Przychodnia i samodzielny publiczny zakład opieki zdrowotnej a ustawa o KSC

Czy ustawa o KSC Was obejmuje

Sprawdźcie status w kalkulatorze (forma: publiczny podmiot leczniczy) i potwierdźcie go z prawnikiem. Od statusu zależy, czy obowiązuje pełny katalog środków, lista kontrolna z Załącznika nr 4, czy żadne z nich.

Podstawy: ustawa o krajowym systemie cyberbezpieczeństwa (status zależy od formy prawnej i liczby zatrudnionych w podmiocie leczniczym — potwierdź z prawnikiem) · RODO (art. 32).

Co trzeba mieć

Zakres zależy od statusu. Podmiot kluczowy i podmiot ważny, który nie jest podmiotem publicznym, stosują pełny katalog środków z art. 8 ust. 1, a podmiot ważny będący podmiotem publicznym — listę kontrolną z Załącznika nr 4 (art. 8 ust. 3). Jednostka, która nie jest podmiotem kluczowym ani ważnym, stosuje RODO i przepisy właściwe dla swojej działalności.

Jakie dane i systemy chronicie

Od tego spisu zaczyna się system: inwentaryzacja aktywów, analiza ryzyka i uprawnienia dotyczą właśnie tych danych i systemów.

• elektroniczna dokumentacja medyczna
• e-recepty, e-skierowania i wymiana danych z systemami ochrony zdrowia
• rejestracja pacjentów, także telefoniczna i internetowa
• wyniki badań i urządzenia medyczne podłączone do sieci
• rozliczenia ze świadczeń

Na co uważać

• Zaszyfrowanie systemu gabinetowego — przychodnia nie widzi grafiku ani dokumentacji pacjentów.
• Komputer w rejestracji bez blokady ekranu, widoczny dla pacjentów w kolejce.
• Urządzenie medyczne ze starym systemem operacyjnym podłączone do sieci przychodni.
• Wyniki badań wysyłane zwykłą pocztą elektroniczną na adres podany przez telefon.

Incydent a naruszenie danych — dwa różne zgłoszenia

Incydent poważny zgłasza się według ustawy o KSC do właściwego zespołu reagowania na incydenty bezpieczeństwa komputerowego (CSIRT). Naruszenie ochrony danych osobowych zgłasza się osobno — Prezesowi Urzędu Ochrony Danych Osobowych (UODO), bez zbędnej zwłoki, nie później niż w 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób (art. 33 ust. 1 RODO). Każde naruszenie, także niezgłoszone, trzeba udokumentować (art. 33 ust. 5 RODO).

Jedno zdarzenie może wymagać obu zgłoszeń, na przykład zaszyfrowanie serwera z danymi osobowymi.

RODO

Dokumentacja medyczna to dane o zdrowiu — szczególna kategoria (art. 9 RODO). Zabezpieczenia dobiera się do wysokiego ryzyka (art. 32 RODO).

Kto odpowiada

Odpowiada kierownik jednostki — tu: kierownik podmiotu leczniczego. Może powierzyć niektóre albo wszystkie obowiązki innej osobie za jej zgodą, na przykład koordynatorowi SZBI, ale odpowiedzialność zostaje przy kierowniku (art. 8c ust. 3). SZBI nie jest „zadaniem informatyka”.

Jeżeli jednostka jest podmiotem kluczowym albo ważnym, kierownik i osoba, której powierzono obowiązki kierownika w zakresie cyberbezpieczeństwa, raz w roku kalendarzowym przechodzą udokumentowane szkolenie (art. 8e ustawy o KSC).

Jeżeli jednostka jest podmiotem kluczowym albo ważnym, osoby, które mają realizować zadania z art. 8 lub 11 ustawy o KSC — także z firmy zewnętrznej — przed ich rozpoczęciem przedstawiają informację z Krajowego Rejestru Karnego (art. 8f ustawy o KSC).

Jak pomaga i-SZBI

Menu portalu dopasowuje się do statusu jednostki: ekrany obowiązków, których jednostka nie ma, są oznaczone „nie dotyczy”.

• lista kontrolna Załącznika nr 4 z dowodami i datami — widać, co jest zrobione, a co czeka
• wzory polityk i procedur do uzupełnienia danymi jednostki
• analiza ryzyka, Deklaracja Stosowania i Rejestr wyjątków
• rejestr incydentów z zegarem: 24 godziny, 72 godziny i sprawozdanie końcowe
• szkolenia pracowników z testem i potwierdzeniem udziału