W pigułce
- Cyberpolisa nie jest automatyczną odpowiedzią na wyciek. Przy regule przekierowania poczty trzeba oddzielić koszty własne placówki od roszczeń osób trzecich i sprawdzić ich definicje, limity oraz wyłączenia w aktualnych OWU.
- AI może porządkować tylko zanonimizowaną mapę kosztów i braków. Nie czyta realnej skrzynki, nie wybiera dokumentacji pacjenta i nie interpretuje ochrony.
- Wynikiem ćwiczenia są pisemne potwierdzenia, nie ogólne zapewnienie. IOD, broker i manager przypisują każdemu kosztowi właściciela, dokument i minimalny dowód.
W polskiej placówce medycznej pojedyncza reguła w skrzynce może wystarczyć, aby zwykła korespondencja stała się incydentem z kosztami dla IT, IOD, prawnika i zespołu obsługi pacjenta. Nie jest to drobny błąd administracyjny, gdy w wiadomościach są informacje o leczeniu albo terminach wizyt. Cyberpolisa nie działa jak automatyczna kasa: najpierw trzeba wiedzieć, co się wydarzyło, kto ponosi dany koszt i co naprawdę wynika z aktualnych OWU.
W tym miejscu AI ma bardzo ograniczoną rolę. Może porządkować zanonimizowaną mapę kategorii kosztów i wskazywać puste pola w karcie ćwiczenia. Nie może analizować prawdziwej skrzynki, wybierać dokumentacji pacjenta do wysyłki ani interpretować ochrony ubezpieczeniowej. Zakres informacji dla ubezpieczyciela zatwierdzają człowiek odpowiedzialny za incydent, IOD oraz broker lub prawnik.
Komunikat Rzecznika Praw Pacjenta z 13 lipca 2026 r. opisuje sprawę, w której autonomia reguł przekierowania poczty była jednym z uchybień prowadzących do nieuprawnionego dostępu do danych. To jest mocny powód, by przećwiczyć scenariusz. Nie jest natomiast dowodem, że konkretna polisa pokryje konkretną szkodę.
Najważniejsze
- Zbuduj jeden scenariusz wycieku, zamiast szukać ogólnej odpowiedzi o zakresie ochrony. Uwzględnij regułę przekierowania, zakres potencjalnych danych, koszty techniczne, koszty prawne oraz ewentualne roszczenie.
- Oddziel pakiet techniczny od ubezpieczeniowego. Logi i konfiguracja służą ustaleniu faktów; OWU, aneksy i pisemne stanowisko brokera służą ocenie zakresu ochrony.
- Nie przesyłaj korespondencji pacjentów do modelu ani „na wszelki wypadek” do ubezpieczyciela. Każdy materiał musi mieć konkretny cel, zatwierdzenie człowieka i minimalny zakres.
- Zablokuj niekontrolowane przekierowania, zanim zaczniesz ćwiczenie. W przeciwnym razie karta kosztów maskuje realną lukę zamiast ją zamykać.
Scenariusz placówki: filtr poza domeną
Przykład modelowy — prywatna przychodnia ćwiczy reakcję na hipotetyczną regułę przekierowania poczty. Nie opisuje realnego pacjenta ani szkody, nie zawiera danych medycznych i nie przewiduje decyzji ubezpieczyciela.
W poniedziałek rano administrator znajduje regułę, która przez kilka dni kopiowała część wiadomości recepcji na adres poza domeną placówki. Reguła zostaje wyłączona, ale zespół nie zakłada, że brak widocznej odpowiedzi odbiorcy oznacza brak dostępu do wiadomości. Najpierw zabezpiecza ślady techniczne, a dopiero potem ustala, jakie kategorie informacji mogły znaleźć się w korespondencji.
Manager zwołuje krótkie ćwiczenie z IOD, IT i brokerem. Każda rola dostaje tylko opis zdarzenia: nieuprawnione przekierowanie, potencjalne dane o korzystaniu ze świadczeń, czas działania reguły oraz wpływ na działanie poczty. Nie przekazuje się treści maili, nazwisk, PESEL ani dokumentacji. Celem nie jest zgłoszenie szkody na zapas, lecz rozpisanie, które koszty i decyzje trzeba umieć powiązać z dokumentem przed prawdziwym incydentem.
RPP wskazał w swojej sprawie m.in. potrzebę centralnego zarządzania pocztą, kontroli dostępu i blokady automatycznego przekierowywania poza domenę. Dla cyberpolisy ten fakt nie tworzy gotowej odpowiedzi. Pomaga jednak precyzyjnie nazwać zdarzenie, którego definicję, limity i wyłączenia należy sprawdzić w umowie.
Mapa kosztów zamiast hasła „cyberpolisa wszystko pokryje”
FSI/BIS w opracowaniu z 17 czerwca 2026 r. rozróżnia zwykle koszty bezpośrednie ubezpieczonego, określane jako first-party, od odpowiedzialności wobec osób trzecich, czyli third-party. Wskazuje też, że zakres i wyłączenia istotnie różnią się między polisami. To są etykiety do rozmowy, nie zamiennik OWU. Poniższa mapa ma zmusić zespół do wskazania dokumentu, właściciela i kanału uruchomienia pomocy dla każdej pozycji.
| Ryzyko / sygnał w scenariuszu | Koszt albo roszczenie do przypisania | Właściciel ustalenia | Co potwierdzić w OWU lub umowie | Kanał uruchomienia pomocy / zgłoszenia | Minimalny dowód |
|---|---|---|---|---|---|
| Reguła przekierowania działała poza domeną | Informatyka śledcza, analiza logów i ograniczenie zdarzenia | IT + manager incydentu | Definicję incydentu, koszty reagowania, limit i retencję | Kanał asysty lub szkody wskazany w aktualnej polisie | Eksport konfiguracji, znaczniki czasu, potwierdzenie wyłączenia reguły |
| Nie wiadomo, jaki był zakres dostępu | Pomoc prawna, ocena obowiązków i ewentualna komunikacja | IOD + prawnik | Czy koszty doradztwa, notyfikacji lub komunikacji są odrębnie limitowane | Kanał zgłoszenia incydentu lub doradztwa, potwierdzony przez brokera | Zapis ustaleń IOD, lista kategorii danych bez danych osób, decyzja o dalszych krokach |
| Poczta lub systemy wymagają przywrócenia | Odtworzenie konfiguracji, wsparcie dostawcy i przestój | IT + dyrektor operacyjny | Zakres przywracania, warunki przerwy w działalności, udział własny i wyłączenia | Kanał wskazany dla kosztów odtworzenia lub przerwy w działalności | Zlecenie serwisowe, harmonogram przywracania, potwierdzenie niedostępności usługi |
| Osoba dotknięta zdarzeniem zgłasza roszczenie | Odpowiedzialność wobec pacjenta, obrona i koszty postępowania | Manager + broker + prawnik | Definicję odpowiedzialności, limity dla roszczeń osób trzecich i zakres kosztów obrony | Kanał obsługi roszczenia i termin zawiadomienia | Oddzielna rejestracja roszczenia, pełnomocnictwa i potwierdzony kanał komunikacji |
| Dostawca poczty ma własną rolę w zdarzeniu | Roszczenie regresowe lub podział odpowiedzialności kontraktowej | Prawnik + właściciel umowy | Obowiązki dostawcy, SLA, postanowienia o współpracy przy incydencie i wyłączenia | Odrębny kanał eskalacji dostawcy oraz kanał szkody z polisy | Umowa powierzenia, aneks bezpieczeństwa, protokół eskalacji dostawcy |
Tabela nie przesądza, że dana pozycja będzie pokryta. Ma ujawnić miejsca bez właściciela i bez dowodu, zanim stres wymusi nadmiarowe wysyłanie danych. Do każdego wiersza dopisz też kanał uruchomienia pomocy albo zgłoszenia i termin z aktualnej polisy. Nie jest to test kontaktu ani zawiadomienie „na zapas”, lecz pole do potwierdzenia z brokerem. Zamiast pytać ogólnie, czy polisa obejmuje wyciek, manager powinien oczekiwać pisemnego wskazania konkretnej definicji, limitu albo wyłączenia dla każdego pola mapy.
Gdzie kończy się rola modelu
AI może przygotować pusty szablon mapy, sprawdzić, czy przy każdym wierszu wpisano właściciela, stronę OWU i rodzaj dowodu, a także uporządkować wyłącznie opisowe, zanonimizowane kategorie. To bywa użyteczne, gdy kilka osób pracuje nad jedną kartą i łatwo przeoczyć brak odpowiedzialnego.
Granica jest twarda. Model nie czyta skrzynki po incydencie, nie klasyfikuje wiadomości pacjentów, nie ocenia obowiązku zgłoszenia i nie ustala, czy ubezpieczyciel ma wypłacić świadczenie. Te decyzje wymagają kontekstu prawnego, faktycznej treści zdarzenia oraz uprawnienia do pracy na danych. Zatwierdzenie zestawu dowodów i każdej informacji opuszczającej placówkę pozostaje po stronie osoby odpowiedzialnej.
Dobry test brzmi prosto: czy karta ćwiczenia nadal byłaby użyteczna, gdyby usunąć z niej wszystkie dane osoby, treść maila i nazwę systemu? Jeżeli nie, zespół próbuje za wcześnie przekazać do narzędzia albo do ubezpieczyciela więcej, niż potrzebuje do pierwszej oceny.
Dowód z poczty i dowód z polisy to dwa różne pakiety
UODO w komunikacie z 13 lipca 2026 r. opisał sprawę szpitala, w której zewnętrzny dostawca poczty deklarował zabezpieczenia i certyfikację, lecz administrator nie zweryfikował wystarczających gwarancji ani analizy ryzyka dla poczty. Organ wskazał na potrzebę okresowej weryfikacji, także przez audyty lub inspekcje. Sama nazwa dostawcy albo certyfikat nie zamyka pytania o ryzyko.
Dlatego w ćwiczeniu trzeba trzymać osobno dwa pakiety. Pakiet techniczny opisuje konfigurację, logi, czas działania reguły i działania naprawcze. Pakiet ubezpieczeniowy zawiera aktualne OWU, aneksy, limity, obowiązki po zdarzeniu i sposób potwierdzenia zakresu przez brokera. Mieszanie ich w jednym mailu z pełną korespondencją pacjentów nie przyspiesza ochrony; utrudnia za to kontrolę, kto dostał jakie dane i po co.
Jeśli zakres incydentu jest niejasny, najpierw ustal, jakie informacje są potrzebne do ograniczenia zdarzenia, a jakie tylko do rozmowy o potencjalnym koszcie. W razie realnego naruszenia IOD i prawnik oceniają obowiązki oraz zakres komunikacji. Broker nie zastępuje tej oceny, a ubezpieczyciel nie powinien otrzymać materiału szerszego niż uzasadniony dla konkretnego etapu sprawy.
Rozsądny moment na ćwiczenie to dzień bez szkody
Ćwiczenie warto rozpisać, gdy placówka ma aktualne OWU, wskazaną osobę odpowiedzialną za pocztę i możliwość spotkania IOD z brokerem nad anonimowym opisem zdarzenia. Wynikiem ma być komplet potwierdzeń na piśmie, nie deklaracja, że ochrona jest szeroka. Trzy praktyczne miary to odsetek wierszy mapy z potwierdzonym limitem lub wyłączeniem, czas od potwierdzenia incydentu do uruchomienia pomocy wskazanej w polisie oraz liczba otwartych luk bez właściciela.
Nie zaczynaj takiego ćwiczenia, gdy jedynym materiałem jest prawdziwa skrzynka, zespół nie odróżnia roli IOD od brokera albo nie ma aktualnej wersji OWU i aneksów. Wtedy najpierw zabezpiecz podstawy: zablokuj niekontrolowane przekierowania, ustal właściciela konfiguracji poczty i zgromadź dokumenty polisy poza danymi pacjentów. Dopiero potem można bezpiecznie sprawdzać kosztowe scenariusze.
Pierwszy krok dla managera nie wymaga symulowania ataku ani pisania do ubezpieczyciela pod presją. Wystarczy jedno spotkanie nad opisem filtra przekierowującego i sześć pól mapy: zdarzenie, koszt lub roszczenie, właściciel, zapis OWU, kanał uruchomienia pomocy lub zgłoszenia oraz dowód. Jeśli któreś pole zostaje puste, ma dostać osobę odpowiedzialną i termin wyjaśnienia. To mały ruch organizacyjny, ale pozwala sprawdzić cyberpolisę zanim stanie się ona kolejną sprawą do odtwarzania z pamięci.
Źródła
- Rzecznik Praw Pacjenta — brak adekwatnych środków zabezpieczających dostęp do danych medycznych, 13.07.2026. Oficjalny komunikat o nieuprawnionym dostępie przez filtr przekierowujący pocztę, wymaganych zabezpieczeniach i nakazach naprawczych dla podmiotu leczniczego. Sprawdzono: 2026-07-16.
- Financial Stability Institute / BIS — Cyber insurance unpacked: the corporate digital safety net, 17.06.2026. Raport wyjaśnia różnicę między kosztami first-party i odpowiedzialnością third-party, a zarazem podkreśla niejednoznaczność oraz różnice zakresu ochrony; nie zastępuje polskich OWU. Sprawdzono: 2026-07-16.
- UODO — upomnienie dla szpitala za brak weryfikacji podmiotu przetwarzającego, 13.07.2026. Oficjalne źródło o analizie ryzyka dla poczty, weryfikacji dostawcy oraz potrzebie materialnych dowodów należytej staranności. Sprawdzono: 2026-07-16.
- Centrum e-Zdrowia — portal CSIRT CeZ dla sektora ochrony zdrowia, 23.06.2026. Źródło publiczne o zgłaszaniu incydentów i osobach kontaktowych; obowiązek wstępnego zgłoszenia w 24 godziny dotyczy podmiotów kluczowych oraz ważnych, więc placówka powinna najpierw ustalić swoją kwalifikację. Sprawdzono: 2026-07-16.
- Okładka: Kampus Production na Pexels
