Cyberbezpieczeństwo NIS2 w farmacji jest wymogiem odporności operacyjnej, a nie odrębnym projektem IT. Incydent cyberbezpieczeństwa może zatrzymać linię napełniającą, odizolować laboratorium, przerwać łańcuch chłodniczy, naruszyć integralność danych klinicznych albo spowodować niedostępność zwalidowanego systemu. Każdy z tych skutków może wpłynąć na jakość produktu, bezpieczeństwo pacjentów i ciągłość dostaw.
Dyrektywa (UE) 2022/2555, określana jako NIS2, ustanawia wspólny unijny poziom odniesienia dla zarządzania ryzykiem cyberbezpieczeństwa, nadzoru kierownictwa i zgłaszania poważnych incydentów. Obowiązki prawne są wdrażane w przepisach krajowych. Organizacja musi więc analizować dyrektywę łącznie z zasadami, progami, procedurami rejestracyjnymi i wytycznymi właściwych organów w każdym państwie członkowskim, w którym podlega regulacji.
Ten przewodnik przekłada wymogi prawne na działania i dowody dla producentów farmaceutycznych, firm biotechnologicznych, organizacji prowadzących badania i rozwój produktów leczniczych, kontraktowych organizacji produkcyjnych (CMO), kontraktowych organizacji badawczych (CRO) oraz ich krytycznych dostawców. Wyjaśnia również, gdzie NIS2 należy uzgodnić z GxP, Computerized System Validation (CSV), Computer Software Assurance (CSA), GAMP 5 i istniejącymi procesami zarządzania jakością.
Artykuł koncentruje się na wdrożeniu specyficznym dla farmacji. Szczegółowy model dowodowy przedstawia lista kontrolna dokumentacji i dowodów zgodności NIS2 przygotowana przez TTMS.
1. Dlaczego działalność farmaceutyczna jest priorytetowym celem cyberataków objętym NIS2
NIS2 zalicza wytwarzanie podstawowych substancji farmaceutycznych i preparatów farmaceutycznych do sektora zdrowia w załączniku I. W tej samej kategorii znajdują się podmioty świadczące opiekę zdrowotną, laboratoria referencyjne UE oraz podmioty prowadzące badania i rozwój produktów leczniczych. Klasyfikacja odzwierciedla znaczenie systemowe: zakłócenie może wpłynąć na dostęp do leków i reagowanie w obszarze zdrowia publicznego, a nie wyłącznie na wynik jednej firmy.
Obraz zagrożeń uzasadnia takie podejście. ENISA podała, że wśród incydentów dotyczących sektora zdrowia przeanalizowanych w raporcie o krajobrazie zagrożeń z 2024 r. 45% stanowiły ataki ransomware, a 28% naruszenia danych. Odrębny komercyjny zbiór danych odnotował 4198 przypadków ransomware ujawnionych w serwisach przestępczych we wszystkich sektorach w pierwszej połowie 2025 r., czyli o 49% więcej niż w porównywalnym zbiorze z 2024 r. Liczba 4198 nie dotyczy wyłącznie farmacji i nie powinna być przedstawiana jako liczba ataków na organizacje farmaceutyczne lub biotechnologiczne.
Farmacja skupia zasoby, które dają napastnikom znaczną przewagę: własność intelektualną, dane kliniczne i dane związane z pacjentami, regulowaną produkcję, cenne partie produktów, logistykę wrażliwą na czas oraz rozbudowaną sieć dostawców. Ta sama platforma tożsamości, warstwa integracyjna lub kanał zdalnego utrzymania może łączyć korporacyjne IT z ERP, MES, LIMS, ELN, EDC i technologią operacyjną (OT). Atakujący nie musi przejąć każdego systemu. Zakłócenie jednej współdzielonej zależności może wystarczyć, aby zatrzymać zwolnienie serii, badania lub dystrybucję.
Wpływ biznesowy należy analizować jako łańcuch zależności. Każdy krytyczny produkt lub usługę trzeba powiązać z obiektami, procesami, systemami, danymi, mediami technicznymi, personelem i stronami trzecimi. Należy określić maksymalny tolerowany czas przerwy oraz konsekwencje jakościowe utraty danych lub opóźnionego przeglądu. Taka mapa usług staje się dowodem dla analizy ryzyka, ciągłości działania, priorytetów odtwarzania i decyzji dotyczących łańcucha dostaw.
2. NIS2 w sektorze farmaceutycznym i biotechnologicznym: zakres, klasyfikacja i status prawny organizacji
NIS2 rozszerzyła unijny poziom odniesienia dla cyberbezpieczeństwa względem węższego modelu NIS1. Co do zasady obejmuje średnie i duże podmioty rodzajów wymienionych w załączniku I lub II, z uwzględnieniem szczególnych przypadków włączenia i wyłączenia. W farmacji i biotechnologii analiza prawna musi wychodzić od faktycznej działalności podmiotu, a nie od sposobu prezentowania marki.
