# Сигурност на уебсайта за лекарски практики и MVZ

> Записване на час, заявка за рецепта, контактна форма: как лекарските практики и MVZ защитават уебсайта си от PHP2Shell и здравните данни по чл. 9 от ОРЗД.

Източник: https://phpsos.de/bg/branchen/arztpraxen/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** При уебсайта на лекарската практика става дума за сигурност на здравни данни, а не само за визитна картичка в мрежата. Проверете кои форми съхраняват данни или ги изпращат по имейл, поискайте писмено потвърждение за състоянието на пача на PHP на сървъра и при съмнение запазете веднага логовете.

## Какви PHP системи работят в практики и MVZ

Повечето уебсайтове на практики се основават на PHP CMS, често [WordPress](https://phpsos.de/bg/plattformen/wordpress/), по-рядко TYPO3 или Joomla. Интересно става при допълнителните функции: форми за заявки за рецепти и направления, анамнестични въпросници за изтегляне или качване, записвания за напомняне (recall), обяви за работа с качване на документи и онлайн записване на час.

Записването на час често е външна услуга, която само се вгражда. Тогава данните за часовете се намират при доставчика. Някои практики обаче използват добавки за резервации, които съхраняват часовете заедно с причината за посещението в собствената база данни на уебсайта. Именно тази разлика трябва да знаете, преди да оцените риска.

## Здравни данни: защо уебсайтът е по-чувствителен, отколкото изглежда

Изречение като „Отново ми трябва лекарството за кръвно налягане“ в контактната форма представлява здравни данни. Подобни сведения спадат към специалните категории лични данни по чл. 9 от ОРЗД. За лекарите важи допълнително и задължението за мълчание, чието нарушение може да бъде наказуемо по § 203 StGB (германския Наказателен кодекс, германски закон).

За уебсайта това означава: записите от формите, които остават в базата данни, копията във форм добавките, логовете на имейлите на сървъра и качените документи са достъпни при атака. Който изпълнява код на сървъра, по правило ги чете.

> **Съвет:**
> Накарайте да се провери дали Вашата форм добавка съхранява записите допълнително в базата данни. Много от тях го правят по подразбиране. Което не е съхранено, не може и да изтече.

## Какво означава отпадането на сайта или изтичането на данни за практиката

Ако уебсайтът отпадне, пациентите се обаждат по телефона, а телефонът на практиката и без това е натоварен. Това е неприятно, но е управляемо. По-тежък е пробивът, останал незабелязан: пренасочвания към измамни страници от името на практиката, фалшиви форми или прихванати запитвания, свързани с заболявания.

Подобен инцидент може да породи задължения за уведомяване пред надзорния орган по защита на данните, според риска и за уведомяване на засегнатите лица. [72-часовият срок по ОРЗД](https://phpsos.de/bg/compliance/dsgvo-meldepflicht-72-stunden/) започва да тече, щом узнаете за нарушението. Изяснете оценката със своето длъжностно лице по защита на данните.

## Уебсайт на лекарска практика и сигурност: типичната празнина в отговорностите

В практиките обикновено има трима участници, всеки от които се чувства отговорен за част от нещата:

| Участник | По правило се занимава с | Често не е в полезрението |
|---|---|---|
| ИТ изпълнител на практиката | PVS (система за управление на практиката), мрежа, конектор, работни места | Сървърът на уебсайта при хостинг доставчика |
| Уеб агенция | Дизайн, съдържание, добавки | Версията на PHP и рестартирането на сървъра |
| Хостинг доставчик | Експлоатация на сървъра | Данните от формите и добавките на практиката |

При PHP2Shell уязвимостта е точно между тези роли: в PHP на уеб сървъра. При [споделен хостинг](https://phpsos.de/bg/server/shared-hosting/) обикновено отговаря хостинг доставчикът, но потвърждението за състоянието на пакета трябва да поискате сами. В MVZ с няколко обекта често се добавя и собственикът-оператор, който има собствени изисквания.

