RODO, phishing, KSC/NIS2 i odpowiedzialność zarządu – dlaczego cyberatak nie kończy się na serwerze, który został zaatakowany.

Wyobraźmy sobie wiadomość SMS:

„Dzień dobry. W związku z ostatnią wizytą w poradni prosimy o zalogowanie się w celu potwierdzenia recepty. Link jest aktywny przez 24 godziny.”

Imię się zgadza. Placówka się zgadza. Wizyta rzeczywiście się odbyła. Pacjent rzeczywiście niedawno dostał receptę.

Kliknąłbyś?

Na tym właśnie polega problem z wyciekiem danych medycznych. Cyberprzestępca nie musi już zgadywać, w jakim banku mamy konto, czy czekamy na paczkę albo czy jesteśmy klientem konkretnego operatora. Jeśli ma prawdziwe dane dotyczące naszego zdrowia, wizyt i recept, może stworzyć wiadomość, która nie wygląda jak phishing.

Wygląda jak rzeczywistość.

I dlatego incydent dotyczący systemu MyDr jest czymś więcej niż kolejnym „wyciekiem danych”. To przykład efektu domina w cyberbezpieczeństwie.

Przewraca się jeden element – system dostawcy IT. Chwilę później problem mają pacjenci. Następnie placówki medyczne. Potem inspektorzy ochrony danych, działy compliance i zarządy. Na końcu pojawiają się regulatorzy, przepisy RODO oraz nowe obowiązki wynikające z KSC wdrażającego dyrektywę NIS2.

Jeden cyberatak. Kilka różnych kryzysów.

Pierwsza kostka: prawie 19 milionów osób

Skala zdarzenia jest trudna do zobrazowania. Według informacji podanych 12 sierpnia 2026 r. incydent związany z systemem MyDr może dotyczyć danych nawet 19 mln Polaków. Media informują o bazie liczącej około 2 TB, w której miały znajdować się m.in. numery PESEL, informacje o receptach, wizytach oraz historii chorób. Z systemu korzystać ma około 12 tys. placówek ochrony zdrowia. Jeszcze tego samego dnia do sprawy odniósł się Prezes Urzędu Ochrony Danych Osobowych. UODO mówi o doniesieniach dotyczących wycieku danych „niemal 19 mln Polaków” i przypomina administratorom korzystającym z MyDr o ich własnych obowiązkach.

Warto przy tym zachować ostrożność. Trwa ustalanie pełnego zakresu incydentu, dlatego informacje o liczbie osób, zakresie przejętych danych czy technicznym przebiegu ataku mogą być jeszcze aktualizowane.

Ale już teraz wiadomo wystarczająco dużo, aby zobaczyć najważniejszą lekcję. Największym błędem byłoby potraktowanie tego zdarzenia jako problemu jednej firmy technologicznej.

Bo pierwsza kostka domina już uderza w kolejną.

Druga kostka: phishing, który zna prawdę

Większość z nas nauczyła się rozpoznawać prymitywny phishing. „Twoja paczka nie może zostać dostarczona”. „Twoje konto zostanie zablokowane”. „Dopłać 1,49 zł”.

Problem zaczyna się wtedy, kiedy wiadomość zawiera informacje, które naprawdę się zgadzają. Wyobraźmy sobie cyberprzestępcę, który może połączyć nazwisko, numer telefonu czy PESEL z informacją o konkretnej placówce, wizycie albo leczeniu. Nie musi pisać do miliona przypadkowych osób.

Może napisać do konkretnej osoby. I może wykorzystać coś, co buduje zaufanie lepiej niż logo banku – prawdziwy fragment jej życia.

Dlatego skutki dużego wycieku nie kończą się w momencie skopiowania bazy danych. Wykradzione informacje mogą przez miesiące lub lata służyć do budowania znacznie bardziej wiarygodnych ataków socjotechnicznych. UODO, odnosząc się bezpośrednio do incydentu MyDr, ostrzegł osoby potencjalnie dotknięte wyciekiem przed wiadomościami SMS i e-mail, które mogą stanowić próbę phishingu, oraz wskazał na możliwość zastrzeżenia numeru PESEL.

To szczególnie ważne w ochronie zdrowia. Bo informacja medyczna ma dwie wartości. Pierwsza jest oczywista: jest niezwykle prywatna. Druga jest mniej oczywista: jest wiarygodna. Jeżeli przestępca zna prawdziwą informację o naszej relacji z lekarzem lub placówką, może wykorzystać ją jako klucz otwierający drzwi do kolejnych danych, bankowości elektronicznej albo innych usług.

Dlatego po takim wycieku pytanie nie brzmi jedynie: „Jakie dane zostały ujawnione?”