Działalność może obejmować badania i rozwój produktów leczniczych, wytwarzanie API lub produktów gotowych, produkcję wyrobów medycznych, operacje kliniczne, dystrybucję, marketing, usługi cyfrowe albo ich połączenie. W jednej grupie mogą działać podmioty o różnych statusach. Samo określenie CMO lub CRO nie przesądza o objęciu regulacją. Trzeba udokumentować właściwą działalność, wielkość, miejsce prowadzenia działalności, jurysdykcję i ewentualne wyznaczenie na podstawie prawa krajowego.
2.1. Od NIS1 do NIS2: co zmieniło się dla zdrowia i farmacji
NIS2 rozszerza zakres sektorowy, ujednolica minimalny zestaw środków zarządzania ryzykiem cyberbezpieczeństwa, ustanawia wieloetapowy model zgłaszania poważnych incydentów oraz wzmacnia nadzór i egzekwowanie. Wymaga, aby organy zarządzające zatwierdzały środki zarządzania ryzykiem, nadzorowały ich wdrożenie i odbywały szkolenia. Państwa członkowskie muszą również utrzymywać krajowe strategie cyberbezpieczeństwa i struktury reagowania na incydenty.
Rezultatem jest wspólny poziom odniesienia, ale nie identyczna administracja w całej UE. Rejestracja, progi, formularze, właściwe organy, język, oczekiwania audytowe i sankcje wynikają z prawa krajowego. W lipcu 2026 r. Komisja skierowała sprawy Irlandii, Hiszpanii, Francji i Niderlandów do Trybunału Sprawiedliwości z powodu niezgłoszenia pełnej transpozycji. Grupy transgraniczne nadal potrzebują rejestru jurysdykcji i lokalnej weryfikacji prawnej.
Istniejący ład GMP i zarządzania jakością może zapewnić strukturę wyjściową. Przegląd zarządzania, kontrola zmian, zarządzanie odchyleniami, CAPA, kwalifikacja dostawców, szkolenia i przeglądy okresowe mają już właścicieli i pozostawiają zapisy. Procesy te należy rozszerzyć na cyberbezpieczeństwo, nie zakładając, że dowody GxP automatycznie potwierdzają zgodność z NIS2.
2.2. Podmiot kluczowy czy ważny? Klasyfikacja przed wyborem zabezpieczeń
Zgodnie z art. 3 podmiot z załącznika I, który przekracza pułap dla średniego przedsiębiorstwa, jest co do zasady podmiotem kluczowym. Pozostałe średnie podmioty z załącznika I lub II są zasadniczo podmiotami ważnymi, chyba że przepis szczególny lub krajowe wyznaczenie prowadzi do innego wyniku. Niektóre rodzaje podmiotów są kluczowe niezależnie od wielkości. Mikroprzedsiębiorstwa i małe przedsiębiorstwa są co do zasady wyłączone, jednak art. 2 przewiduje wyjątki związane między innymi z krytycznością.
Działalność ograniczona wyłącznie do dystrybucji lub marketingu może znaleźć się poza wymienionymi kategoriami farmaceutycznymi, jeżeli podmiot nie prowadzi objętej działalności i nie został wyznaczony na innej podstawie. Z kolei organizacja prowadząca badania i rozwój produktów leczniczych może być objęta zakresem załącznika I, nawet jeśli nie prowadzi produkcji. Zakres dotyczący wyrobów medycznych także wymaga uważnej analizy właściwej kategorii załącznika; nie każda firma z tego rynku ma ten sam status.
Dla każdej osoby prawnej należy przygotować zatwierdzoną analizę zakresu. Powinna obejmować działalność, kod NACE lub równoważną klasyfikację, dane o zatrudnieniu i finansach, miejsca prowadzenia działalności, usługi, przepisy krajowe, zależności grupowe i uzasadnienie wniosku. Trzeba zapisać, kto ją zatwierdził i kiedy wymaga ponownego przeglądu. Jest to pierwszy audytowalny artefakt; folder produktowy ani założenie przyjęte dla całej grupy nie wystarczą.
3. Cztery filary zgodności NIS2 dla organizacji farmaceutycznych
Program NIS2 należy oprzeć na czterech powiązanych filarach: zarządzaniu ryzykiem, zgłaszaniu poważnych incydentów, odpowiedzialności kierownictwa i bezpieczeństwie łańcucha dostaw. Każdy wymaga właściciela, procedury i dowodów działania.
3.1. Zarządzanie ryzykiem z art. 21: dziesięć obszarów minimalnych
Artykuł 21 wymaga odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych opartych na podejściu uwzględniającym wszystkie zagrożenia. Poniższe dziesięć obszarów należy mapować do usług i ryzyk, a nie traktować jako ogólną listę zakupów narzędzi.