## Има ли мост между уебсайта и мрежата на практиката?

Най-често уебсайтът на практиката е при хостинг доставчик и няма пряка връзка със системата за управление на практиката. Има обаче изключения, които трябва да знаете: форми, които прехвърлят данни автоматично в PVS, сървър на уебсайта в собствения център за данни на MVZ или данни за достъп, използвани едновременно за уебсайта, пощенските кутии и отдалечената поддръжка.

В такива случаи компрометираният уеб сървър не е само проблем на уебсайта. Накарайте ИТ изпълнителя на практиката и поддръжника на уебсайта да проверят заедно какви връзки съществуват и кои пароли се използват многократно. За ИТ на практиката важат освен това изискванията на Kassenärztliche Bundesvereinigung (Федералното сдружение на лекарите по здравно осигуряване в Германия) за ИТ сигурност. До каква степен те засягат уебсайта, изяснете със своето длъжностно лице по защита на данните.

## Първите часове след предупреждение

1. Попитайте хостинг доставчика дали PHP е на 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или е внесен backport, и дали всички PHP процеси са рестартирани.
2. Ако това не е потвърдено: изключете уебсайта временно или го заменете със статична страница с указания и телефонни часове, както BSI (Федералната служба за информационна сигурност на Германия) препоръчва за сървъри, които не могат да бъдат пачнати.
3. Запазете логовете на сървъра и на достъпа от 20.10.2026 г.
4. Обърнете внимание на [признаците за компрометиране](https://phpsos.de/bg/php2shell/bin-ich-gehackt-anzeichen/): непознати файлове, нови администраторски акаунти, променени пренасочвания.
5. Включете длъжностното лице по защита на данните рано, а не едва след почистването.

## Как помага PHP SOS конкретно?

- Уточняваме с хостинг доставчика и с агенцията кой пачва и рестартира PHP и осигуряваме потвърждение със състоянието на пакета.
- Проверяваме къде на уеб сървъра се намират данни от форми, качени файлове и копия на имейли и дали съществуват връзки към мрежата на практиката.
- При съмнение запазваме следите, търсим уеб шелове и почистваме сървъра в рамките на нашата [спешна помощ при хакнати уебсайтове](https://phpsos.de/bg/leistungen/website-gehackt-notfallhilfe/).
- Документираме инцидента така, че Вашето длъжностно лице по защита на данните да може да оцени задължението за уведомяване.
- След това намаляваме съхраняваните данни и заздравяваме сървъра, за да е заложено по-малко следващия път.


## Често задавани въпроси

**Засегнат ли е софтуерът на моята практика от PHP2Shell?**  
Системата за управление на практиката и достъпът до телематичната инфраструктура (германската здравна мрежа) по правило работят отделно от уебсайта. Засегнати са PHP уеб сървърите, т.е. най-често уебсайтът на практиката и свързаните с него форми или портали. Дали има връзки между уебсайта и мрежата на практиката, трябва да провери Вашият ИТ изпълнител.

**Здравни данни ли са данните от контактната форма?**  
Често да. Още молбата за повторна рецепта или желанието за час поради определени оплаквания позволява изводи за здравето. Такива данни спадат към специалните категории по чл. 9 от ОРЗД. Точната класификация изяснете със своето длъжностно лице по защита на данните.

**Трябва ли да информирам пациентите, ако уебсайтът е бил хакнат?**  
Това зависи от това дали са засегнати лични данни и колко е високият риск за пациентите. При здравни данни рискът често е висок. Решението вземате със своето длъжностно лице по защита на данните, при нужда с правна консултация.

**Кой отговаря за PHP актуализациите на уебсайта на практиката?**  
Това е записано в хостинг договора или в договора за поддръжка. При споделен и при управляван хостинг пачва най-често хостинг доставчикът, а при собствен сървър – възложеният изпълнител. Ако липсва ясна уредба, сега е моментът да я фиксирате писмено.

## Източници

- [php.net: Съобщения за сигурност](https://www.php.net/)
- [BSI: Предупреждения и препоръки](https://www.bsi.bund.de/)
- [ОРЗД, чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)