12 серпня 2026 року віце-прем'єр-міністр і міністр цифрових справ Кшиштоф Гавковський оголосив про один з найбільших інцидентів із безпекою даних в історії Польщі. Кібератака на системи MyDr, постачальника програмного забезпечення для електронних медичних карток, призвела до несанкціонованого доступу до даних, що охоплюють до 19 мільйонів осіб. Викрадена база даних містить понад 2 терабайти інформації, включаючи номери PESEL, адреси та особливо конфіденційні дані про здоров'я: історію лікування, вживання ліків, рецепти та візити до лікаря. Центральне бюро боротьби з кіберзлочинністю, Управління захисту персональних даних та Спільний центр операцій з кібербезпеки вже розслідують цю справу.
Масштаб цього інциденту – як з точки зору кількості людей, чиї дані були витікнуті, так і чутливості цих даних – робить його яскравим прикладом ризику, від якого законодавець протягом кількох місяців намагався захистити польські компанії та установи за допомогою нових правил кібербезпеки.
Які загрози існують для організацій, чиї дані сталися витоком, та для самої компанії?
Згідно з GDPR, контролер даних, чиї системи були порушені, зобов’язаний повідомити про інцидент Голові Управління із захисту персональних даних (UODO) протягом 72 годин з моменту його виявлення, а у разі високого ризику порушення прав і свобод осіб також безпосередньо повідомити суб’єктів даних. У випадку медичних даних, які належать до категорії конфіденційних даних, цей ризик майже завжди вважається високим. Наслідки такого порушення можуть включати:
- адміністративні штрафи, накладені Управлінням із захисту персональних даних, у розмірі до 20 мільйонів євро або 4% від річного світового обороту,
- вимоги про компенсацію від потерпілих сторін (включаючи вимоги про компенсацію за порушення особистих прав),
- цивільна та іміджева відповідальність компанії та її підрядників,
- реальний ризик вторинних атак – фішингу, вимагання та шантажу щодо людей, чиї дані були розкриті.
Але це ще не все. Якщо компанія, яка обробляє медичні дані, кваліфікується як ключова або важлива організація згідно з новими правилами національної системи кібербезпеки, на горизонті з'являються додаткові зобов'язання та санкції, окремі від GDPR.
NIS2 вже діє в Польщі – і він поширюється на набагато ширше коло суб’єктів господарювання, ніж здається
3 квітня 2026 року набула чинності поправка до Закону про національну систему кібербезпеки (Закон про НСК), яка імплементувала Директиву ЄС NIS2 (Директива 2022/2555) у польське законодавство. Сектор охорони здоров’я, включаючи постачальників медичних послуг, а також постачальників систем і програмного забезпечення, що підтримують цих суб’єктів, був чітко визначений як ключовий сектор, на який поширюються нові правила.
Найважливіші зміни, запроваджені зміненим законом, такі:
- Радикальне розширення кола суб’єктів, на яких поширюється дія чинного закону, – з приблизно 400 суб’єктів до цілих 42 000 компаній та установ по всій Польщі.
- Механізм самоідентифікації – підприємець зобов’язаний визначити, чи його діяльність кваліфікує його як ключового або важливого суб’єкта, та подати повідомлення до відповідного реєстру.
- Короткі, жорсткі терміни впровадження – 6 місяців для самооцінки та реєстрації, 12 місяців для впровадження повної системи управління ризиками інформаційної безпеки.
- Нові, суворі терміни звітності про інциденти – початковий звіт протягом 24 годин після виявлення інциденту, детальний звіт протягом 72 годин, остаточний звіт протягом місяця.
- Персональна відповідальність керівництва за недбалість у сфері кібербезпеки, незалежно від відповідальності самої компанії.
- Зобов'язання забезпечити безпеку всього ланцюга поставок, що означає, що вимоги також поширюються на субпідрядників та постачальників ІТ-послуг, навіть якщо вони самі формально не підпадають під дію NIS2.
