Cyberbezpieczeństwo szpitali — przewodnik dla zarządu (2026)

Kilka miesięcy temu rozmawiałem z dyrektorem szpitala powiatowego, który przyznał mi wprost: “Łukasz, mam 800 łóżek, 1200 pracowników i budżet IT na poziomie jednej ambulanki. Co mam zrobić z NIS2?”. To pytanie, które słyszę coraz częściej. Nie od maniaków cyberbezpieczeństwa, lecz od lekarzy, administratorów i samorządowców, którzy nagle odkryli, że ich szpital jest celem — i to celem bardzo atrakcyjnym dla przestępców.

Cyberbezpieczeństwo w ochronie zdrowia rządzi się innymi prawami niż w bankach czy korporacjach. Stawką nie jest tu tylko reputacja ani pieniądze. Gdy w 2020 roku ransomware sparaliżował szpital w Düsseldorfie, a pacjentka w stanie krytycznym musiała być transportowana do innej placówki, a po drodze zmarła — stało się coś nowego i nieodwracalnego. Cyberatak po raz pierwszy w historii prawdopodobnie zabił człowieka. To nie jest abstrakcja. To jest nowa rzeczywistość, z którą zarządy polskich szpitali muszą się zmierzyć już dziś.

Dlaczego placówki medyczne są jednym z głównych celów cyberataków?

Sektor ochrony zdrowia znalazł się wśród ulubionych celów cyberprzestępców nie przez przypadek, lecz z zimnej, biznesowej kalkulacji po stronie atakujących. Szpitale łączą w sobie wszystkie cechy, które czynią cel idealnym: bezcenne dane, ogromną presję na ciągłość działania, historyczne niedoinwestowanie w IT i kulturę organizacyjną skoncentrowaną na ratowaniu życia, a nie na politykach haseł. Gdy ransomware blokuje systemy szpitalne, pytanie nie brzmi “czy zapłacić okup”, lecz “kiedy”. Każda godzina przestoju to realne ryzyko dla zdrowia pacjentów, a dyrekcja wie o tym równie dobrze jak atakujący.

W rozmowach z klientami z sektora ochrony zdrowia regularnie słyszę podobną narrację: “Jesteśmy małym szpitalem, nikt nas nie zaatakuje”. To fałszywe przekonanie, które może kosztować bardzo wiele. Grupy ransomware-as-a-service działają jak przemysłowe linie montażowe — skanują internet w poszukiwaniu niezałatanych systemów, słabych haseł i otwartych portów RDP, a następnie atakują setki celów jednocześnie, nie wybierając według wielkości, lecz według dostępności. Mały szpital powiatowy z niezaktualizowanym systemem Windows Server jest równie atrakcyjny jak duże centrum kliniczne.

Weźmy dane: według raportu IBM Cost of a Data Breach 2024, sektor ochrony zdrowia po raz trzynasty z rzędu notuje najwyższy średni koszt wycieku danych spośród wszystkich branż — ponad 9,7 mln dolarów za incydent. Dla porównania, sektor finansowy zajmuje drugie miejsce z wynikiem około 6,1 mln dolarów. Ta różnica wynika wprost z unikalnej wartości danych medycznych oraz katastrofalnych konsekwencji operacyjnych przestoju placówki.

Szpitale są celem, bo spełniają trzy warunki idealne dla cyberprzestępcy: mają dane warte miliony, nie mogą pozwolić sobie na przestój i historycznie inwestowały w cyberbezpieczeństwo znacznie mniej niż inne sektory krytyczne.

Dochodzi jeszcze jeden czynnik, który narasta od kilku lat: geopolityka. Rosyjskie i chińskie grupy APT (Advanced Persistent Threats) aktywnie atakują infrastrukturę krytyczną krajów NATO, a szpitale — jako element systemu obronności cywilnej — są naturalnym celem operacji destabilizujących. W Polsce, w kontekście konfliktu za naszą wschodnią granicą, to ryzyko jest szczególnie realne i zostało wprost uznane w polskiej Strategii Cyberbezpieczeństwa RP.

📚 Przeczytaj kompletny przewodnik: Cyberbezpieczeństwo: Kompletny przewodnik po cyberbezpieczeństwie dla zarządów i menedżerów

Jakie dane medyczne interesują atakujących i ile są warte na czarnym rynku?

Kompletna elektroniczna dokumentacja medyczna pacjenta to nie jest jeden rekord. To jest kompletny portret człowieka — jego historii chorób, operacji, wyników badań genetycznych, informacji psychiatrycznych, uzależnień, przynależności ubezpieczeniowej i danych osobowych w jednym miejscu. Na czarnym rynku, w serwisach dark web pokroju tzw. carding forums i marketplace’ów dedykowanych kradzieży tożsamości, taki rekord może być wart od 250 do nawet 1000 dolarów. Dla porównania — skradziony numer karty kredytowej to wartość rzędu 5–20 dolarów, bo karty blokuje się w ciągu minut. Historii medycznej nie możesz “zablokować”. Ona pozostaje aktualna latami.

Jeden z dyrektorów szpitala powiedział mi kiedyś, że nie rozumie, dlaczego ktoś miałby chcieć wykraść historię choroby jego pacjentów. Ta perspektywa jest zrozumiała — z klinicznego punktu widzenia to tylko dokumentacja medyczna. Z przestępczego punktu widzenia to coś zupełnie innego. Dane medyczne można wykorzystać do: wyrafinowanych oszustw ubezpieczeniowych (tzw. medical identity theft), szantażu osób publicznych posiadających wrażliwą historię medyczną, kradzieży tożsamości połączonej z wyłudzaniem kredytów, sprzedaży do firm farmaceutycznych i ubezpieczeniowych (co stanowi odrębne naruszenie prawa) oraz do ukierunkowanych kampanii phishingowych wykorzystujących dane o stanie zdrowia.

