Gdy szpital przechodzi na papier

NIS2 wchodzi do polskich lecznic w środku fali ataków — i przenosi odpowiedzialność za cyberbezpieczeństwo tam, gdzie zapadają decyzje: na zarząd.

Autor: Michał P. Dybowski — współzałożyciel i zarządzający Fundacją Healthcare Poland; architekt systemowy i twórca polityk zdrowotnych. Fundacja Healthcare Poland tworzy ekosystem zdrowia transgranicznego (m.in. CM‑KLARA, Poliversum, Global Healthcare Systems Hub, Just Council, CyberC4HE) · stan na 4 czerwca 2026

W pierwszej połowie marca 2026 roku Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie przestał być instytucją cyfrową. Część zasobów serwerowych została zaszyfrowana, przestępcy zażądali okupu liczonego w milionach dolarów, a placówka przeszła na obieg papierowy.^[1] Trzy tygodnie później rzecznik szpitala mówił wprost, że atak „nie sparaliżował całkowicie szpitala, ale boleśnie zachwiał codzienną pracą, a powrót do pełnej równowagi potrwa na pewno długie tygodnie”.^[1] Szpital nadal działał wówczas w trybie awaryjnym: nie prowadził rejestracji do poradni specjalistycznych poza pacjentami z kartą DiLO, których obsługiwano ręcznie, część lekarzy nie mogła wystawiać recept ani zwolnień, a — co najpoważniejsze — placówka „nie miała dostępu do znacznej części danych medycznych pacjentów”.^[1] Konfiguracja ponad tysiąca szpitalnych komputerów stała się zadaniem na tygodnie, a wśród wspierających był sektorowy zespół CSIRT Centrum e‑Zdrowia oraz żołnierze Wojsk Obrony Terytorialnej.^[1]

To nie był odosobniony epizod. W tym samym marcu atak typu ransomware dotknął także Bonifraterskie Centrum Medyczne, a Centralne Biuro Zwalczania Cyberprzestępczości uznało za prawdopodobne, że oba zdarzenia są powiązane — wskazywały na to rozpoznane dane informatyczne i użyte oprogramowanie.^[1] Skala zjawiska, którego te incydenty są tylko najgłośniejszą częścią, jest udokumentowana: jak podaje Jeremi Olechnowicz, kierownik Sektorowego Zespołu Cyberbezpieczeństwa CSIRT CeZ, w 2024 roku zarejestrowano 1028 zdarzeń dotyczących ochrony zdrowia, a w 2025 już 1441 — co pokazuje „dynamicznie rosnącą skalę zagrożeń”. Roczne podsumowanie Centrum e-Zdrowia za 2025 rok podaje 1443 incydenty związane z cyberbezpieczeństwem.^[1] Jego zdanie warto zapamiętać, bo jest najtrzeźwiejszym streszczeniem całego problemu: „to nie jest pytanie »czy«, lecz »kiedy« nastąpi kolejna próba ataku i jak dobrze organizacja będzie na nią przygotowana”.^[1]

To nie jest pytanie »czy«, lecz »kiedy« nastąpi kolejna próba ataku i jak dobrze organizacja będzie na nią przygotowana.

Jeremi Olechnowicz, kierownik Sektorowego Zespołu Cyberbezpieczeństwa CSIRT Centrum e‑Zdrowia [1]

I właśnie w tym momencie — gdy fala jest najwyższa, a świadomość najwyższa od lat — w polski system ochrony zdrowia wchodzi nowe prawo, które na to pytanie odpowiada w sposób systemowy. Nie obietnicą większych pieniędzy, lecz zmianą reguły odpowiedzialności.