| Obszar art. 21 | Priorytet wdrożeniowy w farmacji | Typowe dowody audytowe |
| 1. Polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych | Powiązanie wpływu na produkt, pacjenta i usługę z systemami IT, OT i GxP | Zatwierdzona metodyka, mapa usług, rejestr ryzyka, decyzje o postępowaniu z ryzykiem |
| 2. Obsługa incydentów | Koordynacja bezpieczeństwa, jakości, prywatności, prawa, produkcji i komunikacji | Plan reagowania, macierz istotności, akta incydentów, raporty po zdarzeniu |
| 3. Ciągłość działania, kopie zapasowe, odtwarzanie awaryjne i zarządzanie kryzysowe | Priorytety dla partii, laboratoriów, zwolnienia serii i łańcucha chłodniczego | BIA, RTO/RPO, plany odtwarzania, testy przywracania, raporty z ćwiczeń |
| 4. Bezpieczeństwo łańcucha dostaw | Ocena zależności od API, CMO, CRO, logistyki, chmury i utrzymania | Klasyfikacja dostawców, due diligence, umowy, monitoring, plany wyjścia |
| 5. Bezpieczne nabywanie, rozwój i utrzymanie, w tym obsługa i ujawnianie podatności | Powiązanie zmian bezpieczeństwa z utrzymaniem stanu zwalidowanego i kontrolą zmian | Wymagania bezpieczeństwa, modele zagrożeń, rejestry podatności, pakiety zmian |
| 6. Ocena skuteczności zabezpieczeń | Testowanie projektu, zakresu wdrożenia i wyników operacyjnych | Testy kontroli, mierniki, audyty wewnętrzne, CAPA i dowody zamknięcia |
| 7. Podstawowe praktyki cyberhigieny i szkolenia | Szkolenia dopasowane do ról, w tym inżynierów, laboratoriów i kierownictwa | Programy, frekwencja, ocena kompetencji, wyniki symulacji phishingu lub ćwiczeń |
| 8. Kryptografia i szyfrowanie | Ochrona danych i komunikacji wraz z zarządzaniem kluczami i certyfikatami | Standard kryptograficzny, rejestr kluczy, monitoring certyfikatów, wyjątki |
| 9. Bezpieczeństwo HR, kontrola dostępu i zarządzanie aktywami | Kontrola zatrudnienia i odejść, zmian ról, dostępów uprzywilejowanych i własności systemów | Rejestr aktywów, przeglądy dostępów, zapisy PAM, dowody rozdziału obowiązków |
| 10. MFA lub ciągłe uwierzytelnianie i bezpieczna komunikacja | Objęcie dostępów zdalnych, działań uprzywilejowanych i usług wystawionych na zewnątrz stosownie do ryzyka | Pokrycie MFA, rejestr wyjątków, konfiguracja bezpiecznych kanałów i przeglądy |
Należy zbudować identyfikowalność wymagań między każdym środkiem NIS2, ryzykiem dla usługi, kontrolą, właścicielem systemu i źródłem dowodu. Istniejące procesy GxP mogą przejąć część zadań. Usuwanie podatności może korzystać z kontroli zmian, testowanie kontroli z przeglądów okresowych i CSA, a szkolenia bezpieczeństwa z kontrolowanego systemu szkoleniowego. Mapowanie musi również ujawniać luki. Zwalidowana aplikacja bez przetestowanego odtwarzania pozostaje ryzykiem dla ciągłości działania.
3.2. Zgłaszanie z art. 23: 24 godziny, 72 godziny i jeden miesiąc
Dla poważnego incydentu art. 23 przewiduje zgłaszanie etapowe: wczesne ostrzeżenie bez zbędnej zwłoki i w ciągu 24 godzin od uzyskania wiedzy o incydencie, zgłoszenie incydentu bez zbędnej zwłoki i w ciągu 72 godzin oraz sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu incydentu. Organ może również wymagać sprawozdań pośrednich lub z postępu prac. Jeżeli po miesiącu incydent nadal trwa, sprawozdanie z postępu zastępuje raport końcowy, który składa się w ciągu miesiąca od zakończenia obsługi incydentu.
Termin biegnie od uzyskania wiedzy o incydencie, a nie od zakończenia analizy informatyki śledczej. Trzeba wskazać, kto może stwierdzić uzyskanie wiedzy, kto ocenia istotność, kto kontaktuje się z krajowym CSIRT lub właściwym organem oraz kto koordynuje równoległe obowiązki wynikające z RODO, regulacji sektorowych, umów i, gdy ma to zastosowanie, przepisów dotyczących wyrobów medycznych. Należy zachować zarówno decyzję o zgłoszeniu, jak i uzasadnioną decyzję o braku zgłoszenia.
Bieżący wgląd w zdarzenia dotyczące tożsamości, sieci, urządzeń końcowych, chmury, ERP, MES, LIMS, ELN, EDC i OT zwiększa szansę dotrzymania terminów. Centralny SIEM może wspierać wykrywanie i odtworzenie chronologii, ale nie dokonuje prawnej oceny istotności. Potrzebny jest proces human-in-the-loop z dyżurnymi uprawnieniami, aktualną listą kontaktów, wcześniej zatwierdzonymi szablonami i rejestrem decyzji.
W środowiskach zwalidowanych monitoring należy wdrażać przez zatwierdzoną kontrolę zmian. Pasywny monitoring OT, telemetria sieciowa i kontrolowane przekazywanie logów mogą ograniczyć ingerencję w zasoby produkcyjne. Całą ścieżkę należy przetestować podczas ćwiczenia symulacyjnego: alert, wstępna analiza techniczna, wpływ na jakość, ocena prawna, eskalacja do kierownictwa, zgłoszenie do organu i dalsze działania.