Osobną kategorię stanowią dane badań klinicznych i własność intelektualna szpitali akademickich i jednostek badawczych. Kradzież danych z badań nad nowymi lekami czy procedurami medycznymi to cel szpiegostwa przemysłowego o wartości dziesiątek milionów złotych. Ataki tego typu są znacznie rzadsze, ale o wiele bardziej wyrafinowane — wykonywane przez grupy APT sponsorowane przez państwa, a nie przez pospolitych cyberprzestępców.

Dane medyczne mają na czarnym rynku wartość 50 razy wyższą niż dane karty kredytowej. Nie możesz ich “anulować”. Pozostają cenne latami po wycieku.

Szczególnym problemem jest coraz powszechniejsze łączenie danych medycznych z danymi z wycieków innych usług (credential stuffing). Jeśli pacjent używał tego samego hasła w systemie pacjenta szpitala co w skradzionej bazie danych popularnego serwisu, atakujący może automatycznie uzyskać dostęp do jego danych medycznych. To sprawia, że polityka haseł i uwierzytelnianie wieloskładnikowe (MFA) stają się fundamentalnym wymogiem bezpieczeństwa nawet w portalach pacjenta, które często traktowane są jako mało istotne systemy peryferyjne.

Jak ransomware w szpitalu zagraża życiu pacjentów — realne przypadki?

Nie ma potrzeby odwoływania się do hipotetycznych scenariuszy. Udokumentowane przypadki ataków ransomware na placówki medyczne tworzą mrożącą krew w żyłach kronikę lat 2019–2024. W 2020 roku atak na Düsseldorfer Universitätsklinikum w Niemczech spowodował, że personel przez kilkanaście godzin pracował bez dostępu do systemów informatycznych, a pacjentka wymagająca natychmiastowej pomocy musiała być przewieziona do szpitala 35 kilometrów dalej. Kobieta zmarła. Prokuratura wszczęła postępowanie — po raz pierwszy w historii badając sprawę jako potencjalne nieumyślne spowodowanie śmierci w wyniku cyberataku. Choć ostatecznie nie postawiono zarzutów (ustalono, że stan pacjentki był zbyt ciężki niezależnie od okoliczności), przypadek otworzył zupełnie nowe pytania prawne i etyczne.

W 2021 roku irlandzki Health Service Executive (HSE), odpowiednik polskiego NFZ, padł ofiarą ataku grupy ransomware Conti. Skutki były katastrofalne: przez kilka tygodni całkowicie zablokowany był dostęp do elektronicznej dokumentacji medycznej 4000 lokalizacji po całej Irlandii. Odwołano tysiące zabiegów onkologicznych, poradnię diagnostyczną, chemioterapie. Koszt odtworzenia systemów przekroczył 600 milionów euro. Rok po ataku część systemów wciąż nie była w pełni odtworzona.

W Polsce najbardziej nagłośnionym przypadkiem był atak na Szpital Specjalistyczny w Otwocku w 2021 roku, a w 2023 roku atak na Centrum Zdrowia Dziecka w Warszawie, który na kilka dni pozbawił personel dostępu do systemów informatycznych. Takich incydentów było w Polsce znacznie więcej — znaczna część nigdy nie trafia do mediów ze względu na brak obowiązku publicznego informowania (co zmieni dyrektywa NIS2) oraz obawy przed reputacyjnymi konsekwencjami ujawnienia podatności.

Mechanizm, przez który ransomware zagraża życiu pacjentów, jest wielopoziomowy. Bezpośredni skutek to brak dostępu do elektronicznej dokumentacji medycznej — lekarz na oddziale ratunkowym musi działać bez wiedzy o alergiach pacjenta, jego grupie krwi, przyjmowanych lekach i historii chorób. Pośredni skutek to paraliż diagnostyki: zaszyfrowane systemy PACS oznaczają brak dostępu do obrazów z tomografii i rezonansu. Zablokowane LIMS oznaczają wstrzymanie wyników badań laboratoryjnych. Na oddziałach intensywnej terapii, gdzie decyzje o leczeniu podejmuje się na podstawie wyników badań wykonywanych co kilkadziesiąt minut, to dramatyczne utrudnienie.

Ransomware w szpitalu to nie tylko problem IT. To paraliż diagnostyki, brak dostępu do historii choroby, odwoływanie zabiegów i realne zagrożenie dla życia pacjentów. Zarządy szpitali ponoszą za to odpowiedzialność — prawną i moralną.

Badania naukowe opublikowane w 2021 roku w czasopiśmie Health Affairs (Ransomware Attack Associated With Disruptions at Adjacent Hospital When System Down) wykazały statystycznie istotny wzrost śmiertelności w szpitalach dotkniętych atakiem ransomware oraz — co szczególnie niepokojące — w sąsiednich szpitalach, które przyjmowały przekierowanych pacjentów, nie będąc na to przygotowane. Cyberatak na jeden szpital może zatem przeciążyć cały regionalny system opieki zdrowotnej.

Jakie regulacje (NIS2, KRI, RODO, ustawa o działalności leczniczej) obowiązują placówki medyczne?

Krajobraz regulacyjny dla cyberbezpieczeństwa w ochronie zdrowia uległ w ostatnich latach fundamentalnej transformacji. Placówki medyczne działają dziś w skrzyżowaniu czterech odrębnych reżimów prawnych, które wzajemnie się uzupełniają i wzmacniają. Zarząd, który traktuje cyberbezpieczeństwo wyłącznie jako problem techniczny, a nie jako kwestię zgodności prawnej, naraża się na poważne konsekwencje — od kar finansowych po osobistą odpowiedzialność karną.

Dyrektywa NIS2 i polska Ustawa o KSC. Dyrektywa NIS2 (implementowana w Polsce poprzez nowelizację Ustawy o Krajowym Systemie Cyberbezpieczeństwa) klasyfikuje szpitale jako “podmioty kluczowe” — kategorię podlegającą najbardziej rygorystycznym wymogom. Oznacza to obowiązek wdrożenia systemu zarządzania bezpieczeństwem opartego na analizie ryzyka, posiadania planów ciągłości działania, zgłaszania incydentów do CSIRT w terminie 24 godzin (zdarzenie wstępne) i 72 godzin (raport szczegółowy), a przede wszystkim — bezpośredniej odpowiedzialności organu zarządzającego. Kary za naruszenie mogą sięgnąć 10 milionów euro lub 2% globalnego obrotu. Co kluczowe, NIS2 wprost stwierdza, że menedżerowie mogą być tymczasowo zawieszeni w pełnieniu funkcji kierowniczych w przypadku rażących zaniedbań.

RODO (GDPR). Dane medyczne należą do tzw. “szczególnych kategorii danych osobowych” podlegających najsurowszej ochronie. Szpitale przetwarzają te dane na masową skalę i muszą zapewnić ich ochronę przez odpowiednie środki techniczne i organizacyjne. Wyciek danych pacjentów wiąże się z obowiązkiem powiadomienia UODO w ciągu 72 godzin oraz potencjalnymi karami do 20 milionów euro lub 4% globalnego obrotu. W 2023 roku UODO nałożył kary na kilka podmiotów medycznych za niewystarczające zabezpieczenie danych pacjentów.

Rozporządzenie KRI (Krajowe Ramy Interoperacyjności). KRI, choć dedykowane podmiotom publicznym, nakłada konkretne wymagania na systemy informatyczne podmiotów wykonujących zadania publiczne, w tym szpitali publicznych. Wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji opartego na normie ISO 27001 lub podejściu równoważnym, a zarządzający podmiotem muszą zapewnić i aktualizować dokumentację bezpieczeństwa.

Ustawa o działalności leczniczej. Ta regulacja, choć nie jest typową ustawą cyberbezpieczeństwa, zawiera zapisy dotyczące prowadzenia i ochrony dokumentacji medycznej. Od 2020 roku dokumentacja medyczna w Polsce jest prowadzona obowiązkowo w formie elektronicznej (EDM), co oznacza, że jej zabezpieczenie stało się bezpośrednim wymogiem prawnym. Niezabezpieczenie EDM i jej utrata lub nieuprawniony dostęp mogą być traktowane jako naruszenie ustawy.

Zarząd szpitala odpowiada dziś za cyberbezpieczeństwo nie tylko moralnie, ale i prawnie. NIS2 wprowadza osobistą odpowiedzialność dyrektora — potencjalnie do zawieszenia w pełnieniu funkcji. To nie jest kwestia wyboru, lecz warunek legalnego działania.

Warto podkreślić, że te cztery reżimy prawne nie istnieją w izolacji — tworzą skumulowane zobowiązania. Incydent ransomware, który zablokuje systemy szpitala i spowoduje wyciek danych pacjentów, może skutkować jednoczesnym naruszeniem NIS2, RODO i ustawy o działalności leczniczej. Organy nadzorcze w Polsce — UODO, krajowy CSIRT, a w przyszłości organ nadzorujący NIS2 — mogą nakładać kary niezależnie od siebie. Kompleksowe podejście do zgodności, które traktuje te regulacje jako spójny system, a nie odrębne listy kontrolne, jest jedynym racjonalnym podejściem.

Jak zabezpieczyć systemy HIS, PACS i aparaturę medyczną podłączoną do sieci?

Ekosystem IT szpitala to jedna z najbardziej złożonych środowisk informatycznych, z jakimi pracuję. W typowym szpitalu powiatowym mamy HIS od polskiego lub europejskiego dostawcy (często z długim historycznym długiem technologicznym), systemy PACS od producentów aparatury diagnostycznej, kilkanaście lub kilkadziesiąt różnych systemów specjalistycznych (laboratoryjne, apteczne, zarządzania łóżkami, planowania pracy personelu), a do tego setki urządzeń IoMT — od pomp infuzyjnych po kardiomonitory — które działają na systemach operacyjnych, o których producenci zapomnieli aktualizować kilkanaście lat temu.

Zabezpieczenie HIS zaczyna się od relacji z dostawcą. Kontrakt z firmą dostarczającą HIS powinien zawierać klauzule dotyczące: regularnych aktualizacji bezpieczeństwa i harmonogramu ich dostarczania, procedury postępowania w przypadku wykrycia podatności, odpowiedzialności za bezpieczeństwo danych przechowywanych w systemie (szczególnie w modelach SaaS i chmurowych), prawa do przeprowadzenia audytu bezpieczeństwa systemu oraz gwarantowanego czasu przywrócenia systemu po awarii (RTO) i maksymalnej dopuszczalnej utraty danych (RPO). Wiele starszych kontraktów tych zapisów nie zawiera — renegocjacja jest koniecznością.

Na poziomie technicznym HIS powinien być wdrożony zgodnie z zasadą najmniejszych uprawnień: każdy użytkownik ma dostęp wyłącznie do tych modułów i danych, które są niezbędne do jego pracy. Pielęgniarka oddziałowa nie potrzebuje dostępu do systemu finansowo-rozliczeniowego. Lekarz specjalista nie musi mieć wglądu w pełną dokumentację pacjentów z innych oddziałów. Szczegółowe logowanie i audyt działań użytkowników powinny być standardem — nie tylko dla celów bezpieczeństwa, ale także dla celów zgodności z RODO.

Zabezpieczenie PACS to oddzielna kategoria wyzwań. Systemy archiwizacji obrazów diagnostycznych przechowują ogromne ilości danych (duże szpitale generują terabajty nowych danych obrazowych rocznie) i często działają w oparciu o stare, niezaktualizowane wersje oprogramowania ze względu na zależności z aparaturą diagnostyczną od konkretnych producentów. Kluczowe działania to: izolacja PACS w oddzielnym segmencie sieci, wdrożenie dedykowanej polityki backup i odtwarzania dla danych obrazowych (które często nie są objęte standardową polityką backup dla danych klinicznych), regularne testy odtwarzania, szyfrowanie danych w spoczynku oraz wdrożenie systemu kontroli dostępu z pełnym audytem.

Aparatura medyczna (IoMT) to kategoria, w której “tradycyjne” podejście do patchowania i aktualizacji po prostu nie działa. Tomograf komputerowy działający na Windows 7 z wygasłym wsparciem producenta nie może zostać zaktualizowany do nowszego systemu operacyjnego bez ryzykowania utraty certyfikacji CE i FDA. To nie jest zaniedbanie szpitala — to systemowy problem branży, który wymaga odmiennego podejścia do bezpieczeństwa. Zamiast próbować zabezpieczyć samo urządzenie (co często jest niemożliwe), skupiamy się na kontrolowaniu jego środowiska: kompensujące kontrole bezpieczeństwa w otoczeniu sieciowym urządzenia, monitoring anomalii w ruchu sieciowym generowanym przez urządzenie oraz wdrożenie rozwiązań Network Access Control (NAC), które automatycznie profilują każde urządzenie podłączone do sieci.

Przestarzałej aparatury medycznej nie można bezpiecznie zaktualizować. Zamiast zabezpieczać samo urządzenie, zabezpiecz jego środowisko — izoluj sieciowo, monitoruj anomalie i kontroluj dostęp.

Integralną częścią bezpieczeństwa systemów klinicznych jest zarządzanie dostępem uprzywilejowanym (PAM — Privileged Access Management). Konta administratorów systemów HIS, PACS czy baz danych to “klucze do królestwa” — ich kompromitacja daje atakującemu natychmiastowy dostęp do wszystkiego. Rotacja haseł, uwierzytelnianie wieloskładnikowe dla dostępu uprzywilejowanego i nagrywanie sesji administracyjnych to absolutne minimum.

Dlaczego segmentacja sieci jest krytyczna w środowisku szpitalnym?

Wyobraź sobie budynek bez drzwi wewnętrznych. Recepcja, sale operacyjne, apteka, serwerownia i stołówka są połączone otwartymi korytarzami. Każdy, kto wejdzie do budynku, ma dostęp do wszystkiego. Właśnie tak wygląda “płaska” architektura sieciowa, którą wciąż spotykam w wielu polskich szpitalach — jedna wielka sieć, w której system HIS, kardiomonitory, wifi dla pacjentów, drukarki na recepcji i serwery z danymi pacjentów komunikują się bezpośrednio ze sobą.

Segmentacja sieci to architektoniczne rozwiązanie tego problemu. Polega na podziale jednej płaskiej sieci na odrębne, logicznie i fizycznie izolowane segmenty (VLAN-y lub mikrosegmenty), między którymi ruch jest kontrolowany i filtrowany przez firewalle lub reguły Zero Trust. Jeśli atakujący skompromituje jeden segment — na przykład infekując komputer na stanowisku recepcyjnym przez zainfekowany pendrive — izolacja sieciowa uniemożliwia mu lateralne poruszanie się do segmentu, w którym działają systemy kliniczne.

W środowisku szpitalnym właściwa segmentacja powinna wydzielać co najmniej następujące strefy: sieć kliniczna (HIS, RIS, PACS, systemy laboratoryjne) — dostępna wyłącznie dla urządzeń i użytkowników z potwierdzoną tożsamością, sieć urządzeń IoMT (aparatura medyczna) — izolowana od reszty sieci z dozwolonym tylko niezbędnym ruchem do systemów integracyjnych, sieć administracyjna (finanse, kadry, poczta elektroniczna) — odseparowana od sieci klinicznej, sieć gości i pacjentów (wifi w salach) — kompletnie odizolowana od sieci wewnętrznych, sieć zarządzania infrastrukturą (switche, serwery, systemy backup) — dostępna wyłącznie dla administratorów przez dedykowane, zabezpieczone połączenia.

W rozmowach z klientami z sektora zdrowia często spotykam się z obawą, że segmentacja sieciowa “skomplikuje pracę i utrudni leczenie”. To zrozumiała obawa, ale wynika z błędnego rozumienia celu segmentacji. Prawidłowo zaprojektowana i wdrożona segmentacja jest dla personelu medycznego niewidoczna — lekarze i pielęgniarki nadal mają dostęp do wszystkich potrzebnych systemów, z tym że połączenia między segmentami są monitorowane i autoryzowane. To tak jak drzwi z kartą dostępu w szpitalu — nie utrudniają pracy upoważnionym osobom, ale kontrolują dostęp nieuprawnionych.

Kluczową technologią uzupełniającą segmentację jest Network Access Control (NAC). System NAC automatycznie identyfikuje każde urządzenie próbujące podłączyć się do sieci szpitalnej, weryfikuje jego tożsamość i stan (czy ma zainstalowane wymagane aktualizacje, czy posiada aktywne oprogramowanie antywirusowe) i przydziela je do odpowiedniego segmentu sieci lub odmawia dostępu. W środowisku, gdzie do sieci podłączonych jest setki lub tysiące urządzeń — od laptopów lekarzy po kardiomonitory i przenośne urządzenia diagnostyczne — NAC jest jedynym skalowalnym sposobem na kontrolę nad tym, co jest podłączone do sieci.

Płaska sieć szpitalna to autostrada dla ransomware. Segmentacja sieci to najskuteczniejsza pojedyncza inwestycja w ograniczanie skutków ataku — zamienia potencjalną katastrofę w izolowany incydent.

Dodatkowym wymiarem segmentacji, o którym rzadko mówi się w kontekście szpitalnym, jest separacja środowisk produkcyjnych od testowych i deweloperskich. Dostawcy oprogramowania medycznego regularnie wymagają dostępu do środowisk testowych szpitala w celu wdrożenia aktualizacji lub rozwiązywania problemów. Środowisko testowe powinno być fizycznie lub logicznie odseparowane od środowiska produkcyjnego i nie powinno zawierać rzeczywistych danych pacjentów (anonimizacja lub pseudonimizacja danych testowych to wymóg RODO). Naruszenie tej zasady jest zaskakująco powszechne i stwarza poważne ryzyko bezpieczeństwa.

Jak zbudować plan reagowania na incydenty w placówce medycznej?

Plan reagowania na incydenty (Incident Response Plan, IRP) to dokument, który każda placówka medyczna powinna posiadać, a większość nie posiada. W rozmowie z jednym z dyrektorów regionalnego szpitala klinskiego usłyszałem: “Mamy procedury na wypadek pożaru, epidemii i katastrofy budowlanej. Nigdy nie myśleliśmy o procedurze na cyberatak”. To się zmienia, wymuszone przez NIS2 i rosnącą świadomość ryzyka, ale zmiany są wciąż zbyt wolne.

Plan reagowania na incydenty cyberbezpieczeństwa w szpitalu musi różnić się od typowego corporate IRP w kilku kluczowych aspektach. Przede wszystkim musi uwzględniać procedury “fall-back” na tryb papierowy — co konkretnie robimy, gdy nie ma dostępu do HIS? Kto odpowiada za przepisywanie kluczowych danych pacjentów na kartach papierowych? Jak wygląda komunikacja między oddziałami bez dostępu do systemów? Te procedury muszą być wdrożone, przetestowane i znane personelowi medycznemu, a nie tylko działowi IT.

Drugi kluczowy element to jasna struktura decyzyjna i komunikacyjna na czas incydentu. Kto podejmuje decyzję o wyłączeniu systemów w celu powstrzymania ataku (co może oznaczać godziny bez dostępu do HIS)? Kto informuje pacjentów i media? Kto kontaktuje się z CSIRT i organami nadzorczymi? Kto decyduje o ewentualnej ewakuacji i przekierowaniu pacjentów? W warunkach kryzysu nie ma czasu na deliberacje — każda decyzja musi mieć z góry wyznaczonego właściciela.

Struktura typowego planu reagowania na incydenty dla szpitala obejmuje sześć faz: przygotowanie (dokumentacja, szkolenia, testy), identyfikację (wykrywanie incydentu, wstępna ocena), izolację (zatrzymanie rozprzestrzeniania się ataku), likwidację (usunięcie złośliwego oprogramowania i przyczyny incydentu), odtworzenie (przywracanie systemów z kopii zapasowych) i wnioski (analiza postępowania i doskonalenie procedur).

Faza odtworzenia zasługuje na szczególną uwagę. Backup jest tylko tak dobry, jak ostatni przetestowany proces przywracania. Szpitale regularnie tworzą kopie zapasowe, ale rzadko przeprowadzają pełne, realistyczne testy odtwarzania systemu HIS z kopii zapasowej. Jak długo zajmuje przywrócenie systemu z kopii? Godzinę, osiem godzin, trzy doby? Czy kopia zapasowa zawiera wszystkie komponenty potrzebne do pełnego uruchomienia systemu? Czy backup jest przechowywany w odizolowanej lokalizacji, gdzie ransomware nie zdoła go zaszyfrować? Na te pytania zarząd szpitala powinien znać odpowiedzi — i nie powinien dowiadywać się ich dopiero w trakcie rzeczywistego ataku.

Zgodnie z wymogami NIS2, szpitale jako podmioty kluczowe są zobowiązane do zgłaszania poważnych incydentów do krajowego CSIRT (CERT Polska) w terminie 24 godzin od wykrycia (wstępne ostrzeżenie) i 72 godzin (szczegółowy raport). Plan reagowania powinien zawierać gotowe szablony i procedury tych zgłoszeń, wraz z listą kontaktów i zakresem informacji wymaganych w każdym raporcie. Opóźnienie w zgłoszeniu może samo w sobie skutkować naruszeniem przepisów NIS2 i nałożeniem kary.

Jakie minimalne zabezpieczenia powinien wdrożyć każdy szpital?

Poniższa tabela przedstawia model dojrzałości cyberbezpieczeństwa dla placówek medycznych, zorganizowany w trzy poziomy: podstawowy (wymagany prawnie), zaawansowany (rekomendowany) i optymalny (dla placówek o wysokim profilu ryzyka lub zasobach). Każdy szpital powinien uczciwie ocenić swój aktualny poziom i zaplanować ścieżkę do osiągnięcia co najmniej poziomu podstawowego — który jest de facto minimalnym wymogiem NIS2 i RODO.

Obszar	Poziom podstawowy	Poziom zaawansowany	Poziom optymalny
Zarządzanie ryzykiem	Zidentyfikowane aktywa krytyczne, przeprowadzona analiza ryzyka, udokumentowana polityka bezpieczeństwa informacji	Formalny system zarządzania ryzykiem (ISMS), rejestr ryzyk aktualizowany co roku, risk owner dla każdego ryzyka	Ciągłe zarządzanie ryzykiem, integracja z decyzjami strategicznymi, automatyczne scoringi ryzyka
Ochrona tożsamości i dostępu	Silne hasła (min. 12 znaków), unikalne konta dla każdego użytkownika, polityka blokowania kont	MFA dla wszystkich systemów klinicznych i zdalnego dostępu, PAM dla kont uprzywilejowanych, przeglądy dostępów co kwartał	Zero Trust Architecture, ciągła weryfikacja tożsamości, UEBA (wykrywanie anomalii zachowań), JIT access
Segmentacja sieci	Wydzielona sieć kliniczna i administracyjna, oddzielona sieć dla gości/pacjentów, podstawowe reguły firewalla	Pełna segmentacja na VLAN-y (HIS, PACS, IoMT, administracja, goście), NAC dla nowych urządzeń, NGFW z inspekcją SSL	Mikrosegmentacja, Software-Defined Networking, Zero Trust Network Access, automatyczne kwarantanny
Backup i odtwarzanie	Codzienne kopie zapasowe, backup przechowywany offsite, udokumentowany plan odtwarzania	Backup 3-2-1 (3 kopie, 2 nośniki, 1 offsite), backup immutable/air-gapped, testy odtwarzania co kwartał	Backup do chmury z immutable storage, automatyczne testy odtwarzania, RTO < 4h, RPO < 1h
Wykrywanie zagrożeń	Antywirus/EDR na wszystkich stacjach roboczych, centralny syslog, podstawowy monitoring sieci	SIEM z korelacją zdarzeń, NDR dla wykrywania anomalii, IDS/IPS, monitorowanie dark web pod kątem wycieków	SOC 24/7 (własny lub MDR), Threat Intelligence, Threat Hunting, automatyczna reakcja (SOAR)
Reagowanie na incydenty	Udokumentowany IRP, zdefiniowane role w zespole IR, procedury fall-back na tryb papierowy	Regularnie testowany IRP (tabletop exercise co roku), umowa z zewnętrznym dostawcą IR, playbooks dla kluczowych scenariuszy	Retainer z firmą IR, regularne ćwiczenia Red Team/Blue Team, ciągłe doskonalenie na podstawie incydentów
Szkolenia i świadomość	Obowiązkowe szkolenie podstawowe dla wszystkich nowych pracowników, polityka bezpiecznego korzystania z IT	Regularne symulacje phishingowe, szkolenia dedykowane dla grup (lekarze, pielęgniarki, administracja), szkolenia dla zarządu	Ciągły program świadomości bezpieczeństwa, grywalizacja, pomiary skuteczności szkoleń
Zgodność regulacyjna	Podstawowa dokumentacja RODO, rejestr czynności przetwarzania, powołany DPO	Audyt zgodności z NIS2/KSC, DPIA dla kluczowych systemów, udokumentowane procedury zgłaszania incydentów	Automatyczne monitorowanie zgodności, regularne zewnętrzne audyty, certyfikacja ISO 27001
Bezpieczeństwo łańcucha dostaw	Ocena bezpieczeństwa kluczowych dostawców (HIS, infrastruktura IT), klauzule bezpieczeństwa w umowach	Formalne kwestionariusze bezpieczeństwa dla wszystkich dostawców, monitoring i audyty dostawców, SLA dla bezpieczeństwa	Continuous third-party risk monitoring, penetration testing dostawców, SBOM dla oprogramowania medycznego

Uczciwa samoocena na podstawie tej tabeli często ujawnia, że wiele polskich szpitali nie osiąga nawet poziomu podstawowego w kilku kluczowych obszarach — szczególnie w zakresie segmentacji sieci, testowania odtwarzania i zarządzania dostępem. To nie jest powód do wstydu — to jest punkt startowy do planowania inwestycji.

Jak finansować cyberbezpieczeństwo w ochronie zdrowia — granty, dotacje, budżet NFZ?

Finansowanie cyberbezpieczeństwa w polskich szpitalach to temat, który pojawia się w każdej rozmowie z dyrektorami placówek publicznych. “Nie mamy budżetu” to odpowiedź, którą słyszę najczęściej — i rozumiem, że nie jest to wymówka, lecz twarda rzeczywistość. Publiczne szpitale w Polsce są chroniczne niedofinansowane, a IT i cyberbezpieczeństwo konkurują o budżet z zakupem aparatury medycznej, remontem oddziałów i wynagrodzeniami personelu. Jednocześnie ignorowanie tego problemu staje się coraz droższą opcją — zarówno prawnie (kary NIS2), jak i operacyjnie (koszty odtwarzania po ataku).

Dobra wiadomość jest taka, że w ostatnich latach pojawiło się kilka znaczących źródeł finansowania specjalnie dedykowanych cyberbezpieczeństwu w ochronie zdrowia.

Program Krajowy “Zdrowie dla Polski” (KPO) przewiduje środki na cyfryzację systemu ochrony zdrowia, w tym komponenty bezpieczeństwa systemów informatycznych. Szpitale mogą aplikować w ramach działań dotyczących e-zdrowia, przy czym zabezpieczenie infrastruktury IT jest coraz częściej warunkiem sine qua non udzielenia dofinansowania na cyfryzację. Warto śledzić nabory ogłaszane przez Centrum e-Zdrowia oraz urzędy marszałkowskie.

Narodowe Centrum Cyberbezpieczeństwa (w ramach KPRM/MC) realizuje programy wsparcia dla podmiotów kluczowych w implementacji wymogów KSC/NIS2. Część z tych programów obejmuje bezpłatne lub dofinansowane audyty bezpieczeństwa, doradztwo i narzędzia dla podmiotów publicznych.

NFZ i kontrakt z Narodowym Funduszem Zdrowia. Od 2021 roku NFZ wprowadził do standardów akredytacyjnych oraz wymagań kontraktowych elementy dotyczące bezpieczeństwa informatycznego. Szpitale ubiegające się o akredytację lub negocjujące nowe kontrakty z NFZ powinny sprawdzić aktualne wymagania, które regularnie są rozszerzane.

Regionalne Programy Operacyjne (RPO) z funduszy UE na lata 2021–2027 przewidują wsparcie dla cyfryzacji podmiotów publicznych, w tym placówek ochrony zdrowia. Priorytety bezpieczeństwa cyfrowego są jednym z kluczowych kryteriów oceny projektów. Warto skontaktować się z urzędem marszałkowskim właściwego województwa.

Budżet operacyjny a budżet inwestycyjny. Poza grantami zewnętrznymi, szpitale powinny uwzględniać cyberbezpieczeństwo zarówno w budżetach inwestycyjnych (jednorazowe zakupy sprzętu, licencje oprogramowania, wdrożenia), jak i operacyjnych (abonamentowe usługi bezpieczeństwa, szkolenia, testy penetracyjne). Model abonamentowy, oferowany przez firmy takie jak nFlo w postaci Managed Detection & Response (MDR) czy SOC as a Service, pozwala uniknąć dużych jednorazowych wydatków inwestycyjnych i rozkłada koszty na stałe miesięczne opłaty, które mogą być łatwiej wkomponowane w budżet operacyjny szpitala.

