Na papier toaletowy szpital nie potrzebuje dotacji.
Dlaczego na cyberbezpieczeństwo już tak?

Wyobraźmy sobie konferencję prasową dyrektora szpitala, który z dumą ogłasza: udało nam się pozyskać dotację na papier toaletowy, mydło i środki do sprzątania. Dzięki temu przez dwa lata szpital będzie mógł zapewnić pacjentom podstawową higienę. Później zobaczymy, czy pojawi się kolejny program wsparcia.

Brzmi absurdalnie? Oczywiście. Szpital musi sprzątać, ogrzewać budynki, odbierać odpady, serwisować windy i uzupełniać środki higieniczne. Nikt nie oczekuje na grant, żeby wykonać te podstawowe czynności. Wydatki te nie są osobnymi procedurami medycznymi, a jednak stanowią oczywisty koszt prowadzenia działalności.

A teraz zamieńmy papier toaletowy na kopie zapasowe dokumentacji medycznej, aktualizacje systemów, ochronę kont lekarzy, monitoring cyberzagrożeń i możliwość dalszego leczenia podczas awarii informatycznej.

Nagle rozmowa się zmienia. Pojawiają się argumenty, że NFZ nie płaci za cyberbezpieczeństwo, że szpital jest niedofinansowany, a niezbędne zabezpieczenia kupi, kiedy otrzyma środki z KPO lub kolejnego programu dotacyjnego.

To nie znaczy, że problemy z finansowaniem są fikcją. Wiele placówek naprawdę boryka się z brakiem pieniędzy. Ale cyberbezpieczeństwo nie jest wyłącznie inwestycją modernizacyjną. Jest stałym kosztem operacyjnym działalności medycznej. I właśnie od tego trzeba zacząć poważną dyskusję.

Głośne wycieki są tylko najbardziej widoczną częścią problemu

W sierpniu 2026 r. Urząd Ochrony Danych Osobowych informował o naruszeniu dotyczącym dostawcy systemu EDM MyDr. Sprawa, według podawanych wówczas informacji, dotyczyła danych niemal 19 milionów Polaków. Następnego dnia UODO zapowiedział kontrolę zabezpieczeń, analizy ryzyka i sposobu ich testowania u dostawcy. Opis kontroli zawierał też informację o potencjalnym oddziaływaniu incydentu na tysiące podmiotów leczniczych.

We wrześniu pojawił się kolejny przypadek. UODO informował o możliwym ujawnieniu danych nawet pięciu milionów osób w związku z atakiem dotyczącym aplikacji Medyc firmy Qbusoft. Wcześniej, w 2023 r., mieliśmy atak ransomware i wyciek w ALAB Laboratoria.

Nie należy sumować tych wartości ani przedstawiać ich jako ostatecznej liczby różnych osób, których dane zostały ujawnione. Skale i stopień potwierdzenia tych incydentów są różne. Ale wniosek jest wystarczająco poważny bez efektownego dodawania milionów: jedno naruszenie u dostawcy potrafi dotknąć wiele niezależnych placówek i bardzo dużą populację pacjentów.

Równie ważne są mniej spektakularne zdarzenia, które rzadko trafiają na czołówki portali. Według danych Centrum e-Zdrowia opublikowanych 1 października 2026 r. sektorowy CSIRT obsłużył 251 incydentów w 2022 r., 1441 w 2025 r. oraz 1379 od stycznia do końca września 2026 r.

Nie jest to licznik udanych włamań ani miara liczby wycieków. Na dynamikę wpływają także wykrywanie, raportowanie i rozwój samego CSIRT. Pokazuje jednak, jak intensywna stała się codzienna obsługa ryzyka cyfrowego w sektorze zdrowia.

W 2025 r. w statystyce CeZ odnotowano między innymi 580 oszustw komputerowych, w tym phishing, 344 zdarzenia dotyczące podatnych usług, 148 wycieków poświadczeń i 146 przypadków szkodliwego oprogramowania. To zagrożenia wymagające regularnej pracy, a nie pojedynczego uroczystego uruchomienia systemu bezpieczeństwa.

Cyfryzacja to nie uroczyste otwarcie projektu

Przez ostatnie kilkanaście lat systemy informatyczne przesuwały się z zaplecza administracyjnego w samo centrum leczenia. Elektroniczne recepty, skierowania, dokumentacja, obsługa diagnostyki, systemy HIS, laboratoria, rozwiązania chmurowe, narzędzia telemedyczne — każdy etap zwiększa możliwości medycyny, ale również jej zależność od technologii.

