Ankieta bezpieczeństwa dostawcy oprogramowania w szpitalu: o co pytają i czego wymagać w odpowiedziach

Przepisy cytujemy z tekstów sprawdzonych 2 listopada 2026 r.: nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa z Dziennika Ustaw (przez interfejs ISAP Sejmu) oraz dyrektywy NIS2 i RODO w polskiej wersji językowej z Urzędu Publikacji UE. Opisujemy praktykę zakupową, a nie to, jak przepisy stosuje się w konkretnym szpitalu. To nie jest porada prawna.

Skąd się biorą ankiety: NIS2 i ustawa o KSC

Polska wdrożyła dyrektywę NIS2 ustawą z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252). Ustawę ogłoszono 2 marca 2026 r. i weszła w życie 3 kwietnia 2026 r.

Sektor „Ochrona zdrowia” stoi w załączniku nr 1 do ustawy, a wśród rodzajów podmiotów jest podmiot leczniczy w rozumieniu ustawy o działalności leczniczej. Dla podmiotu leczniczego, który nie jest przedsiębiorcą, ustawa podaje próg wprost: od 50 do 249 zatrudnionych to podmiot ważny, co najmniej 250 to podmiot kluczowy. W pozostałych przypadkach status zależy między innymi od wielkości podmiotu. Swój status szpital ustala sam.

Podmiot kluczowy albo ważny wdraża system zarządzania bezpieczeństwem informacji. Art. 8 ust. 1 ustawy wymienia w nim między innymi „bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi”, a art. 8 ust. 2 dodaje, że przy tych środkach podmiot uwzględnia „podatności związane z dostawcą sprzętu lub oprogramowania” oraz „ogólną jakość produktów ICT, usług ICT i procesów ICT pochodzących od dostawcy”. Na wdrożenie podmioty, które spełniały przesłanki w dniu wejścia nowelizacji w życie, dostały 12 miesięcy, czyli do 3 kwietnia 2027 r.

To samo mówi art. 21 ust. 2 lit. d dyrektywy NIS2: środki obejmują „bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami”. Ust. 3 tego artykułu wskazuje, że trzeba przy tym uwzględnić także „procedury bezpiecznego opracowywania” dostawców.

Ani ustawa, ani dyrektywa nie mówią, że szpital wysyła dostawcy ankietę. Ankieta jest po prostu najprostszym sposobem, żeby zebrać informacje o dostawcy, które potem trafiają do szacowania ryzyka i do umowy.

Drugie źródło: art. 28 RODO

Niezależnie od NIS2 szpital, który powierza dostawcy dane osobowe, korzysta z podmiotu przetwarzającego. Art. 28 ust. 1 RODO każe korzystać wyłącznie z takich, „które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych”. Część pytań w ankiecie służy właśnie ocenie tych gwarancji.

Art. 28 ust. 3 wylicza, co stanowi umowa powierzenia. Podmiot przetwarzający między innymi przetwarza dane wyłącznie na udokumentowane polecenie administratora, zapewnia poufność osób upoważnionych, stosuje środki z art. 32, przestrzega warunków korzystania z dalszych podmiotów przetwarzających, pomaga administratorowi, po zakończeniu usług usuwa albo zwraca dane zależnie od decyzji administratora i umożliwia audyty, w tym inspekcje. Ust. 2 wymaga zgody administratora na dalszy podmiot przetwarzający i, przy zgodzie ogólnej, informowania o zmianach z możliwością sprzeciwu. Ust. 9 mówi o formie pisemnej, w tym elektronicznej. Art. 33 ust. 2 dodaje, że podmiot przetwarzający zgłasza naruszenie administratorowi „bez zbędnej zwłoki”.

