Am 12. August 2026 gab der stellvertretende Ministerpräsident und Digitalminister Krzysztof Gawkowski einen der größten Datensicherheitsvorfälle in der polnischen Geschichte bekannt. Ein Cyberangriff auf die Systeme von MyDr, einem Anbieter von Software für elektronische Patientenakten, führte zu unbefugtem Zugriff auf Daten von bis zu 19 Millionen Personen. Die gestohlene Datenbank umfasst über 2 Terabyte an Informationen, darunter PESEL-Nummern, Adressen und besonders sensible Gesundheitsdaten: Behandlungsverlauf, Medikamenteneinnahme, Rezepte und Arztbesuche. Das Zentrale Büro zur Bekämpfung von Cyberkriminalität, das Amt für den Schutz personenbezogener Daten und das Gemeinsame Zentrum für Cybersicherheitsoperationen ermitteln bereits in dem Fall.

Das Ausmaß dieses Vorfalls – sowohl hinsichtlich der Anzahl der Personen, deren Daten durchgesickert sind, als auch der Sensibilität dieser Daten – macht ihn zu einem eindrucksvollen Beispiel für das Risiko, vor dem der Gesetzgeber polnische Unternehmen und Institutionen seit mehreren Monaten durch neue Cybersicherheitsvorschriften zu schützen versucht.

Welchen Bedrohungen drohen den betroffenen Organisationen, deren Daten durchgesickert sind, und dem Unternehmen selbst?

Gemäß der DSGVO ist ein Datenverantwortlicher, dessen Systeme kompromittiert wurden, verpflichtet, den Vorfall innerhalb von 72 Stunden nach dessen Entdeckung dem Präsidenten des Amtes für den Schutz personenbezogener Daten (UODO) zu melden und, im Falle eines hohen Risikos einer Verletzung der Rechte und Freiheiten natürlicher Personen, die betroffenen Personen auch direkt zu benachrichtigen. Bei medizinischen Daten, die zu den sensiblen Daten zählen, wird dieses Risiko fast immer als hoch eingestuft. Die Folgen einer solchen Datenschutzverletzung können unter anderem sein:

• Verwaltungsstrafen, die vom Amt für den Schutz personenbezogener Daten verhängt werden, bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes,
• Ansprüche auf Entschädigung von Geschädigten (einschließlich Ansprüche auf Entschädigung wegen Verletzung von Persönlichkeitsrechten),
• zivilrechtliche Haftung und Imagehaftung des Unternehmens und seiner Auftragnehmer,
• Es besteht ein reales Risiko von Folgeangriffen – Phishing, Erpressung und Nötigung gegen Personen, deren Daten offengelegt wurden.

Doch das ist noch nicht alles. Wenn ein Unternehmen, das medizinische Daten verarbeitet, gemäß den neuen Vorschriften zum nationalen Cybersicherheitssystem als wichtige oder bedeutende Einrichtung eingestuft wird, stehen zusätzliche, von der DSGVO unabhängige Verpflichtungen und Sanktionen bevor.

NIS2 ist in Polen bereits in Kraft – und es gilt für einen viel größeren Personenkreis, als es zunächst scheint

Am 3. April 2026 trat eine Änderung des Gesetzes über das Nationale Cybersicherheitssystem (NCS-Gesetz) in Kraft, mit der die EU-Richtlinie NIS2 (Richtlinie 2022/2555) in polnisches Recht umgesetzt wurde. Der Gesundheitssektor – einschließlich der Gesundheitsdienstleister, aber auch der Anbieter von Systemen und Software für diese Einrichtungen – wurde ausdrücklich als ein von den neuen Bestimmungen erfasster Schlüsselsektor identifiziert

Die wichtigsten Änderungen, die durch das geänderte Gesetz eingeführt wurden, sind:

• Radikale Ausweitung des Anwendungsbereichs des geltenden Gesetzes – von etwa 400 Einrichtungen auf bis zu 42.000 Unternehmen und Institutionen in ganz Polen.
• Selbstidentifizierungsmechanismus – es liegt in der Verantwortung des Unternehmers, festzustellen, ob seine Aktivitäten ihn als Schlüssel- oder wichtige Einheit qualifizieren und eine entsprechende Meldung an das zuständige Register zu übermitteln.
• Kurze, starre Umsetzungsfristen – 6 Monate für die Selbsteinschätzung und Registrierung, 12 Monate für die Implementierung eines vollständigen Informationssicherheits-Risikomanagementsystems.
• Neue, strenge Fristen für die Meldung von Vorfällen – Erstmeldung innerhalb von 24 Stunden nach Feststellung des Vorfalls, ausführlicher Bericht innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
• Persönliche Haftung des Managements für Fahrlässigkeit im Bereich der Cybersicherheit, unabhängig von der Haftung des Unternehmens selbst.
• Die Verpflichtung, die gesamte Lieferkette abzusichern, bedeutet, dass die Anforderungen auch für Subunternehmer und IT-Lieferanten gelten – selbst wenn diese selbst nicht formell dem NIS2 unterliegen.
• Schwere Geldstrafen – für Schlüsselunternehmen bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes, für wichtige Unternehmen bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes.

Die Situation eines Unternehmens, das die medizinischen Daten von Millionen von Patienten verwaltet, zeigt deutlich, warum der Gesetzgeber diesen Sektor unter besondere Aufsicht gestellt hat: Ein Ausfall oder Hackerangriff in einer technologischen Einrichtung kann sich unmittelbar auf eine Verletzung der Datensicherheit für die gesamte Bevölkerung auswirken, die ein bestimmtes Gesundheitssystem nutzt.

Warum betrifft dieser Fall ein viel breiteres Spektrum an Unternehmen, als man vielleicht denkt?

Viele Unternehmen gehen fälschlicherweise davon aus, dass die neuen Cybersicherheitsvorschriften nur für große Betreiber kritischer Infrastrukturen wie beispielsweise im Energie-, Telekommunikations- und Finanzsektor gelten. Die Verpflichtungen gelten jedoch nun unter anderem auch für:

• Einrichtungen des Gesundheitswesens und Anbieter von Dienstleistungen und Software für den Gesundheitssektor,
• Anbieter von digitalen Dienstleistungen, Cloud- und Rechenzentrumsdiensten
• Unternehmen aus den Bereichen Lebensmittelproduktion, Abfallwirtschaft und Chemie,
• Subunternehmer und IT-Lieferanten, die mit Schlüsselunternehmen zusammenarbeiten – unabhängig von deren Größe.

Die Schwelle für die Anwendung der NIS2-Vorschriften liegt bei mindestens 50 Mitarbeitern oder einem Jahresumsatz von 10 Millionen Euro. Das bedeutet, dass viele mittelständische Technologieunternehmen – beispielsweise Anbieter von Systemen für Kliniken, Krankenhäuser und Apotheken – bereits diesen Vorschriften unterliegen, oft ohne es überhaupt zu wissen.

Wie können wir helfen?

Unsere Anwaltskanzlei unterstützt seit Jahren Unternehmer im Bereich Datenschutz und Informationssicherheit. Im Zusammenhang mit dem Inkrafttreten der Änderung des KSC-Gesetzes haben wir zudem eine spezielle Praxis zur Umsetzung von NIS2 entwickelt, die insbesondere Folgendes umfasst:

• Qualifikationsprüfung und Selbsteinschätzung des Status – Feststellung, ob und inwieweit Ihre Tätigkeit den Bestimmungen für KSC als Schlüssel- oder wichtige Einrichtung unterliegt, sowie Vorbereitung eines Antrags auf Eintragung in das entsprechende Register.
• Implementierung eines Informationssicherheitsmanagementsystems (ISMS) gemäß den Anforderungen des Gesetzes, angepasst an die Besonderheiten und den Umfang der Geschäftstätigkeit des Kunden.
• Entwicklung und Implementierung von Verfahren zur Reaktion auf Sicherheitsvorfälle, einschließlich Meldeverfahren gemäß den neuen Fristen von 24/72 Stunden sowie Verfahren zur Meldung von Datenschutzverletzungen an die Datenschutzbehörde.
• Erstellung von Verträgen mit Lieferanten und Subunternehmern unter Berücksichtigung der Anforderungen an die Lieferkettensicherheit, die sich sowohl aus NIS2 als auch aus der DSGVO ergeben.
• Beratung und Vertretung in Verfahren vor dem Präsidenten des Amtes für den Schutz personenbezogener Daten und den zuständigen Behörden für Cybersicherheit sowie Bearbeitung von Ansprüchen von Personen, die durch Verstöße geschädigt wurden.
• Schulung für Management und Mitarbeiter, die sowohl die rechtlichen Anforderungen als auch die praktischen Aspekte der Reaktion auf Zwischenfälle abdeckt – unter Berücksichtigung der persönlichen Verantwortung der Vorstandsmitglieder.

Ereignisse wie der gestrige Datenverlust aus den MyDr-Systemen zeigen, dass die Kosten für die Nichtumsetzung angemessener Sicherheitsmaßnahmen und -verfahren – sowohl finanzieller als auch reputationsbezogener Natur – um ein Vielfaches höher sein können als die Kosten für eine frühzeitige Vorbereitung auf die neuen Anforderungen, da die gesetzlichen Fristen für die Anpassung an NIS2 bereits ablaufen und die ersten Prüfungen und Verfahren nur noch eine Frage der Zeit sind.

Um die Einhaltung der Verpflichtungen und Bestimmungen der NIS2-Richtlinie zu überprüfen, Ihre Vorbereitung auf einen Sicherheitsvorfall zu bewerten oder Unterstützung im Falle eines bereits eingetretenen Vorfalls oder einer Datenschutzverletzung zu erhalten, kontaktieren Sie bitte unser Büro. Wir begleiten Sie umfassend durch den gesamten Prozess der Anpassung Ihrer Organisation an die neuen Vorschriften – von der Prüfung über die Implementierung bis hin zum laufenden Vorfallmanagement.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.

Die Fakten zum Vorfall mit MyDr basieren auf Medienberichten vom 12. bis 13. August 2026 und können sich noch ändern.

Autor:

Natalia Serwińska-Deles

Rechtsberatung
+48 22 856 36 60 | n.serwinska@kglegal.pl