Trzeba również zapytać: „Co można zrobić, posiadając te dane?”

To zupełnie inny sposób myślenia o ryzyku.

Trzecia kostka: „To wyciek u naszego dostawcy” nie jest strategią RODO

Tu historia robi się szczególnie ciekawa dla przedsiębiorców. Placówka medyczna może przecież powiedzieć, że naszych serwerów nikt nie zaatakował, to system zewnętrzny a dane były u dostawcy.  W potocznym rozumieniu może to brzmieć logicznie.

W RODO nie kończy jednak sprawy.

UODO jednoznacznie przypomniał administratorom, którzy powierzyli MyDr przetwarzanie danych, że to oni muszą przeprowadzić analizę ryzyka dla praw i wolności osób fizycznych i ustalić, czy konkretne naruszenie wymaga zgłoszenia organowi oraz zawiadomienia osób, których dotyczy. W drugim komunikacie urząd wyraził to jeszcze prościej: obowiązek powiadomienia osób dotkniętych wyciekiem spoczywa na administratorach korzystających z usług MyDr.

To jedna z najważniejszych lekcji tej sprawy.

Można powierzyć przetwarzanie danych. Nie można razem z nimi powierzyć komuś całej własnej odpowiedzialności. Administrator musi więc ustalić, czy jego pacjentów dotyczy incydent, jakie informacje mogły zostać ujawnione, jakie ryzyko z tego wynika oraz jakie działania należy podjąć.

A zegar może już tykać.

RODO przewiduje, że w przypadku naruszenia wymagającego zgłoszenia administrator powinien zawiadomić organ nadzorczy bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli ryzyko dla osób jest wysokie, pojawia się również obowiązek ich zawiadomienia. W przypadku danych medycznych ocena może być szczególnie wymagająca. UODO wskazuje wprost m.in. na możliwość dyskryminacji, ostracyzmu społecznego czy naruszenia dóbr osobistych w następstwie ujawnienia danych dotyczących zdrowia. A więc jedno włamanie do systemu dostawcy może uruchomić tysiące odrębnych procesów decyzyjnych po stronie jego klientów.

I to jest właściwy efekt domina.

Czwarta kostka: MyDr pokazuje, po co powstało NIS2

Hasło „bezpieczeństwo łańcucha dostaw” brzmi abstrakcyjnie.

Dopóki nie wydarzy się coś takiego jak MyDr.

Firma może świetnie zabezpieczyć własne komputery, zatrudnić administratorów, wprowadzić MFA i szkolić pracowników. A potem przekazuje ogromną część swoich kluczowych danych zewnętrznemu dostawcy. Od tej chwili poziom jej bezpieczeństwa zależy już nie tylko od niej. Zależy również od bezpieczeństwa podmiotu, którego często nawet nie postrzega jako elementu własnej infrastruktury. I właśnie dlatego regulacje cyberbezpieczeństwa coraz mocniej interesują się łańcuchem dostaw, zarządzaniem ryzykiem, incydentami oraz relacjami z zewnętrznymi dostawcami.

W Polsce ma to dziś szczególne znaczenie.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 rozszerzyła zakres podmiotów objętych regulacją. Ochrona zdrowia znalazła się wśród sektorów kluczowych. Oczywiście nie oznacza to automatycznie, że każda mała praktyka lekarska podlega wszystkim obowiązkom KSC – konieczna jest analiza kryteriów ustawowych, w tym rodzaju działalności i wielkości podmiotu.

Dla podmiotów spełniających kryteria termin jest bardzo konkretny.

Podmioty kluczowe i ważne, które spełniały kryteria w dniu wejścia w życie nowelizacji, powinny dokonać wpisu do Wykazu KSC do 3 października 2026 r., a do 3 kwietnia 2027 r. wdrożyć zasadnicze obowiązki wynikające z nowych przepisów, obejmujące m.in. system zarządzania bezpieczeństwem informacji i zarządzanie incydentami.

Można więc przez wiele miesięcy tłumaczyć przedsiębiorcom, czym jest ryzyko łańcucha dostaw w rozumieniu NIS2.

Albo można pokazać im MyDr.

Jeden dostawca. Tysiące organizacji. Miliony osób.

Trudno o bardziej konkretną ilustrację.

Piąta kostka: problem trafia na stół zarządu

Jest jeszcze ostatni etap. Telefon dzwoni do prezesa. „Mamy incydent u dostawcy”.