Czym jest NIS2 i dlaczego dotyczy każdego szpitala

19 lutego 2026 roku prezydent Rzeczypospolitej Karol Nawrocki podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), która wdraża do polskiego porządku prawnego unijną dyrektywę NIS2 — Dyrektywę (UE) 2022/2555.^[2][3] Po miesięcznym vacatio legis nowe przepisy weszły w życie 3 kwietnia 2026 roku.^[2] Dla porządku trzeba odnotować, że Prezydent skierował część przepisów nowelizacji — między innymi dotyczące dostawców wysokiego ryzyka, poleceń zabezpieczających oraz kar administracyjnych — do Trybunału Konstytucyjnego w trybie kontroli następczej; gdyby Trybunał uznał je za niezgodne z Konstytucją, przestaną obowiązywać.^[3] Trzon regulacji, w tym obowiązki podmiotów ochrony zdrowia, pozostaje jednak w mocy.

Istotą NIS2 jest porzucenie dawnego, wąskiego podziału na „operatorów usług kluczowych” i „dostawców usług cyfrowych” na rzecz dwóch szerokich kategorii: podmiotów kluczowych i podmiotów ważnych.^[2] Ochrona zdrowia została zaliczona do sektorów kluczowych — to znaczy do najwyższego poziomu wymagań, najsurowszych sankcji i bezpośredniej, osobistej odpowiedzialności kierownictwa za stan cyberbezpieczeństwa.^[2] Nie jest to wybór przypadkowy. Szpital, który nie ma dostępu do dokumentacji medycznej, nie jest jedynie firmą z zepsutym systemem informatycznym; jest instytucją, w której od ciągłości działania zależy bezpieczeństwo, a w skrajnych przypadkach życie pacjenta. Prawo nareszcie traktuje cyberbezpieczeństwo placówki medycznej tak, jak od dawna traktuje jej sterylność czy zaopatrzenie w prąd — jako warunek bezpiecznego leczenia, a nie jako dodatek z budżetu informatyki.

W praktyce nowa ustawa wymaga od podmiotów objętych jej zakresem wdrożenia i utrzymania adekwatnego do ryzyka systemu zarządzania bezpieczeństwem informacji: systematycznej oceny ryzyka, środków technicznych i organizacyjnych proporcjonalnych do skali i charakteru usług, mechanizmów wykrywania i zgłaszania incydentów, planów ciągłości działania, bezpieczeństwa łańcucha dostaw oraz szkoleń personelu.^[2] Część obowiązków — zwłaszcza zgłaszanie incydentów — obowiązuje praktycznie od razu, część zaś objęto okresem przejściowym. Harmonogram jest precyzyjny: do 3 października 2026 roku podmioty muszą złożyć wniosek o wpis do wykazu podmiotów kluczowych i ważnych; do 3 kwietnia 2027 roku — wdrożyć i stosować obowiązki z rozdziału 3 ustawy; a pierwszy audyt podmioty spełniające kryteria w dniu wejścia ustawy w życie muszą przeprowadzić do 3 kwietnia 2028 roku.^[2] To nie jest odległa przyszłość. To kalendarz, który już biegnie.

Pomiar: co liczby naprawdę mówią o nośności

W tej serii konsekwentnie powtarzamy, że żadnej dźwigni nie da się uruchomić bez rzetelnego pomiaru — i nigdzie nie jest to tak widoczne jak w cyberodporności. Europejska Agencja ds. Cyberbezpieczeństwa (ENISA), analizując ponad dwa lata zdarzeń w sektorze zdrowia w Unii i krajach sąsiednich, ustaliła, że to właśnie ransomware odpowiada za 54 procent zagrożeń, a w obrębie sektora najmocniej obrywają świadczeniodawcy — 53 procent wszystkich incydentów, w tym same szpitale aż 42 procent.^[4] Najbardziej narażonym aktywem są dane pacjentów, w tym elektroniczna dokumentacja medyczna; niemal połowa zdarzeń (46 procent) miała na celu kradzież lub ujawnienie danych organizacji ochrony zdrowia.^[4] A teraz liczba, która powinna organizować całą dyskusję o gotowości: tylko 27 procent badanych organizacji sektora zdrowia miało dedykowany program obrony przed ransomware.^[4] Mediana kosztu poważnego incydentu w tym sektorze została oszacowana na 300 tysięcy euro.^[4]

