Ερωτήσεις και απαντήσειςγια την κυβερνοασφάλεια των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης

22/02/2025

Γιατί η Ευρωπαϊκή Επιτροπή πρότεινε σχέδιο δράσης για την κυβερνοασφάλεια στον τομέα της υγειονομικής περίθαλψης;

Οι κυβερνοαπειλές για τα συστήματα υγειονομικής περίθαλψης αυξάνονται, τόσο σε συχνότητα όσο και σε πολυπλοκότητα. Τα νοσοκομεία και οι πάροχοι υγειονομικής περίθαλψης, τα οποία αποτελούν υποδομές ζωτικής σημασίας των συστημάτων υγείας μας, είναι ιδιαίτερα ευάλωτα σε κυβερνοεπιθέσεις, όπως ransomware ή παραβιάσεις δεδομένων. Τα περιστατικά αυτά μπορούν να διαταράξουν τις ζωτικές ιατρικές υπηρεσίες και να θέσουν σε κίνδυνο την ασφάλεια των ασθενών και τα δεδομένα τους.

Η Επιτροπή ενεργεί επειγόντως για την αντιμετώπιση αυτών των προκλήσεων, διασφαλίζοντας ότι ο ψηφιακός μετασχηματισμός της υγειονομικής περίθαλψης είναι ασφαλής και αξιόπιστος.

Πώς ενισχύει το σχέδιο δράσης την εμπιστοσύνη μεταξύ των ασθενών και των επαγγελματιών του τομέα της υγείας;

Η εμπιστοσύνη αποτελεί ακρογωνιαίο λίθο της ψηφιακής υγειονομικής περίθαλψης. Διασφαλίζοντας ότι τα συστήματα είναι ασφαλή και ανθεκτικά, το σχέδιο δράσης διαβεβαιώνει τους ασθενείς ότι τα δεδομένα τους είναι ασφαλή και ότι η φροντίδα τους δεν θα διαταραχθεί.

Για τους επαγγελματίες υγείας, το σχέδιο παρέχει εργαλεία και κατάρτιση για να τους βοηθήσει να περιηγηθούν στις ψηφιακές πλατφόρμες με αυτοπεποίθηση. Αυτή η διπλή προσέγγιση — η προστασία τόσο των ασθενών όσο και των επαγγελματιών — δημιουργεί ένα περιβάλλον υγειονομικής περίθαλψης όπου τα ψηφιακά εργαλεία είναι ενστερνισμένα και αξιόπιστα.

Πώς το παρόν σχέδιο δράσης συμπληρώνει την υφιστάμενη νομοθεσία της ΕΕ, όπως η οδηγία NIS2;

Το σχέδιο δράσης βασίζεται στο υφιστάμενο νομοθετικό πλαίσιο στον τομέα της κυβερνοασφάλειας — ιδίως στην οδηγία NIS2, στην πράξη για την αλληλεγγύη στον κυβερνοχώρο (συμπεριλαμβανομένου του μηχανισμού έκτακτης ανάγκης στον κυβερνοχώρο), στην πράξη για την ασφάλεια στον κυβερνοχώρο (συμπεριλαμβανομένης της ευρωπαϊκής πιστοποίησης κυβερνοασφάλειας), στον κανονισμό για τα ιατροτεχνολογικά προϊόντα και στην πράξη για την ανθεκτικότητα στον κυβερνοχώρο. Αυτά παρέχουν υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την ΕΕ.

Η οδηγία NIS2, η οποία θεσπίζει υποχρεώσεις για κρίσιμους τομείς, συμπεριλαμβανομένης της υγειονομικής περίθαλψης, επεκτείνει το πεδίο εφαρμογής των απαιτήσεων κυβερνοασφάλειας σε βασικές υπηρεσίες που καλύπτουν τα εργαστήρια αναφοράς της ΕΕ, τις οντότητες που διεξάγουν δραστηριότητες έρευνας και ανάπτυξης φαρμάκων, τους παρασκευαστές βασικών φαρμακευτικών προϊόντων και παρασκευασμάτων (συμπεριλαμβανομένων των εμβολίων), τους κατασκευαστές ιατροτεχνολογικών προϊόντων που θεωρούνται κρίσιμης σημασίας κατά τη διάρκεια κατάστασης έκτακτης ανάγκης στον τομέα της δημόσιας υγείας.

Από την πλευρά του σχεδίου δράσης, δίνεται ιδιαίτερη έμφαση στις μοναδικές ευπάθειες και ανάγκες των νοσοκομείων και των χώρων υγειονομικής περίθαλψης.

Το σχέδιο δράσης αφορά πρωτίστως τη στήριξη του τομέα ώστε να λάβει τα βασικά μέτρα κυβερνοασφάλειας που γνωρίζουμε ότι θα μετατοπίσουν τις πιθανότητες ενός κυβερνοπεριστατικού. Διασφαλίζει ότι τα συστήματα υγειονομικής περίθαλψης είναι εξοπλισμένα για την αντιμετώπιση των ειδικών κινδύνων που αντιμετωπίζουν. Δίνει ιδιαίτερη προσοχή στην ανάπτυξη ικανοτήτων, στις επενδύσεις και στη βοήθεια των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης να λάβουν τα αναγκαία μέτρα ετοιμότητας για την κυβερνοασφάλεια. Καθορίζει επίσης τρόπους για να βοηθηθούν οι εν λόγω οντότητες σε περίπτωση ατυχήματος, ώστε να διασφαλιστεί ότι η αντίδραση και η ανάκαμψη είναι όσο το δυνατόν ταχύτερα και αποτελεσματικά, έτσι ώστε οι κανονικές λειτουργίες να μπορούν να αποκατασταθούν γρήγορα.

Ποιος θα είναι ο ρόλος του νέου Ευρωπαϊκού Κέντρου Υποστήριξης της Κυβερνοασφάλειας για νοσοκομεία και παρόχους υγειονομικής περίθαλψης;

Το σχέδιο δράσης προτείνει, μεταξύ άλλων, τη δημιουργία ενός πανευρωπαϊκού κέντρου υποστήριξης της κυβερνοασφάλειας για νοσοκομεία και παρόχους υγειονομικής περίθαλψης, το οποίο θα τους παρέχει εξατομικευμένη καθοδήγηση, εργαλεία και υπηρεσίες. Ο ENISA, ο οργανισμός της ΕΕ για την ασφάλεια στον κυβερνοχώρο, θα ιδρύσει το Κέντρο εντός των δικών του δομών. Θα διασφαλίσει την εφαρμογή του σχεδίου δράσης με συνεκτικό και εξορθολογισμένο τρόπο, αποφεύγοντας παράλληλα τη δημιουργία νέων διοικητικών δομών.

Το Κέντρο Υποστήριξης θα αναπτύξει έναν ολοκληρωμένο κατάλογο υπηρεσιών συγκεκριμένων λύσεων που ενισχύουν την ασφάλεια στον κυβερνοχώρο του τομέα. Θα συνεργαστεί με τα κράτη μέλη και θα αξιοποιήσει τις πρακτικές εμπειρίες των οργανισμών υγειονομικής περίθαλψης.

Πώς στηρίζει το παρόν σχέδιο δράσης τον ευρωπαϊκό χώρο δεδομένων για την υγεία;

Ο Ευρωπαϊκός Χώρος Δεδομένων για την Υγεία (EHDS) είναι το εμβληματικό έργο της ΕΕ για την ψηφιοποίηση της υγειονομικής περίθαλψης, το οποίο θεσπίζει σαφείς κανόνες για τη χρήση των δεδομένων υγείας για καλύτερη παροχή υγειονομικής περίθαλψης, έρευνα, καινοτομία και χάραξη πολιτικής.

Οι ανθεκτικές και ασφαλείς υποδομές είναι απαραίτητες για την υλοποίηση του EHDS. Το παρόν σχέδιο δράσης καθορίζει συγκεκριμένες δράσεις για την εξασφάλιση της επεξεργασίας δεδομένων στα νοσοκομεία και τους παρόχους υγειονομικής περίθαλψης, οι οποίοι ενεργούν τόσο ως πάροχοι όσο και ως χρήστες δεδομένων υγείας στο πλαίσιο του EHDS.

Εκτός από το παρόν σχέδιο δράσης και τη νομοθεσία για την ασφάλεια στον κυβερνοχώρο, ο προσεχής κανονισμός για την EHDS παρέχει επίσης ειδικές διασφαλίσεις για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν την υγεία. Για παράδειγμα, περιέχει διασφαλίσεις σε σχέση με τη διαχείριση σύνδεσης και ταυτοποίησης στα συστήματα ηλεκτρονικών μητρώων υγείας ή την περαιτέρω χρήση δεδομένων σε ασφαλή περιβάλλοντα επεξεργασίας.

Πώς θα διασφαλίσει το σχέδιο δράσης ότι η περίθαλψη των ασθενών δεν διαταράσσεται από περιστατικά στον κυβερνοχώρο;

Ένας από τους βασικούς πυλώνες του σχεδίου δράσης είναι η ταχεία αντίδραση και ανάκαμψη.

Αυτό περιλαμβάνει:

Ανάπτυξη μιας υπηρεσίας συνδρομής αποκατάστασης ransomware και επέκταση του αποθετηρίου των διαθέσιμων εργαλείων αποκρυπτογράφησης ransomware
Ενθάρρυνση των νοσοκομείων να υιοθετήσουν ισχυρά εφεδρικά συστήματα για την προστασία κρίσιμων δεδομένων.
Ενίσχυση των ικανοτήτων αντιμετώπισης κρίσεων μέσω της κατάρτισης και της συνεργασίας σε επίπεδο ΕΕ.

Τα μέτρα αυτά αποσκοπούν στην ελαχιστοποίηση των επιπτώσεων των περιστατικών στον κυβερνοχώρο στις υπηρεσίες υγειονομικής περίθαλψης, διασφαλίζοντας ότι οι ασθενείς λαμβάνουν αδιάλειπτη περίθαλψη.

