Znana na kilku portalach i ogólnie ceniona blogerka AS w swoim ostatnim wpisie stawia odważną tezę.
Pisze:
Wczoraj dowiedzieliśmy się z mediów, że dane medyczne 19 mln Polaków zostały wykradzione z platformy medycznej DocPlanner. Polska firma DocPlanner przejęła polską platformę medyczną MyDr w lutym 2023 roku, bez jakiegokolwiek nadzoru państwa (rząd PiS).
W poprzedniej notce „Wyciek danych 19 mln Polaków” udowodniłam, że DocPlanner to prywatna spółka, która wykorzystała pieniądze zagranicznych inwestorów na przejmowanie upadających firm medycznych w wielu krajach, ale nie zainwestowała w bezpieczeństwo ani w poziom techniczny własnych stron internetowych. Ich infrastruktura działa na wyjątkowo prymitywnym poziomie.
Dzisiaj dowiedzieliśmy się z mediów, że odpowiedzialność za wyciek nie spadnie na głównego winowajcę, lecz na przychodnie – mimo że nie miały żadnego wpływu na jakość, bezpieczeństwo ani technologię platformy MyDr/DocPlanner. To jest luka systemowa w prawie, która teraz wychodzi na jaw.
https://niepoprawni.pl/blog/as/docplanner-i-luka-systemowa-ktora-zagrozila-bezpieczenstwu-panstwa
Zacznijmy od pierwszej niejasności, koniecznej wytłumaczenia. Otóż zdaniem AS rząd Zjednoczonej Prawicy powinien sprawować nadzór nad zmianą właścicielską dokonaną w MYDR SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ z siedzibą w Warszawie, KRS: 0000704950.
Na jakiej podstawie, droga AS? Kiedy bowiem spoglądamy do akt rejestrowych widzimy wyraźnie, że przedmiotem działalności tego podmiotu nie były dziedziny uznane za strategiczne bądź też reglamentowane w jakikolwiek sposób.*
Wymaganie od takiej spółki, aby na sprzedaż udziałów należących do jej wspólników zgodę musiało wyrazić Państwo jest całkowicie odklejone od rzeczywistości prawnej roku 2022 i… następnych.
Przypominam, że nie było zauważonych problemów z wyciekami danych aż do sierpnia 2026 roku, kiedy to od 32 miesięcy rządy sprawuje Donald Tusk wraz z egzotyczną kompromitacją 13 grudnia.
Obarczanie winą za powyższe rządu Zjednoczonej Prawicy jest zatem mocno naciągane.
Kolejna sprawa. AS stawia tezę o istnieniu luki prawnej, pozwalającej na przechowywanie naszych najwrażliwszych danych w warunkach małego albo wręcz zupełnego braku bezpieczeństwa.
Dzisiaj dowiedzieliśmy się z mediów, że odpowiedzialność za wyciek nie spadnie na głównego winowajcę, lecz na przychodnie – mimo że nie miały żadnego wpływu na jakość, bezpieczeństwo ani technologię platformy MyDr/DocPlanner. To jest luka systemowa w prawie, która teraz wychodzi na jaw.
I tutaj trzeba zaprotestować.
Otóż zgodnie z Dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) Pastwa członkowskie miały uodpornić instytucje i urzędy europejskie na cyberataki.
Zgodnie z art. 41 u. 1 ww. Dyrektywy do dnia 17 października 2024 r. państwa członkowskie przyjmują i publikują przepisy niezbędne do wykonania niniejszej dyrektywy. Niezwłocznie powiadamiają one o tym Komisję; Państwa członkowskie stosują te przepisy od dnia 18 października 2024 r.
Tak więc już w pierwszą rocznicę polskich wyborów parlamentarnych 2023 r. przepisy powinny być uchwalone i opublikowane w Dzienniku Ustaw.
Tymczasem w Polsce rząd Tuska był zajęty próbami znalezienia materiałów obciążających obecną opozycję.
Do uchwalenia koniecznych na podstawie cytowanej Dyrektywy ustawy doszło dopiero w tym roku. 23 stycznia Sejm ogromną większością głosów (407 posłów ZA, 10 przeciw, 17 wstrzymało się) przyjął ustawę o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. 28 stycznia Senat nie wniósł poprawek, zaś 19 lutego ustawa została podpisana przez Prezydenta. Opublikowana została w Dz. U. dnia 2 marca zaś zaczęła obowiązywać od 3 kwietnia 2026 r.
Pamiętać jednak należy, że projekt jej został złożony w Sejmie jeszcze 7 listopada 2025 r. (druk nr 1955). Prace nad ustawą mimo rocznego opóźnienia przebiegały więc powoli.
Najważniejszą zmiana, wprowadzoną powyższą ustawą jest nowy sposób ustalania, które podmioty podlegają regulacji. W wielu przypadkach to już nie decyzja administracyjna, lecz obowiązek samoidentyfikacji przesądza o objęciu organizacji przepisami KSC.
Zmiany wywołane powyższą nowelizacją są kolosalne. Jak czytamy na stronie www kancelarii Graś i Wspólnicy:
Najważniejsze zmiany, jakie wprowadza znowelizowana ustawa, to:
-
- Radykalne rozszerzenie zakresu podmiotowego – z ok. 400 podmiotów objętych dotychczasową ustawą do nawet ok. 42 tys. firm i instytucji w całej Polsce.
- Mechanizm samoidentyfikacji – to na samym przedsiębiorcy spoczywa obowiązek ustalenia, czy jego działalność kwalifikuje go jako podmiot kluczowy lub ważny, oraz dokonania zgłoszenia do właściwego rejestru.