Szpitale mające trudności z finansowaniem cyberbezpieczeństwa z własnego budżetu powinny sprawdzić programy KPO, RPO i wsparcie Centrum e-Zdrowia. Model SOC as a Service pozwala uniknąć dużych jednorazowych inwestycji przy zachowaniu pełnej ochrony.

Jedna praktyczna uwaga: koszt wdrożenia cyberbezpieczeństwa zawsze należy porównywać do kosztu incydentu. Odtworzenie systemów po ataku ransomware w szpitalu średniej wielkości kosztuje od kilku do kilkudziesięciu milionów złotych, nie licząc strat operacyjnych, odszkodowań dla pacjentów i ewentualnych kar regulacyjnych. Dobrze zaplanowany program cyberbezpieczeństwa to ułamek tych kosztów — i argument, który warto przedstawić radzie szpitala lub organowi założycielskiemu przy ubieganiu się o zwiększenie budżetu IT.

Jak nFlo wspiera placówki medyczne w budowaniu odporności cybernetycznej?

Sektor ochrony zdrowia jest jednym z kluczowych obszarów, w których nFlo realizuje projekty. Rozumiemy specyfikę tego środowiska — napięcie między ciągłością działania klinicznego a koniecznością wdrażania zabezpieczeń, ograniczenia budżetowe jednostek publicznych, złożoność ekosystemów IT z wieloma dostawcami oraz surowe wymogi regulacyjne. Pracując z ponad 200 klientami i przy ponad 500 projektach z różnych sektorów, wypracowaliśmy podejście, które sprawdza się w środowiskach, gdzie bezpieczeństwo musi iść w parze z dostępnością.

Nasze zaangażowanie w projekt ochrony zdrowia zazwyczaj zaczyna się od kompleksowego audytu bezpieczeństwa, który jest fundamentem każdej dalszej pracy. Audyt obejmuje ocenę architektury sieciowej (identyfikacja płaskich sieci i brak segmentacji), przegląd konfiguracji kluczowych systemów (HIS, PACS, infrastruktura), ocenę zarządzania tożsamością i dostępem, analizę procedur backup i odtwarzania oraz wstępną ocenę zgodności z NIS2, RODO i KRI. Wynik audytu to priorytetyzowana lista rekomendacji — nie generyczna lista kontrolna, lecz konkretny plan działań uwzględniający realia budżetowe i operacyjne placówki.

Specjalizujemy się w projektowaniu i wdrażaniu segmentacji sieci w środowiskach szpitalnych. Projekt segmentacji w czynnym szpitalu wymaga wyjątkowego planowania, aby nie zakłócić ciągłości działania oddziałów. Każda zmiana w architekturze sieci musi być testowana w środowisku laboratoryjnym, wdrażana etapowo i z możliwością natychmiastowego rollbacku. Nasz zespół przeprowadził wdrożenia segmentacji w szpitalach działających 24 godziny na dobę, bez przerwy w ich funkcjonowaniu.

Przeprowadzamy testy penetracyjne infrastruktury szpitalnej w sposób kontrolowany i dostosowany do wymagań środowiska klinicznego. Nasze testy są projektowane tak, by nie ingerować w działające systemy krytyczne — skupiamy się na identyfikacji podatności bez ich aktywnego wykorzystania w sposób, który mógłby zakłócić działanie szpitala. Wyniki testów są prezentowane w formie zrozumiałej dla zarządu — nie tylko jako lista CVE, ale jako mapa ryzyk biznesowych z rekomendowanymi działaniami naprawczymi.

Nasz zespół SOC oferuje usługi monitorowania bezpieczeństwa w modelu MDR (Managed Detection and Response) z gwarantowanym czasem reakcji poniżej 15 minut od wykrycia zagrożenia. Dla szpitala, gdzie każda minuta ma znaczenie, taki czas reakcji jest istotny. 98% naszych klientów, którzy skorzystali z usług SOC, przedłuża umowę — co jest dla nas miarą realnej wartości, jaką dostarczamy.

Pomagamy również w przygotowaniu do certyfikacji ISO 27001 i audytów zgodności z NIS2, opracowaniu polityk bezpieczeństwa, procedur reagowania na incydenty i planów ciągłości działania. Posiadamy doświadczenie w pracy z organem założycielskim szpitali publicznych (samorządy, ministerstwo zdrowia) i rozumiemy wymogi dokumentacyjne i sprawozdawcze, które są specyficzne dla sektora publicznego.

Podsumowanie

Szpitale jako cel nr 1 — sektor ochrony zdrowia notuje najwyższy średni koszt wycieku danych (ponad 9,7 mln USD za incydent wg IBM 2024), bo łączy bezcenne dane medyczne, presję na ciągłość działania i historyczne niedoinwestowanie IT.
Dane medyczne na czarnym rynku — kompletny rekord medyczny pacjenta jest wart 250–1000 USD, czyli 50 razy więcej niż dane karty kredytowej, i w przeciwieństwie do karty nie można go „zablokować”.
Ransomware zagraża życiu — udokumentowane ataki (Düsseldorf, HSE Irlandia, CZD Warszawa) pokazują, że paraliż systemów HIS i PACS bezpośrednio wpływa na diagnostykę i leczenie pacjentów.
Regulacje NIS2, RODO i KRI — szpitale jako podmioty kluczowe podlegają najsurowszym wymogom; kary NIS2 sięgają 10 mln EUR, a dyrekcja ponosi osobistą odpowiedzialność, włącznie z zawieszeniem w pełnieniu funkcji.
Segmentacja sieci — najskuteczniejsza pojedyncza inwestycja w bezpieczeństwo szpitalne; zamienia potencjalną katastrofę w izolowany incydent, a przy prawidłowym wdrożeniu jest niewidoczna dla personelu medycznego.
Aparatura IoMT — przestarzałych urządzeń medycznych nie można patchować; kluczowe są kompensacyjne kontrole bezpieczeństwa: izolacja sieciowa, monitoring anomalii i NAC.
Finansowanie — programy KPO, RPO, wsparcie Centrum e-Zdrowia oraz model SOC as a Service pozwalają szpitalom wdrożyć cyberbezpieczeństwo bez dużych jednorazowych inwestycji.

