w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych
Odpowiadający: sekretarz stanu w Ministerstwie Spraw Wewnętrznych i Administracji Wiesław Szczepański
Warszawa, 23-05-2025
Szanowny Panie Marszałku,
w odpowiedzi na interpelację numer 8866 Pana Posła Janusza Cieszyńskiego w sprawie zabezpieczenia placówek ochrony zdrowia przed cyberatakami wobec postępującej cyfryzacji i zagrożeń dla ciągłości świadczenia usług medycznych, uprzejmie przedstawiam informacje, pozostające w zakresie właściwości Ministra Spraw Wewnętrznych i Administracji.
W odniesieniu do planowanych działań dotyczących zwiększenia poziomu cyberbezpieczeństwa, na wstępie należy wskazać, że mając na uwadze zagrożenie w cyberprzestrzeni oraz wydarzenia związane z incydentem w Samodzielnym Publicznym Zakładzie Opieki Zdrowotnej Ministerstwa Spraw Wewnętrznych i Administracji (MSWiA) w Krakowie, MSWiA niezwłocznie poinformowało wszystkie 29 podmiotów leczniczych MSWiA[1] o konieczności zastosowania dodatkowych nadzwyczajnych środków bezpieczeństwa i ich weryfikacji. Przygotowano i wysłano do ww. podmiotów materiał dotyczący metod zabezpieczania przed atakami typu ransomware oraz tworzenia kopii zapasowych. Jednocześnie na bieżąco są przesyłane także ostrzeżenia o potencjalnych cyberzagrożeniach oraz rekomendacje dotyczące mitygacji tych zagrożeń, w tym materiały przygotowywane przez CIRST[2] GOV. Ponadto w ww. jednostkach zaplanowano kontynuację szkoleń (w tym dodatkowe szkolenia) związanych z zagrożeniami cyberbezpieczeństwem, dedykowanych kadrze kierowniczej oraz pozostałemu personelowi, w tym również personelowi medycznemu.
W kontekście zagadnienia dotyczącego obecnie stosowanych procedur w przypadku ataków na placówki medyczne warto zauważyć, że co do zasady, każdy podmiot leczniczy, o którym mowa w art. 4 ust. 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej[3], zgodnie z rozporządzeniem Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych[4], a także ustawą z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa[5] wykonuje działania na podstawie wewnętrznych procedur, związanych z ochroną przed cyberzagrożeniami. W tym miejscu pragnę nadmienić, że MSWiA – w podmiotach leczniczych MSWiA – prowadzi cykliczne szkolenia dla kadry IT, w których uwzględnione są zmiany kluczowych zagrożeń i konieczność aktualizacji procedur.
Natomiast w odniesieniu do kwestii sposobu zabezpieczenia ciągłości świadczenia usług medycznych w przypadku cyberataków, należy wskazać, że podmioty lecznicze MSWiA posiadają odpowiednie procedury awaryjne, które zapewniają ciągłość udzielania świadczeń medycznych.
Pragnę dodać, że ochrona cyberprzestrzeni kraju, w tym sektora ochrony zdrowia, opiera się na spójnych strategiach, ustawach oraz działaniach instytucji rządowych. Do kluczowych dokumentów należy zaliczyć Strategię Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2025-2029, która zastąpi analogiczny dokument obowiązujący w latach 2019-2024, a także nowelizowaną ustawę o KSC, która obowiązuje wszystkie wskazane w niej podmioty krajowego systemu cyberbezpieczeństwa. Za opracowanie przedmiotowych dokumentów odpowiada Minister Cyfryzacji[6], jednocześnie pełniący funkcję Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa.
Zgodnie z ustawą o KSC, w Polsce funkcjonują trzy zespoły CSIRT poziomu krajowego: CSIRT GOV, CSIRT MON oraz CSIRT NASK, które współpracują ze sobą, z organami właściwymi do spraw cyberbezpieczeństwa, ministrem właściwym do spraw informatyzacji, Pełnomocnikiem Rządu do Spraw Cyberbezpieczeństwa i innymi organami rządowymi oraz podmiotami publicznymi i prywatnymi. Zespoły realizują zadania w zakresie przeciwdziałania zagrożeniom cyberbezpieczeństwa w wymiarze ponadsektorowym i transgranicznym oraz koordynują obsługę zgłoszonych incydentów bezpieczeństwa, zapewniając tym samym spójny system zarządzania ryzykiem na poziomie krajowym. Wszelkie działania w przedmiotowym zakresie zespołów CSIRT poziomu krajowego oraz pozostałych podmiotów krajowego systemu cyberbezpieczeństwa koordynuje Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa.
Niezależnie od powyższego, w zakresie swojej właściwości Minister Spraw Wewnętrznych i Administracji tworzy System Bezpiecznej Łączności Państwowej (SBŁP), o którym mowa w ustawie z dnia 5 grudnia 2024 r. o ochronie ludności i obronie cywilnej[7]. Wskazany system zapewni interoperacyjność z systemami ostrzegania i alarmowania ludności, a także integrację łączności resortu spraw wewnętrznych i administracji. System Bezpiecznej Łączności Państwowej zapewni wymianę informacji pomiędzy organami odpowiedzialnymi za realizację zadań z zakresu zarządzania kryzysowego, bezpieczeństwa państwa, ochrony porządku publicznego, ratownictwa, ochrony ludności i obrony cywilnej. Do SBŁP planuje się podłączenie również podmiotów leczniczych MSWiA. Przedmiotowe zadanie będzie realizowane poprzez udostępnienie im m.in. usług łączności z Systemem e-zdrowie (P1) oraz Systemu Łączności Rządowej z wykorzystaniem wydzielonej sieci GovNet. W ramach budowy systemu będą rozwijane rozwiązania kryptograficzne, w tym mechanizmy szyfrowania i bezpiecznej transmisji danych. Ponadto zostaną utworzone: resortowe centrum utrzymania i zarządzania siecią i usługami IT (Network Operations Center – NOC) oraz resortowe centrum bezpieczeństwa systemów i usług IT (Security Operations Center – SOC), odpowiedzialne za monitorowanie, wykrywanie i reagowanie na zagrożenia bezpieczeństwa w czasie rzeczywistym.
Z poważaniem
z up. Wiesław Szczepański
Sekretarz Stanu
Ministerstwo Spraw Wewnętrznych i Administracji
[1] Wykaz podmiotów leczniczych MSWiA został wskazany w obwieszczeniu Ministra Spraw Wewnętrznych i Administracji z dnia 6 października 2023 r. w sprawie wykazu jednostek organizacyjnych podległych Ministrowi Spraw Wewnętrznych i Administracji lub przez niego nadzorowanych (M.P. poz. 1128).
[2] Zespół reagowania na incydenty bezpieczeństwa komputerowego.
[3] Dz. U. z 2025 r. poz. 450.
[4] Dz. U. poz. 773.
[5] Dz. U. z 2024 r. poz. 1077, z późn. zm., dalej: „ustawa o KSC”.
[6] Zgodnie z ustawą z dnia 4 września 1997 r. o działach administracji rządowej (Dz. U. z 2024 r. poz. 1370, z późn. zm.), sprawy z zakresu bezpieczeństwa cyberprzestrzeni w wymiarze cywilnym należą do działu informatyzacja, którym kieruje Minister Cyfryzacji (art. 12a ust. 1 pkt 10), natomiast za kwestie związane z bezpieczeństwem cyberprzestrzeni w wymiarze militarnym odpowiedzialny jest Minister Obrony Narodowej (art. 19 ust. 1 pkt 1a).
[7] Dz. U. poz. 1907.