Kiedy komputer służył głównie do rozliczeń i obsługi grafiku, jego awaria była poważnym utrudnieniem. Gdy dziś niedostępne są systemy potrzebne do uzyskania historii leczenia, wyników badań, informacji o lekach czy wykonywania zleceń, problem może bezpośrednio dotknąć ciągłości udzielania świadczeń.

Oczywiście są procedury pracy awaryjnej. Pytanie, czy są realnie przygotowane, znane personelowi i przetestowane.

Podczas kolejnych programów cyfryzacyjnych bardzo dużo uwagi poświęcano wdrożeniom, integracjom i uruchamianiu nowych funkcji. Znacznie mniej efektownie brzmi pytanie: ile przez następne dziesięć lat będzie kosztowało bezpieczne utrzymywanie tego wszystkiego?

Nie chodzi jedynie o opłatę licencyjną. Również o aktualizacje, kopie zapasowe i próby odtworzenia, monitoring, reagowanie na incydenty, przeglądy uprawnień, szkolenia, testy, serwis i kompetencje ludzi. To koszty, które pojawiają się każdego roku.

Nie można dowodzić, że głośne wycieki były skutkiem zaniedbań budżetowych całego systemu bez analizy konkretnych przyczyn. Ale można i trzeba zapytać, czy model finansowania eksploatacji rozwijał się równie konsekwentnie jak model finansowania wdrożeń.

Czy NFZ rzeczywiście nie finansuje cyberbezpieczeństwa?

To najważniejsze pytanie ekonomiczne. I wymaga precyzji.

Popularne zdanie „NFZ płaci za procedury, a nie za bezpieczeństwo IT” nie jest poprawnym opisem rachunku kosztów świadczeń. Wycena nie obejmuje przecież wyłącznie czasu lekarza i materiałów medycznych. W standardzie rachunku kosztów i procesie taryfikacji uwzględnia się również odpowiednio przypisywane koszty działalności pomocniczej, niemedycznej i zarządczej. Wyjaśnia to AOTMiT w materiałach o standardzie rachunku kosztów.

Nie oznacza to, że każda obecna taryfa adekwatnie pokrywa rzeczywiste wydatki na bezpieczeństwo. Oznacza jedynie, że problem jest bardziej złożony niż brak rubryki „antywirus” w kontrakcie.

Rozdzieliłbym go na trzy poziomy.

Po pierwsze: ewidencja. Czy podmiot leczniczy w ogóle potrafi policzyć roczne koszty bezpieczeństwa, odróżnić eksploatację od modernizacji i przypisać wydatki do właściwych obszarów działalności?

Po drugie: adekwatność finansowania. Czy raportowane koszty i taryfikacja nadążają za wymogami technologicznymi i regulacyjnymi? To pole do analizy dla AOTMiT, NFZ i administracji centralnej, z użyciem rzeczywistych danych placówek.

Po trzecie: alokacja budżetu. Nawet jeżeli placówka otrzymuje środki na działalność, o ich rozdzieleniu między potrzeby decyduje kierownictwo w określonych granicach prawnych i finansowych. Zabezpieczenia są często niewidoczne, dopóki działają; łatwo zatem odkładać ich modernizację i utrzymanie.

Nie każdy brak zabezpieczenia wynika z błędu dyrektora. Nie każda luka wynika też z niedoszacowania NFZ. Potrzebujemy rachunku kosztów, danych o ryzyku i jasnej odpowiedzialności, żeby odróżniać te sytuacje.

3,131 mld zł na transformację cyfrową. A co po zakończeniu inwestycji?

W kwietniu 2025 r. Ministerstwo Zdrowia uruchomiło konkurs KPO dotyczący rozwoju cyfrowych usług ochrony zdrowia, z alokacją 3,131 mld zł dla określonej grupy szpitali należących do sieci szpitali. Wśród celów przedsięwzięcia znalazły się także działania wzmacniające cyberbezpieczeństwo.

To potrzebne inwestycje. Trudno modernizować sektor bez pieniędzy na infrastrukturę, integracje i nowe narzędzia.

Ale zakup systemu wykrywającego zagrożenia nie oznacza jeszcze, że ktoś będzie codziennie analizował jego alerty. Kupienie rozwiązania do tworzenia kopii zapasowych nie oznacza, że dane można skutecznie odzyskać w zadanym czasie. A zakup zapory sieciowej nie rozwiązuje problemu wygasających licencji, aktualizacji i kompetencji zespołu.

KPO może sfinansować skok technologiczny. Nie zastąpi wieloletniego budżetu operacyjnego.

Przy każdym większym projekcie informatycznym oczekiwałbym zatem dwóch dokumentów: budżetu wdrożenia oraz wiarygodnego planu kosztów utrzymania — z osobą odpowiedzialną i źródłem finansowania. Nie deklaracji „zapewnimy trwałość”, ale konkretnych kwot i zadań na kolejne lata.

Dyrektor szpitala nie musi umieć konfigurować firewalla

W komunikacie z 1 października CeZ podało również wyniki badań prowadzonych na przełomie 2025 i 2026 r. Według tych informacji ponad 28% badanych jednostek nie posiadało opublikowanej polityki bezpieczeństwa, a około 29% dyrektorów nie prowadziło regularnych przeglądów oceny ryzyka.

Nie znamy z tego komunikatu pełnej metodologii i struktury próby, dlatego tych odsetków nie należy utożsamiać z udziałem wszystkich polskich szpitali. Są jednak ważnym sygnałem o znaczeniu zarządzania.

Dyrektor nie musi znać technicznych szczegółów każdej podatności. Tak samo nie musi sam serwisować aparatury, kontrolować instalacji tlenowej ani wykonywać przeglądu windy. Powinien natomiast dopilnować, aby istniały kompetencje, procedury, nadzór i pieniądze na wykonywanie tych zadań.

Co kwartał zarząd powinien widzieć prosty raport: pięć najważniejszych ryzyk, status kopii zapasowych i testów odtwarzania, incydenty i działania naprawcze, stan zabezpieczeń dostawców oraz niezbędne decyzje finansowe.

To może być zaledwie kilka stron. Ale musi być na tyle konkretne, by dyrektor potrafił podjąć decyzję — i po trzech miesiącach sprawdzić, czy ją wykonano.

Dostawca SaaS nie przejmuje całej odpowiedzialności za pacjentów

Incydenty MyDr i Medyc odsłoniły szczególnie niewygodny aspekt cyfryzacji. Jedna firma może przetwarzać dane na rzecz bardzo wielu placówek. Wybór dostawcy staje się więc decyzją o istotnym ryzyku organizacyjnym.

W typowej sytuacji powierzenia danych placówka pozostaje administratorem, a dostawca oprogramowania jest podmiotem przetwarzającym. Szczegółowa kwalifikacja zależy od rzeczywistych ról i operacji. Samo podpisanie umowy nie przenosi wszystkich obowiązków administratora na dostawcę.

W lipcu 2026 r. UODO opisał sprawę szpitala specjalistycznego w Sosnowcu, który otrzymał upomnienie między innymi za niewystarczającą weryfikację podmiotu przetwarzającego i nieprawidłową analizę ryzyka. Wcześniejsze włamanie do skrzynki pocztowej dotyczyło danych 224 osób. Upomnienie otrzymał również dostawca usługi.

To ważny przykład. Samo zapewnienie wykonawcy, że wszystko jest bezpieczne, nie kończy odpowiedzialności za weryfikację ryzyka i realizację własnych procedur.

Placówka powinna znać przynajmniej odpowiedzi na pytania: gdzie i na jakich zasadach przechowywane są dane; jak zarządza się dostępami; jak szybko dostawca informuje o incydentach; jak zapewnia ciągłość usługi; kto i kiedy testuje odtwarzanie; czy da się odzyskać dane po zakończeniu umowy; oraz jakie dowody bezpieczeństwa dostawca może udostępnić klientowi.

Nie oczekuję, że mała przychodnia samodzielnie przeprowadzi test penetracyjny każdego rozwiązania. Oczekuję, że wybór systemu nie będzie sprowadzony wyłącznie do ceny abonamentu i liczby funkcji kalendarza.

To nie tylko ochrona prywatności. To zdolność do leczenia

Gdy słyszymy o cyberataku na placówkę medyczną, naturalnie myślimy o ujawnieniu danych o chorobach, leczeniu czy historii pacjenta. To ogromne zagrożenie dla prywatności.

Ale cyberbezpieczeństwo dotyczy również dostępności usług. Atak na system szpitalny może utrudnić odczyt historii leczenia, dostęp do wyników, obsługę zleceń, pracę laboratorium czy realizację wypisów. Brak sprawdzonych procedur awaryjnych zwiększa ryzyko chaosu organizacyjnego, opóźnień i błędów.

Z tego powodu odporność cyfrową trzeba rozpatrywać razem z bezpieczeństwem udzielania świadczeń. Plan ciągłości działania powinien wskazywać nie tylko, kiedy odzyskamy dostęp do serwera, ale jak będziemy bezpiecznie leczyć pacjentów przez pierwszą godzinę, osiem godzin i dwa dni bez głównego systemu.

