Ponad 2 mln Polaków sprawdziło na stronie Bezpieczne Dane czy ich PESEL objął wyciek z MyDr - powiedział w Sejmie wiceminister cyfryzacji Michał Gramatyka. Zaznaczył, że resort przygotował rozwiązania legislacyjne, które mają wzmocnić bezpieczeństwo danych, w szczególności medycznych.
Wiceminister cyfryzacji Michał Gramatyka i wiceminister zdrowia Tomasz Maciejewski przedstawili w Sejmie informacje na temat bezpieczeństwa danych medycznych pacjentów w systemach cyfrowych na przykładzie wycieku danych z platformy MyDr podczas posiedzenia Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii.
Maciejewski powiedział, że w ramach tego incydentu nie doszło do naruszenia centralnego systemu e-zdrowie i platformy P1.
Gramatyka wskazał natomiast, że resort cyfryzacji prowadzi stały monitoring „rubieży internetu”, by ustalić czy dane, które wyciekły są udostępnione, wystawione na sprzedaż czy pojawiły się darknecie. Dodał, że ponad 2 mln osób sprawdziło, czy w wyniku ataku na MyDr ich dane wyciekły z systemu.
- Ten monitoring daje wynik negatywny - powiedział. Hakerów, którzy stoją za tym incydentem nazwał „białymi kapeluszami”, bo jak dotąd wiele wskazuje na to, że kradzież danych miała sprawdzić szczelność systemów informatycznych.
- Szczęściem w nieszczęściu trafiło to na tzw. białe kapelusze. Wśród hakerów jest podział, jak w latach pięćdziesiątych w amerykańskich westernach, że dobre charaktery nosiły jasne kapelusze, a czarne charaktery nosiły czarne kapelusze. To się przeniosło do grup hakerskich. Można się spotkać z takim sformułowaniem, że to białe kapelusze, czyli tacy hakerzy, którzy wykorzystują swoją wiedzę do testowania odporności systemów państwowych i informują o tym, gdzie są dziury, żeby umożliwić ich załatanie, a nie przestępcy, którzy wykradają dane po to, żeby żądać okupu, handlować nimi, albo żeby kogoś szantażować - tłumaczył wiceminister.
Gramatyka powiedział, że, aby w przyszłości zapobiec takim incydentom, resort cyfryzacji przygotował pakiet „Cyber Piątka”, który ma wzmocnić bezpieczeństwo danych obywateli i ograniczyć ryzyko ich niewłaściwego wykorzystania. Podkreślił, że projekt jest procedowany „szybką ścieżką rządową”.
W pakiecie ma znaleźć się propozycja wprowadzenia dodatkowych wymagań dla podmiotów, którym powierzane jest przetwarzanie danych medycznych. Firmy te musiałyby spełniać określone standardy bezpieczeństwa, a ich certyfikacja byłaby powiązana z systemem określonym w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa.
Kolejna zmiana to określenie minimalnych wymagań technologicznych dla systemów teleinformatycznych wykorzystywanych do przetwarzania danych medycznych.
Resort zaproponował również wprowadzenie obowiązku informowania pacjentów o powierzeniu przetwarzania ich danych podmiotom zewnętrznym. Pacjent otrzyma informacje m.in. o zakresie i przedmiocie powierzenia oraz dane kontaktowe podmiotu przetwarzającego. Dzięki temu obywatele będą mogli łatwiej kontrolować, kto i w jakim zakresie ma dostęp do ich danych.
Ponadto obywatele mają otrzymywać powiadomienia o zdarzeniach medycznych oraz wycieku ich danych przez aplikację mObywatel, czy mojeIKP.
Nałożone mają zostać też nowe obowiązki dla podmiotów masowo przetwarzających dane. Chodzi o podmioty, które przetwarzają dane na dużą skalę – świadczą usługi przetwarzania danych dla więcej niż 100 administratorów lub przetwarzają dane dotyczące łącznie ponad 100 tys. osób. Wobec takich podmiotów ministerstwo proponuje wprowadzenie dodatkowych obowiązków związanych z bezpieczeństwem danych.
Gramatyka zauważył, że Polska wdraża unijną dyrektywę NIS 2 ws. cyberbezpieczeństwa, która na kluczowe podmioty nakłada podniesione standardy bezpieczeństwa. W kwietniu weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która tego dotyczy. Teraz jesteśmy w okresie przejściowym, w którym podmioty dostosowują się do wymogów przyjętej regulacji. Dotyczy to także szpitali i dostawców dla szpitali.
12 sierpnia Ministerstwo Cyfryzacji potwierdziło informację o cyberataku na firmę MyDr, w wyniku którego wyciekły dane 19 mln Polaków, m.in. o lekach i receptach. Firma jest dostawcą systemu do prowadzenia elektronicznej dokumentacji medycznej. Dane, które wyciekły dotyczą 12 tys. podmiotów medycznych, które korzystały z platformy MyDr.
Z danych Centrum e-Zdrowia z 2025 r. wynika, że liczba cyberataków na szpitale i przychodnie systematycznie rośnie. Od stycznia do sierpnia 2025 r. w ochronie zdrowia odnotowano 946 incydentów cyberbezpieczeństwa; w 2024 r. było ich 1028, w 2023 r. 405, a w 2021 r. 150. Najczęściej dochodzi do oszustw komputerowych (311 przypadków), wykorzystania podatnych usług (238) oraz infekcji złośliwym oprogramowaniem (90).
CeZ wskazuje też, że chociaż ponad 90 proc. szpitali ma system kopii zapasowych, tylko niecałe 60 proc. wykonuje cykliczne testy kopii oraz odzyskiwania. Dodatkowo prawie 9 proc. nie ma podstawowych systemów zabezpieczeń typu firewall, a szkolenia z zakresu cyberbezpieczeństwa przeszło tylko 36 proc. dyrektorów placówek ochrony zdrowia (dane z 2024 r.).
Eksperci ostrzegają, że skuteczne ataki mogą sparaliżować pracę placówek i zagrozić bezpieczeństwu pacjentów. Placówki ochrony zdrowia są szczególnie narażone, ponieważ przetwarzane są duże ilości wrażliwych danych osobowych, a w wielu podmiotach brakuje kompetencji i technologii do radzenia sobie z incydentami.(PAP)
kra/ mark/
