Projekt zmian ustawowych w ramach tzw. Cyber Piątki został złożony do wykazu prac legislacyjnych rządu, a przepisy mogą zostać uchwalone w styczniu 2027 r. - przekazał w środę PAP wicepremier i minister cyfryzacji Krzysztof Gawkowski.
Pod koniec sierpnia Ministerstwo Cyfryzacji (MC) przedstawiło założenia pakietu zmian legislacyjnych dotyczących ochrony danych - „Cyber Piątka». Pakiet zakłada m.in. wprowadzenie certyfikacji firm przetwarzających dane medyczne, powiadomień o zdarzeniach medycznych, czy nowych obowiązków dla podmiotów masowo przetwarzających dane.
- Projekt zmian ustawowych Cyber Piątki został złożony do wykazu prac legislacyjnych rządu. Chciałbym, żeby w najbliższych trzech miesiącach zakończyły się prace konsultacyjne projektu wewnątrz rządu i żebyśmy szybko zamknęli cały proces legislacyjny - przekazał w rozmowie z PAP wicepremier i minister cyfryzacji Krzysztof Gawkowski, podczas 8. Forum Cyberbezpieczeństwa. Dodał, że spodziewa się, iż nowe przepisy zostaną uchwalone na początku przyszłego roku.
Gawkowski przypomniał, że projekt ws. Cyber Piątki zakłada m.in. dodatkowe obowiązki dla firm, które przetwarzają dane ponad 100 tys. osób.
- Ten pułap to jasna granica odpowiedzialności. Ważne jest, żeby firmy wiedziały, że państwo będzie trzymało je za gardło, mówiąc im: "nie możesz przetwarzać zbyt dużej ilości danych, jeżeli nie inwestujesz w cyberbezpieczeństwo i ochronę tych danych. Jeżeli ktoś zarabia na danych obywateli, bo je przetwarza, bo je dalej przesyła, musi też wiedzieć, że cyberbezpieczeństwo to dzisiaj u niego powinien być priorytet – mówił wicepremier.
W kontekście ostatnich wycieków danych medycznych Gawkowski wskazał, że trwają kontrole realizowane przez Urząd Ochrony Danych Osobowych. Z kolei Ministerstwo Zdrowia wydało specjalne zalecenia dla firm dotyczące cyberbezpieczeństa.
- Specjalne zespoły pracują też nad wykrywaniem przestępców, którzy atakują te firmy (sektora medycznego - PAP) – zaznaczył szef MC.
Podkreślił, że inwestycje w cyberbezpieczeństwo to ochrona renomy przedsiębiorstwa. - Jeżeli zostałeś zinfiltrowany, ukradziono ci dane, to tracisz na marce i to znaczy, że będziesz mniej zarabiał, bo klienci nie będą ci ufali. Nie można nie inwestować w cybezpieczeństwo, kiedy trwa wojna hybrydowa. Polska jest najbardziej atakowanym państwem w Europie – mówił rozmówca PAP.
Przypomniał, że w 2025 roku resort cyfryzacji zrealizował program wsparcia transformacji cyfrowej przedsiębiorstw „Pożyczka na cyfryzację», który był wart 2,8 mld zł.
- Teraz przygotowany jest kolejny program. Wystarczy sięgać po te pieniądze. Można zainwestować u siebie w firmie w cyberbezpieczeństwo korzystając z publicznych pieniędzy. Tylko trzeba chcieć to zrobić, podjąć to wyzwanie. A wiele firm nawet nie stanęło do konkursu – powiedział szef MC.
Pytany o niedobór specjalistów cyberbezpieczeństwa, ocenił, że oni są na rynku, tylko trzeba ich odpowiednio wynagrodzić.
- Inwestycja w cybrebezpieczeństwo jest tym samym, co inwestycja w marketing firmy. To znaczy, jeżeli stać cię na specjalistę w marketingu, który zarabia kilkanaście tysięcy złotych, to musi cię być stać na eksperta cyberbezpieczeństwa. To jest inwestycja w przyszłość każdej firmy. Jeżeli przedsiębiorca tego nie rozumie, to będzie tracił – przekonywał wicepremier.
Przedstawiona 31 sierpnia przez resort cyfryzacji Cyber Piątka zakłada wprowadzenie certyfikacji dla podmiotów, którym powierzane jest przetwarzanie danych medycznych. MC chce też określenia minimalnych wymagań technologicznych dla systemów teleinformatycznych wykorzystywanych do przetwarzania danych medycznych. Ma też zostać wprowadzony obowiązek informowania pacjentów o powierzeniu przetwarzania ich danych podmiotom zewnętrznym. Resort zaproponował ponadto wprowadzenie powiadomień w aplikacji mObywatel oraz mojeIKP o zdarzeniach medycznych, takich jak wizyta, wystawienie recepty czy inne świadczenia. Ostatnia propozycja zakłada dodatkowe obowiązki dla podmiotów, które przetwarzają dane dla więcej niż 100 administratorów lub ponad 100 tys. osób.
Cyber Piątkowa to odpowiedź Ministerstwa Cyfryzacji na wyciek danych ok. 19 mln Polaków z systemów firmy MyDr, o czym resort poinformował 13 sierpnia. W wyniku cyberataku na firmę MyDr wyciekły dane m.in. o lekach i receptach. Firma jest dostawcą systemu do prowadzenia m.in. elektronicznej dokumentacji medycznej.
W czwartek 24 września redakcje CyberDefence24 i Zaufanej Trzeciej Strony niezależnie poinformowały o wycieku danych osobowych, w tym danych medycznych, wskutek ataku na aplikację Medyc od firmy Qbusoft. Skala ataku obejmuje najprawdopodobniej 5 milionów osób - podały portale. Firma poinformowała, że zakres skradzionych danych obejmuje imiona i nazwiska, numery PESEL, miejsce zamieszkania, numery telefonów oraz adresy e-mail, ale nie potwierdzono kradzieży dokumentacji medycznej.
Natomiast w ubiegły piątek spółka Centrum Medyczne Enel-Med poinformowała, że pod koniec września zidentyfikowała cyberatak, w wyniku którego doszło do wycieku danych ok. 3 proc. całej bazy pacjentów.
Wymienione trzy incydenty w firmach sektora medycznego są analizowane przez NASK, służby i Urząd Ochrony Danych Osobowych.
Środa to pierwszy dzień 8. edycji Forum Cyberbezpieczeństwa, organizowanego przez Ministerstwo cyfryzacji w Pałacu Kultury i Nauki w Warszawie. Polska Agencja Prasowa objęła wydarzenie patronatem medialnym.
Monika Blandyna Lewkowicz (PAP)
mbl/ drag/