FAQ — najczęściej zadawane pytania

Czy mały szpital powiatowy też jest objęty wymogami NIS2?

Tak, jeśli szpital jest zakwalifikowany jako podmiot kluczowy w myśl ustawy o KSC (nowelizacja implementująca NIS2). Kryterium kwalifikacji to przede wszystkim rola w systemie ochrony zdrowia — większość szpitali udzielających stacjonarnych świadczeń zdrowotnych będzie objęta wymogami. Warto skontaktować się z organem nadzorującym lub zasięgnąć porady prawnej w celu potwierdzenia klasyfikacji.

Co się stanie, jeśli szpital nie wdroży wymogów NIS2 na czas?

Organ nadzorujący może nałożyć kary finansowe (do 10 milionów euro lub 2% obrotu), nakazać wykonanie audytu bezpieczeństwa na koszt podmiotu, nakazać wdrożenie określonych środków technicznych lub organizacyjnych, a w skrajnych przypadkach zawiesić możliwość pełnienia funkcji kierowniczych przez osoby odpowiedzialne za zaniechanie.

Ile kosztuje podstawowy program cyberbezpieczeństwa dla szpitala?

Koszt zależy od wielkości placówki, aktualnego stanu zabezpieczeń i zakresu projektu. Orientacyjnie, kompleksowy audyt bezpieczeństwa dla szpitala średniej wielkości to koszt 30–80 tys. zł (stan na marzec 2026). Wdrożenie segmentacji sieci i podstawowych zabezpieczeń to 100–500 tys. zł jako inwestycja jednorazowa, plus koszty operacyjne. Model MDR/SOC as a Service dla szpitala to najczęściej kilkanaście–kilkadziesiąt tys. zł miesięcznie w zależności od skali. Dla porównania — koszt odtworzenia po ataku ransomware to wielokrotność tych kwot.

Czy dane pacjentów w chmurze są bezpieczne?

To zależy od konkretnego rozwiązania i sposobu wdrożenia. Renomowani dostawcy chmurowi (Microsoft Azure, AWS, Google Cloud) spełniają bardzo wysokie standardy bezpieczeństwa i posiadają certyfikaty (ISO 27001, SOC 2, HIPAA dla rynku amerykańskiego). Kluczowe jest jednak zapewnienie, że konfiguracja dostępu, szyfrowanie, zarządzanie kluczami i kopie zapasowe są prawidłowo wdrożone po stronie szpitala — bo to jest najczęstsze źródło incydentów w środowiskach chmurowych.

Jak przekonać radę szpitala do inwestycji w cyberbezpieczeństwo?

Najskuteczniejsze argumenty to: konkretne koszty incydentów w podobnych placówkach (przykłady HSE, Otwock, CZD), kwoty kar za naruszenie NIS2 i RODO, koszt przestoju operacyjnego przeliczony na utracone kontraktowanie z NFZ oraz osobista odpowiedzialność prawna członków zarządu. Prezentacja wyników audytu bezpieczeństwa, który ujawnia konkretne podatności “własnego podwórka”, jest często bardziej przekonująca niż ogólne statystyki branżowe.

Powiązane pojęcia

Poznaj kluczowe terminy związane z tym artykułem w naszym słowniku cyberbezpieczeństwa:

Ransomware — Ransomware to rodzaj złośliwego oprogramowania (malware), które blokuje dostęp…
Cyberbezpieczeństwo — Cyberbezpieczeństwo to zbiór technik, procesów i praktyk ochrony systemów IT,…
Segmentacja sieci — Segmentacja sieci to podział infrastruktury sieciowej na izolowane strefy…
SOC 2 — SOC 2 to standard audytu AICPA oceniający kontrole bezpieczeństwa, dostępności…
Plan ciągłości działania — Plan ciągłości działania (BCP) to zestaw procedur i dokumentów…

Dowiedz się więcej

Zapoznaj się z powiązanymi artykułami w naszej bazie wiedzy:

Sprawdź nasze usługi

Potrzebujesz wsparcia w zakresie cyberbezpieczeństwa dla placówki medycznej? Sprawdź:

Audyty bezpieczeństwa - kompleksowa ocena stanu zabezpieczeń
Testy penetracyjne - identyfikacja podatności w infrastrukturze
SOC as a Service - całodobowy monitoring bezpieczeństwa z reakcją poniżej 15 minut

Źródła

IBM Security, Cost of a Data Breach Report 2024, IBM Corporation, 2024. Dostępne: https://www.ibm.com/reports/data-breach
Halpern, S.D. et al., Ransomware Attack Associated With Disruptions at Adjacent Hospital When System Down, Health Affairs, vol. 40, no. 4, 2021.
Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji (ENISA), Health Threat Landscape 2023, ENISA, 2023. Dostępne: https://www.enisa.europa.eu/publications/health-threat-landscape
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa (dyrektywa NIS2), Dz.U. UE L 333/80, 2022.
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560) z późniejszymi zmianami.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO/GDPR), Dz.U. UE L 119/1, 2016.
Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności (KRI), Dz.U. 2012 poz. 526.
Perlroth, N., This Is How They Tell Me the World Ends: The Cyberweapons Arms Race, Bloomsbury Publishing, 2021.
CERT Polska, Krajobraz bezpieczeństwa polskiego internetu — raport CERT Polska 2023, NASK, 2024. Dostępne: https://cert.pl/publications/
Europol, Internet Organised Crime Threat Assessment (IOCTA) 2023, Europol, 2023. Dostępne: https://www.europol.europa.eu/publications-events/main-reports/iocta-report

Tematy powiązane

Zobacz również:

Cyberbezpieczeństwo w szpitalach i placówkach medycznych — przewodnik dla zarządów