NIS2 w szpitalach — wdrożenie i compliance

Szpital atakowany — systemy stają, ryzyko dla pacjentów

Dla szpitala NIS2 to praca z obszaru ładu, ryzyka i zgodności z terminem klinicznym w tle: sektor zdrowia jest w załączniku I dyrektywy („Sektory kluczowe”), a to, czego wymaga regulator — zatwierdzona polityka bezpieczeństwa, przetestowany plan odtworzenia, wczesne ostrzeżenie o incydencie do CSIRT w 24 godziny — jest tą samą listą, która decyduje o tym, czy systemy pacjentowe przetrwają atak.

Szpital jest celem, w którym przerwa w działaniu wymusza decyzję szybciej niż w jakiejkolwiek innej branży — i atakujący dobrze o tym wiedzą. Ransomware na HIS (Hospital Information System) powoduje:

• Przejście na ręczną rejestrację pacjentów (kartki papierowe)
• Utrata dostępu do EHR (historii choroby) — lekarze leczą “na ślepo”
• Wstrzymanie operacji planowych
• Przekierowanie ostrych przypadków do innych szpitali
• Ryzyko utraty danych pacjentów (RODO — kara do 4% obrotu)

NIS2 wymusza gotowość na taki scenariusz. Szpital jest podmiotem kluczowym albo ważnym zależnie od wielkości. Obowiązki z art. 8 i 11 ustawy o KSC — system zarządzania bezpieczeństwem informacji i zgłaszanie incydentów — dotyczą obu kategorii, a cykliczny audyt co najmniej raz na 3 lata (art. 15 ust. 1) — tylko podmiotu kluczowego.

Czy Twój szpital podlega NIS2?

Załącznik nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) wymienia w sektorze ochrona zdrowia m.in.:

• podmiot leczniczy w rozumieniu art. 4 ust. 1 ustawy o działalności leczniczej
• świadczeniodawców, którzy mają w strukturze Szpitalny Oddział Ratunkowy, Centrum Urazowe lub Centrum Urazowe dla Dzieci
• jednostki organizacyjne publicznej służby krwi
• Krajowe Centrum Monitorowania Ratownictwa Medycznego
• laboratoria referencyjne UE
• podmioty udzielające świadczeń opieki zdrowotnej jako podwykonawcy podmiotów kluczowych lub ważnych w tym sektorze
• w podsektorze produkcji i dystrybucji m.in. podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych oraz producentów podstawowych substancji farmaceutycznych i leków

Podmiot kluczowy czy ważny? Podmiot leczniczy, który nie jest przedsiębiorcą, jest podmiotem kluczowym, jeśli zatrudnia co najmniej 250 osób, a podmiotem ważnym przy 50–249 osobach (art. 5 ust. 8). Podmiot leczniczy będący przedsiębiorcą jest podmiotem kluczowym, gdy przewyższa wymogi dla średniego przedsiębiorstwa, a ważnym, gdy je spełnia (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1). Wniosek o wpis do wykazu szpital składa w ciągu 6 miesięcy od dnia spełnienia przesłanek (art. 7c ust. 1).

Skutki niespełnienia wymagań (ustawa o KSC):

• podmiot kluczowy — kara do 10 mln euro albo 2% przychodów z działalności gospodarczej, przy czym stosuje się kwotę wyższą (art. 73 ust. 3)
• podmiot ważny — kara do 7 mln euro albo 1,4% przychodów z działalności gospodarczej (art. 73 ust. 4)
• naruszenie powodujące bezpośrednie i poważne cyberzagrożenie m.in. dla życia i zdrowia ludzi — kara do 100 mln zł (art. 73 ust. 5)
• kierownik podmiotu — kara do 300% wynagrodzenia, a w podmiocie publicznym do 100% (art. 73a ust. 4 i 5)
• podmiot kluczowy, który nie wykonał nakazu lub decyzji organu — m.in. wstrzymanie działalności w całości albo w części albo zakaz pełnienia funkcji zarządczych przez kierownika; nie dotyczy podmiotów publicznych (art. 53 ust. 9 i 10)
• kary z art. 73 ust. 1–4 i art. 73a mogą być nałożone po raz pierwszy po upływie 2 lat od wejścia nowelizacji w życie (art. 35)

10 obszarów NIS2 w szpitalu — checklist

#	Obszar	Jak to robimy w szpitalu
1	Polityka bezpieczeństwa	Zatwierdzona przez dyrektora, aktualizowana rocznie
2	Zarządzanie ryzykiem	Ocena co 12 miesięcy, rejestr ryzyk aktywny
3	Incydenty → CSIRT	Wczesne ostrzeżenie 24 h, zgłoszenie 72 h, sprawozdanie końcowe w ciągu miesiąca
4	Business continuity	BCP + DRP, testy rocznie
5	Łańcuch dostaw	Umowy z dostawcami HIS, chmury, sprzętu medycznego
6	Kontrola dostępu	RBAC, MFA dla lekarzy + administracji
7	Szyfrowanie	At-rest (bazy EHR), in-transit (PACS, wymiana)
8	Monitoring	SIEM + SOC 24/7 (szczególnie HIS, PACS)
9	Backup + odtworzenie	3-2-1-1-0, RTO i RPO ustalone dla każdego systemu
10	Szkolenia	Coroczne dla personelu + zarządu

Typowa architektura NIS2-compliant dla szpitala

[Pacjenci] → [HIS/EHR main] → [DR site (warm standby)] — RTO wg BIA
                  ↓
            [PACS/RIS] → [Backup 3-2-1-1-0: local + S3 + tape offline]
                  ↓
            [LIS (laboratorium)] → [SIEM + SOC 24/7]
                  ↓
[Urządzenia medyczne IoMT] → [Mikrosegmentacja OT/IT]
                  ↓
[Pracownicy] → [MFA + RBAC + Security Awareness]

Co dostajesz od nFlo

• Kwalifikacja NIS2 — essential vs important entity
• Gap analysis wobec 10 obszarów NIS2 + specyfika placówki (HIS, EHR, PACS, IoMT)
• Ocena dojrzałości cyber — maturity model
• Roadmap wdrożenia z priorytetami i timeline
• Aplikacja o dotacje — wsparcie w przygotowaniu wniosku
• Wdrożenie kontroli technicznych — DR, SIEM, MFA, szyfrowanie, segmentacja IoMT
• Dokumentacja NIS2 — polityki, procedury, rejestry (gotowe szablony szpitalne)
• Procedura zgłaszania incydentów do CSIRT (zgodna z 24h/72h wymaganiem)
• Szkolenia — dla zarządu (obowiązki NIS2), personelu (security awareness), IT (techniczne)
• Audyt gotowości — symulacja kontroli regulatora
• Wsparcie podczas audytu — asysta w komunikacji z CSIRT/MZ

Wspieraliśmy już szpital w przygotowaniu do wymagań ustawy o KSC — nazwa klienta jest objęta poufnością.

Sprawdź pokrewne usługi

• Compliance NIS2 i DORA
• NIS2 w JST / samorządach
• Disaster Recovery as a service
• SOC 24/7