Interpelacja nr 19493

W ostatnich tygodniach doszło do jednego z najpoważniejszych ujawnionych w Polsce incydentów związanych z bezpieczeństwem danych. W wyniku cyberataku na firmę MyDr sp. z o.o. doszło do wycieku danych, który może dotyczyć blisko 19 mln Polaków, w tym danych związanych z dokumentacją medyczną. Skala zdarzenia pokazuje, jak poważne konsekwencje może mieć niewystarczające zabezpieczenie systemów, które przetwarzają dane milionów obywateli.

W związku z tym zasadne jest pytanie, czy państwo posiada wystarczające mechanizmy pozwalające zapobiegać podobnym incydentom, szczególnie w przypadku podmiotów, które na masową skalę przetwarzają dane obywateli.

W tym kontekście istotne jest również, że od kwietnia 2026 r. obowiązuje znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, nakładająca na podmioty kluczowe i ważne nowe obowiązki dotyczące m.in. zarządzania bezpieczeństwem informacji, reagowania na incydenty i zgłaszania ich właściwym zespołom CSIRT.

Ostatni incydent pokazuje, że bezpieczeństwo danych obywateli nie może być traktowane wyłącznie jako odpowiedzialność poszczególnych firm. Państwo powinno posiadać skuteczne mechanizmy nadzoru, reagowania i zapobiegania sytuacjom, w których dane milionów obywateli mogą zostać przejęte w wyniku jednego cyberataku.

W związku z powyższym zwracam się do Pana Premiera z następującymi pytaniami:

Czy Ministerstwo Cyfryzacji przeprowadziło analizę ryzyka wystąpienia podobnych masowych wycieków danych w innych podmiotach działających na terenie Polski?

Czy ministerstwo posiada informacje o innych systemach, w których przechowywane są dane milionów Polaków, a których zabezpieczenia mogą stanowić potencjalny cel cyberataków?

Czy przeprowadzane są dodatkowe kontrole lub audyty bezpieczeństwa systemów podmiotów, które przetwarzają dane osobowe na masową skalę?

Czy ministerstwo planuje wprowadzenie dodatkowych wymogów dotyczących szyfrowania, przechowywania, dostępu i wykonywania kopii zapasowych danych szczególnie wrażliwych?

Czy ministerstwo posiada dane dotyczące liczby poważnych incydentów cyberbezpieczeństwa dotyczących wycieku danych osobowych w latach 2024-2026?

Jakie działania podejmowane są w celu zapewnienia, aby podmioty objęte nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa faktycznie wdrożyły wymagane zabezpieczenia, a nie ograniczały się do formalnego spełnienia obowiązków?

Czy ministerstwo jest obecnie w stanie zagwarantować, że podobny wyciek danych na masową skalę nie dotyczy innych systemów wykorzystywanych przez administrację publiczną lub podmioty realizujące zadania publiczne?

Jakie działania państwo podejmuje w celu szybkiego informowania obywateli o wycieku ich danych oraz ograniczenia możliwości wykorzystania tych danych do kradzieży tożsamości, oszustw i wyłudzeń?

Czy ministerstwo planuje stworzenie jednolitego systemu monitorowania bezpieczeństwa podmiotów, które przetwarzają dane szczególnie wrażliwe na masową skalę?

Czy w związku z ostatnim incydentem ministerstwo przygotowało lub przygotowuje pakiet zmian prawnych zwiększających bezpieczeństwo danych obywateli? Jeżeli tak, jakie rozwiązania mają zostać wprowadzone i w jakim terminie?