- Krótkie, sztywne terminy wdrożenia – 6 miesięcy na samoocenę i rejestrację, 12 miesięcy na wdrożenie pełnego systemu zarządzania ryzykiem bezpieczeństwa informacji.
- Nowe, rygorystyczne terminy raportowania incydentów – wstępne zgłoszenie w ciągu 24 godzin od wykrycia incydentu, pogłębione zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca.
- Osobistą odpowiedzialność kadry zarządzającej za zaniedbania w obszarze cyberbezpieczeństwa, niezależnie od odpowiedzialności samej spółki.
- Obowiązek zabezpieczenia całego łańcucha dostaw, co oznacza, że wymogi kaskadują również na podwykonawców i dostawców IT – nawet jeśli sami formalnie nie podlegają NIS2.
- Dotkliwe kary finansowe – dla podmiotów kluczowych do 10 mln euro lub 2% rocznego obrotu, dla podmiotów ważnych do 7 mln euro lub 1,4% rocznego obrotu.
Sytuacja spółki obsługującej dokumentację medyczną milionów pacjentów pokazuje dobitnie, dlaczego ustawodawca objął ten sektor szczególnym nadzorem: awaria lub włamanie w jednym podmiocie technologicznym może natychmiast przełożyć się na naruszenie bezpieczeństwa danych całej populacji korzystającej z danego systemu ochrony zdrowia. (…)
Wielu przedsiębiorców błędnie zakłada, że nowe przepisy o cyberbezpieczeństwie dotyczą wyłącznie dużych operatorów infrastruktury krytycznej takich jak energetyka, telekomunikacja czy sektor finansowy. Tymczasem obowiązkom podlegają dziś także m.in.:
-
- podmioty lecznicze i dostawcy usług oraz oprogramowania dla sektora ochrony zdrowia,
- dostawcy usług cyfrowych, chmurowych i centrów danych,
- firmy z sektora produkcji żywności, gospodarki odpadami i chemii,
- podwykonawcy i dostawcy IT współpracujący z podmiotami kluczowymi – niezależnie od własnej wielkości.
Próg „wejścia” w podleganie obowiązkom wynikającym z NIS2, to zatrudnianie zaledwie 50 pracowników lub 10 mln euro rocznego przychodu. Oznacza to, że wiele średnich firm technologicznych – takich jak dostawcy systemów dla przychodni, szpitali czy aptek – już dziś podlega tym regulacjom, często nie mając nawet tego świadomości.
Oczywiście można gdybać, dlaczego dane dotyczące milionów Polaków (19 mln osób, w sumie ponad 2 TB danych) wyciekły dopiero teraz, a nie przed wejściem w życie spóźnionej ustawy implementującej NIS2 do Polski.
Już pojawiły się głosy, że należy to powiązać z nadchodzącymi wyborami parlamentarnymi. Wyciekły wszak również dane wyborców.
Moim zdaniem przyczyna leży jednak gdzie indziej. Otóż Tusk i inni są politykami cokolwiek leciwymi. I zwyczajnie nie czują tematu. Okraść można bowiem bank, jubilera, prywatne mieszkanie… Ale po co komu dane? To przecież tylko zwykłe zapisy nie mające większego znaczenia.
I nie jest to tylko polska specyfika.
Jak informuje Komisja Europejska:
Komisja Europejska podjęła decyzję o skierowaniu do Trybunału Sprawiedliwości Unii Europejskiej sprawy przeciwko Irlandii, Hiszpanii, Francji i Niderlandom w związku z niedopełnieniem obowiązku zgłoszenia środków transpozycji do prawa krajowego dyrektywy NIS 2 w sprawie zabezpieczenia sieci i systemów informatycznych (dyrektywa (UE) 2022/2555).
Informacja powyższa pochodzi z 8 lipca tego roku.
Najwyraźniej aby to zmienić nie tylko w Polsce ale i w całej Europie musi nastąpić zmiana pokoleniowa wśród polityków.
15.08 2026
___________________________________________
* Wspomniana spółka prowadzi bowiem działalność w zakresie:
62, 01, Z, DZIAŁALNOŚĆ ZWIĄZANA Z OPROGRAMOWANIEM
46, 51, Z, SPRZEDAŻ HURTOWA KOMPUTERÓW, URZĄDZEŃ PERYFERYJNYCH I
OPROGRAMOWANIA
58, 21, Z, DZIAŁALNOŚĆ WYDAWNICZA W ZAKRESIE GIER KOMPUTEROWYCH
58, 29, Z, DZIAŁALNOŚĆ WYDAWNICZA W ZAKRESIE POZOSTAŁEGO
OPROGRAMOWANIA
62, 02, Z, DZIAŁALNOŚĆ ZWIĄZANA Z DORADZTWEM W ZAKRESIE INFORMATYKI
62, 03, Z, DZIAŁALNOŚĆ ZWIĄZANA Z ZARZĄDZANIEM URZĄDZENIAMI
INFORMATYCZNYMI
62, 09, Z, POZOSTAŁA DZIAŁALNOŚĆ USŁUGOWA W ZAKRESIE TECHNOLOGII
INFORMATYCZNYCH I KOMPUTEROWYCH
63, 11, Z, PRZETWARZANIE DANYCH; ZARZĄDZANIE STRONAMI INTERNETOWYMI (HOSTING) I PODOBNA DZIAŁALNOŚĆ
63, 12, Z, DZIAŁALNOŚĆ PORTALI INTERNETOWYCH
70, 21, Z, STOSUNKI MIĘDZYLUDZKIE (PUBLIC RELATIONS) I KOMUNIKACJA
72, 19, Z, BADANIA NAUKOWE I PRACE ROZWOJOWE W DZIEDZINIE
POZOSTAŁYCH NAUK PRZYRODNICZYCH I TECHNICZNYCH
Zostaw komentarz