Te europejskie proporcje nakładają się na polską rzeczywistość z niepokojącą dokładnością. Wspomniany wzrost zgłoszeń do CSIRT CeZ z 1028 do 1441 w ciągu jednego roku nie jest statystyczną ciekawostką — to krzywa narastania ciężaru, który system musi udźwignąć.^[1] Ransomware jest dziś, jak zauważają specjaliści, najczęściej obserwowanym typem ataku na szpitale, a najczęstszą przyczyną udanych ataków tego rodzaju jest — co brzmi banalnie, lecz jest prawdą — ignorowanie alertów typu „malware detection” w dziennikach systemów antywirusowych i EDR.^[1] Innymi słowy: znaczna część katastrof zaczyna się nie od genialnego włamywacza, lecz od przeoczonego ostrzeżenia. To jest dokładnie ten rodzaj problemu, który rozwiązuje się procedurą, kulturą i odpowiedzialnością — nie kolejnym drogim urządzeniem.

Pomiar ma tu jeszcze jeden, głębszy sens. Dopóki incydent jest wstydem, który się ukrywa, dopóty system nie wie o sobie prawdy — a instytucja, która nie zna własnej powierzchni ataku, nie jest w stanie jej zmniejszać. NIS2, czyniąc zgłaszanie incydentów obowiązkiem prawnym, a nie dobrą wolą, zmienia tę logikę u podstaw: zamienia milczenie w dane, a dane w możliwość uczenia się. To pierwszy krok sekwencji, którą w tej serii nazywamy pomiarem, decyzją, wdrożeniem i rozliczeniem.

Decyzja: odpowiedzialność wraca na właściwe piętro

Najważniejsza zmiana, jaką przynosi NIS2, nie jest techniczna. Jest ustrojowa. Ustawa wprowadza model wzmocnionej odpowiedzialności kierownictwa podmiotów kluczowych i ważnych oraz czyni z cyberbezpieczeństwa obszar wymagający nadzoru na poziomie zarządu.^[2] Kierownik podmiotu — w przypadku spółek najczęściej zarząd — odpowiada za wdrożenie i skuteczny nadzór nad środkami zarządzania ryzykiem, a ustawa wprost wyklucza możliwość przerzucenia tej odpowiedzialności na niższe szczeble organizacji.^[2] Co więcej, nakłada obowiązek regularnego, udokumentowanego szkolenia członków zarządu i przewiduje kary finansowe nakładane na kierownictwo za naruszenie obowiązków.^[2]

To jest cicha rewolucja. Przez lata cyberbezpieczeństwo było w wielu polskich placówkach delegowane „w dół” — do działu IT, często niedofinansowanego, traktowanego jako koszt, a nie jako element zarządzania ryzykiem klinicznym. NIS2 odwraca tę grawitację. Mówi dyrektorowi szpitala i radzie nadzorczej: to jest wasza decyzja i wasza odpowiedzialność, bo to wy dysponujecie budżetem, priorytetami i władzą organizacyjną, których dział informatyki nie ma. Dla porównania skali: kary administracyjne sięgają dla podmiotów kluczowych do 10 milionów euro lub 2 procent światowego rocznego obrotu, a dla podmiotów ważnych do 7 milionów euro lub 1,4 procent obrotu — w obu przypadkach liczy się kwota wyższa.^[2] Ustawa przewiduje też kary do 100 milionów złotych w sytuacji, gdy naruszenie wywołało bezpośrednie i poważne zagrożenie dla obronności, bezpieczeństwa państwa, porządku publicznego albo życia i zdrowia ludzi.^[2]

Sankcje te bywają odczytywane jako bat. Warto je jednak czytać inaczej — jako wycenę ryzyka, które i tak istnieje, tyle że dotąd było niewidoczne w żadnym sprawozdaniu zarządu. Polski organ ochrony danych już zresztą pokazał, że odpowiedzialność za zaniechania w cyberbezpieczeństwie szpitala jest egzekwowalna: Prezes Urzędu Ochrony Danych Osobowych nałożył karę 66,5 tysiąca złotych na Uniwersytecki Dziecięcy Szpital Kliniczny w Białymstoku za niewdrożenie odpowiednich środków technicznych i organizacyjnych, w związku z incydentem, który doprowadził do zablokowania części zasobów i utraty danych.^[5] NIS2 nie tworzy więc odpowiedzialności z niczego — porządkuje ją, czyni przewidywalną i lokuje tam, gdzie naprawdę zapadają decyzje o pieniądzach i priorytetach.

Co świat oferuje Polsce: gotowe wzorce, nie eksperymenty

Dobra wiadomość jest taka, że polskie szpitale nie muszą wymyślać odporności od zera. Europa wypracowała przez lata dorobek, który dziś można zaadaptować jak sprawdzone elementy konstrukcyjne. ENISA, równolegle do raportów o zagrożeniach, publikuje praktyczne przewodniki dobrych praktyk dla podmiotów ochrony zdrowia — w tym wydany we wrześniu 2025 roku poradnik higieny cyfrowej dla sektora zdrowia, opisujący konkretne, wykonalne kroki ochrony wrażliwych danych i ograniczania ekspozycji na typowe zagrożenia.^[6] Agencja przygotowała też wytyczne techniczne wspierające wdrożenie środków bezpieczeństwa wynikających z rozporządzenia wykonawczego do NIS2 oraz osobne wskazówki dotyczące bezpiecznych zamówień na rozwiązania cyberbezpieczeństwa w szpitalach.^[6] To są materiały, których nie trzeba kupować — trzeba je przeczytać, przełożyć na lokalne procedury i wdrożyć.

Najlepsze praktyki świata są przy tym zaskakująco przyziemne, i to jest ich największa zaleta. Rekomendacje, które w marcu 2026 roku wydał Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wspólnie z resortem cyfryzacji oraz zespołami CSIRT CeZ, CSIRT NASK i CSIRT GOV, sprowadzają się do działań, których koszt jest niewspółmiernie niski wobec kosztu jednego udanego ataku: aktualizowania wszystkich systemów do najnowszych stabilnych wersji, realizowania dostępu administracyjnego wyłącznie z wydzielonej sieci zarządzającej, przeglądu kont o podwyższonych uprawnieniach, ograniczania ruchu sieciowego na sprzęcie służbowym, rozważenia geo‑blockingu ruchu spoza Polski lub Europy, weryfikacji logowań o nietypowych godzinach, natychmiastowego usuwania kont byłych pracowników, ustanawiania długich i unikalnych haseł oraz — co kluczowe przy ransomware — regularnego tworzenia kopii zapasowych i codziennego przeglądu dzienników alertów.^[1] Resort podkreślił rzecz, która powinna uspokoić każdego dyrektora obawiającego się wielkich nakładów: „realizacja nawet części działań pozwoli znacząco ograniczyć ryzyko wystąpienia incydentu”.^[1] Odporność nie zaczyna się od wielkiego budżetu. Zaczyna się od dyscypliny.

Z europejskich doświadczeń płynie jednak również ostrzeżenie przed pozorną gotowością. Sam dokument polityki, samo kupione urządzenie, samo jednorazowe szkolenie nie tworzą odporności, jeśli nie są wpięte w żywy, testowany proces. ENISA od lat przypomina, że to właśnie podatności w oprogramowaniu i sprzęcie oraz słabe praktyki — błędne konfiguracje, zaniedbania — stoją za większością incydentów w sektorze.^[4] Odporność jest stanem ciągłym, nie zdarzeniem jednorazowym; jest czasownikiem, nie rzeczownikiem.

Co Polska może zaoferować Europie: model sektorowego CSIRT i wsparcia państwa

Tu zaczyna się druga, rzadziej opowiadana połowa tej historii. Polska nie jest w cyberbezpieczeństwie ochrony zdrowia wyłącznie biorcą. Zbudowała bowiem rozwiązanie, które w skali europejskiej jest wartościowym wzorcem: sektorowy zespół reagowania na incydenty bezpieczeństwa komputerowego ulokowany w Centrum e‑Zdrowia, dedykowany wyłącznie ochronie zdrowia, na bieżąco reagujący na zgłoszenia, analizujący incydenty i udostępniający placówkom aktualne wskaźniki zagrożeń.^[1] Architektura, w której obok krajowych zespołów CSIRT NASK i CSIRT GOV działa wyspecjalizowany zespół sektorowy, rozumiejący specyfikę szpitala — jego urządzenia medyczne, jego tryb pracy, jego wrażliwość — jest dokładnie tym, do czego NIS2 zachęca, tworząc sektorowe zespoły wsparcia.^[2] Polski model pokazuje, że taki zespół można nie tylko powołać, ale i realnie uruchomić jako pierwszą linię wsparcia w kryzysie.

Charakterystyczny jest też element, którego nie ma w żadnym podręczniku, a który ujawnił się w Szczecinie: udział żołnierzy Wojsk Obrony Terytorialnej we wspieraniu sparaliżowanej placówki.^[1] To zalążek modelu cywilno‑obronnej współpracy w sytuacji kryzysowej, w którym zdolności państwa są kierowane tam, gdzie infrastruktura krytyczna zdrowia traci nośność. W świetle obecnej sytuacji geopolitycznej — a CSIRT CeZ otwarcie mówi, że skala prób ataków może jeszcze rosnąć — taka interoperacyjność cywilno‑wojskowa staje się elementem odporności państwa, nie tylko pojedynczego szpitala.^[1] Polska, która zmaga się z presją ze wschodu jak mało które państwo Unii, ma tu szansę wypracować i pokazać Europie praktykę, której inni będą dopiero potrzebować. Domknięciem tego obrazu jest przyjęta przez Radę Ministrów 10 marca 2026 roku Strategia Cyberbezpieczeństwa Rzeczypospolitej Polskiej na lata 2025–2029, wyznaczająca kierunki wzmacniania krajowego systemu cyberbezpieczeństwa i ochrony danych obywateli do 2029 roku.^[7]

Tarcza dla obywatela: dlaczego to jest sprawa pacjenta, nie informatyka

Łatwo o cyberbezpieczeństwie myśleć jak o sprawie technicznej, odległej od łóżka pacjenta. Szczecin pokazał, jak bardzo to złudne. Gdy szpital traci dostęp do dokumentacji medycznej, traci pamięć o pacjencie: o jego uczuleniach, lekach, wynikach, historii. Gdy nie może wystawić recepty czy zwolnienia, przerzuca ciężar na lekarzy podstawowej opieki zdrowotnej i na samego chorego. Gdy przechodzi na obieg papierowy, spowalnia każdą czynność — a w medycynie czas bywa różnicą między powikłaniem a jego brakiem. Atak na system informatyczny szpitala jest więc atakiem na bezpieczeństwo pacjenta, nawet jeśli nie pada ani jeden strzał i nie zostaje przelana ani kropla krwi. ENISA nie bez powodu wskazuje bezpieczeństwo pacjenta jako nadrzędną troskę sektora, przywołując realne ryzyko opóźnień w triażu i leczeniu wywołanych incydentami cyfrowymi.^[4]

W narracji, którą Fundacja Healthcare Poland nazywa tarczą dla obywatela, cyberodporność jest jedną z najbardziej dosłownych warstw tej tarczy. Nie chodzi o ochronę serwerów dla samych serwerów. Chodzi o to, by obywatel mógł zaufać, że gdy trafi do szpitala, ten będzie pamiętał, kim jest i jak go leczyć — także w dniu, w którym ktoś próbuje tę pamięć zaszyfrować i sprzedać. Odporność systemu na atak jest, w tym sensie, formą dotrzymania słowa danego pacjentowi: że opieka będzie ciągła, a jego najbardziej intymne dane — bezpieczne.

Just Culture: dlaczego karanie za incydent pogłębia ryzyko

Jest w cyberbezpieczeństwie pułapka, w którą wpada wiele organizacji, i którą trzeba nazwać wprost, bo decyduje ona o powodzeniu całej reformy. Surowe sankcje NIS2 mogą wytworzyć w szpitalach pokusę przeciwną do zamierzonej: skoro incydent grozi karą i piętnem, lepiej go ukryć, przemilczeć, zgłosić jak najpóźniej i jak najwęziej. Tymczasem — jak przypominają specjaliści — najczęstszą przyczyną udanych ataków ransomware jest ignorowanie wczesnych alertów.^[1] System, który karze ludzi za to, że alert zauważyli i zgłosili, uczy ich, by patrzeć w drugą stronę. A wtedy każda sankcja, zamiast budować odporność, podkopuje ją u samych korzeni.

Dlatego cyberodporność szpitala wymaga ramy, którą Fundacja Healthcare Poland traktuje jako swój fundament doktrynalny: sprawiedliwej kultury — Just Culture — w której zgłoszenie błędu czy incydentu służy uczeniu się, nie szukaniu winnych. Sprawiedliwa kultura nie znosi odpowiedzialności; przeciwnie, czyni ją możliwą, bo oddziela uczciwą pomyłkę i zdarzenie systemowe od świadomego zaniedbania, i kieruje uwagę na decyzje oraz mechanizmy, nie na pojedynczych ludzi. Pielęgniarka, która kliknęła w spreparowany link, najczęściej nie jest sprawcą, lecz ostatnim ogniwem łańcucha zaniedbań, które zaczęły się znacznie wyżej — przy decyzjach o budżecie, szkoleniach i architekturze sieci. To dlatego Bonifraterskie Centrum Medyczne, komunikując o ataku, podkreśliło, że „atak nie był wynikiem nieostrożności pracownika” — i to jest dokładnie właściwy, dojrzały ton.^[1]

Dorobek Just Council dopowiada do tego zasadę, której w polskiej debacie o bezpieczeństwie brakuje najdotkliwiej: rezygnację z języka plemiennego, dzielącego uczestników systemu na winnych i niewinnych, na „dobre” i „złe” szpitale. NIS2 zadziała jako dźwignia odporności tylko wtedy, gdy odpowiedzialność zarządu — realna i egzekwowalna — zostanie połączona ze sprawiedliwą kulturą zgłaszania na każdym szczeblu. Odpowiedzialność na górze, bezpieczeństwo zgłaszania na dole. Jedno bez drugiego nie działa: sama kultura bez odpowiedzialności rozmywa się w bezkarności, sama odpowiedzialność bez kultury — wytwarza milczenie. Ton tej zmiany jest częścią jej treści.

Wdrożenie i rozliczenie: jak HCPL i koalicja CyberC4HE adresują problem

Między literą ustawy a realnym bezpieczeństwem szpitala rozciąga się przepaść wdrożeniowa, w której w Polsce ginęło już wiele dobrych regulacji. Dyrektor szpitala, który dziś czyta o obowiązku wdrożenia systemu zarządzania bezpieczeństwem informacji do kwietnia 2027 roku, audytu do 2028 i osobistej odpowiedzialności zarządu, ma prawo zapytać: od czego zacząć, z kim, za co. To jest właśnie miejsce, w którym kompetencja sektorowa staje się wartością nie do zastąpienia.