- Суворі фінансові штрафи – для ключових суб’єктів господарювання до 10 мільйонів євро або 2% від річного обороту, для важливих суб’єктів господарювання до 7 мільйонів євро або 1,4% від річного обороту.
Ситуація з компанією, яка обробляє медичні записи мільйонів пацієнтів, чітко показує, чому законодавець взяв цей сектор під особливий нагляд: збій або хакерська атака в одному технологічному об'єкті може негайно призвести до порушення безпеки даних для всього населення, яке користується певною системою охорони здоров'я.
Чому ця справа впливає на набагато ширше коло компаній, ніж ви могли б подумати?
Багато компаній помилково вважають, що нові правила кібербезпеки застосовуються лише до великих операторів критичної інфраструктури, таких як оператори енергетичного, телекомунікаційного та фінансового секторів. Однак тепер ці зобов'язання також поширюються, серед іншого, на:
- заклади охорони здоров'я та постачальники послуг і програмного забезпечення для сектору охорони здоров'я,
- постачальники цифрових, хмарних послуг та послуг центрів обробки даних,
- компанії з виробництва харчових продуктів, управління відходами та хімічної галузі,
- субпідрядники та постачальники ІТ-послуг, що співпрацюють з ключовими організаціями – незалежно від їх розміру.
Порогом для застосування зобов’язань NIS2 є щонайменше 50 співробітників або 10 мільйонів євро річного доходу. Це означає, що багато середніх технологічних компаній, таких як постачальники систем для клінік, лікарень та аптек, вже підпадають під дію цих правил, часто навіть не усвідомлюючи цього.
Як ми можемо допомогти?
Наша юридична фірма вже багато років надає підтримку підприємцям у сфері захисту персональних даних та інформаційної безпеки, а у зв'язку з набранням чинності поправкою до Закону KSC ми також розробили спеціальну практику впровадження NIS2, яка полягає, зокрема, у:
- Кваліфікаційний аудит та самооцінка статусу – визначення того, чи підпадає ваша діяльність під положення про KSC як ключовий або важливий суб’єкт, і якою мірою, разом із підготовкою заяви до відповідного реєстру.
- Впровадження системи управління інформаційною безпекою (СУІБ) відповідно до вимог Закону, адаптованої до специфіки та масштабів діяльності клієнта.
- Розробка та впровадження процедур реагування на інциденти, включаючи процедури звітності відповідно до нових 24/72-годинних термінів та процедур повідомлення про порушення захисту персональних даних до Управління захисту персональних даних.
- Підготовка контрактів з постачальниками та субпідрядниками, що враховують вимоги безпеки ланцюга поставок, що випливають як з NIS2, так і з GDPR.
- Консультації та представництво у провадженнях перед Головою Управління із захисту персональних даних та компетентними органами з питань кібербезпеки, а також розгляд позовів осіб, які постраждали внаслідок порушень.
- Навчання для керівництва та співробітників, що охоплює як законодавчі вимоги, так і практичні аспекти реагування на інциденти – з урахуванням особистої відповідальності членів правління.
Такі події, як вчорашній витік даних із систем MyDr, показують, що вартість невпровадження належних заходів та процедур безпеки – як фінансова, так і репутаційна – може виявитися у багато разів вищою за вартість попередньої підготовки до нових вимог, враховуючи, що встановлені законом терміни адаптації до NIS2 вже закінчуються, а перші перевірки та процедури залишаються питанням часу.
Щоб перевірити дотримання зобов’язань та режиму Директиви NIS2, оцінити вашу готовність до інциденту безпеки або надати підтримку у разі інциденту чи витоку даних, який вже стався, зверніться до нашого офісу. Ми всебічно проведемо вас через увесь процес адаптації вашої організації до нових правил – від аудиту, через впровадження, до постійного управління інцидентами.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Факти щодо інциденту за участю MyDr базуються на повідомленнях ЗМІ від 12–13 серпня 2026 року та можуть змінюватися.
Автор:
