Cyber Piątka: Ministerstwo Cyfryzacji narzuci nowe obowiązki firmom przetwarzającym dane

Ministerstwo Cyfryzacji ogłosiło pakiet rozwiązań legislacyjnych pod nazwą „Cyber Piątka”, który ma stanowić odpowiedź na rosnące zagrożenia w sieci. Kluczowym filarem zmian jest wprowadzenie certyfikacji dla firm, którym powierzane jest przetwarzanie danych medycznych. Proces ten zostanie ściśle powiązany z systemem określonym w ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa, co ma wyeliminować z rynku podmioty nieprzygotowane do obsługi najbardziej wrażliwych zasobów informacyjnych.

Pogoń za zyskiem czy brzmienie umowy między prywatnymi podmiotami nie może być usprawiedliwieniem dla zaniedbań w cyberbezpieczeństwie. Takie sytuacje jak ostatnia kradzież danych z prywatnej firmy wymagają reakcji i zmian w prawie

wiceminister cyfryzacji Dariusz Standerski

Propozycje zakładają również określenie minimalnych wymagań technologicznych dla systemów teleinformatycznych służących do operowania danymi medycznymi. Wytyczne te będą bazować na aktualnych normach cyberbezpieczeństwa, aby zapewnić szczelną ochronę niezależnie od tego, jaki podmiot zewnętrzny odpowiada za techniczne aspekty przetwarzania. Resort chce w ten sposób wymusić na instytucjach masowo obracających danymi Polaków wzięcie na siebie większej odpowiedzialności za ewentualne zaniedbania.

Ważnym elementem reformy jest zwiększenie transparentności wobec samych pacjentów. Ministerstwo proponuje wprowadzenie obowiązku informowania obywateli o tym, że ich dane zostały powierzone zewnętrznym firmom, a także o wszelkich zdarzeniach medycznych z tym związanych. Ma to ukrócić sytuacje, w których brzmienie prywatnych umów między podmiotami stawało się wygodną zasłoną dla braku realnych zabezpieczeń w krytycznej infrastrukturze informacyjnej państwa.

Zapowiedziana ofensywa legislacyjna wpisuje się w szerszy kontekst działań rządu, który we wrześniu 2026 roku planuje uruchomienie licznych konkursów na rozwój cyfryzacji i infrastruktury, o czym informowaliśmy przy okazji podziału środków z KPO. Nowe regulacje to sygnał, że państwo zamierza twardo egzekwować standardy od prywatnych kontrahentów, zwłaszcza po głośnych przypadkach kradzieży danych. Bezpieczeństwo zdrowotne Polaków nie może zależeć od oszczędności w budżetach IT prywatnych korporacji.

Dla przedsiębiorców oznacza to koniec dobrowolności w doborze narzędzi ochrony, a dla państwa – konieczność sprawnego przeprowadzenia projektów przez ścieżkę parlamentarną. Po przyjęciu przez Radę Ministrów, projekt trafi do Sejmu, a następnie do Senatu, gdzie okaże się, czy proponowane rygory nie zostaną złagodzone pod naciskiem cyfrowych gigantów. Certyfikacja musi być realnym bezpiecznikiem, a nie kolejną biurokratyczną pieczątką kupowaną za opłatę manipulacyjną.