I wtedy okazuje się, czy cyberbezpieczeństwo w organizacji było rzeczywistym procesem, czy segregatorem z procedurami. Zarząd powinien w takiej chwili dostać odpowiedź na kilka prostych pytań. Jakie dane przekazaliśmy temu dostawcy? Ilu osób dotyczą? Czy wiemy, co dokładnie się wydarzyło? Kiedy się o tym dowiedzieliśmy? Kto podejmuje decyzję o zgłoszeniu do UODO? Czy mamy obowiązki z KSC? Kto kontaktuje się z dostawcą? Czy umowa zobowiązuje go do przekazania nam informacji potrzebnych do oceny ryzyka? Czy możemy kontynuować działalność? Co powiemy klientom albo pacjentom? To nie są pytania informatyczne. To są pytania o zarządzanie organizacją.

I właśnie tutaj RODO, compliance i cyberbezpieczeństwo spotykają się w jednym miejscu.

Problem był widoczny wcześniej

Incydent MyDr pojawia się w sektorze, w którym liczba zagrożeń już wcześniej szybko rosła.

Według raportu CSIRT Centrum e-Zdrowia w 2025 r. obsłużono 1441 incydentów bezpieczeństwa w sektorze ochrony zdrowia – o ponad 60% więcej niż rok wcześniej. Najliczniejsze były oszustwa komputerowe i podatne usługi, a CSIRT CeZ zwracał również uwagę na coraz bardziej zaawansowane kampanie phishingowe kierowane do personelu medycznego.

Jeszcze bardziej interesująca jest inna liczba.

Około 29% dyrektorów ankietowanych placówek nie dokonywało regularnego przeglądu oceny ryzyka, a jedynie 42% uczestniczyło w 2025 r. w szkoleniach dotyczących cyberbezpieczeństwa.

To pokazuje coś ważnego.

Największe ryzyko nie zawsze polega na tym, że organizacja nie kupiła wystarczająco dobrego firewalla. Czasami polega na tym, że nikt na poziomie zarządzania nie zadał właściwego pytania wystarczająco wcześnie.

Test jednego dostawcy

Dlatego po incydencie MyDr warto zrobić w organizacji bardzo prosty eksperyment. Wybierz jednego kluczowego dostawcę IT. Tego, któremu przekazujesz najwięcej danych albo od którego najbardziej zależy możliwość prowadzenia działalności.

I wyobraź sobie, że jutro o godz. 8:00 dostajesz wiadomość:

„Doszło do cyberataku. Państwa dane mogły zostać przejęte.”

Co dzieje się o 8:05?

A co o 9:00?

Kto podejmuje decyzje?

Kto dzwoni do dostawcy?

Gdzie znajduje się umowa?

Kto wykonuje ocenę ryzyka?

Czy wiesz, jakie dane faktycznie znajdowały się w systemie?

Czy potrafisz w ciągu kilku godzin ustalić liczbę osób dotkniętych incydentem?

Czy zarząd wie o sprawie?

Czy IOD wie o sprawie?

Czy zespół bezpieczeństwa wie, czego oczekuje od niego dział prawny?

Czy dział prawny rozumie, czego potrzebuje od informatyków?

Jeżeli odpowiedzią na większość tych pytań jest „musielibyśmy sprawdzić”, to właśnie znalazłeś swoją najważniejszą lukę compliance.

Najważniejsza lekcja z MyDr

Ostateczna ocena odpowiedzialności poszczególnych podmiotów będzie zależała od wyników analizy incydentu. Sam fakt skutecznego cyberataku nie pozwala jeszcze przesądzić, kto naruszył prawo ani czy zastosowane zabezpieczenia były niewystarczające.

Ale jedna lekcja jest widoczna już teraz.

Cyberatak nie kończy się na serwerze, który został zaatakowany.

Przechodzi dalej.

Z serwera do telefonu pacjenta.

Z telefonu do wiadomości phishingowej.

Od dostawcy IT do administratora danych.

Od administratora do UODO.

Od działu IT do compliance.

Od compliance do zarządu.

Od RODO do KSC i NIS2.

Jedna kostka przewraca następną.

I dlatego najważniejszym pytaniem dla organizacji nie jest dziś:

„Czy jesteśmy w stanie zagwarantować, że nigdy nie zostaniemy zaatakowani?”

Takiej gwarancji nie da się stworzyć.

Lepsze pytanie brzmi:

„Czy jesteśmy przygotowani na to, co wydarzy się pięć minut po przewróceniu pierwszej kostki?”

To właśnie od odpowiedzi na to pytanie coraz częściej zależy rzeczywista odporność organizacji.

Stan informacji na 12 sierpnia 2026 r. Zakres i okoliczności incydentu MyDr są nadal ustalane i mogą zostać doprecyzowane w kolejnych komunikatach właściwych organów.

Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.

Autor: