Tylko w tym roku odnotowano 13 ataków ransomware na podmioty związane z ochroną zdrowia. W całym 2025 r. było ich 10 – wynika z informacji przekazanych „Rz” przez Centrum e-Zdrowia. Sam atak ransomware polega na zaszyfrowaniu części infrastruktury teleinformatycznej, z czym może łączyć się żądanie okupu w zamian za przekazanie klucza deszyfrującego. Ofiarami takich incydentów padły np. Szpital MSWiA w Krakowie w 2025 r. i Wojewódzki Szpital Zespolony w Szczecinie w marcu tego roku.
– Dla szpitala jest to niezwykle destrukcyjne, ponieważ paraliżuje kluczowe systemy, w tym np. elektroniczną dokumentację medyczną (EDM) czy systemy apteczne zarządzające stanami i dawkowaniem leków. W konsekwencji powstaje bezpośrednie ryzyko zagrożenia zdrowia i życia pacjentów – np. w sytuacji, gdy w trakcie operacji „gaśnie” dostęp do historii choroby – tłumaczy Jeremi Olechnowicz, dyrektor Pionu Eksploatacji Systemów Teleinformatycznych w CeZ. Ataki na firmy medyczne unaoczniły też ryzyko związane z wykradzeniem danych medycznych pacjentów, które stały się łakomym kąskiem dla hakerów.
Czytaj więcej
Pracujemy w pełnym zakresie, ale szczególnie w przypadku lecznictwa ambulatoryjnego to funkcjonowanie jest trochę utrudnione – mówi dr n. med. Mich...
Zagrożenie atakami rośnie, kłopot w tym, że nie wszystkim szpitalom udało się pozyskać pieniądze na cyberbezpieczeństwo. Środki na ten cel nie są uwzględnione w wycenie świadczeń, za które NFZ płaci lecznicom. A umowy na inwestycje w cyfryzację z KPO – na łączną kwotę ok. 3,1 mld zł – podpisało 368 szpitali, z czego projekt dowiozły 364 podmioty – wynika z informacji uzyskanych przez „Rz” w Ministerstwie Zdrowia. Sieć szpitali w Polsce liczy 585 podmiotów. Co z tymi, które nie załapały się na finansowanie?
NFZ nie płaci za cyberbezpieczeństwo. Środki z KPO nie wystarczyły
Brak środków na cyberbezpieczeństwo może pogłębiać różnice w możliwościach technologicznych poszczególnych szpitali – zwraca uwagę Tomasz Kopiec, dyrektor Samodzielnego Publicznego Szpitala Klinicznego im. prof. W. Orłowskiego CMKP w Warszawie. Placówka nie otrzymała dofinansowania na ten cel z KPO. – Wnioskowaliśmy o 13 mln zł na przebudowę infrastruktury informatycznej i zakup niezbędnego wyposażenia. Cyberbezpieczeństwo to nie tylko oprogramowanie, ale także odpowiedni sprzęt, na którym można wdrożyć i skutecznie wykorzystywać nowe rozwiązania. Bez dodatkowych środków modernizacja tej infrastruktury jest dużym wyzwaniem – mówi Kopiec.
O kwestię finansowania cyberbezpieczeństwa w szpitalach zapytaliśmy w niedawnym wywiadzie dla „Rzeczpospolitej” wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego. – Cyberbezpieczeństwo powinno być kosztem stałym w budżecie każdej jednostki. Czy łącze internetowe jest w szpitalu kosztem stałym? Czy jest tak, że internet jest wtedy, gdy są pieniądze, a gdy ich nie ma, to internetu nie ma? To część zasobów administracyjnych. Nikt nie wycenia ochrony w szpitalu, a na wejściu czasem stoi ochroniarz – powiedział.
Z takim podejściem do tematu nie zgadzają się dyrektorzy szpitali. – W wycenach świadczeń finansowanych przez NFZ nie ma wyodrębnionego komponentu przeznaczonego na rozwój i utrzymanie infrastruktury cyfrowej. Środki otrzymywane przez szpitale są przede wszystkim przeznaczane na leczenie pacjentów, dlatego sfinansowanie dodatkowych zabezpieczeń może być trudne – podkreśla Kopiec. Jak zaznacza, szpitale pełnią istotną rolę w systemie infrastruktury krytycznej, a zapewnienie im odpowiedniej ochrony cyfrowej wymaga współpracy placówek i państwa. Tymczasem dyrektorzy szpitali słyszą od przedstawicieli resortu zdrowia, że ewentualne dodatkowe środki na cyberbezpieczeństwo mogą się pojawić, ale w ramach nowej perspektywy budżetowej Unii Europejskiej.
– Trzeba pamiętać, że zarówno Unia Europejska, jak i nasze państwo chętnie i słusznie przyjęły regulacje dotyczące cyberbezpieczeństwa, ale nie wskazano w nich źródła finansowania. Założono, że adresaci nowych wymogów pokryją te koszty w ramach własnej działalności. Trudno o to jednak w przypadku szpitali publicznych, które utrzymują się z realizacji świadczeń zdrowotnych. Trzeba albo uwzględnić to w ich wycenie, albo pokazać oddzielne źródło finansowania – wskazuje inny z naszych rozmówców.
Czytaj więcej
Na listę firm objętych wymogami ustawy o KSC, jako „kluczowe” i „ważne” wpisano prawie 70,5 tys. podmiotów – ustaliła „Rzeczpospolita”. To niemal d...
– Jeżeli brakuje pieniędzy na utrzymanie podstawowych zadań szpitali, czyli na diagnozowanie i leczenie pacjentów, to w jaki sposób mielibyśmy wygenerować dodatkowe środki na bezpieczeństwo systemów szpitalnych? Ja sobie tego nie wyobrażam – wskazuje Marek Tombarkiewicz, dyrektor Szpitala Specjalistycznego Ducha Świętego w Sandomierzu. Placówka otrzymała 12 mln zł na cyfryzację, co pozwoliło na zakupy sprzętu i oprogramowania. Wstępna inwestycja w cyberbezpieczeństwo to jednak dopiero początek kosztów. – Taki zastrzyk jednorazowych środków jest oczywiście rzeczą doskonałą, ale chyba nikt nie pomyślał o tym, że system musi się rozwijać, ani że jego funkcjonowanie w przyszłości też wymaga nakładów – zauważa Tombarkiewicz.
Czytaj więcej
Cyberprzestępcy wzięli na cel polską ochronę zdrowia. NASK prześwietla ostatnie ataki na firmy Enel-Med, Qbusoft i MyDr, a minister cyfryzacji Krzy...
Ile kosztuje utrzymanie infrastruktury cyberbezpieczeństwa?
– Jeżeli szpital kupił w ramach specjalnej inwestycji sprzęt zapewniający cyberbezpieczeństwo, dyrektor musi się liczyć z tym, że nawet jeśli przez jakiś czas nie będzie go unowocześniał, to będzie musiał płacić za jego utrzymanie – mówi „Rz” przedstawiciel jednego z dostawców oprogramowania dla szpitali. – Na zasadzie analogii do systemów informatycznych używanych w przedsiębiorstwach, można oszacować, że to koszt rzędu ok. 20 proc. wartości poczynionej inwestycji rocznie, a inwestycja początkowa może wynosić, w zależności od wielkości szpitala, od miliona do nawet 10 mln zł – wskazuje.
– Szacunki 20 proc. rocznie są trafione pod warunkiem, że liczymy wyłącznie koszty technologiczne, jak licencje czy serwis oraz koszty niezbędnych drobnych modernizacji. Po zakończeniu okresu trwałości projektu, co w przypadku KPO wynosi trzy lata, dyrektorzy szpitali dostaną ofertę na przedłużenie często niezbędnego wsparcia do zakupionych systemów i sprzętu. Do tego wciąż nie bierzemy pod uwagę kosztów zatrudnienia ludzi i obowiązkowego monitoringu, po ich doliczeniu w praktyce ten koszt potrafi znacząco przekroczyć 20 proc. – mówi Piotr Rajski, ekspert IT na rynku ochrony zdrowia. Jak dodaje, koszty monitoringu zależą od posiadanej infrastruktury, zakresu odpowiedzialności i poziomu ingerencji w infrastrukturę. Mogą wynosić od 5 do 30 tys. zł miesięcznie, a nawet więcej. Koszt specjalisty od cyberbezpieczeństwa na rynku to ok. 200-300 tys. zł rocznie – wylicza.
– Niektórzy decydenci uważają, że działy IT w szpitalach przyjmą cyberbezpieczeństwo jako dodatkowe zadanie do realizacji, niejako przy okazji. Niestety tak się nie da. Szpital potrzebuje minimum jednego etatu, żeby próbować stawiać czoła nowym zagrożeniom. Potrzebny jest pracownik, który w 100 proc. zajmuje się cyberbezpieczeństwem – podkreśla przedstawiciel firmy dostarczającej oprogramowanie.
Zwraca też uwagę, że cyberbezpieczeństwo było tylko jednym z elementów inwestycji, jakie szpitale poczyniły na cyfryzację w ramach KPO. – Podmioty lecznicze same ustalały listę priorytetów zakupowych, a bezpieczeństwo cyfrowe było na niej gdzieś na końcu. Najwięcej środków przeznaczyły na systemy do elektronicznej dokumentacji medycznej oraz oprogramowanie umożliwiające dostęp do Platformy Usług Inteligentnych, gdzie będą dostępne narzędzia AI do diagnostyki – wskazuje. To oznacza, że z kwoty 3,1 mld zł na cyfryzację szpitali tylko część została przeznaczona na zapewnienie bezpieczeństwa systemów informatycznych.
