Spis treści
Ministerstwo Cyfryzacji podkreśla, że nowe przepisy nie dotyczą wyłącznie sektora IT, ale obejmują także inne branże, w tym produkcję i dystrybucję leków. W praktyce oznacza to konieczność wdrożenia systemów zarządzania bezpieczeństwem informacji w firmach farmaceutycznych – zarówno w zakładach produkcyjnych, jak i hurtowniach leków.
Wymogi dotyczą m.in. analizy zagrożeń, wdrażania odpowiednich zabezpieczeń oraz opracowania i testowania procedur reagowania na incydenty cybernetyczne.
Incydent cyberbezpieczeństwa – niezależnie od tego, czy jest skutkiem ataku, błędu ludzkiego, czy awarii technicznej – może zakłócić świadczenie usług i narazić firmę na dotkliwe straty finansowe oraz wizerunkowe. W przypadku branży lekowej stawką jest również zdrowie publiczne. Przerwanie łańcucha dostaw może spowodować niedobory leków, co ma bezpośrednie konsekwencje dla pacjentów.
Bezpieczny łańcuch dostaw pod lupą
Szczególne znaczenie w nowelizacji ustawy zyskuje kwestia bezpieczeństwa łańcuchów dostaw. Ataki coraz częściej nie są wymierzone bezpośrednio w główną firmę, lecz w jej dostawców – zwłaszcza oprogramowania. Dlatego nowe przepisy zobowiązują podmioty kluczowe i ważne do weryfikacji jakości i bezpieczeństwa produktów ICT oraz monitorowania podatności swoich dostawców.
Firmy powinny:
znać strukturę swojego łańcucha dostaw,
zawierać odpowiednie klauzule dotyczące bezpieczeństwa w umowach,
wybierać dostawców posiadających certyfikaty cyberbezpieczeństwa,
inwentaryzować swoje zasoby i aktualizować oprogramowanie, by eliminować znane luki.
Identyfikacja dostawców wysokiego ryzyka
Nowelizacja przyznaje ministrowi właściwemu ds. informatyzacji prawo do wszczęcia postępowania administracyjnego w celu identyfikacji tzw. dostawcy wysokiego ryzyka – czyli takiego, który może zagrażać bezpieczeństwu państwa. W przypadku wydania negatywnej decyzji, podmiot będzie zobowiązany do wycofania sprzętu i oprogramowania tego dostawcy – w ciągu 7 lat, lub 4 lat w przypadku elementów krytycznych dla telekomunikacji.
Choć projekt ustawy nie przewiduje specjalnych regulacji dla branży farmaceutycznej, podmioty działające w tym sektorze mogą zostać uznane za „kluczowe”, jeśli ich działalność jest niezbędna dla krytycznych usług społecznych lub gospodarczych – nawet jeśli są niewielkie. Przewiduje to unijna dyrektywa NIS 2, na której oparta jest nowelizacja.
