Atak na dokumentację to nie tylko szkoda informatyczna
Zablokowanie elektronicznej dokumentacji medycznej przez ransomware może jednocześnie oznaczać utratę dostępności danych, zakłócenie udzielania świadczeń oraz ryzyko naruszenia ochrony danych osobowych. Urząd Ochrony Danych Osobowych – https://uodo.gov.pl/ wskazuje wprost, że zablokowanie dostępu do bazy danych pacjentów w wyniku ransomware może stanowić naruszenie dostępności danych osobowych. Placówka odpowiada za właściwe zabezpieczenie dokumentacji, a system teleinformatyczny powinien zapewniać między innymi ochronę przed utratą i uszkodzeniem oraz stały dostęp osób uprawnionych. W ostatnich latach ryzyko to ma również wymiar operacyjny. W marcu 2026 r. Prokuratura Okręgowa w Szczecinie informowała o ataku ransomware na infrastrukturę szpitala, w którym sprawcy zaszyfrowali dane i żądali wielomilionowej zapłaty za przywrócenie dostępu. UODO wskazywał natomiast w 2025 r. na przypadek szpitala, w którym ransomware zablokował systemy informatyczne i doprowadził do naruszenia dostępności danych. Takie zdarzenia pokazują, że ubezpieczenie powinno być oceniane nie tylko pod kątem samego okupu, lecz także kosztów przywrócenia działalności i obsługi incydentu.
OC a ubezpieczenie cyber
Odpowiedź na pytanie o pokrycie okupu z OC co do zasady wymaga rozróżnienia ubezpieczenia odpowiedzialności cywilnej od ubezpieczenia cyber. Obowiązkowe OC podmiotu leczniczego obejmuje odpowiedzialność cywilną za szkody będące następstwem udzielania świadczeń zdrowotnych lub bezprawnego zaniechania ich udzielania. Nie jest to ubezpieczenie wszystkich kosztów związanych z incydentem informatycznym. Zakres obowiązkowego OC obejmuje określone szkody, a przepisy wyłączają między innymi szkody polegające na utracie lub zniszczeniu rzeczy oraz szkody związane z aktami terroru.
W polisie mogą występować również warunki dotyczące sposobu reagowania na incydent. Naruszenie tych obowiązków może wpływać na ocenę odpowiedzialności ubezpieczyciela, jeżeli umowa przewiduje określone konsekwencje. W przypadku ataku ransomware istotne jest zatem zachowanie logów, kopii zapasowych, komunikatów administratora systemu, informacji od dostawców IT i raportu z analizy przyczyn. Należy także odnotować decyzje podejmowane w pierwszych godzinach incydentu. Pozwala to ustalić, czy szkoda wynikała wyłącznie z działania sprawców, czy również z późniejszego sposobu postępowania.
W sprawach dotyczących dokumentacji medycznej dodatkowym elementem jest ocena obowiązków administratora danych oraz ewentualnego zgłoszenia naruszenia do UODO. Samo odzyskanie dostępu do systemów nie kończy incydentu. Placówka musi ustalić, czy doszło do ujawnienia danych, zmiany ich treści lub trwałej utraty. Powinna też ocenić wpływ przestoju na ciągłość udzielania świadczeń. Rzecznik Praw Pacjenta wskazuje, że odpowiednie zabezpieczenie dokumentacji jest obowiązkiem podmiotu leczniczego, a brak adekwatnych środków technicznych i organizacyjnych może naruszać prawa pacjentów. W konsekwencji koszty incydentu mogą obejmować nie tylko działania informatyczne, lecz także obsługę prawną, komunikację z pacjentami, analizę ryzyka i działania naprawcze. Przed wystąpieniem szkody należy zweryfikować co najmniej następujące elementy ochrony:
- czy polisa obejmuje incydenty cyber i koszty reakcji na naruszenie.
- czy okup jest w ogóle objęty zakresem ubezpieczenia i jakie warunki jego pokrycia przewidziano.
- czy wymagane jest uprzednie uzyskanie zgody ubezpieczyciela na negocjacje lub płatność.
- czy polisa obejmuje odtworzenie danych, przestój działalności, analizę informatyczną i pomoc prawną.
- jakie obowiązki bezpieczeństwa i zawiadomienia zostały nałożone na ubezpieczonego.
Wnioski dla placówki
Nie można więc przyjąć, że zwykłe OC placówki automatycznie sfinansuje okup. Odpowiedzialność za skutki ataku, obowiązki wobec pacjentów i organów oraz koszty techniczne mogą być objęte różnymi instrumentami ochrony. W przypadku ransomware decydujące znaczenie ma treść konkretnej umowy, w tym definicje zdarzenia cyber, zakres kosztów, wyłączenia i procedura postępowania po incydencie. Wypłata powinna być oceniana dopiero po analizie polisy i okoliczności ataku. Szczególne znaczenie ma również wcześniejsze ustalenie procedury działania, ponieważ sposób reakcji placówki może mieć wpływ na możliwość skorzystania z ochrony ubezpieczeniowej.