Τι ρόλο διαδραματίζουν τα κράτη μέλη στην εφαρμογή του παρόντος σχεδίου δράσης;

Τα κράτη μέλη θα διαδραματίσουν κρίσιμο ρόλο στην εφαρμογή του σχεδίου δράσης με τους εξής τρόπους:

Συντονισμός των εθνικών στρατηγικών κυβερνοασφάλειας για την υγειονομική περίθαλψη.
Ανταλλαγή πληροφοριών σχετικά με απειλές και βέλτιστων πρακτικών σε διασυνοριακό επίπεδο.
Υποστήριξη των νοσοκομείων και των παρόχων υγειονομικής περίθαλψης για τη λήψη των αναγκαίων μέτρων.

Τα κράτη μέλη ενθαρρύνονται να καταρτίσουν εθνικά σχέδια δράσης επικεντρωμένα στην κυβερνοασφάλεια στον τομέα της υγειονομικής περίθαλψης. Τα σχέδια αυτά θα περιγράφουν τους ειδικούς κινδύνους κυβερνοασφάλειας που αντιμετωπίζουν τα συστήματα υγειονομικής περίθαλψης και τις εθνικές δράσεις που λαμβάνονται για την αντιμετώπισή τους, διασφαλίζοντας παράλληλα την αποτελεσματική αξιοποίηση των πόρων και των πρακτικών σε ευρωπαϊκό επίπεδο.

Πώς θα μετρηθεί η επιτυχία του σχεδίου δράσης;

Για τη μέτρηση της επιτυχίας του σχεδίου αυτού, ο ENISA, σε διαβούλευση με την Επιτροπή, θα υποβάλλει τακτικά εκθέσεις προόδου στις σχετικές ομάδες και οργανισμούς. Οι εκθέσεις αυτές θα περιλαμβάνουν δεδομένα από τον δείκτη κυβερνοασφάλειας της ΕΕ, ο οποίος θα συμβάλει στην αξιολόγηση της καλής λειτουργίας του τομέα της υγειονομικής περίθαλψης όσον αφορά την ασφάλεια στον κυβερνοχώρο. Οι πληροφορίες αυτές θα δείξουν αν το σχέδιο λειτουργεί και έχει θετικό αντίκτυπο.

Τι μπορούν να κάνουν οι ασθενείς για να υποστηρίξουν τους στόχους του σχεδίου δράσης;

Οι ασθενείς μπορούν να συμβάλουν παραμένοντας ενημερωμένοι για την ασφάλεια στον κυβερνοχώρο και λαμβάνοντας μέτρα για την προστασία των δικών τους ψηφιακών δεδομένων υγείας. Για παράδειγμα:

Χρήση αξιόπιστων μηχανισμών επαλήθευσης ταυτότητας (π.χ. του πορτοφολιού ψηφιακής ταυτότητας της ΕΕ) για διαδικτυακές πύλες υγείας.
Αναφορά ύποπτων δραστηριοτήτων, όπως απόπειρες ηλεκτρονικού ψαρέματος.
Εμπιστοσύνη στους παρόχους υγειονομικής περίθαλψης που ακολουθούν τα συνιστώμενα από την ΕΕ μέτρα κυβερνοασφάλειας.

Ένα ασφαλές οικοσύστημα υγειονομικής περίθαλψης εξαρτάται από την ενεργό συμμετοχή όλων.

Ποιο είναι το χρονοδιάγραμμα για την εφαρμογή του σχεδίου δράσης;

Η παρούσα ανακοίνωση καθορίζει ένα σαφές σχέδιο για να καταστεί ο ευρωπαϊκός τομέας υγειονομικής περίθαλψης ασφαλέστερος από τις κυβερνοαπειλές. Το σχέδιο δημιουργεί έναν κεντρικό κόμβο για την υποστήριξη της κυβερνοασφάλειας, διευκολύνοντας τα νοσοκομεία και τους παρόχους υγειονομικής περίθαλψης να συνεργαστούν για να παραμείνουν ασφαλείς στο διαδίκτυο.

Αυτό το σχέδιο είναι μόνο η αρχή. Η Επιτροπή ξεκινά μια ευρύτερη συζήτηση με όλα τα ενδιαφερόμενα μέρη, συμπεριλαμβανομένων των παρόχων υγειονομικής περίθαλψης, των κυβερνήσεων και των εμπειρογνωμόνων, για να ακούσει τις ιδέες και τα σχόλιά τους. Η Επιτροπή θα χρησιμοποιήσει τα στοιχεία αυτά για να καταστήσει το σχέδιο λεπτομερέστερο και στοχευμένο στις ανάγκες των νοσοκομείων και άλλων παρόχων υγειονομικής περίθαλψης. Οι συστάσεις αυτές θα έχουν κοινοποιηθεί έως το τέλος του 2025.

Για την επίτευξη αυτού του στόχου, η Επιτροπή καλεί όλα τα κράτη μέλη και τα ενδιαφερόμενα μέρη να συνεργαστούν για να καταστήσουν τον τομέα της υγειονομικής περίθαλψης ασφαλέστερο στον κυβερνοχώρο.