3.3. Artykuł 20: odpowiedzialność kierownictwa i dowody dla zarządu
Organy zarządzające muszą zatwierdzać środki z art. 21, nadzorować ich wdrożenie i mogą odpowiadać za naruszenia zgodnie z prawem krajowym. Ich członkowie muszą odbywać szkolenia, a państwa członkowskie powinny zachęcać do regularnych szkoleń pracowników. Dowody powinny potwierdzać świadomy nadzór, a nie jedynie formalną prezentację raz w roku.
Zarząd powinien otrzymywać informacje pozwalające podejmować decyzje: najważniejsze ryzyka dla usług, opóźnione działania wobec wysokiego ryzyka, skuteczność zabezpieczeń, poważne incydenty, nieudane testy odtwarzania, ekspozycję na krytycznych dostawców, istotne wyjątki i wymagane inwestycje. Należy zachowywać porządki obrad, materiały, protokoły, zatwierdzenia, zgłoszone zastrzeżenia i działania następcze. Trzeba także dokumentować treść szkoleń, obecność i ocenę skuteczności.
Dyrektywa pozwala również właściwym organom, w określonych okolicznościach dotyczących podmiotów kluczowych, wystąpić o czasowe zawieszenie certyfikacji lub zezwolenia oraz czasowy zakaz wykonywania funkcji kierowniczych przez określonych menedżerów wyższego szczebla do czasu usunięcia uchybień. Jest to środek nadzorczy podlegający warunkom, a nie automatyczny osobisty zakaz po każdym incydencie. Nie należy przedstawiać go jako odpowiedzialności karnej.
3.4. Artykuł 21 ust. 2 lit. d: ryzyko API, CMO, CRO i logistyki
Dostawców należy powiązać z usługami i produktami, na które mogą wpływać. Zakres powinien obejmować dostawców API i substancji pomocniczych, CMO, CRO, laboratoria badawcze, pakowanie, logistykę łańcucha chłodniczego, platformy chmurowe, usługi zarządzane, producentów sprzętu, zdalne utrzymanie i technologie pochodzące z jednego źródła.
Klasyfikacja dostawców powinna uwzględniać wpływ, dostęp, możliwość zastąpienia, koncentrację i czas odtworzenia. Due diligence musi badać dowody właściwe dla usługi: zakres kontroli, historię incydentów, dostęp uprzywilejowany, podwykonawców, obsługę podatności, kopie i odtwarzanie, bezpieczny rozwój, koncentrację geograficzną i możliwość wyjścia. Kwestionariusz jest deklaracją, a certyfikat zyskuje wartość dopiero po sprawdzeniu jego zakresu, wyłączeń i okresu ważności.
Umowy powinny określać minimalne zabezpieczenia, czas zgłoszenia incydentu, współpracę, prawa do audytu lub uzyskania zapewnienia, obsługę podatności, warunki podwykonawstwa, zwrot danych, ciągłość i wyjście. Zapisy umowne nie zastępują monitorowania. Należy dokumentować przeglądy, niekorzystne ustalenia, akceptację ryzyka, zabezpieczenia kompensacyjne, właścicieli i terminy wygaśnięcia.
4. Wyzwania cyberbezpieczeństwa specyficzne dla farmacji, których NIS2 nie rozwiązuje wprost
NIS2 określa rezultaty i minimalne obszary ryzyka. Nie wskazuje, jak załatać zwalidowany MES, monitorować PLC w czystym obszarze produkcyjnym ani zachować zasad ALCOA+ podczas reagowania na cyberincydent. Takie decyzje wymagają współpracy bezpieczeństwa, jakości, inżynierii i regulacji w oparciu o jeden zapis ryzyka.
4.1. Zabezpieczenie systemów bez utraty stanu zwalidowanego
Poprawka bezpieczeństwa lub zmiana konfiguracji może wpłynąć na stan zwalidowany MES, LIMS, QMS, systemów chromatograficznych, monitoringu środowiskowego i innych systemów GxP. Odkładanie każdej poprawki jest niebezpieczne; równie ryzykowne jest wdrażanie wszystkich zmian bez oceny. Celem kontroli jest udokumentowana decyzja oparta na ryzyku.
Zarządzanie podatnościami należy połączyć z kontrolą zmian. Zapis powinien obejmować zasób i wersję, istotność podatności, możliwość wykorzystania, wpływ na pacjenta lub produkt, ekspozycję, wsparcie dostawcy, proponowaną zmianę, zakres testów, wycofanie zmiany, zabezpieczenia kompensacyjne i zatwierdzenie. Zasady GAMP 5 oraz CSV lub CSA pozwalają dostosować poziom zapewnienia do ryzyka zmienianej funkcji. Ponownie należy przetestować elementy mogące wpływać na zamierzone zastosowanie, integralność danych, zapisy elektroniczne, interfejsy i krytyczne obliczenia.
Stan zwalidowany trzeba utrzymywać przez cały cykl życia. Przegląd okresowy powinien uzgadniać konfigurację, odchylenia, poprawki, dostępy, kopie, ścieżki audytowe, incydenty i zmiany dostawców. Zmiany awaryjne wymagają wcześniej określonych uprawnień oraz następczego przeglądu jakościowego. Dowody powinny zapewniać identyfikowalność sekwencji od zagrożenia przez decyzję, test i wydanie do monitorowania po wdrożeniu.
4.2. Ochrona danych badań klinicznych, własności intelektualnej i danych związanych z pacjentami
NIS2 obejmuje podmioty prowadzące badania i rozwój produktów leczniczych, jeżeli spełnione są zasady dotyczące zakresu i wielkości. Ich model ryzyka musi chronić dostępność, autentyczność, integralność i poufność w projektowaniu protokołów, ośrodkach badawczych, eCOA, EDC, systemach bezpieczeństwa, biostatystyce, dokumentacji regulacyjnej i wymianie danych z partnerami.
Należy stosować zasady integralności danych ALCOA+: zapisy powinny być przypisywalne, czytelne, współczesne zdarzeniu, oryginalne, dokładne, kompletne, spójne, trwałe i dostępne. Zabezpieczenia cybernetyczne muszą chronić ścieżkę audytową oraz kontekst potrzebny do interpretacji danych. Trzeba wykrywać masowe eksporty danych, nietypową aktywność uprzywilejowaną, manipulacje i nieautoryzowane zmiany interfejsów, a także testować odtworzenie danych i metadanych.
Prywatność wymaga skoordynowanej, lecz odrębnej oceny. To samo zdarzenie może wymagać sprawdzenia, czy jest poważnym incydentem w rozumieniu NIS2 i czy stanowi naruszenie ochrony danych osobowych zgodnie z RODO. Testy prawne, odbiorcy zgłoszeń i terminy są różne. Organizacja powinna utrzymywać jeden zestaw faktów i chronologię, a następnie prowadzić oddzielne ścieżki decyzji prawnych.
4.3. Konwergencja IT/OT w produkcji i obszarach czystych
Zasoby OT często mają długi cykl życia, ograniczenia dostawców, komunikację deterministyczną i wąskie okna utrzymaniowe. Standardowe oprogramowanie ochronne instalowane na urządzeniach końcowych może nie być wspierane. Sama przerwa w produkcji może wywołać konsekwencje jakościowe i dostawowe. OT należy traktować jako odrębną domenę ryzyka inżynieryjnego połączoną z ładem organizacji.
Prace trzeba rozpocząć od pasywnego wykrywania i potwierdzenia właścicieli. Należy zdefiniować strefy i kanały komunikacyjne, ograniczyć dostęp zdalny, oddzielić funkcje bezpieczeństwa procesowego i sterowania od sieci biznesowych, chronić stacje inżynierskie, monitorować dozwoloną komunikację i kontrolować nośniki wymienne. Gdy załatanie nie jest możliwe, potrzebne są zabezpieczenia kompensacyjne. Segmentacja i zachowanie awaryjne nie mogą zakłócać sterowania w czasie rzeczywistym ani warunków środowiskowych.
Każda zmiana powinna mieć kryteria akceptacji z zakresu cyberbezpieczeństwa, automatyki i jakości. Testy należy wykonywać w zatwierdzonych oknach, dokumentować wycofanie zmiany i zachowywać bazowe konfiguracje. Pakiet dowodowy powinien obejmować aktualne diagramy, reguły zapór, przeglądy dostępu zdalnego, obsługę alertów, testy kopii lub odtwarzania konfiguracji oraz zatwierdzone wyjątki.
5. NIS2, RODO, MDR i systemy jakości: jeden model zarządzania
NIS2 chroni odporność i bezpieczeństwo sieci i systemów informatycznych. RODO chroni dane osobowe i ustanawia obowiązki zgłaszania naruszeń. MDR i IVDR regulują wyroby medyczne, w tym bezpieczeństwo, jakość i działania po wprowadzeniu do obrotu. GMP i GxP dotyczą jakości produktu i integralności danych. Jeden incydent może uruchomić kilka reżimów, ale ich testów prawnych nie można stosować zamiennie.
Należy zbudować jeden model zarządzania z wieloma mapowaniami zgodności. Wspólny katalog usług, rejestr aktywów, metodyka ryzyka, zapis incydentu, rejestr dostawców, proces szkoleniowy, przepływ CAPA i indeks dowodów ograniczą duplikację. Każdą kontrolę trzeba powiązać z właściwym artykułem NIS2, prawem krajowym, wymaganiem RODO, procedurą jakościową i obowiązkiem dotyczącym wyrobu, bez łączenia odrębnych decyzji.
Przed incydentem należy przygotować macierz decyzji regulacyjnych. Dla każdego reżimu trzeba zapisać przesłankę, właściciela decyzji, odbiorcę, termin, minimalną treść i zasady dalszych działań. Należy dodać zgłoszenia umowne oraz komunikację z organami dochodzeniowymi, ubezpieczycielami, partnerami i poszkodowanymi klientami. Podczas incydentu jedna osoba koordynująca utrzymuje zweryfikowane fakty, natomiast właściwi właściciele podejmują odrębne decyzje prawne i jakościowe. Model ogranicza sprzeczne zgłoszenia, nie pozwalając, aby najkrótszy termin zastąpił różne testy każdego reżimu.
ISO/IEC 27001 może zapewnić użyteczną strukturę zarządzania bezpieczeństwem informacji, lecz samo w sobie nie potwierdza zakresu NIS2, rejestracji ani zgodności z krajową procedurą zgłoszeniową. ISO/IEC 42001 może wspierać ład, gdy AI jest używana w analizach LIMS, przeglądzie jakości lub operacjach bezpieczeństwa, jednak zabezpieczenia AI nadal wymagają walidacji, oceny integralności danych i nadzoru człowieka odpowiedniego do zastosowania.
Zintegrowany formularz incydentu powinien zawierać odrębne części dotyczące wpływu na usługę, produkt i pacjenta, danych osobowych, statusu regulacyjnego, decyzji zgłoszeniowych i komunikacji. Ta sama zweryfikowana chronologia może wspierać CSIRT, organ ochrony danych, jednostkę jakości i kierownictwo bez tworzenia sprzecznych wersji.
6. Kary i egzekwowanie: koszt braku zgodności
Artykuł 34 wymaga, aby państwa członkowskie przewidziały dla podmiotów kluczowych maksymalne administracyjne kary pieniężne w wysokości co najmniej 10 mln EUR albo co najmniej 2% całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego, zależnie od tego, która wartość jest wyższa. Dla podmiotów ważnych odpowiednie poziomy wynoszą co najmniej 7 mln EUR albo 1,4%, zależnie od tego, która wartość jest wyższa. Prawo krajowe określa właściwy tryb egzekwowania i może przewidywać wyższe maksima lub dodatkowe środki.
Kary są tylko jednym rodzajem ekspozycji. Incydent może powodować utratę sprzedaży, zniszczenie partii, opóźnienie badań, koszty odtwarzania, roszczenia umowne, konsekwencje dla prywatności i utratę zaufania. Merck podał, że atak sieciowy z 2017 r. zakłócił produkcję, badania i sprzedaż, obniżył sprzedaż w 2017 r. o około 260 mln USD oraz wygenerował 285 mln USD kosztów produkcyjnych i naprawczych po uwzględnieniu wskazanych odzyskanych środków z ubezpieczenia. Pozostałe zaległości wpłynęły na sprzedaż w 2018 r. o około 150 mln USD.
Nie należy uzasadniać zabezpieczeń wyłącznie porównaniem kosztu programu z maksymalną karą. Priorytety powinny wynikać z wpływu na usługę, wiarygodnego zagrożenia, słabości kontroli i obowiązku prawnego. Zarząd powinien widzieć zarówno ekspozycję na brak zgodności, jak i scenariusz straty operacyjnej dla każdego krytycznego produktu lub usługi.
7. Mapa drogowa wdrożenia NIS2 w farmacji na 9–12 miesięcy
Program trwający 9–12 miesięcy może uporządkować działania naprawcze, ale nie jest prawnym okresem przejściowym. Organizacje już podlegające krajowym przepisom wdrażającym muszą wykonywać bieżące obowiązki podczas podnoszenia dojrzałości. Prace trzeba planować według krytyczności ryzyka i zatwierdzonych okien zmian w środowiskach zwalidowanych.
7.1. Krok 1: zakres i analiza luk
Należy potwierdzić status i jurysdykcję każdej osoby prawnej. Krytyczne usługi i produkty trzeba zinwentaryzować, a następnie zmapować zależności IT, OT, laboratoryjne, kliniczne, informacyjne, obiektowe, osobowe i dostawcze. Ocena powinna objąć dziesięć obszarów art. 21 oraz obowiązki krajowe.
Rezultatem oceny powinny być: zatwierdzona analiza zakresu, rejestr jurysdykcji, mapa usług i zależności, bazowy rejestr aktywów, raport luk, plan naprawczy uszeregowany według ryzyka oraz indeks dowodów. Każdy nieznany zasób wystawiony na zewnątrz lub niewspierany system krytyczny wymaga natychmiastowej eskalacji.
7.2. Krok 2: ład i odpowiedzialność
Należy wyznaczyć sponsora po stronie kierownictwa, właścicieli usług, właścicieli kontroli i osobę uprawnioną do zgłaszania incydentów. RACI powinno obejmować bezpieczeństwo, IT, OT, inżynierię, jakość, prywatność, prawo, zakupy, HR, komunikację i ciągłość działania.
Na tym etapie organizacja powinna mieć kartę ładu, RACI, pakiet raportowy dla kierownictwa, progi akceptacji ryzyka, plan szkoleń, macierz kontaktów CSIRT oraz zdefiniowane uprawnienia do izolowania systemów produkcyjnych lub laboratoryjnych.
7.3. Krok 3: zabezpieczenia techniczne i organizacyjne
Priorytetami są tożsamość, dostęp uprzywilejowany, MFA, segmentacja sieci, bezpieczny dostęp zdalny, EDR tam, gdzie jest wspierany, pasywny monitoring OT, centralne logowanie, zarządzanie podatnościami, chronione kopie i odtwarzanie. Każdą zmianę trzeba powiązać z procedurami jakości i walidacji.
Zakończenie etapu potwierdzają zatwierdzone architektury, wymagania kontroli, zapisy wdrożeniowe, dowody walidacji lub zapewnienia, mierniki pokrycia, rejestr wyjątków i przetestowane wycofanie zmiany. Trzeba mierzyć objętą populację, a nie sam fakt zakupu narzędzia.
7.4. Krok 4: weryfikacja i ciągłe monitorowanie dostawców
Dostawców API, CMO, CRO, laboratoriów, logistyki, chmury, oprogramowania i utrzymania należy podzielić na poziomy ryzyka. Due diligence powinno być proporcjonalne do dostępu i wpływu. Umowy wymagają uzupełnienia, a monitoring zdefiniowanych wyzwalaczy.
Rezultatem operacyjnym jest utrzymywany rejestr dostawców wsparty modelem krytyczności, przeglądami dowodów, decyzjami o ryzyku, klauzulami bezpieczeństwa, kontaktami incydentowymi, harmonogramem monitorowania, analizą koncentracji i planami wyjścia. Ponowna ocena jest potrzebna po istotnej zmianie lub incydencie.
7.5. Krok 5: budowa i testowanie reagowania na incydenty
Należy przygotować scenariusze działania dla ransomware, eksfiltracji danych, naruszenia zwalidowanego systemu, zakłócenia OT, incydentu dostawcy i utraty krytycznej usługi chmurowej. Muszą obejmować decyzje jakościowe i regulacyjne, a nie wyłącznie techniczne powstrzymanie ataku.
Zdolność reagowania powinna być udokumentowana w planie obsługi incydentów, szablonach raportów 24/72-godzinnych i końcowych, ocenie istotności, metodzie zabezpieczenia dowodów i raporcie z ćwiczenia symulacyjnego. Ćwiczenie należy przeprowadzić z kadrą kierowniczą i personelem dyżurnym, a działania naprawcze doprowadzić do zweryfikowanego zamknięcia.
7.6. Krok 6: dokumentacja, audyt i utrzymanie
Działanie kontroli należy projektować tak, aby wytwarzało dowody. Tam, gdzie jest to praktyczne, warto automatyzować kontrolowane raporty, wskazywać właścicieli zapisów i ustalać retencję na podstawie prawa krajowego, obowiązków sektorowych, potrzeb dochodzeniowych i ryzyka. Program wymaga przeglądu po incydentach, istotnych zmianach i aktualizacjach prawa.
Program zamyka kontrolowany zbiór polityk, indeks dowodów, protokoły kierownictwa, rejestry szkoleń, akta incydentów i dostawców, wyniki testów odtwarzania, testy skuteczności, raport z audytu wewnętrznego i rejestr CAPA. Zamknięcie ustaleń wysokiego ryzyka powinno zostać niezależnie potwierdzone.
8. Udokumentowane cyberincydenty: praktyczne wnioski dla NIS2
Publiczne raporty o incydentach rzadko dowodzą, która konkretna kontrola wewnętrzna zawiodła. Należy wykorzystywać je do testowania wiarygodnych scenariuszy, nie do przypisywania organizacji niepotwierdzonego braku zabezpieczenia.
Atak na Merck z 2017 r. pokazuje, że złośliwe oprogramowanie w przedsiębiorstwie może jednocześnie dotknąć produkcji, badań, sprzedaży i realizacji zamówień. Wnioskiem dla NIS2 jest konieczność mapowania wspólnych zależności, segmentowania środowisk, ochrony zdolności odtwarzania i ilościowej oceny ciągłości na poziomie produktu. Ćwiczenia powinny obejmować decyzję o izolacji systemu zakładowego, gdy sama izolacja może przerwać produkcję.
Cyberatak na Europejską Agencję Leków z 2020 r. doprowadził do nieuprawnionego dostępu do dokumentów dotyczących leków i szczepionek przeciw COVID-19. EMA poinformowała, że część ujawnionych materiałów, w tym korespondencję, zmanipulowano przed publikacją. Wniosek wykracza poza poufność: trzeba chronić autentyczność, integralność i pochodzenie danych wymienianych z regulatorami i partnerami oraz przygotować komunikację na wypadek publikacji zmanipulowanych lub niepełnych danych.
Cencora ujawniła w lutym 2024 r., że doszło do eksfiltracji danych z jej systemów informacyjnych, a część informacji mogła mieć charakter osobowy. Spółka podała wówczas, że systemy pozostały dostępne oraz że rozpoczęto ograniczanie skutków, dochodzenie i współpracę z organami ścigania, ekspertami cyberbezpieczeństwa i doradcami zewnętrznymi. Wniosek dotyczy szybkiej oceny międzyfunkcyjnej również wtedy, gdy dostępność nie została naruszona: eksfiltracja może uruchomić obowiązki NIS2, prywatności, umowne i komunikacyjne.
Dla każdego scenariusza należy zachować chronologię alertów, dotknięte usługi, źródła dowodów, ocenę jakościową, decyzję zgłoszeniową, eskalację do kierownictwa i działania naprawcze. Wnioski trzeba powiązać z kontrolami art. 21 i sprawdzić, czy te same dowody wystarczyłyby do sporządzenia wczesnego ostrzeżenia w ciągu 24 godzin.