Fundacja Healthcare Poland rozwija w ramach Koalicji na rzecz Cyberbezpieczeństwa w Ochronie Zdrowia — CyberC4HE — model, który odpowiada na tę przepaść po stronie wdrożenia i rozliczenia. Pierwszym narzędziem jest audyt zgodności z NIS2 i UKSC: rzetelna, sektorowo świadoma diagnoza, gdzie placówka jest, czego jej brakuje i które działania — zgodnie z zasadą resortu, że nawet część z nich znacząco ogranicza ryzyko — przyniosą największą poprawę przy danym budżecie.^[1] Drugim jest pytanie o architekturę reagowania: czy szpital potrzebuje własnego centrum operacji bezpieczeństwa, czy lepiej obsłuży go model współdzielony, sektorowy — bo nie każdą placówkę stać na własny zespół pracujący w trybie ciągłym, a współdzielenie zdolności jest często jedyną realną drogą do odporności mniejszych podmiotów. Trzecim jest ciągłość działania: plany BCP i odtwarzania po awarii, przetestowane w praktyce, dzięki którym przejście „na papier” jest kontrolowaną procedurą, a nie chaosem — różnica, którą Szczecin odczuł na własnej skórze przez długie tygodnie powrotu do równowagi.^[1] Czwartym, i może najważniejszym, są szkolenia — nie odhaczane formalności, lecz budowanie kultury, w której człowiek jest pierwszą linią obrony, a nie najsłabszym ogniwem, i w której zgłoszenie alertu jest nagradzane, nie karane.

To jest dokładnie domknięcie sekwencji nośności. Pomiar dostarcza prawdy o ryzyku — przez obowiązkowe zgłaszanie i audyt. Decyzja lokuje odpowiedzialność tam, gdzie jest władza — na zarządzie. Wdrożenie zamienia obowiązek prawny w żywą procedurę — przez SOC, BCP i szkolenia. Rozliczenie — przez audyt do 2028 roku i przez egzekwowalne sankcje — sprawdza, czy słowo dane pacjentowi zostało dotrzymane. Każdy z tych kroków bez pozostałych jest pusty; razem tworzą odporność, która jest realną dźwignią nośności systemu.

Korzyść, której nie widać na pierwszy rzut oka

Warto rozpisać tę korzyść tak, by każdy uczestnik sektora rozpoznał w niej swój własny interes, bo reforma, która nie oferuje korzyści wszystkim, pozostaje na papierze. Obywatel i pacjent zyskują najprostszą rzecz, jaką może dać system: pewność, że jego dane są bezpieczne, a opieka ciągła nawet w dniu ataku. Szpital i jego kadra zyskują jasność, kto za co odpowiada, oraz wsparcie — sektorowego CSIRT, audytu, planów ciągłości — które zamienia samotną walkę informatyka w działanie instytucji. Zarząd zyskuje, paradoksalnie, spokój: ryzyko, które dotąd wisiało nad placówką niewidzialne i niewyceniane, staje się policzalne, zarządzalne i podzielone na kroki z terminami. Regulator i płatnik zyskują sektor, który zgłasza incydenty, zamiast je ukrywać, a więc system, który wie o sobie prawdę i potrafi się uczyć. Biznes i dostawcy technologii medycznych zyskują przewidywalne reguły bezpieczeństwa łańcucha dostaw, w których opłaca się budować bezpieczne produkty. A polska marka zdrowia — „Healthcare Poland” jako rozpoznawalne pojęcie — zyskuje to, co w gospodarce zaufania jest bezcenne: reputację systemu, który traktuje dane pacjenta poważnie i potrafi obronić jego ciągłość.

Żadna z tych korzyści nie pojawi się samoczynnie. NIS2 jest dźwignią, nie zaklęciem — a dźwignia bez punktu podparcia nie podnosi niczego. Tym punktem podparcia jest decyzja zarządu, by potraktować kwiecień 2026 nie jako kolejny obowiązek sprawozdawczy, lecz jako moment, w którym cyberbezpieczeństwo przestaje być kosztem działu IT, a staje się elementem bezpieczeństwa pacjenta. Polska ma dziś rzadką, gorzką okazję: fala ataków, która obnażyła kruchość cyfrowej pamięci szpitala, zbiega się w czasie z prawem, które daje narzędzia, by tę kruchość zmniejszyć. To jest moment, w którym strona kosztowa kryzysu — sparaliżowane lecznice, utracone dane, tygodnie powrotu do normy — może zostać przekuta w stronę odpornościową rozwoju. Pod jednym warunkiem: że zaczniemy nie od strachu przed karą, lecz od pytania, które zadał kierownik CSIRT CeZ — nie „czy”, lecz „kiedy”, i jak dobrze będziemy przygotowani.^[1]