Euroins płaci karę, sądy i szpitale nie płacą nic — a powinny
KNF nałożyła karę na ubezpieczyciela Euroins za luki w zgodności. Decyzja słuszna, procedura zadziałała tak, jak powinna. Problem w tym, że obok tej historii toczy się druga — dużo poważniejsza i praktycznie niezauważona.
Dwaj polscy badacze bezpieczeństwa przeszukali państwową sieć i znaleźli setki sądów, szpitali i lotnisk, które stały otworem dla każdego, kto miałby ochotę tam zajrzeć. Szczegóły tej historii opisuje Cyfrowe zamki na piasku — i to lektura, która powinna dać do myślenia każdemu, kto uważa, że sektor prywatny jest głównym źródłem ryzyka cyfrowego w Polsce.
Kara dla Euroins — co się właściwie stało
Komunikat KNF z sierpnia 2026 roku jest suchy i formalny, jak większość decyzji nadzorczych. Nałożono kary pieniężne na Euroins za nieprawidłowości w obszarze zgodności. Nie ma tu sensacji — jest system, który zidentyfikował problem, wydał decyzję i opublikował ją publicznie.
To dokładnie tak powinno działać: instytucja narusza standardy, regulator reaguje, kara jest jawna, a rynek dostaje sygnał.
Cały ten proces ma jedną zaletę, o której łatwo zapomnieć — jest przewidywalny. Firma wie, czego się trzymać. Regulator wie, kogo kontrolować. Konsekwencje są proporcjonalne do skali naruszenia.
Sądy, szpitale, lotniska — inna liga problemu
Teraz zestawmy to z tym, co opisują badacze w Cyfrowych zamkach na piasku. Mówimy o instytucjach, które przetwarzają:
- dane medyczne pacjentów,
- akta sądowe i dane osobowe stron postępowań,
- informacje operacyjne infrastruktury lotniskowej.
To nie jest hipotetyczne ryzyko. To infrastruktura, która faktycznie stała otworem — bez odpowiednich zabezpieczeń, bez segmentacji, bez podstawowej higieny bezpieczeństwa, jaką od lat wymaga się od sektora finansowego.
Skala jest nieporównywalna z pojedynczą karą dla ubezpieczyciela. Mówimy o setkach instytucji publicznych, które teoretycznie podlegają tym samym — albo i bardziej rygorystycznym — wymogom co Euroins.
Dlaczego jedna strona płaci, a druga nie
Różnica nie wynika z tego, że sektor publiczny jest bezpieczniejszy. Wynika z tego, jak zbudowany jest system egzekwowania odpowiedzialności.
- Sektor finansowy ma aktywnego regulatora. KNF kontroluje, nakłada kary, publikuje decyzje. To działa jak system nerwowy — reaguje na bodziec.
- Sektor publiczny w dużej mierze nie ma takiego mechanizmu. Kto nakłada karę na sąd za dziurawą sieć? Kto rozlicza szpital za brak segmentacji infrastruktury IT?
- Brak kary nie oznacza braku ryzyka. Oznacza tylko, że nikt formalnie nie ponosi konsekwencji — dopóki nie dojdzie do wycieku, który trafi na pierwsze strony gazet.
To asymetria, która premiuje bierność. Instytucja prywatna wie, że nadzór przyjdzie prędzej czy później. Instytucja publiczna często wie, że nie przyjdzie wcale.
Co z tego wynika dla rynku
Nie chodzi o to, żeby bronić Euroins albo krytykować KNF. Kara była zasadna, procedura transparentna. Chodzi o coś innego — o to, że transparentność i egzekwowanie odpowiedzialności powinny obowiązywać wszystkich, a nie tylko te podmioty, które akurat mają nadzorcę patrzącego im na ręce.
Jeśli sektor prywatny funkcjonuje pod stałą presją regulacyjną, a sektor publiczny operuje bez porównywalnego nadzoru bezpieczeństwa, to nie jest kwestia sprawiedliwości. To kwestia ryzyka systemowego — bo dane obywateli w szpitalu czy sądzie są równie wrażliwe jak dane klienta ubezpieczyciela.
Różnica jest taka, że nikt jeszcze nie napisał komunikatu o karze dla sądu.
Key takeaways
- KNF ukarała Euroins za naruszenia zgodności — proces zadziałał zgodnie z założeniami i był transparentny.
- Równolegle badacze wykazali, że setki sądów, szpitali i lotnisk miały poważne luki bezpieczeństwa, o których niemal nikt nie mówi.
- Sektor prywatny podlega aktywnemu nadzorowi — sektor publiczny często działa bez porównywalnego mechanizmu egzekwowania odpowiedzialności.
- Brak kary nie oznacza braku ryzyka — oznacza tylko brak mechanizmu, który by to ryzyko ujawnił i rozliczył.
- Rynek potrzebuje spójnych standardów egzekwowania bezpieczeństwa, niezależnie od tego, czy dane przetwarza ubezpieczyciel, czy instytucja publiczna.