CSIRT CeZ rekomenduje między innymi kopie odseparowane od głównej infrastruktury, regularne testy odtwarzania oraz właściwe zabezpieczenia sieci i urządzeń. Samo istnienie kopii bez udanego odtworzenia nie jest wystarczającą gwarancją.

Nowe wymagania prawne nie zastąpią decyzji zarządczych

Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2. Dla organizacji zakwalifikowanych jako podmioty kluczowe lub ważne przewidziano określone obowiązki. W zależności od statusu i sposobu wpisu do wykazu istotne terminy obejmują 3 października 2026 r. (samorejestracja dla zobowiązanych) oraz 3 kwietnia 2027 r. (wdrożenie obowiązków przez podmioty spełniające kryteria w dniu wejścia w życie ustawy). Harmonogram Ministerstwa Cyfryzacji wyjaśnia również odrębne terminy dla audytów.

Nie wszystkie gabinety czy przychodnie mają identyczny status w KSC. Ale niezależnie od niego pozostają obowiązki dotyczące danych pacjentów i bezpiecznej organizacji działalności.

Do 31 października 2026 r. CeZ konsultuje projekt minimalnych wymagań technicznych i funkcjonalnych dla oprogramowania wykorzystywanego przez usługodawców w ochronie zdrowia. To projekt w konsultacjach, a nie gotowy zestaw nowych, obowiązujących wymagań.

Standardy są potrzebne. Jednak nawet najbardziej szczegółowy przepis nie sfinansuje sam z siebie administratora systemu, testu kopii zapasowej ani przeglądu dostawcy. To nadal trzeba zaplanować i wykonać.

Pięć poziomów decyzyjności. Kto powinien zrobić co?

Nie proponuję szukania jednego winnego. Każdy poziom podejmuje inne decyzje i dysponuje innymi narzędziami.

1. Dyrektor szpitala, zarząd przychodni, właściciel sieci

Włączyć bezpieczeństwo cyfrowe do zwykłego, corocznego planowania kosztów. Wyznaczyć odpowiedzialnego, zatwierdzić priorytety wynikające z oceny ryzyka i regularnie otrzymywać raport pozwalający podejmować decyzje. Sprawdzić nie tylko istnienie kopii zapasowych, ale możliwość ich faktycznego odtworzenia. Przygotować procedury pracy awaryjnej dla procesów klinicznych.

2. Organ tworzący i nadzorujący szpital

Nie ograniczać rozmowy z dyrektorem do wyniku finansowego i wysokości zobowiązań. Pytać o ryzyka krytyczne, plan ich ograniczenia i budżet utrzymania infrastruktury po zakończeniu finansowania inwestycyjnego. Wymagać, by wnioski o nowe projekty cyfrowe uwzględniały wieloletnie koszty utrzymania — podobnie jak zakup aparatury medycznej wymaga serwisu i przeglądów.

3. NFZ i AOTMiT

Sprawdzić jakość ewidencji wydatków na informatykę i cyberbezpieczeństwo oraz sposób ich ujęcia w danych kosztowych służących taryfikacji. Zbadać, na ile zmiany wymagań i kosztów znajdują odbicie w finansowaniu świadczeń. Nie tworzyć automatycznie nowego dodatku za każde zabezpieczenie; zacząć od rzetelnych danych i analizy.

4. Ministerstwo Zdrowia, administracja centralna, instytucje wsparcia

Projektować programy inwestycyjne razem z wymaganiami dotyczącymi utrzymania ich efektów. Rozwijać sektorowe kompetencje, wspólne rekomendacje i mechanizmy wsparcia dla podmiotów, które nie są w stanie zbudować własnych zespołów specjalistycznych. Wymagania regulacyjne oceniać także przez pryzmat kosztów ich wdrożenia i eksploatacji.

5. Dostawcy HIS, EDM i usług SaaS

Bezpieczeństwo jako element produktu, a nie płatny dodatek do prezentacji handlowej. Jasny podział odpowiedzialności, dokumentowanie zabezpieczeń, szybka komunikacja o incydentach, testy ciągłości działania, przejrzyste zasady dostępu i eksportu danych. Placówki powinny móc sensownie porównywać bezpieczeństwo produktów, a nie wyłącznie ich funkcjonalność.

Ile należy na to przeznaczać? Nie podawajmy magicznego procentu

W debatach o zarządzaniu kusi recepta: wydawajmy określony procent przychodów na cyberbezpieczeństwo. Problem w tym, że mały gabinet w SaaS i duży szpital z rozbudowanym własnym HIS mają zupełnie inny profil ryzyka.

Mała przychodnia może bazować na dobrze zweryfikowanym dostawcy, bezpiecznych kontach, ochronie urządzeń, wieloskładnikowym uwierzytelnianiu i zewnętrznym wsparciu. Szpital powiatowy będzie potrzebował szerszego zarządzania systemami klinicznymi, siecią, kopiami zapasowymi, dostawcami i procedurami ciągłości działania. Duży szpital kliniczny wymaga jeszcze silniejszej koordynacji wielu systemów, dostawców i jednostek organizacyjnych.

Różnić się będą również koszty. Dlatego budżet powinien wynikać z oceny ryzyka i wymagań operacyjnych, a nie z uniwersalnej liczby wymyślonej na konferencji.

Pierwsze 90 dni: plan, który można rozpocząć w szpitalu powiatowym

Dni 1–30 — wiedzieć, czym zarządzamy. Spis krytycznych systemów i dostawców, ich znaczenia dla leczenia, odpowiedzialnych osób, istniejących zabezpieczeń i luk. Ocena najważniejszych ryzyk, w tym związanych z kopiami zapasowymi, dostępami uprzywilejowanymi i systemami dostawców.

Dni 31–60 — zdecydować, co jest pilne. Lista działań uszeregowanych według ryzyka dla pacjenta i ciągłości działalności. Test odtworzenia krytycznego systemu, próba zastosowania procedur pracy awaryjnej i sprawdzenie realnych kosztów utrzymania. Plan finansowania działań jednorazowych oraz stałych.

Dni 61–90 — wprowadzić zarządzanie zamiast improwizacji. Zatwierdzenie budżetu i właścicieli zadań. Wskaźniki i regularny raport dla kierownictwa. Harmonogram przeglądu dostawców, szkoleń, testów odtwarzania i działań naprawczych. Mierzenie wykonania, a nie liczby przygotowanych dokumentów.

W 90 dni nie da się zapewnić pełnej odporności na wszystkie cyberataki. Można natomiast stworzyć system, który wie, gdzie są najważniejsze ryzyka, kto za nie odpowiada i jakie decyzje podejmuje.

Dziesięć pytań, które powinny paść na najbliższym posiedzeniu zarządu

1. Czy wiemy, ile rocznie kosztuje utrzymanie cyberbezpieczeństwa — łącznie z ludźmi, usługami i licencjami?
2. Czy mamy aktualną ocenę ryzyka dla systemów potrzebnych do leczenia?
3. Kto odpowiada za bezpieczeństwo i komu raportuje?
4. Czy wykonaliśmy udany test odtworzenia danych z kopii zapasowych?
5. Jak będziemy działać, jeśli HIS lub EDM będzie niedostępny przez 48 godzin?
6. Czy kontrolujemy konta uprzywilejowane i dostęp dostawców zewnętrznych?
7. Jak weryfikujemy bezpieczeństwo systemów kupowanych od dostawców?
8. Kto zapłaci za utrzymanie zabezpieczeń po zakończeniu projektu z dotacji?
9. Czy zarząd regularnie przegląda incydenty, podatności i wykonanie działań naprawczych?
10. Czy plan finansowy na przyszły rok pokrywa najważniejsze zidentyfikowane ryzyka?

Jeżeli nie umiemy odpowiedzieć na kilka z tych pytań, nie jest to jeszcze dowód, że doszło do zaniedbania albo że szpital jest niebezpieczny. Oznacza natomiast, że kierownictwo może nie dysponować informacją potrzebną do świadomego zarządzania.

Z EFNI na poziom operacyjny

Na Europejskim Forum Nowych Idei w Sopocie rozmawiano o finansowaniu, dostępności, kondycji szpitali, kadrach i przyszłości cyfrowej ochrony zdrowia. To realne problemy, których nie rozwiąże jedna dobra procedura.

Ale po takich debatach warto zadać także pytania mniej spektakularne: kto w szpitalu potwierdza, że kopie zapasowe są odtwarzalne? Kto rozlicza dostawcę z testów bezpieczeństwa? Kto wpisuje koszt utrzymania infrastruktury do planu finansowego? Kto decyduje, jakie ryzyko jest akceptowalne?

Brak pieniędzy i złe zarządzanie nie są synonimami. Czasem trzeba zwiększyć finansowanie, czasem zmienić proces, czasem połączyć siły kilku placówek, a czasem przestać kupować nowe systemy, dopóki nie potrafimy utrzymać tych, które już mamy.

Reforma systemu ochrony zdrowia nie zwalnia nikogo z obowiązku zarządzania własną organizacją już dzisiaj.