Dnia 12 sierpnia 2026 r. wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował o jednym z największych incydentów bezpieczeństwa danych w historii Polski. W wyniku cyberataku na systemy spółki MyDr, dostawcy oprogramowania do prowadzenia elektronicznej dokumentacji medycznej, doszło do nieuprawnionego dostępu do danych obejmujących nawet 19 milionów osób. Skradziona baza liczy ponad 2 terabajty informacji – w tym numery PESEL, dane adresowe oraz szczególnie wrażliwe dane dotyczące zdrowia: historię leczenia, przyjmowane leki, recepty i wizyty lekarskie. Sprawą zajmuje się już Centralne Biuro Zwalczania Cyberprzestępczości, Urząd Ochrony Danych Osobowych oraz Połączone Centrum Operacyjne Cyberbezpieczeństwa.
Skala tego zdarzenia – zarówno pod względem liczby osób, których dane wyciekły, jak i wrażliwości tych danych – czyni je jaskrawym przykładem ryzyka, przed którym od kilku miesięcy ustawodawca próbuje chronić polskie firmy i instytucje poprzez nowe przepisy o cyberbezpieczeństwie.
Co grozi podmiotom, których dane wyciekły oraz co grozi samej spółce?
Z punktu widzenia RODO, administrator danych którego systemy zostały naruszone, ma obowiązek zgłoszenia incydentu Prezesowi UODO w terminie 72 godzin od jego wykrycia, a w przypadku wysokiego ryzyka naruszenia praw i wolności osób – także bezpośredniego zawiadomienia osób, których dane dotyczą. W przypadku danych medycznych, należących do kategorii danych szczególnie chronionych, ryzyko to praktycznie zawsze uznaje się za wysokie. Konsekwencje takiego naruszenia mogą obejmować:
- administracyjne kary pieniężne nakładane przez UODO, sięgające do 20 mln euro lub 4% rocznego globalnego obrotu,
- roszczenia odszkodowawcze osób poszkodowanych (w tym roszczenia o zadośćuczynienie za naruszenie dóbr osobistych),
- odpowiedzialność cywilną i wizerunkową spółki oraz jej kontrahentów,
- realne ryzyko wtórnych ataków – phishingu, wyłudzeń i szantażu wobec osób, których dane ujawniono.
To jednak nie wszystko. Jeżeli spółka przetwarzająca dane medyczne kwalifikuje się jako podmiot kluczowy lub ważny w rozumieniu nowych przepisów o krajowym systemie cyberbezpieczeństwa, na horyzoncie pojawiają się dodatkowe, odrębne od RODO obowiązki i sankcje.
NIS2 już obowiązuje w Polsce – i dotyczy znacznie szerszego kręgu podmiotów, niż się wydaje
Dnia 3 kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), wdrażająca do polskiego porządku prawnego unijną dyrektywę NIS2 (dyrektywa 2022/2555). Sektor ochrony zdrowia – w tym podmioty świadczące usługi opieki zdrowotnej, ale również dostawców systemów i oprogramowania wspierającego te podmioty – został wprost wskazany jako sektor kluczowy objęty nowymi regulacjami.
Najważniejsze zmiany, jakie wprowadza znowelizowana ustawa, to:
- Radykalne rozszerzenie zakresu podmiotowego – z ok. 400 podmiotów objętych dotychczasową ustawą do nawet ok. 42 tys. firm i instytucji w całej Polsce.
- Mechanizm samoidentyfikacji – to na samym przedsiębiorcy spoczywa obowiązek ustalenia, czy jego działalność kwalifikuje go jako podmiot kluczowy lub ważny, oraz dokonania zgłoszenia do właściwego rejestru.
- Krótkie, sztywne terminy wdrożenia – 6 miesięcy na samoocenę i rejestrację, 12 miesięcy na wdrożenie pełnego systemu zarządzania ryzykiem bezpieczeństwa informacji.
- Nowe, rygorystyczne terminy raportowania incydentów – wstępne zgłoszenie w ciągu 24 godzin od wykrycia incydentu, pogłębione zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca.
- Osobistą odpowiedzialność kadry zarządzającej za zaniedbania w obszarze cyberbezpieczeństwa, niezależnie od odpowiedzialności samej spółki.
- Obowiązek zabezpieczenia całego łańcucha dostaw, co oznacza, że wymogi kaskadują również na podwykonawców i dostawców IT – nawet jeśli sami formalnie nie podlegają NIS2.
- Dotkliwe kary finansowe – dla podmiotów kluczowych do 10 mln euro lub 2% rocznego obrotu, dla podmiotów ważnych do 7 mln euro lub 1,4% rocznego obrotu.
Sytuacja spółki obsługującej dokumentację medyczną milionów pacjentów pokazuje dobitnie, dlaczego ustawodawca objął ten sektor szczególnym nadzorem: awaria lub włamanie w jednym podmiocie technologicznym może natychmiast przełożyć się na naruszenie bezpieczeństwa danych całej populacji korzystającej z danego systemu ochrony zdrowia.
Dlaczego ten przypadek dotyczy znacznie szerszego grona firm, niż może się wydawać?
Wielu przedsiębiorców błędnie zakłada, że nowe przepisy o cyberbezpieczeństwie dotyczą wyłącznie dużych operatorów infrastruktury krytycznej takich jak energetyka, telekomunikacja czy sektor finansowy. Tymczasem obowiązkom podlegają dziś także m.in.:
- podmioty lecznicze i dostawcy usług oraz oprogramowania dla sektora ochrony zdrowia,
- dostawcy usług cyfrowych, chmurowych i centrów danych,
- firmy z sektora produkcji żywności, gospodarki odpadami i chemii,
- podwykonawcy i dostawcy IT współpracujący z podmiotami kluczowymi – niezależnie od własnej wielkości.
Próg „wejścia” w podleganie obowiązkom wynikającym z NIS2, to zatrudnianie zaledwie 50 pracowników lub 10 mln euro rocznego przychodu. Oznacza to, że wiele średnich firm technologicznych – takich jak dostawcy systemów dla przychodni, szpitali czy aptek – już dziś podlega tym regulacjom, często nie mając nawet tego świadomości.
Jak możemy pomóc?
Nasza kancelaria od lat wspiera przedsiębiorców w obszarze ochrony danych osobowych i bezpieczeństwa informacji, a w związku z wejściem w życie nowelizacji ustawy o KSC, rozwinęliśmy również dedykowaną praktykę wdrożeń NIS2, polegającą w szczególności na:
- Audycie kwalifikacji i samoocenie statusu – ustaleniu, czy i w jakim zakresie Państwa działalność podlega przepisom o KSC jako podmiot kluczowy lub ważny, wraz z przygotowaniem zgłoszenia do właściwego rejestru.
- Wdrożeniu systemu zarządzania bezpieczeństwem informacji (SZBI) zgodnego z wymogami ustawy, dostosowanego do specyfiki i skali działalności klienta.
- Opracowaniu i wdrożeniu procedur reagowania na incydenty, w tym procedur zgłoszeniowych zgodnych z nowymi terminami 24/72 godzin oraz procedur zgłaszania naruszeń ochrony danych osobowych do UODO.
- Przygotowaniu umów z dostawcami i podwykonawcami uwzględniających wymogi bezpieczeństwa łańcucha dostaw, wynikające zarówno z NIS2, jak i z RODO.
- Doradztwie i reprezentacji w postępowaniach przed Prezesem UODO oraz organami właściwymi ds. cyberbezpieczeństwa, a także obsługę roszczeń osób poszkodowanych w wyniku naruszeń.
- Szkoleniach dla kadry zarządzającej i pracowników, obejmujących zarówno wymogi prawne, jak i praktyczne aspekty reagowania na incydenty – z uwzględnieniem osobistej odpowiedzialności członków zarządu.
Wydarzenia takie jak wczorajszy wyciek danych z systemów MyDr pokazują, że koszt zaniechania wdrożenia odpowiednich zabezpieczeń i procedur – zarówno ten finansowy, jak i wizerunkowy – może okazać się być wielokrotnie wyższy niż koszt przygotowania się do nowych wymogów z wyprzedzeniem, mając na względzie, że terminy ustawowe na dostosowanie się do NIS2 już biegną, a pierwsze kontrole i postępowania pozostają zaś kwestią czasu.
W celu weryfikacji podlegania obowiązkom i reżimowi dyrektywy NIS2 oraz oceny stanu przygotowania na wypadek incydentu bezpieczeństwa tudzież wsparcia w związku z już zaistniałym incydentem lub naruszeniem ochrony danych – zapraszamy do kontaktu z naszą kancelarią. Kompleksowo przeprowadzimy Państwa przez cały proces dostosowania organizacji do nowych przepisów – od audytu, przez wdrożenie, aż po bieżącą obsługę incydentów.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Stan faktyczny dotyczący incydentu z udziałem spółki MyDr oparty jest na doniesieniach medialnych z dnia 12–13 sierpnia 2026 r. i może ulec zmianie.
Autor:
