Gdy system stanie: pierwsza godzina po cyberataku, zgłoszenia i praca bez systemu

Sobota, 2:40 w nocy, szpital powiatowy. Pielęgniarka na izbie przyjęć chce wydrukować opaskę identyfikacyjną dla przyjmowanego pacjenta, a zamiast systemu widzi na ekranie żądanie okupu. Na drugim stanowisku to samo. Informatyk ma dyżur pod telefonem i dojedzie za czterdzieści minut. Dyrektor śpi. Dostawca systemu przyjmuje zgłoszenie, ale analizę zacznie dopiero po rozmowie z kimś decyzyjnym. Firma od analizy powłamaniowej, jeśli szpital ma z nią umowę, przyjedzie rano.

Do rana wszystko robią ludzie, którzy są na miejscu. Nikt z zewnątrz nie przejmie od nich pierwszej godziny. To, co zrobią, zależy od decyzji podjętych wcześniej: ile danych szpital zgodził się stracić, kto dowodzi w nocy, gdzie leżą formularze papierowe i kto ma dostęp do systemu zgłoszeń. W przychodni awaria wygląda zwykle skromniej, bo pada łącze i lekarz nie wystawi e-recepty. Mechanizm jest ten sam: kto nie ustalił zasad przed awarią, ustala je przy pacjencie.

Dla kogo i jak czytać. Dyrektor szpitala przeczyta całość. Kierownik IT i pełnomocnik do spraw cyberbezpieczeństwa zaczną od pierwszej godziny i dwóch zegarów. Pielęgniarka naczelna oraz kierownicy izby przyjęć, apteki i laboratorium znajdą swoje części w rozdziałach o pracy bez systemu i o powrocie systemu. Właściciel gabinetu i kierownik przychodni mogą zacząć od pracy bez internetu, potem przeczytać część o RODO w dwóch zegarach i swoją podsekcję w rozdziale o skali, gdzie zarząd sieci znajdzie też odpowiedź, kto decyduje za wszystkie lokalizacje. Przepisy i terminy podaję według stanu na 29.09.2026.

RPO i RTO: ile danych i ile godzin placówka może stracić

Szpital, w którym kopia bazy danych robi się raz na dobę o 23:00, po awarii o 22:00 odtworzy system bez ostatnich dwudziestu trzech godzin: przyjęć, zleceń, podań leków, wyników, opisów badań. Kopia zadziała dokładnie tak, jak ją ustawiono. Kłopot w tym, że o jej rytmie zdecydował informatyk, bo nikt inny o nim nie decydował.

Dwa skróty w języku oddziału

RPO (Recovery Point Objective) odpowiada na pytanie: z ilu ostatnich godzin pracy możemy stracić wpisy. Kopia raz na dobę oznacza, że w najgorszym razie znika prawie cała doba, kopia co kwadrans, że najwyżej kwadrans.

RTO (Recovery Time Objective) odpowiada na drugie pytanie: jak długo oddział może pracować bez systemu, zanim zacznie się szkoda dla pacjenta albo dla szpitala. Liczy się od chwili, w której system przestał działać, do chwili, w której pielęgniarka znów otwiera kartę pacjenta w systemie. Nocna awaria zauważona po godzinie ma już godzinę RTO za sobą. Start usługi na serwerze to jeszcze nie koniec, bo trzeba sprawdzić dane, uruchomić integracje z laboratorium i z P1 i zalogować użytkowników.

Krótsze RPO to częstsze kopie, replikacja albo drugi serwer. Krótsze RTO to sprzęt zapasowy, spisana procedura i ktoś, kto ją wykona o trzeciej w nocy. Informatyk wie, ile to kosztuje, kierownik oddziału wie, ile oddział zniesie. Decyzję podejmuje dyrektor.

Dlaczego decyduje dyrektor, a nie informatyk

Ustawa o krajowym systemie cyberbezpieczeństwa (KSC) każe podmiotowi kluczowemu i ważnemu prowadzić systematyczne szacowanie ryzyka (art. 8 ust. 1 pkt 1 ustawy o KSC) i wdrożyć środki proporcjonalne do ryzyka, w tym wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania, planów awaryjnych i planów odtworzenia działalności (art. 8 ust. 1 pkt 2 lit. f, w brzmieniu z nowelizacji, Dz.U. 2026 poz. 252). Plan odtworzenia bez docelowego czasu i dopuszczalnej utraty danych jest opisem czynności bez miary. Decyzje w zakresie systemu zarządzania bezpieczeństwem informacji podejmuje kierownik podmiotu i on planuje na nie środki finansowe (art. 8d pkt 1 i 2), a odpowiada za nie także wtedy, gdy je powierzył (art. 8c ust. 1 i 3). Termin wdrożenia zależy od statusu szpitala w dniu wejścia nowelizacji w życie; daty są w rozdziale Kalendarz poradnika KSC.

RODO dokłada wymóg niezależny od wielkości placówki: administrator zapewnia zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu (art. 32 ust. 1 lit. c RODO) i musi umieć wykazać, jak to zapewnił (art. 5 ust. 2 RODO). Żaden przepis nie podaje liczby godzin. Każdy zakłada, że ktoś ją ustalił na podstawie ryzyka, a ryzyko dla pacjenta zna oddział.

Rozmowa z kierownikami komórek

Ankieta z pytaniem „jakie RPO dla waszego oddziału?” nie da odpowiedzi. Pełnomocnik do spraw cyberbezpieczeństwa albo kierownik IT siada na pół godziny z kierownikiem komórki i pielęgniarką oddziałową i pyta o pracę, nie o technikę:

1. Co robicie w pierwszej godzinie, gdy system nie działa? Na czym zapisujecie, skąd bierzecie listę pacjentów i zleceń?
2. Które informacje z ostatnich godzin odtworzycie z papieru albo z pamięci, a których nie? Wynik z analizatora zwykle da się ponownie przesłać, dopóki urządzenie trzyma go w pamięci. Godziny nocnego podania leku bez wpisu nikt nie odtworzy.
3. Po ilu godzinach papier przestaje wystarczać? Kiedy zaczynacie odsyłać pacjentów albo wstrzymywać zabiegi?
4. Czy noc i weekend wyglądają inaczej? Kto wtedy ogłasza awarię i kto wie, gdzie są formularze?
5. Które inne komórki stają, gdy wy stoicie?

Z pytań 1 i 2 wychodzi RPO, z pytania 3 RTO. Pytania 4 i 5 pokazują dziury w procedurze pracy bez systemu. Oddział, który zniesie dobę bez systemu, nie zniesie jej bez wyników z laboratorium.

Tabela wymagań na jedną stronę

Wynik rozmów to jedna tabela. Liczby poniżej pokazują jej budowę, nie są normą ani zaleceniem: w każdym szpitalu wyjdą inne.

Z tabeli wynikają dwie reguły. Wspólny system dostaje wymagania od najbardziej wymagającej komórki: jeśli izba przyjęć potrzebuje piętnastu minut, cały system szpitalny ma kopię co piętnaście minut. RTO jest też wymaganiem dla papieru: jeśli izba ma pracować bez systemu dwie godziny, procedura papierowa musi wystarczyć co najmniej na tyle, a realnie na dłużej. Tabela pokazuje też rozjazdy: w przykładzie izba wraca do systemu dwie godziny przed laboratorium i przez ten czas pracuje na wydrukach z analizatorów. Z niej wynika również kolejność odtwarzania, więc informatyk w nocy nie ustala priorytetów sam.

Nie każde wydłużenie tolerowanego RTO wymaga serwera. Oddział, który co kilka godzin dostaje aktualną listę pacjentów z bieżącymi zleceniami leków, przetrwa bez systemu dłużej niż oddział, który zaczyna od pustej kartki; jak ją przygotować, opisuję w rozdziale o pracy bez systemu.

Awaria dysku to nie atak

Po awarii dysku odtwarza się ostatnią kopię. Po ataku najpierw trzeba ustalić, która kopia jest czysta. Jeśli napastnik był w sieci od tygodnia, ostatnia czysta kopia może być sprzed tygodnia. RPO na wypadek ataku wymaga więc dwóch rzeczy, których nie ustawia się częstotliwością: kopii, której napastnik z sieci placówki nie zmieni ani nie skasuje, i przechowywania kopii na tyle długo, żeby było z czego wybierać. Wpiszcie do tabeli osobne RTO na wypadek ataku, bo będzie dłuższe.

Czas reakcji serwisu w umowie z dostawcą to nie RTO: podjęcie zgłoszenia w dwie godziny nie oznacza działającego systemu po dwóch godzinach. O zapisie czasu przywrócenia działania jest rozdział Czasy reakcji w poradniku o umowie z dostawcą.

Kto co podpisuje

Kierownicy komórek potwierdzają swoje wiersze tabeli. Informatyk dopisuje, jak osiąga każdą liczbę (na przykład kopią dziennika transakcji bazy danych co kwadrans zamiast pełnej kopii raz na dobę) i ile to kosztuje. Pełnomocnik do spraw cyberbezpieczeństwa wpisuje tabelę do planu ciągłości działania. Dyrektor zatwierdza całość, a liczby, na które szpitala nie stać, świadomie luzuje i podpisuje, że przyjmuje ryzyko. Ryzyko przyjęte z podpisem jest decyzją. To samo ryzyko bez podpisu jest zaniedbaniem.

Liczby w tabeli są prawdziwe dopiero po teście odtworzenia z zegarkiem w ręku: jeśli test pokaże dziewięć godzin przy zapisanych dwóch, prawdziwa liczba to dziewięć, a przebieg i rytm takiego testu opisuje rozdział Kopia zapasowa, która się odtwarza poradnika o infrastrukturze.

Pierwsza godzina: kto co robi, zanim ktokolwiek przyjedzie

Tabela z poprzedniego rozdziału mówi, do jakiego stanu wracacie. Pierwsza godzina decyduje, czy będzie z czego wrócić, bo rozstrzygają się w niej trzy sprawy, których później nie da się naprawić. Kopie zapasowe: napastnik, który zaszyfrował stacje robocze, zwykle szuka też serwera kopii. Ślady: restart serwera kasuje zawartość pamięci, z której później odczytuje się, którędy wszedł napastnik. Zegar: od godziny wykrycia biegną terminy zgłoszeń, a notatka spisana o trzeciej w nocy będzie podstawą każdego z nich. Pełna wiedza o ataku przyjdzie za kilka dni. Decyzje trzeba podjąć teraz, na tym, co wiadomo.

Podział na kwadranse to kolejność, nie stoper. Gdy informatyk dopiero jedzie, część czynności wykonuje osoba na miejscu według jego poleceń przez telefon.

Kto dowodzi, zanim obudzi się dyrektor

W procedurze wpisuje się z nazwiska, kto dowodzi incydentem w nocy i w weekend, zwykle dyżurny informatyk, i kto przejmuje dowodzenie rano. Dowodzący zbiera informacje, decyduje o odcięciu sieci i pilnuje dziennika działań. Pracą oddziałów na papierze kieruje równolegle ktoś inny, kierownik akcji, opisany w rozdziale o pracy bez systemu. Bez takiego zapisu o trzeciej w nocy każdy czeka na kogoś innego.

Dział IT, minuty od 0 do 15: odciąć, nie niszczyć

1. Odłączyć zainfekowany komputer lub serwer od sieci: wyjąć kabel, wyłączyć Wi-Fi. Zasilania nie wyłączać. Gdy komunikat widać na wielu stanowiskach, szybciej jest odciąć łącze do internetu i połączenia między budynkami na zaporze albo przełączniku. Serwer wirtualny odłącza się od sieci w konsoli wirtualizacji, bez wyłączania maszyny.
2. Odłączyć od sieci serwer kopii zapasowych i sprawdzić datę ostatniej udanej kopii. Gdy kopia trafia do chmury albo drugiej lokalizacji, wstrzymać synchronizację, żeby zaszyfrowane pliki nie nadpisały dobrych wersji.
3. Zapisać godzinę wykrycia, kto wykrył atak i na jakim urządzeniu.
4. Wstrzymać dostęp zdalny: VPN dostawców, pulpity zdalne, konta serwisowe. Hasła do usług dostępnych z internetu (poczta w chmurze, portal VPN, S46) zmieniać z urządzenia spoza zaatakowanej sieci. Hasła w domenie zmienia się dopiero po ustaleniu z firmą od analizy powłamaniowej, czy kontroler domeny jest czysty, bo nowe hasło wpisane na przejętym serwerze trafi do napastnika.
5. Powiadomić dowodzącego telefonicznie, nie firmową pocztą, bo skrzynkę i komunikator zalogowany kontem z domeny placówki może czytać napastnik.

Punkt drugi ma podstawę w art. 32 ust. 1 lit. c RODO: placówka, która straci kopie w pierwszej godzinie, traci zdolność do szybkiego przywrócenia dostępności danych.

Dział IT, minuty od 15 do 30: zabezpieczyć ślady

Ekran z żądaniem okupu i komunikaty błędów fotografuje się telefonem tak, żeby było widać godzinę. Dzienniki zapory, VPN, serwera domeny i systemu kopii kopiuje się na czysty nośnik poza siecią, zanim się nadpiszą. Pendrive, który krążył po zaatakowanej sieci, może przenieść złośliwe oprogramowanie dalej.

Od tej chwili ktoś prowadzi dziennik działań na papierze: godzina, kto, co zrobił, na jakim urządzeniu. Administrator danych dokumentuje każde naruszenie, jego skutki i działania zaradcze (art. 33 ust. 5 RODO), a wczesne ostrzeżenie według KSC wskazuje moment wystąpienia i wykrycia incydentu oraz czas jego trwania (art. 12 ust. 1 pkt 4 ustawy o KSC). Bez dziennika te dane odtwarza się po tygodniu z pamięci, a pamięć po nocy bez snu jest zawodna. Przy SOR i bloku operacyjnym przywrócenie pracy może być pilniejsze niż zabezpieczenie śladów; kolejność ustala dyrektor, a jego decyzja trafia do dziennika.

Oddział: papier od pierwszych minut

Izba przyjęć nie czeka, aż informatyk dojedzie albo ktoś dodzwoni się do dyrektora. Pracę na papierze ogłasza kierownik akcji, w nocy zwykle lekarz kierujący dyżurem, i zapisuje godzinę. Przepisy to dopuszczają: dokumentację prowadzi się w postaci papierowej, gdy warunki organizacyjno-techniczne uniemożliwiają postać elektroniczną (§ 1 ust. 2 rozporządzenia Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania). Ten sam dokument nie może być prowadzony w obu postaciach naraz (§ 1 ust. 3), więc godzina przejścia będzie potrzebna przy powrocie systemu.

Do końca pierwszej godziny zapada decyzja o ograniczeniu przyjęć i o tym, kto informuje dyspozytornię medyczną, lekarza koordynatora ratownictwa medycznego i podmiot tworzący. Urządzenia medyczne, od których zależy leczenie, zostają w rękach działu aparatury i nie są odłączane na ślepo. Kolejność ustala się przed atakiem, a nie przy łóżku pacjenta.

Sekretariat dyrekcji: telefony i dane do zgłoszenia

W nocy i w weekend sekretariatu nie ma, więc procedura wskazuje, kto przejmuje jego rolę do rana, na przykład centrala albo pielęgniarka koordynująca dyżur. Ta osoba dzwoni według papierowej listy i zapisuje, kogo i o której poinformowała: dyrektor, zastępca, inspektor ochrony danych, pielęgniarka naczelna, osoba do kontaktu z mediami, dostawcy systemów, firma od analizy powłamaniowej. Na liście są numery komórkowe, bo centrala w tej samej sieci co system może przestać działać razem z nim.

Druga rola to dane do wczesnego ostrzeżenia: dane podmiotu oraz imię, nazwisko, służbowy telefon i adres e-mail osoby zgłaszającej i osoby uprawnionej do składania wyjaśnień (art. 12 ust. 1 pkt 1 do 3 ustawy o KSC). O trzeciej w nocy nikt nie powinien szukać numeru rejestrowego szpitala. Te dane leżą w papierowej teczce kryzysowej, razem z nazwiskami co najmniej dwóch osób, które mają konto w S46, systemie teleinformatycznym Ministerstwa Cyfryzacji do zgłaszania incydentów (art. 11 ust. 2 ustawy o KSC).

Minuta sześćdziesiąta: dwie oceny i dwa zakazy

Do końca godziny dowodzący, inspektor ochrony danych i dyrektor albo jego zastępca oceniają, czy to incydent poważny w rozumieniu KSC, czyli między innymi poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi (art. 2 pkt 7 ustawy o KSC), i czy doszło do naruszenia ochrony danych osobowych, na przykład utracenia danych albo nieuprawnionego dostępu do nich (art. 4 pkt 12 RODO). Przy zaszyfrowanym systemie szpitalnym odpowiedź na oba pytania zwykle brzmi tak. Napastnik często kopiuje dane, zanim je zaszyfruje, więc brak śladów wycieku w pierwszej godzinie nie oznacza, że wycieku nie było.

Są też dwa zakazy. Nie przywraca się systemów z kopii, zanim wiadomo, którędy wszedł napastnik i czy kopia jest czysta, bo przywrócony system może zostać zaszyfrowany drugi raz, tym razem wraz z ostatnią dobrą kopią. Nie odpowiada się na żądanie okupu: kontakt z przestępcami to decyzja kierownika podmiotu po rozmowie z CSIRT i z policją, a nie informatyka o trzeciej w nocy.

Ten rozdział mieści się na jednej stronie A4 do powieszenia w dyżurce IT i na izbie przyjęć: to materiał Pierwsza godzina po cyberataku (PDF, 1 strona). Dopiero wpisanie w nim numerów pokazuje luki: dostawca bez dyżuru nocnego, jedna osoba z dostępem do S46, brak umowy na analizę powłamaniową.

Dwa zegary: zgłoszenie do CSIRT według KSC i do UODO według RODO

Zaszyfrowany system szpitalny to zwykle dwa zdarzenia naraz: incydent poważny według ustawy o KSC i naruszenie ochrony danych według RODO. Każde ma swój termin, swojego adresata i inny punkt startu zegara. Kierownik IT zna S46, inspektor ochrony danych zna formularz UODO, a każdy bywa pewien, że drugie zgłoszenie wysłał ktoś inny. Jedno zgłoszenie nie zastępuje drugiego.

Który zegar was dotyczy

Zegar KSC dotyczy podmiotu kluczowego i ważnego. Gabinet i mała przychodnia co do zasady są poza ustawą, bo progi wielkości zaczynają się od średniego przedsiębiorcy (art. 5 ust. 1 pkt 1 i ust. 2 pkt 1 ustawy o KSC). Podmiot leczniczy niebędący przedsiębiorcą, na przykład samodzielny publiczny zakład opieki zdrowotnej, jest podmiotem ważnym od 50 zatrudnionych, a kluczowym od 250 (art. 5 ust. 8). Jak ustalić status, także w sieci kilku spółek, opisuje rozdział Czy ustawa was obejmuje poradnika KSC. Zegar RODO dotyczy każdej placówki, od gabinetu jednego lekarza po sieć szpitali.

Zegar KSC liczy od wykrycia

Podmiot kluczowy albo ważny zgłasza incydent poważny do właściwego CSIRT sektorowego, dla ochrony zdrowia to CSIRT Centrum e-Zdrowia (CSIRT CeZ). Art. 11 ust. 1 ustawy o KSC daje trzy terminy: wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od wykrycia (pkt 4), zgłoszenie incydentu nie później niż w ciągu 72 godzin od wykrycia (pkt 4a) i sprawozdanie końcowe w ciągu miesiąca od dnia zgłoszenia (pkt 4c). Wszystko przechodzi przez S46 (art. 11 ust. 2). Podmiot ważny, który jest podmiotem publicznym w rozumieniu ustawy, przekazuje tylko zgłoszenie, bez wczesnego ostrzeżenia i sprawozdań (art. 12c). Samodzielny publiczny zakład opieki zdrowotnej nie jest podmiotem publicznym w tym rozumieniu, więc szpital SPZOZ wysyła komplet.

Zgłasza się to, co wiadomo w danej chwili, i uzupełnia w trakcie obsługi (art. 12 ust. 5). We wczesnym ostrzeżeniu można poprosić o wytyczne albo wsparcie techniczne, a CSIRT sektorowy przekazuje je w ciągu 24 godzin, przy incydencie wyczerpującym znamiona przestępstwa także z informacją o sposobie zgłoszenia organom ścigania (art. 12 ust. 2). Dla szpitala z jednym informatykiem na dyżurze to realna pomoc. Jeśli po miesiącu obsługa jeszcze trwa, zamiast sprawozdania końcowego idzie sprawozdanie z postępu, a końcowe w miesiąc od zakończenia obsługi (art. 12b ust. 1 i 2).

Te zasady zgłaszania należą do obowiązków, które podmioty objęte ustawą w dniu wejścia nowelizacji w życie wdrażają do 3 kwietnia 2027. Szpital, który był dotąd operatorem usługi kluczowej, stosuje je wcześniej, w 6 miesięcy od wejścia nowelizacji w życie, czyli od 3 października 2026 (art. 33 ust. 4 ustawy nowelizującej); cały kalendarz jest w rozdziale Kalendarz. Za zgłoszenia odpowiada kierownik podmiotu, także gdy powierzył je innej osobie (art. 8c ust. 1 i 3 ustawy o KSC), a od 3 kwietnia 2028 za niewykonanie obowiązków z art. 11 karę pieniężną można nałożyć także na kierownika (art. 73a ust. 1 pkt 9).

Zegar RODO liczy od stwierdzenia

Administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w 72 godziny po jego stwierdzeniu, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób (art. 33 ust. 1 RODO). Do zgłoszenia po 72 godzinach dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 zdanie drugie), a informacje, których nie da się podać od razu, wolno przekazywać etapami (art. 33 ust. 4). Wyjątek mało prawdopodobnego ryzyka przy danych o zdrowiu stosowałbym bardzo ostrożnie, a decyzję o niezgłaszaniu opisałbym na piśmie; przy groźbie publikacji danych trudno jej bronić.

KSC liczy od wykrycia incydentu, RODO od stwierdzenia naruszenia. Atak widać o 22:00, a to, że napastnik miał dostęp do bazy pacjentów, wychodzi następnego dnia. Kusi, żeby zegar RODO uruchomić jak najpóźniej. Bezpieczniej zapisać w dzienniku obie godziny z uzasadnieniem, bo dokumentacja naruszenia ma pozwolić organowi sprawdzić terminy (art. 33 ust. 5 RODO).

Gdy naruszenie może powodować wysokie ryzyko dla praw lub wolności pacjentów, zawiadamia się także ich, bez zbędnej zwłoki, jasnym i prostym językiem (art. 34 ust. 1 i 2 RODO). Ustawa o KSC osobno każe informować użytkowników usług o incydencie poważnym, który ma niekorzystny wpływ na świadczenie usług (art. 11 ust. 2b), bez terminu. Dla szpitala użytkownikiem usługi jest przede wszystkim pacjent, więc przygotujcie jeden komunikat, który spełni oba przepisy.

Oś czasu: kto, kiedy, do kogo

Ustawa nie przypisuje tych czynności stanowiskom. Kolumna „kto” to praktyka szpitala z kierownikiem IT, inspektorem ochrony danych i dyrektorem.

Kanał zgłoszenia do UODO sprawdźcie przed atakiem. Strona UODO wskazuje formularz elektroniczny na biznes.gov.pl (stan na 29.09.2026), a ustawa o KSC przewiduje, że S46 posłuży podmiotom kluczowym i ważnym także do zgłoszenia naruszenia z art. 33 RODO (art. 46 ust. 1 pkt 7 ustawy o KSC); tę funkcję minister cyfryzacji ma uruchomić do 3 kwietnia 2027 (art. 36 ustawy nowelizującej), więc sprawdźcie, czy już działa. Nawet przy wspólnym kanale to nadal dwa zgłoszenia z dwiema treściami.

Jakie dane wyciągnąć z systemu

Wczesne ostrzeżenie jest krótkie i jego dane są w dzienniku działań i w teczce kryzysowej (art. 12 ust. 1 ustawy o KSC). Zgłoszenie do CSIRT pyta o skutki dla usługi: która ucierpiała, u ilu użytkowników, na jakim obszarze i jak wpłynęło to na usługi innych podmiotów (art. 12 ust. 3 pkt 1). W szpitalu to liczba pacjentów przyjętych w trybie awaryjnym, oddziały na papierze, przekierowania karetek. Te liczby zbiera się z formularzy papierowych i od dyspozytorni, nie z zaszyfrowanej bazy.

Zgłoszenie do UODO pyta o kategorie i przybliżoną liczbę osób i wpisów, możliwe konsekwencje i zastosowane środki (art. 33 ust. 3 RODO). Tu potrzebny jest system: ilu pacjentów ma kartotekę, jakie dane w niej są, jakie konta miały dostęp i czy w dziennikach widać eksport danych. Jeśli dzienniki leżały tylko na zaszyfrowanym serwerze, odpowiedź brzmi „nie wiemy” i tak trzeba ją zapisać. Przepis mówi o liczbie przybliżonej, więc liczba z zestawienia sprzed kwartału jest lepsza niż czekanie na dokładną.

Liczbę kartotek i kategorie danych w każdym systemie trzyma jedna tabela, aktualizowana raz na kwartał i przechowywana poza siecią placówki. Ona i dziennik działań są jedynym źródłem liczb dla obu zgłoszeń, bo z S46 korzystają zarówno CSIRT sektorowe, jak i Prezes UODO (art. 46 ust. 2 ustawy o KSC), a sprzeczne liczby trzeba potem wyjaśniać w dwóch miejscach.

Z czego wyślecie zgłoszenie, gdy sieć leży

W noc ataku domena jest zaszyfrowana, a poczta nie działa. Zgłoszenie wychodzi z laptopa spoza domeny, przez łącze niezależne od sieci placówki, na przykład przez telefon udostępniający internet. Dane do logowania do S46 i urządzenie do uwierzytelniania wieloskładnikowego (MFA) nie mogą leżeć tylko na zaszyfrowanym serwerze ani w skrzynce służbowej. Konto w S46 ma więcej niż jedna osoba. Tak samo z formularzem UODO: kto otworzy go z prywatnego urządzenia i na jaki adres przyjdzie potwierdzenie, jeśli poczta placówki leży. Numer CSIRT CeZ wpiszcie do teczki kryzysowej sami, po sprawdzeniu na csirt.cez.gov.pl, bo w komunikatach Centrum e-Zdrowia pojawiały się różne numery (stan na 29.09.2026).

Gdy dostawca milczy

System może działać w chmurze dostawcy albo napastnik wszedł przez konto serwisowe dostawcy. Podmiot przetwarzający ma zgłosić naruszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO) i pomagać mu w obowiązkach z art. 32 do 36 (art. 28 ust. 3 lit. f RODO), ale przepis nie mówi, ile to godzin. Według komunikatu UODO z 12 sierpnia 2026 swoje 72 godziny liczycie od chwili, gdy na podstawie informacji od dostawcy wiecie, że incydent dotyczy waszych danych; komunikat i odpowiedzialność placówki wobec pacjenta omawia rozdział Wyciek z systemu dostawcy. Gdy dostawca nie odpowiada, robię cztery rzeczy:

1. Wysyłam do dostawcy pisemne pytania z godziną: czy incydent dotyczy danych placówki, jakich kategorii, od kiedy, jakie środki wdrożono. Pytania i brak odpowiedzi trafiają do dokumentacji naruszenia (art. 33 ust. 5 RODO).
2. Zgłaszam to, co wiem, i zaznaczam, czego jeszcze nie wiem (art. 12 ust. 5 ustawy o KSC, art. 33 ust. 4 RODO).
3. Jeśli zgłoszenie do UODO wychodzi po 72 godzinach, dołączam wyjaśnienie opóźnienia z datami pytań do dostawcy.
4. Placówka objęta KSC prosi we wczesnym ostrzeżeniu CSIRT CeZ o wsparcie i pisze, że incydent może dotyczyć dostawcy obsługującego inne placówki, bo zgłoszenie i tak opisuje wpływ na usługi innych podmiotów (art. 12 ust. 3 pkt 1 lit. d).

Milczenie dostawcy nie przenosi odpowiedzialności: w KSC kierownik odpowiada mimo powierzenia zadań (art. 8c), w RODO obowiązek zgłoszenia ma administrator. Czas, kanał i treść powiadomienia ustala się w umowie przed atakiem, według rozdziału Umowa powierzenia, a dostawców z dostępem zdalnym ocenia według rozdziału Dostawcy w łańcuchu dostaw.

Szpital bez systemu przez 72 godziny: izba przyjęć, apteka, laboratorium

Pierwszą godzinę szpital zwykle przetrwa, bo wszyscy są skupieni. Kłopot zaczyna się na drugiej zmianie: brakuje formularzy, numery kart się powtarzają, a apteka nie wie, ile zostało w magazynie. Trzecią dobę przetrwa ten, kto ją wcześniej rozpisał.

Plan leży w szufladzie, nie na serwerze

Plany ciągłości działania z art. 8 ust. 1 pkt 2 lit. f ustawy o KSC mają cztery czasowniki: wdrażać, dokumentować, testować i utrzymywać. Plan napisany, ale nieprzećwiczony, spełnia dwa z nich. Plan zapisany tylko w pliku na zaszyfrowanym serwerze nie spełnia żadnego.

Na papierze obowiązują te same reguły dokumentacji co zawsze. Wpis powstaje niezwłocznie po świadczeniu, czytelnie i chronologicznie, z własnoręcznym podpisem (§ 4 ust. 1 i 5 rozporządzenia o dokumentacji medycznej). Strony są numerowane (§ 6 ust. 1). Błędnego wpisu nie usuwa się, tylko skreśla z adnotacją o przyczynie, datą i oznaczeniem osoby (§ 4 ust. 6). Zeszyt z kilkoma pacjentami na jednej kartce tych warunków nie spełnia.

Co przygotować, zanim system padnie

Zestaw awaryjny to pudło w dyżurce oddziału, izby przyjęć, apteki i laboratorium, a nie folder na dysku sieciowym. W środku są formularze na trzy doby przy typowym obłożeniu (karty przyjęcia, karty zleceń, zapotrzebowania do apteki, zlecenia i wyniki laboratoryjne), opaski identyfikacyjne do opisania ręcznie, pula numerów awaryjnych, lista telefonów i jedna strona instrukcji. Ktoś ma w obowiązkach sprawdzanie pudła co kwartał, bo formularze znikają z niego przy każdej awarii drukarki.

Formularze nie powiedzą, kto leży na którym łóżku, na jakich lekach i z jakimi alergiami. Tę wiedzę daje lista pacjentów i aktualnych zleceń lekowych, eksportowana automatycznie co kilka godzin na komputer z lokalną drukarką. Ten komputer jest poza domeną, w osobnym segmencie sieci: system tylko wysyła do niego plik, a on sam nie sięga do reszty sieci, bo komputer w domenie zostanie zaszyfrowany razem z resztą. Na nim są dane pacjentów, więc stoi w zamykanym pomieszczeniu i ma szyfrowany dysk, a szyfrowanie RODO wymienia wprost wśród środków bezpieczeństwa (art. 32 ust. 1 lit. a RODO). Procedura mówi, kto niszczy nieaktualne wydruki. Zapytajcie dostawcę systemu, czy taki eksport istnieje i kto odpowiada za to, żeby działał.

Telefony IP i komunikator wewnętrzny mogą zniknąć razem z systemem, więc potrzebne są ustalone trasy gońców i jedno miejsce, do którego trafiają wyniki i zapotrzebowania. Zostaje kierownik akcji: jedna osoba z nazwiska na każdą porę doby, w dzień zwykle zastępca dyrektora do spraw medycznych albo wskazany przez niego lekarz, w nocy lekarz kierujący dyżurem. Ogłasza przejście na papier i powrót do systemu, a dział IT podaje mu przewidywany czas przestoju. Kierownik akcji prowadzi pracę oddziałów, dowodzący incydentem stronę techniczną. Bez kierownika akcji każdy oddział ogłasza własny tryb awaryjny.

Trzy doby, trzy różne kłopoty

Pierwsza doba to uruchomienie: ogłoszenie pracy na papierze, rozdanie zestawów, ostatnia lista pacjentów z oddziałów. Druga to zmęczenie papieru: kolejne zmiany, kończące się formularze, pierwsze zgubione zlecenia. Trzecia to przygotowanie powrotu: uzgodnienie list pacjentów, apteki i laboratorium oraz kolejności wprowadzania danych. Przy każdej zmianie kierownik akcji prowadzi odprawę, po której zostaje raport zmiany, lista pacjentów i spis dokumentów papierowych, podstawa późniejszego uzupełniania danych.

Izba przyjęć: numer, wykaz, decyzja

Karta dostaje numer ręcznie, a po powrocie system nadaje ten sam numer komuś innemu. Rozwiązuje się to przed awarią pulą numerów wykazu głównego przyjęć i wypisów, zarezerwowaną w systemie.

Wykaz główny przyjęć i wypisów oraz wykaz odmów i porad izby przyjęć nie są wymagane, gdy co najmniej historia choroby i karta informacyjna są prowadzone elektronicznie (§ 12 ust. 2 rozporządzenia o dokumentacji). Przy papierowej historii choroby ten warunek odpada, więc wykazy prowadźcie na papierze od pierwszej godziny. W wykazie odmów zapisuje się godzinę i minutę zgłoszenia i odmowy, powód i miejsce, do którego skierowano pacjenta (§ 24 ust. 1 pkt 4, 9, 10 i 12). Pacjent bez dokumentów dostaje oznaczenie „NN” z opisem przyczyny i okoliczności (§ 6 ust. 3), a kartę informacyjną, której nie da się przekazać elektronicznie podmiotowi kierującemu, przekazuje się na papierze (§ 3 ust. 2).

Na drugiej dobie przy każdej zmianie ktoś sprawdza kompletność kart: podpis, numer prawa wykonywania zawodu, godzinę. Na trzeciej zestawia karty z wykazem. Kierownik akcji w tym czasie decyduje o ograniczeniu przyjęć planowych. Receptę dla pacjenta wypisywanego z izby obowiązują te same zasady co w przychodni, łącznie z drogą przez gabinet.gov.pl, opisane w rozdziale o pracy bez internetu.

Apteka szpitalna: zapotrzebowanie i magazyn

W aptece szpitalnej ustala się procedury wydawania produktów leczniczych i wyrobów medycznych (art. 86 ust. 4 pkt 2 Prawa farmaceutycznego). Ta procedura powinna mieć część o trybie awaryjnym, bo w dniu awarii nikt jej nie dopisze. Oddział zamawia na papierowym zapotrzebowaniu z numerem, datą i godziną, a farmaceuta wpisuje ilość wydaną, serię i termin ważności i podpisuje. Produkty ze środkami odurzającymi i substancjami psychotropowymi wydaje się według odrębnych przepisów, poza zwykłym formularzem. Na oddziale częstą luką jest lek podany bez wpisanego zlecenia: zlecenie wpisuje lekarz prowadzący lub sprawujący opiekę, a wykonanie potwierdza osoba, która je wykonała (§ 18 ust. 3 rozporządzenia o dokumentacji).

Na trzeciej dobie apteka uzgadnia wydania z zapotrzebowaniami i stanem magazynu.

Laboratorium i pracownie: wynik, o którym ktoś wie

Analizatory mają własne oprogramowanie i mogą pracować dalej. Nie działa to, co łączy je z oddziałem: zlecenie, etykieta, przesłanie wyniku. Próbki dostają numery z puli awaryjnej. Wynik na papierze musi mieć elementy z ustawy: wartość z zakresem referencyjnym, laboratoryjną interpretację, autoryzację osoby uprawnionej oraz dane pacjenta, materiału, laboratorium, osoby wykonującej i autoryzującej (art. 2 pkt 8 ustawy o medycynie laboratoryjnej). Kartka z liczbą i nazwiskiem tego nie spełnia.

Wynik krytyczny laboratorium przekazuje telefonicznie. Odbierający zapisuje wynik i odczytuje go z powrotem, a na formularzu zostaje godzina oraz imię, nazwisko i funkcja osoby, która go przyjęła. To praktyka, nie przepis. Bez niej po trzech dobach nie da się ustalić, kto o wyniku wiedział. Wykaz pracowni, niewymagany przy wynikach elektronicznych (§ 33 ust. 2, dla laboratorium § 47 rozporządzenia o dokumentacji), prowadźcie w czasie przestoju na papierze.

Pracownia diagnostyki obrazowej wykona badanie, ale opis wraca na oddział z gońcem, a obrazy czekają na dysku aparatu albo stacji opisowej. Przed awarią sprawdźcie, ile dni badań aparat zmieści, zanim zacznie nadpisywać najstarsze.

Procedurę z listą punktów do sprawdzenia przed awarią, rolami i formularzami dla izby przyjęć, apteki i laboratorium zebrałem w materiale Praca bez systemu przez 72 godziny (PDF, 4 strony). W szpitalach, w których prowadziłem projekty, powtarzało się jedno: procedura, której nikt nie przećwiczył, w dniu awarii zostaje w szufladzie.

Przychodnia i gabinet bez internetu: e-recepta, e-skierowanie, zapasowa droga do P1

Szpital z poprzedniego rozdziału ma dyżurki, aptekę i kierownika akcji. Przychodnia z kontraktem z NFZ i gabinet mają rejestrację i kilku lekarzy, a ich awaria to najczęściej przecięty światłowód, nie żądanie okupu. Przychodnia stoi wtedy z powodu decyzji, których nikt wcześniej nie podjął: co wystawiamy na papierze, czego nie wystawimy w ogóle i kto po awarii uzupełni dane.

Trzy awarie, trzy różne sytuacje

Pierwsza: pada wasze łącze, a P1 działa. Druga: pada samo P1 i ten sam problem ma cała Polska. Trzecia: internet działa, ale nie działa wasz program gabinetowy albo serwer. Przy biurku lekarza wyglądają tak samo, a prawo traktuje je inaczej.

Podstawą recepty papierowej jest brak dostępu do systemu P1 (art. 95b ust. 2 pkt 1 Prawa farmaceutycznego). Pierwsza i druga sytuacja mieszczą się w tym zapisie. Trzecia nie wprost, bo droga do P1 istnieje: Centrum e-Zdrowia udostępnia aplikację gabinet.gov.pl do wystawiania recept, więc przy awarii programu i działającym internecie pierwszym krokiem jest ona, nie druk. Sprawdźcie wcześniej, czy wasi lekarze umieją się do niej zalogować i co w niej wystawią w imieniu przychodni.

E-recepta: co wolno na papierze, a czego nie

Receptę na leki kategorii Rpw oraz na leki z substancjami z grup II-N, III-P i IV-P wystawia się wyłącznie elektronicznie (art. 95b ust. 1a Prawa farmaceutycznego). W przychodni to między innymi alprazolam, diazepam, lorazepam i zolpidem, które wykaz ministra zdrowia zalicza do grupy IV-P. Bez dostępu do P1 takiej recepty nie wystawicie w żadnej postaci. Gdy padło tylko wasze łącze, lekarz może ją wystawić w gabinet.gov.pl z komputera podłączonego do internetu przez telefon, jeśli logowanie sprawdziliście wcześniej. Gdy nie działa samo P1, rejestracja umawia tych pacjentów na inny termin.

Recepta papierowa na lek refundowany ma zawierać unikalny numer nadany przez dyrektora oddziału wojewódzkiego NFZ (art. 96a ust. 8 pkt 6 Prawa farmaceutycznego), więc paczka starych druków bez numerów nie wystarczy. Numery pobiera się wcześniej, a świadczeniodawca przechowuje druki i numery tak, żeby nie zginęły i nie trafiły do osób nieuprawnionych (art. 95aa ust. 1). Gdy lekarz odchodzi, o niewykorzystanych numerach powiadamia się oddział NFZ (art. 95aa ust. 2). Sprawdźcie też, czy program gabinetowy, jeśli działa lokalnie, umie wydrukować receptę papierową z numerem z puli.

Recepty wystawione przed awarią P1 da się zrealizować w czasie awarii. Apteka wydaje lek na podstawie informacji o recepcie, na przykład wydruku albo wiadomości e-mail, po okazaniu dokumentu tożsamości i oświadczeniu, że recepty nie zrealizowano, złożonym pod rygorem odpowiedzialności karnej (art. 96 ust. 1a i 1b Prawa farmaceutycznego). Pacjent ma prawo zażądać wydruku informacji o recepcie (art. 96b ust. 2 pkt 3), więc starszy pacjent bez Internetowego Konta Pacjenta wychodzi z przychodni z wydrukiem.

E-skierowanie i e-zwolnienie

Skierowanie, które co do zasady wystawia się jako e-skierowanie, może mieć postać papierową przy braku dostępu do P1 albo dla osoby o nieustalonej tożsamości (art. 59aa ust. 3 pkt 1 i 2 ustawy o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych). Skierowania zapisanego w P1 nie zmienia się później: gdy treść wymaga poprawy, wystawiający je anuluje i wystawia nowe (art. 59aa ust. 6). Powiedzcie to lekarzom przed awarią, bo po jej ustaniu kusi poprawianie w pośpiechu.

Zwolnienie lekarskie idzie przez system ZUS i ma własną drogę zapasową. Gdy wystawienie e-zwolnienia nie jest możliwe, na przykład bez internetu, lekarz w dniu badania przekazuje pacjentowi zaświadczenie na formularzu wydrukowanym wcześniej z systemu ZUS, z podpisem i pieczątką (art. 55a ust. 7 ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa). W ciągu 3 dni roboczych od wystawienia przesyła je do ZUS elektronicznie, a jeśli internetu wciąż nie ma, w ciągu 3 dni roboczych od jego powrotu (art. 55a ust. 9). Formularza nie wydrukujecie w dniu, w którym nie ma internetu, więc plik formularzy dla każdego lekarza drukuje się wcześniej.

Zapasowa droga do P1

Najprostsza droga zapasowa to drugie łącze od innego operatora i inną drogą fizyczną, na przykład router z kartą SIM innej sieci, który przejmuje ruch, gdy światłowód padnie. Dwa łącza jednego operatora w tym samym kanale kablowym padną od tej samej koparki. Router zapasowy podłączcie do zasilania awaryjnego. Jeśli telefony rejestracji działają przez internet, centrala też musi przechodzić na łącze zapasowe.

Raz w miesiącu odłączcie główne łącze na kilka minut i sprawdźcie z jednego gabinetu, że program łączy się z P1. Router, który przez rok nie przejął ruchu, mógł stracić ważną kartę SIM albo pakiet danych. Przy abonamencie w chmurze bez łącza nie ma ani P1, ani karty pacjenta, przy serwerze w budynku karta się otworzy; porównanie modeli jest w rozdziale SaaS, serwer lokalny czy chmura prywatna.

Do P1 system łączy się certyfikatem, którym usługodawca uwierzytelnia się w P1 (art. 16 ust. 5a ustawy o systemie informacji w ochronie zdrowia). Awaria, która wygląda jak brak internetu, bywa wygasłym certyfikatem. Zapiszcie, gdzie on jest, kto ma do niego dostęp i kiedy wygasa, a datę wpiszcie do kalendarza z przypomnieniem; więcej w rozdziale Certyfikaty.

Po powrocie systemu: papier zostaje oryginałem, uzupełnianie danych

Po powrocie systemu zostają karty papierowe, recepty wystawione poza systemem, godziny utracone w odtworzonej bazie i terminy, które biegły w tym czasie. Im dłuższe RPO i RTO, tym więcej godzin pielęgniarek, sekretarek medycznych i działu rozliczeń, a ten koszt należy do rachunku z rozdziału o RPO i RTO.

Papier zostaje oryginałem

Zakaz prowadzenia tego samego dokumentu w obu postaciach (§ 1 ust. 3 rozporządzenia o dokumentacji medycznej) działa także po awarii, a system zapisuje czas sporządzenia dokumentacji i dokonania wpisu (§ 1 ust. 6 pkt 4). Karta przepisana do systemu jako nowy dokument z datą wsteczną będzie widoczna w historii wpisów. Papier zostaje więc oryginałem. Do systemu trafiają rozpoznania, podane leki, wyniki i zabiegi potrzebne do dalszego leczenia i rozliczenia, jako wpisy z bieżącą datą i adnotacją, z którego dokumentu papierowego pochodzą. Leki i wyniki sprawdza druga osoba. Przepisy nie opisują tej czynności wprost, więc sposób wprowadzania zapiszcie w procedurze przed awarią, po uzgodnieniu z radcą prawnym.

Papier można zdigitalizować: zgodność odwzorowania cyfrowego potwierdza osoba upoważniona podpisem kwalifikowanym, zaufanym lub osobistym albo zaawansowaną pieczęcią elektroniczną usługodawcy weryfikowaną kwalifikowanym certyfikatem, a taki dokument jest równoważny oryginałowi (art. 13b ust. 1 do 3 ustawy o systemie informacji w ochronie zdrowia). Oryginału nie niszczy się dzień po skanowaniu; warunki opisuje rozdział Digitalizacja.

Kolejność i jedna godzina powrotu

Kolejność wprowadzania ustala kierownik akcji na podstawie spisu dokumentów papierowych. Najpierw pacjenci, którzy nadal leżą w szpitalu, i ich aktualne zlecenia lekowe, bo od tego zależy następna dawka. Potem pacjenci wypisani, a na końcu świadczenia do rozliczenia. Każda grupa ma osobę i termin. Powrót ogłasza się dla całego szpitala o jednej, zapisanej godzinie. Oddział, który wraca do systemu na własną rękę, prowadzi przez kilka godzin tę samą dokumentację w dwóch postaciach. W przychodni powrót ogłasza ta sama osoba, która ogłosiła papier.

Utracone godziny wracają ręcznie

Wpisy z godzin, których nie było w ostatniej kopii, trzeba wprowadzić z papieru. Część tych godzin nie zniknęła jednak wszędzie. Recepty i skierowania wystawione w tym czasie są już w P1, a w odtworzonej bazie placówki ich nie ma. Podobnie wyniki, które system laboratoryjny zdążył zapisać u siebie. Po odtworzeniu ktoś porównuje bazę placówki z tym, co wyszło na zewnątrz, zanim lekarz wystawi drugą receptę na to samo albo zleci badanie jeszcze raz. Laboratorium porównuje wyniki z formularzy z pamięcią analizatorów, apteka wydania ze stanem magazynu, izba przyjęć karty z wykazem.

Terminy, które biegły w czasie przestoju

Dane zdarzeń medycznych trafiają do Systemu Informacji Medycznej niezwłocznie, najpóźniej w 2 dni od zakończenia zdarzenia (§ 6 ust. 1 rozporządzenia Ministra Zdrowia w sprawie szczegółowego zakresu danych zdarzenia medycznego), także po trzech dobach na papierze. Przy pobycie, który zaczął się innego dnia, niż się kończy, część danych idzie już w 2 dni od rozpoczęcia (§ 6 ust. 2), więc pacjent przyjęty w pierwszej dobie awarii ma ten termin jeszcze w czasie przestoju. E-recepty, e-skierowania i dane o zmianie statusu skierowania zamieszcza się w P1 w czasie rzeczywistym (art. 11 ust. 5 pkt 1 ustawy o systemie informacji w ochronie zdrowia). Gdy awarię ma samo P1, zamieszcza się je niezwłocznie po jej ustaniu, najpóźniej w 3 dni od usunięcia awarii, nie licząc dni wolnych od pracy usługodawcy (art. 11 ust. 5a i 5b), a przy awarii P1 dłuższej niż jeden dzień minister zdrowia może ten termin wydłużyć obwieszczeniem (art. 11 ust. 5c). Przepis mówi o awarii P1. Przy awarii systemu placówki albo jej łącza dane uzupełnia się od razu po powrocie. Terminy, których nie dało się dotrzymać, trafiają do raportu z przestoju z przyczyną.

Wizyta, która nie trafiła do systemu, nie trafi do rozliczenia z NFZ. Karta papierowa musi więc mieć to, czego rozliczenie potrzebuje: rozpoznanie, wykonane procedury, godzinę przyjęcia i wypisu oraz numer awaryjny. Brak którejś z tych rzeczy wychodzi dopiero przy sprawozdaniu, kiedy lekarz dawno zszedł z dyżuru. Dzień po uzupełnieniu ktoś przegląda zdarzenia medyczne odrzucone przez P1, bo wprowadzane hurtem wracają z błędami częściej; jak czytać tę kolejkę, opisuje rozdział Zdarzenia medyczne w P1.

Test procedury przed awarią

Procedurę sprawdza się ćwiczeniem. W szpitalu to jedna zmiana izby przyjęć na papierze z uzupełnieniem danych następnego dnia albo ćwiczenie przy stole z dyrekcją, działem IT, pielęgniarką naczelną, laboratorium, apteką i dostawcą systemu, z zegarkiem: piątek 22:00, zaszyfrowany serwer bazy danych, dyrektor poza zasięgiem. Kto dzwoni do kogo, kto loguje się do S46 i skąd inspektor ochrony danych weźmie liczbę pacjentów. Każde „nie wiem” z tej próby to zadanie na najbliższy tydzień. Szpital objęty KSC ma plan ciągłości przetestować, więc ćwiczenie wpisuje do harmonogramu przed 3 kwietnia 2027. Przychodni wystarczy krótsza próba: kto w sobotę rano wyśle zgłoszenie do UODO, jeśli inspektor ochrony danych nie odbiera, i kto w poniedziałek wprowadzi wizyty z papieru.

Co to znaczy na waszej skali

Pytania są te same w każdej placówce: ile możecie stracić, kto dowodzi, kto zgłasza, jak pracujecie na papierze i kto potem uzupełnia dane. Z wielkością zmienia się to, kto odpowiada, ile wierszy ma tabela i czy dochodzi zegar KSC. Szerzej o tym, jak z wielkością placówki zmienia się organizacja IT, piszę w tekście Kwestia skali.

Gabinet

Na pytania o RPO i RTO odpowiadacie sami, a przy programie w chmurze prosicie dostawcę o odpowiedź na piśmie. Przy programie na komputerze w gabinecie sprawdźcie, czy kopia leży poza tym komputerem, bo dysk stale podłączony do niego zostanie zaszyfrowany razem z nim. Przy komputerze wisi kartka z numerem serwisanta i dostawcy oraz zasadą „kabel wyjąć, zasilanie zostawić”. Hasła do dokumentacji, poczty i bankowości zmieniacie po ataku z innego urządzenia, bo hasła zapisane w przeglądarce zaatakowanego komputera mogły trafić do napastnika.

Na awarię łącza wystarczą: sprawdzone logowanie do gabinet.gov.pl, pula numerów recept z NFZ, jeśli wystawiacie recepty refundowane, kilka wydrukowanych formularzy zwolnień i telefon udostępniający internet, przez który ktoś raz sprawdził program. Gabinet co do zasady nie jest podmiotem kluczowym ani ważnym, więc nie potrzebuje konta w S46 ani planu pisanego pod ustawę o KSC. Zegar RODO dotyczy go tak samo jak szpitala, a zgłoszenie do UODO składa lekarz prowadzący praktykę albo spółka prowadząca gabinet. Raz na kwartał zapiszcie na kartce liczbę pacjentów i rodzaje danych w programie. Gabinet na programie w chmurze dowiaduje się o ataku zwykle od dostawcy, więc jego głównym scenariuszem jest część o milczącym dostawcy.

Przychodnia

Z góry wiadomo, kto dowodzi: kierownik albo właściciel, a do jego przyjścia osoba otwierająca rejestrację, która wykonuje polecenia serwisanta przez telefon. Najostrzejsze wymagania RPO i RTO ma zwykle rejestracja z terminarzem, więc zamiast rozmów z oddziałami wystarczy jedna rozmowa z osobą, która ją prowadzi. Wydruk grafiku na następny dzień, robiony po zamknięciu rejestracji, bywa tańszy niż drugi serwer.

Procedura mieści się na jednej stronie przy rejestracji i przy każdym gabinecie: kiedy wolno papier, lista leków tylko na e-recepcie, gdzie leżą numery recept i formularze zwolnień, kto zbiera papierowe dokumenty i kto z zastępcą uzupełnia dane po awarii. Do tego drugie łącze z próbą przełączenia raz w miesiącu. Mała przychodnia co do zasady nie ma zegara KSC, więc zostaje zgłoszenie do UODO z imiennie wskazaną osobą i zastępcą. Przychodnia z zewnętrznym inspektorem ochrony danych sprawdza w umowie, czy da się go złapać w weekend, bo naruszenie stwierdzone w piątek wieczorem daje termin w poniedziałek wieczorem. Raz w roku, przy sprawozdaniu finansowym, sprawdźcie zatrudnienie, a przychodnia będąca przedsiębiorcą także obrót i sumę bilansową, bo status w KSC bada się według stanu na dzień sporządzenia sprawozdania (art. 5 ust. 5 ustawy o KSC).

Sieć przychodni

Przy wspólnej bazie jedna awaria zatrzymuje wszystkie lokalizacje naraz, więc RTO zatwierdza zarząd dla całej sieci. Każda lokalizacja ma własne zapasowe łącze, a centrala listę łączy z datą ostatniej próby i ewidencję numerów recept według lekarzy. Przy ataku, gdy lokalizacje mają wspólną domenę i stałe połączenia VPN, pierwszą decyzją jest odcięcie tych połączeń. Podejmuje ją jedna osoba w zarządzie, wpisana z nazwiska. Pracę na papierze ogłasza za to kierownik lokalizacji, bez czekania na zarząd, bo to on widzi kolejkę pacjentów. Kartę na dzień awarii pisze się raz dla całej sieci.

Status w KSC liczy się dla podmiotu, który prowadzi sieć, więc kilka małych przychodni jednej spółki może razem przekroczyć progi; przy grupie spółek liczą się co do zasady przedsiębiorstwa powiązane (rozdział Czy ustawa was obejmuje). Jeśli sieć to kilka odrębnych podmiotów, każdy jest administratorem danych swoich pacjentów, więc jeden atak może oznaczać kilka zgłoszeń do UODO. Ustalcie przed atakiem, kto zgłasza za kogo, i rozbijcie tabelę liczb pacjentów na podmioty.

Szpital

Dla szpitala rozdziały o pierwszej godzinie, dwóch zegarach i 72 godzinach są pełną procedurą. Szpital z jednym albo dwoma informatykami musi przyjąć, że w nocy nikt nie zacznie odtwarzania od razu. RTO ustalone na dwie godziny bez dyżuru IT jest fikcją, więc potrzebny jest dyżur pod telefonem albo umowa z dostawcą obejmująca przywrócenie działania w nocy. Przed atakiem zostają trzy decyzje: wpisać do procedury status w KSC, żeby w noc ataku nikt nie ustalał, czy wysyła wczesne ostrzeżenie, podpisać umowę z firmą od analizy powłamaniowej z numerem, który odbiera w nocy, i przy polisie od ryzyk cybernetycznych sprawdzić, w jakim terminie powiadamia się ubezpieczyciela i czy to on wskazuje firmę do analizy.

Szpital powiatowy nie musi budować całodobowego zespołu, który śledzi sieć, bo ustawa dopuszcza zamiast wewnętrznych struktur umowę z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa (art. 14 ustawy o KSC); kto wykrywa incydent w nocy, opisuje rozdział Monitoring. Wystarczy zestaw awaryjny w dyżurkach, komputer z automatycznym wydrukiem listy pacjentów poza domeną, kierownik akcji z nazwiska na każdą porę doby i jedna przećwiczona zmiana izby przyjęć na papierze.

Szpital specjalistyczny

Blok operacyjny, intensywna terapia i pracownie diagnostyczne dają więcej wierszy w tabeli. Archiwum obrazów potrzebuje własnego RPO i własnego testu odtworzenia, bo jego kopia trwa najdłużej. Dla aparatów i analizatorów wpiszcie do tabeli, z ilu godzin oddadzą wyniki ponownie i ile dni badań zmieszczą na własnym dysku. Listę, co wolno odłączyć, a czego nie, przygotowuje się przed atakiem z działem aparatury; osobny segment sieci dla urządzeń medycznych sprawia, że odcięcie części administracyjnej nie zatrzymuje aparatury przy łóżku (rozdział Urządzenia medyczne).

Gdy bezpieczeństwem zajmuje się osobny zespół, prowadzi on incydent i przygotowuje zgłoszenie do CSIRT, a kierownik akcji prowadzi pracę na papierze. Tych ról nie łączcie w jednej osobie, bo w pierwszej dobie każda zajmuje cały dyżur. Procedura mówi, kto wysyła wczesne ostrzeżenie i kto decyduje o kolejności między zabezpieczeniem dzienników a przywróceniem bloku. W kilku budynkach SOR, blok i intensywna terapia mają na każdej zmianie osobę, która melduje kierownikowi akcji stan pacjentów i zapas formularzy.

Sieć szpitali

Podmiotem w KSC i administratorem danych jest ten, kto prowadzi szpital. Szpitale będące osobnymi spółkami albo zakładami mają własne pary zegarów i własne zgłoszenia, nawet gdy atak uderzył we wspólną serwerownię. Szpitale jednej spółki zgłasza spółka. W obu przypadkach grupa ustala na piśmie, kto zgłasza za kogo i kto koordynuje, żeby szpitale nie podały różnych godzin wykrycia tego samego ataku.

Pierwszą decyzją centrali jest odcięcie połączeń między szpitalami. Decyzja o pracy na papierze zostaje w szpitalu, u lekarza kierującego dyżurem. Kolejność odtwarzania szpitali ustala zarząd grupy z góry, a test odtworzenia obejmuje wariant, w którym padają wszystkie naraz: te same osoby odtwarzają wtedy bazy po kolei i RTO ostatniego szpitala jest sumą. Podział zadań między centralę a szpitale opisuje rozdział Wspólny zespół bezpieczeństwa.

Typowe błędy

Plan pracy bez systemu, formularze i lista telefonów leżą w pliku na serwerze, który właśnie został zaszyfrowany.

Wyłączanie zasilania, restart i reinstalacja przed zabezpieczeniem śladów zamiast odcięcia sieci. Restart kasuje zawartość pamięci, a szyfrowanie może ruszyć od nowa.

Mylenie punktu startu dwóch zegarów: w dzienniku brakuje godziny wykrycia albo godziny stwierdzenia naruszenia i uzasadnienia, dlaczego się różnią.

Jedno zgłoszenie uznane za oba i jedna osoba, która pamięta tylko o tym, które zna. Różne liczby w zgłoszeniu do CSIRT i do UODO.

Czekanie ze zgłoszeniem na pełną wiedzę albo na raport firmy od analizy powłamaniowej, który przychodzi po tygodniach.

Brak kanału zgłoszenia bez sieci: jedno konto w S46, dane logowania i urządzenie MFA na zaszyfrowanym serwerze, numery telefonów tylko w programie pocztowym.

Czekanie z przejściem na papier na decyzję dyrektora zamiast ogłoszenia przez lekarza kierującego dyżurem.

Zdjęcia kart wysyłane prywatnym komunikatorem, choć tajemnica obowiązuje także w trybie awaryjnym (art. 13 i 14 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).

Druki recept bez numerów z NFZ, formularze zwolnień drukowane w dniu awarii, drugie łącze nigdy niesprawdzone.

Dane z papieru wprowadzane bez spisu dokumentów i bez osoby odpowiedzialnej za uzupełnienie, więc wizyty z dnia awarii znikają z rozliczenia.

Założenie, że dostawca sam zgłosi incydent. Dostawca zgłasza naruszenie placówce, a do CSIRT i do UODO zgłasza placówka.

Od czego zacząć w tym tygodniu

1. Wpiszcie z nazwiska, kto dowodzi incydentem w nocy i w weekend, kto ogłasza pracę na papierze i kto przejmuje rolę sekretariatu, z zastępcą dla każdej z tych osób.
2. Wskażcie osobę do zgłoszenia do UODO, a jeśli podlegacie KSC, także osobę do S46, i sprawdźcie, czy każda zaloguje się z urządzenia spoza sieci placówki.
3. Sprawdźcie, kiedy była ostatnia udana kopia, czy leży poza zasięgiem sieci placówki i czy ktoś ją kiedyś odtworzył.
4. Zapytajcie kierownika izby przyjęć albo osobę prowadzącą rejestrację, ile godzin wpisów może stracić i ile wytrzyma bez systemu, i porównajcie to z tym, jak dziś ustawiona jest kopia.
5. Wydrukujcie formularze na pierwszą dobę i listę telefonów komórkowych i włóżcie je do dyżurki albo rejestracji.
6. Przygotujcie tabelę z liczbą kartotek i kategoriami danych w każdym systemie i schowajcie ją poza siecią.
7. W przychodni i gabinecie sprawdźcie logowanie do gabinet.gov.pl, numery recept z NFZ i formularze zwolnień, a potem odłączcie główne łącze na kilka minut.

Czynności na pierwsze 15, 30 i 60 minut, zegar zgłoszeń z podstawami prawnymi i pola na telefony są na jednej stronie w materiale Pierwsza godzina po cyberataku (PDF). Wydrukujcie go i wpiszcie numery jeszcze w tym tygodniu. Drugim krokiem jest plan na dłuższy przestój z materiału Praca bez systemu przez 72 godziny.

Kto w waszej placówce wyśle zgłoszenie do UODO, jeśli atak zacznie się w piątek o 22:00, i skąd weźmie liczbę pacjentów, gdy system będzie zaszyfrowany?