9. Wybór eksperckiego wsparcia we wdrożeniu NIS2
Partner NIS2 dla farmacji musi łączyć cyberbezpieczeństwo, regulowane zarządzanie jakością i zdolność wdrożeniową. Należy oczekiwać dowodów, że zespół potrafi klasyfikować zakres, mapować usługi, projektować zabezpieczenia IT/OT, zarządzać zmianą w systemach zwalidowanych, tworzyć dowody CSV lub CSA, oceniać dostawców, prowadzić ćwiczenia incydentowe i wyjaśniać kierownictwu ryzyko rezydualne.
Trzeba ocenić model świadczenia usługi. Jednorazowy raport z analizy luk nie utrzymuje zgodności. Managed services mogą obsługiwać monitoring, wstępną ocenę podatności, zbieranie dowodów i przegląd dostawców, jednak odpowiedzialność pozostaje po stronie regulowanej organizacji i jej kierownictwa. Od początku należy określić własność, eskalację, poziomy usług, dostęp do dowodów i zasady wyjścia.
Przed wyborem warto poprosić o przykładowe materiały: zanonimizowaną analizę zakresu, macierz identyfikowalności art. 21, pakiet zwalidowanej zmiany, ocenę ryzyka OT, ustalenie dotyczące dostawcy i raport z ćwiczenia incydentowego dla zarządu. Wnioski powinny wskazywać założenia, dowody i ryzyko rezydualne. Specjaliści bezpieczeństwa muszą umieć pracować z zespołami jakości, automatyki i prawa, a zapisy powinny być możliwe do przeniesienia do kontrolowanych repozytoriów organizacji. Partner powinien pozostawić działający proces i użyteczne dowody, a nie prezentację, której nie można utrzymać.
TTMS łączy środowisko zarządzania bezpieczeństwem informacji zgodne z ISO/IEC 27001 z usługami walidacji farmaceutycznych systemów skomputeryzowanych według GAMP 5 i Aneksu 11. Opublikowana oferta jakościowa obejmuje CSV i CSA w całym cyklu życia systemu. W lutym 2026 r. TTMS poinformowała, że jako pierwsza polska firma uzyskała akredytowaną certyfikację ISO/IEC 42001 dla systemu zarządzania AI po audycie TÜV Nord Poland. Kompetencje te mają znaczenie tam, gdzie zabezpieczenia cybernetyczne, systemy zwalidowane i zarządzana AI muszą działać w jednym audytowalnym modelu.
Aby umówić rozmowę dotyczącą zakresu osób prawnych, regulowanych usług, krytycznych produktów, systemów zwalidowanych, zależności OT i dostępnych dowodów, skontaktuj się z TTMS. Pierwszym rezultatem powinien być możliwy do obrony zakres i plan działań uszeregowany według priorytetów, a nie ogólny katalog zabezpieczeń.
10. Najczęściej zadawane pytania o cyberbezpieczeństwo NIS2 w farmacji
Czy NIS2 dotyczy każdej firmy farmaceutycznej?
Nie. Zakres zależy od działalności, wielkości, miejsca prowadzenia działalności, prawa krajowego i ewentualnego wyznaczenia. Wytwarzanie oraz badania i rozwój produktów leczniczych są wymienione w dyrektywie; sam marketing lub dystrybucja mogą prowadzić do innego wyniku. Wniosek należy udokumentować dla każdej osoby prawnej.
Czy każdy producent farmaceutyczny jest podmiotem kluczowym?
Nie. Obecność w załączniku I nie czyni automatycznie każdego producenta podmiotem kluczowym. O statusie podmiotu kluczowego, ważnego lub pozostającego poza zakresem decydują progi wielkości, zasady art. 3, wyjątki i decyzje krajowe. Spółki w tej samej grupie mogą otrzymać różne wyniki.
Jakie są główne terminy zgłaszania incydentów NIS2?
Dla poważnego incydentu dyrektywa przewiduje wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy, zgłoszenie incydentu w ciągu 72 godzin oraz sprawozdanie końcowe w ciągu miesiąca. Trzeba również sprawdzić procedury krajowe i równoległe obowiązki wynikające z RODO lub regulacji sektorowych.
Jak NIS2, GxP i Aneks 11 współdziałają w środowisku farmaceutycznym?
NIS2 reguluje ryzyko cyberbezpieczeństwa i odporność, natomiast GxP i Aneks 11 dotyczą jakości produktu, integralności danych i systemów skomputeryzowanych. Można stosować jeden model ryzyka i kontroli zmian, zachowując odrębne oceny prawne oraz dowody walidacji zmian bezpieczeństwa.
Jak postępować z poprawkami bezpieczeństwa w zwalidowanych systemach GxP?
Podatność należy przeprowadzić przez ocenę ryzyka i kontrolowaną zmianę. Dokumentacja powinna obejmować możliwość wykorzystania, wpływ na produkt lub pacjenta, zakres testów, wycofanie zmiany i zabezpieczenia kompensacyjne. Zapewnienie CSV lub CSA należy dostosować do ryzyka funkcji oraz zachować identyfikowalność od podatności przez zatwierdzenie do przeglądu po zmianie.