Typowe grupy pytań

Wzory ankiet różnią się między szpitalami, ale pytania zwykle układają się w te same grupy:

1. Zakres danych. Jakie dane system przetwarza, czy są wśród nich dane pacjentów, kto jest administratorem.
2. Lokalizacja danych. Gdzie stoją serwery i kopie zapasowe, w jakim kraju.
3. Szyfrowanie. Czy transmisja jest szyfrowana i jak chronione są pliki wgrywane przez użytkowników.
4. Kopie zapasowe. Jak często, do jakiego punktu da się odtworzyć dane, czy odtworzenie jest sprawdzane.
5. Dostęp i logowanie. Jak powstają konta, wymagania dla haseł, logowanie dwuskładnikowe, role, kto po stronie dostawcy widzi dane i czy to się zapisuje.
6. Podwykonawcy. Lista dalszych podmiotów przetwarzających, ich siedziba i miejsce przetwarzania, zasady informowania o zmianie.
7. Incydenty. W jakim czasie dostawca zgłasza naruszenie i co zawiera zgłoszenie.
8. Umowa powierzenia i audyt. Czy jest wzór umowy, czy szpital może użyć własnego, na jakich warunkach może przeprowadzić audyt.
9. Ciągłość działania i wyjście z umowy. Co się dzieje przy awarii dostawcy, jak szpital pobiera swoje dane, w jakim formacie, ile ma na to czasu i co dzieje się z danymi potem.

Czego wymagać w odpowiedziach: dokumentów, nie deklaracji

Odpowiedź „tak, robimy kopie zapasowe” nie mówi nic, co dałoby się sprawdzić. Odpowiedź, z którą można pracować, mówi, gdzie stoją kopie, jak często powstają, do jakiego punktu da się odtworzyć dane i jak sprawdzane jest odtworzenie, a do tego dostawca przysyła spisaną procedurę.

Ta sama zasada działa przy pozostałych grupach. W praktyce warto prosić o:

• projekt umowy powierzenia, a nie zapewnienie, że „umowa będzie”;
• listę dalszych podmiotów przetwarzających z miejscem przetwarzania i zasadą informowania o zmianach;
• opis środków technicznych i organizacyjnych;
• procedurę zgłaszania naruszeń z terminem i zakresem zgłoszenia;
• opis eksportu danych: kto go uruchamia, co zawiera, czy obejmuje załączniki.

Dobrze też sprawdzić, czy odpowiedzi z ankiety zgadzają się z umową. Termin zgłoszenia naruszenia albo czas na pobranie danych po zakończeniu umowy powinny w obu miejscach brzmieć tak samo. Jeśli się różnią, wiąże umowa, a ankieta zostaje deklaracją.

Czego ten tekst nie rozstrzyga

Nie mówimy, czy konkretny szpital jest podmiotem kluczowym albo ważnym, jakie środki powinien wdrożyć ani czy dany dostawca je spełnia. Nie omawiamy przepisów wykonawczych do ustawy o KSC ani terminów zgłaszania incydentów przez sam szpital. Ocena dostawcy należy do szpitala, a w sprawach prawnych do jego prawnika i inspektora ochrony danych.

Jak to wygląda w MedPass

MedPass, system ewidencji i dokumentacji technicznej aparatury medycznej, publikuje wypełniony kwestionariusz bezpieczeństwa dostawcy: 27 pytań w dziewięciu obszarach, od zakresu danych, przez lokalizację, podprocesorów, dostęp, szyfrowanie, rozliczalność zmian, kopie zapasowe i naruszenia, po zakończenie współpracy. Kwestionariusz ma numer wersji i datę stanu, można go zapisać jako PDF, a jeśli szpital ma własny wzór, wypełniamy go na podstawie tych samych odpowiedzi. To nadal są nasze deklaracje, dlatego na tej samej stronie jest lista dokumentów, które przysyłamy na życzenie: umowa powierzenia, lista podprocesorów z historią zmian, opis środków technicznych i organizacyjnych oraz procedura zgłaszania naruszeń. Ogólniej o danych w systemie piszemy na stronie bezpieczeństwo.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252: art. 1 pkt 16 (nowe brzmienie art. 8), nowe brzmienie art. 5 ust. 8, załącznik nr 1 (sektor „Ochrona zdrowia”), art. 33 ust. 1, art. 49. Tekst w ISAP, dostęp 2.11.2026.
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS2), Dz. Urz. UE L 333 z 27.12.2022, art. 21 ust. 2 lit. d i ust. 3. Tekst polski z repozytorium Urzędu Publikacji UE (CELEX 32022L2555), dostęp 2.11.2026.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 28 ust. 1, 2, 3 i 9, art. 33 ust. 2. Tekst polski z repozytorium Urzędu Publikacji UE (CELEX 32016R0679), dostęp 2.11.2026.