Co jeszcze musi się wydarzyć, abyśmy zauważyli, że na rynku już istnieją bezpieczne rozwiązania chroniące kluczowe informacje? Co więcej, ostatni incydent dotyczący systemów MyDr pokazuje skalę tego wyzwania. Według komunikatu rządu nieuprawniony dostęp do historycznych danych może dotyczyć 18,8 mln osób i ponad 12 tys. placówek medycznych. Wśród przejętych informacji mogły znajdować się numery PESEL, dane kontaktowe, informacje o receptach, notatki z wizyt i dane dotyczące stanu zdrowia.
Nie chodzi o szukanie prostych winnych ani o przekonanie, że istnieje jedno narzędzie, które zatrzyma każdy cyberatak. Warto jednak zadać pytanie: czy projektując cyfrową ochronę zdrowia, wykorzystujemy wszystkie mechanizmy bezpieczeństwa, które już są dostępne?
Co na to NIS2
Dyrektywa NIS2 zalicza ochronę zdrowia do sektorów o wysokiej krytyczności. W art. 24 ust. 1 wskazuje również, że „państwa członkowskie zachęcają podmioty kluczowe i ważne do korzystania z kwalifikowanych usług zaufania”.
Warto podkreślić, że kwalifikowane usługi zaufania działają dziś na polskim i europejskim rynku, pod nadzorem, z okresowymi audytami i wymaganiami bezpieczeństwa określonymi prawem.
Dzięki temu usługi te pozwalają skutecznie zabezpieczyć cały cykl życia cyfrowych dokumentów i danych.
Mechanizmy, które są już dostępne
Przykładem jest kwalifikowana usługa rejestrowanego doręczenia elektronicznego. Pozwala potwierdzić tożsamość nadawcy i odbiorcy, integralność przekazywanych danych oraz moment ich wysłania i odbioru. To nie tylko list polecony, to usługa zabezpieczająca przekazywanie danych między stronami komunikacji, która będzie wykorzystywana do wymiany danych w ramach Europejskiego Portfela Tożsamości Cyfrowej (EUDI Wallet). Dlatego w wielu procesach może być bezpieczniejszą alternatywą dla przesyłania dokumentacji medycznej i zastąpić zwykłą pocztą elektroniczną.
Ale e-Doręczenia to tylko jeden z dostępnych mechanizmów.
- Kwalifikowany podpis elektroniczny pozwala potwierdzić tożsamość autora dokumentu i chronić jego integralność.
- Kwalifikowana pieczęć elektroniczna potwierdza pochodzenie dokumentu od określonej placówki, laboratorium, apteki lub innej organizacji.
- Kwalifikowany elektroniczny znacznik czasu umożliwia wiarygodne potwierdzenie, że określone dane lub dokument istniały w danym momencie.
- Kwalifikowana usługa archiwizacji elektronicznej — e-archiwum — może wspierać długoterminowe przechowywanie dokumentów, zachowując ich bezpieczeństwo, integralność, autentyczność.
- Usługi konserwacji podpisów i pieczęci pozwalają zachować możliwość potwierdzenia ich ważności również po upływie wielu lat, mimo zmian technologicznych lub wygaśnięcia certyfikatów.
Ma to szczególne znaczenie w ochronie zdrowia, gdzie dokumentacja musi pozostać wiarygodna, kompletna i możliwa do zweryfikowania przez długi czas.
Usługi zaufania jako element architektury bezpieczeństwa
Obowiązkiem dostawców usług zaufania jest zapewnienie zarządzania dostępem, bezpiecznego przechowywania danych, segmentacji sieci, kopii zapasowych, MFA, monitorowania incydentów oraz właściwych procedur organizacyjnych.
Z tego powodu mogą stanowić jeden z podstawowych elementów takiej architektury – zwłaszcza tam, gdzie dane, nie tylko medyczne, są przekazywane między, placówkami, lekarzami, laboratoriami, aptekami, pacjentami i systemami publicznymi i komercyjnymi.
Od deklaracji do praktyki
Być może nie potrzebujemy kolejnych deklaracji na temat znaczenia cyberbezpieczeństwa. Potrzebujemy praktycznego włączenia kwalifikowanych usług zaufania do procesów ochrony zdrowia:
- zastępowania zwykłego e-maila rejestrowanym doręczeniem elektronicznym,
- podpisywania i pieczętowania dokumentacji medycznej,
- wiarygodnego znakowania dokumentów czasem,
- bezpiecznej archiwizacji elektronicznej,
- długoterminowej konserwacji podpisów i pieczęci,
- interoperacyjności i możliwości wyboru spośród wielu kwalifikowanych dostawców.
Podsumowując: technologiczne rozwiązania, sprawdzeni dostawcy oraz europejskie ramy prawne i standardy są już dostępne na rynku.
Szczególnie w takich sytuacjach przypominamy, że poprzez niezbędną legislację krajową i realne partnerstwo publiczno-prywatne kwalifikowane usługi zaufania powinny stać się naturalnym elementem bezpieczeństwa cyfrowej ochrony zdrowia oraz innych kluczowych danych, ich wymiany i przechowywania. Te rozwiązania są gotowe, trzeba je tylko chcieć zauważyć.
Adam Ptasiewicz
Data publikacji 7.09.2026