa. Zgodnie z ustawą o KSC , w Polsce funkcjonują trzy zespoły CSIRT poziomu krajowego: CSIRT GOV, CSIRT MON oraz CSIRT NASK, które współpracują ze sobą, z organami właściwymi do spraw cyberbezpieczeństwa, ministrem właściwym do spraw informatyzacji, Pełnomocnikiem Rządu do Spraw Cyberbezpieczeństwa i innymi organami rządowymi oraz podmiotami publicznymi i prywatnymi. Zespoły realizują zadania w zakresie przeciwdziałania zagrożeniom cyberbezpieczeństwa w wymiarze ponadsektorowym i transgranicznym oraz koordynują obsługę zgłoszonych incydentów bezpieczeństwa, zapewniając tym samym spójny system zarządzania ryzykiem na poziomie krajowym. Wszelkie działania w przedmiotowym zakresie zespołów CSIRT poziomu krajowego oraz pozostałych podmiotów krajowego systemu cyberbezpieczeństwa koordynuje Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa. Niezależnie od powyższego, w zakresie swojej właściwości Minister Spraw Wewnętrznych i Administracji tworzy System Bezpiecznej Łączności Państwowej (SBŁP), o którym mowa w ustawie z dnia 5 grudnia 2024 r. o ochronie ludności i obronie cywilnej [7] . Wskazany system zapewni interoperacyjność z systemami ostrzegania i alarmowania ludności, a także integrację łączności resortu spraw wewnętrznych i administracji. System Bezpiecznej Łączności Państwowej zapewni wymianę informacji pomiędzy organami odpowiedzialnymi za realizację zadań z zakresu zarządzania kryzysowego, bezpieczeństwa państwa, ochrony porządku publicznego, ratownictwa, ochrony ludności i obrony cywilnej. Do SBŁP planuje się podłączenie również podmiotów leczniczych MSWiA. Przedmiotowe zadanie będzie realizowane poprzez udostępnienie im m.in. usług łączności z Systemem e-zdrowie (P1) oraz Systemu Łączności Rządowej z wykorzystaniem wydzielonej sieci GovNet. W ramach budowy systemu będą rozwijane rozwiązania kryptograficzne, w tym mechanizmy szyfrowania i bezpiecznej transmisji danych. Ponadto zostaną utworzone: resortowe centrum utrzymania i zarządzania siecią i usługami IT (Network Operations Center – NOC) oraz resortowe centrum bezpieczeństwa systemów i usług IT (Security Operations Center – SOC), odpowiedzialne za monitorowanie, wykrywanie i reagowanie na zagrożenia bezpieczeństwa w czasie rzeczywistym. Z poważaniem z up. Wiesław Szczepański Sekretarz Stanu Ministerstwo Spraw Wewnętrznych i Administracji [1] Wykaz podmiotów leczniczych MSWiA został wskazany w obwieszczeniu Ministra Spraw Wewnętrznych i Administracji z dnia 6 października 2023 r . w sprawie wykazu jednostek organizacyjnych podległych Ministrowi Spraw Wewnętrznych i Administracji lub przez niego nadzorowanych (M.P. poz. 1128). [2] Zespół reagowania na incydenty bezpieczeństwa komputerowego. [3] Dz. U. z 2025 r. poz. 450. [4] Dz. U. poz. 773. [5] Dz. U. z 2024 r. poz. 1077, z późn. zm., dalej: „ustawa o KSC ”. [6] Zgodnie z ustawą z dnia 4 września 1997 r. o działach administracji rządowej (Dz. U. z 2024 r. poz. 1370, z późn. zm.), sprawy z zakresu bezpieczeństwa cyberprzestrzeni w wymiarze cywilnym należą do działu informatyzacja, którym kieruje Minister Cyfryzacji (art. 12a ust. 1 pkt 10), natomiast za kwestie związane z bezpieczeństwem cyberprzestrzeni w wymiarze militarnym odpowiedzialny jest Minister Obrony Narodowej (art. 19 ust. 1 pkt 1a). [7] Dz. U. poz. 1907.