Szkoła Orląt i szpital w ciemności. O odporności, której nie zbuduje się w pojedynkę

Szpital, który traci prąd, łączność i systemy informatyczne, nie przestaje być szpitalem. Przestaje nim być dopiero wtedy, gdy nikt wcześniej nie przećwiczył, jak leczyć w ciemności. Ten tekst jest dywagacją o tym, dlaczego takiego ćwiczenia nie przeprowadzi samotnie żaden szpital, żadna uczelnia i żadna fundacja, i dlaczego właśnie teraz trzy instytucje postanowiły przejść od listów intencyjnych do pracy.

Michał P. Dybowski — współzałożyciel i zarządzający Fundacją Healthcare Poland; Dyrektor Departamentu Zielonych Szpitali i Bezpieczeństwa Polskiej Federacji Szpitali; koordynator Koalicji na rzecz Cyberbezpieczeństwa w Ochronie Zdrowia CyberC4HE; Lider Sekcji Piaskownic Regulacyjnych i Wsparcia Innowacji GRAI; twórca doktryny Just Council. Niezależny architekt systemowy i projektant polityk publicznych.

Sześć godzin bez światła

Zacznijmy od scenariusza, który nie jest opisem żadnego konkretnego zdarzenia, ale składa się wyłącznie z elementów, które w Europie już się wydarzyły. Jest wtorek, kilka minut po drugiej w nocy. Szpital powiatowy, około trzystu łóżek, jedyny w promieniu kilkudziesięciu kilometrów z oddziałem ratunkowym i blokiem operacyjnym czynnym przez całą dobę. Regionalny operator telekomunikacyjny traci łączność w wyniku uszkodzenia infrastruktury. W tym samym czasie, choć nikt jeszcze o tym nie wie, w sieci szpitala od kilku dni przebywa ktoś, kto czekał na właściwy moment. Po kwadransie zaszyfrowane są serwery systemu szpitalnego, laboratorium i pracowni obrazowej. Agregat uruchamia się prawidłowo, więc paradoksalnie światło jest. Ciemność, o której mowa w tytule, nie jest ciemnością elektryczną. Jest ciemnością informacyjną.

Pielęgniarka na oddziale internistycznym nie wie, jaką dawkę leku przeciwkrzepliwego pacjent z sali czwartej otrzymał o północy, bo wszystko było w komputerze. Lekarz dyżurny na oddziale ratunkowym nie może zamówić krwi, bo telefon stacjonarny milczy, a telefony komórkowe działają tylko na parterze. Kierownik IT ma przed sobą decyzję, której nikt z nim wcześniej nie omówił: czy odciąć całą sieć, ryzykując zatrzymanie aparatury, czy pozwolić, by zarażenie rozlewało się dalej. Dyrektor dowiaduje się o wszystkim z telefonu prywatnego i jedzie do szpitala, nie wiedząc, do kogo zadzwonić najpierw: do organu tworzącego, do zespołu reagowania na incydenty, do wojewody czy do dostawcy oprogramowania.

To nie jest oskarżenie. W każdym z tych miejsc pracują ludzie kompetentni i oddani. Problem polega na tym, że każdy z nich mierzy się z sytuacją, której nikt w systemie wcześniej nie rozpisał na role, decyzje i minuty. Szpital przetrwa te sześć godzin, bo personel medyczny w Polsce ma ogromną zdolność improwizacji. Pytanie, które powinniśmy sobie zadać, brzmi jednak inaczej: ilu pacjentom ta improwizacja zaszkodzi i ilu można było tej szkody oszczędzić, gdyby szpital wcześniej przećwiczył dokładnie ten scenariusz.

Rok, w którym prawo dogoniło rzeczywistość

Przez lata o odporności szpitali mówiło się w Polsce w trybie przypuszczającym. Rok 2026 zmienił ten tryb na oznajmujący. Ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, opublikowana w Dzienniku Ustaw jako poz. 252, wdrożyła do polskiego porządku prawnego dyrektywę NIS2 i obowiązuje od 3 kwietnia 2026 r. ¹,². Szpitale znalazły się w niej wśród podmiotów, które muszą zarządzać ryzykiem w sposób udokumentowany i mierzalny, zgłaszać poważne incydenty w ściśle określonych terminach i odpowiadać za bezpieczeństwo swoich dostawców.

Dyrektywa NIS2 nie pozostawia wątpliwości, czego oczekuje. W art. 21 ust. 2 wymienia między innymi analizę ryzyka, obsługę incydentów, ciągłość działania wraz z zarządzaniem kopiami zapasowymi i odtwarzaniem po awarii, bezpieczeństwo łańcucha dostaw, zarządzanie aktywami i kontrolę dostępu oraz uwierzytelnianie wieloskładnikowe i zabezpieczoną łączność, w tym łączność awaryjną ¹. W art. 23 ust. 4 określa rytm zgłoszeń: wczesne ostrzeżenie w ciągu doby, zgłoszenie incydentu w ciągu trzech dni i raport końcowy w ciągu miesiąca ¹. Termin samodzielnego złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych upłynął 3 października 2026 r., a okres dostosowawczy na wdrożenie wymaganych środków technicznych i organizacyjnych kończy się 3 kwietnia 2027 r. ³. Oznacza to, że dla większości polskich szpitali rzeczywisty sprawdzian przypada na wiosnę 2027 r.

Równolegle biegnie wątek, o którym mówi się znacznie mniej. Dyrektywa CER o odporności podmiotów krytycznych, która obejmuje odporność fizyczną i ciągłość świadczenia usług kluczowych, w tym w sektorze zdrowia, powinna była zostać wdrożona do 17 października 2024 r. ⁴. Polska wdrożyła ją dopiero ustawą z 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw, która obowiązuje od 4 lipca 2026 r. ⁵ — już po tym, jak 29 kwietnia 2026 r. Komisja Europejska postanowiła skierować sprawę przeciwko Polsce do Trybunału Sprawiedliwości UE ⁶. Unijny termin wskazania podmiotów krytycznych upłynął 17 lipca 2026 r. ⁴. Mamy więc sytuację osobliwą: obowiązki w sferze cyfrowej mają już precyzyjny kalendarz, a obowiązki w sferze fizycznej, czyli dokładnie tam, gdzie szpital spotyka się z wojną, sabotażem i katastrofą, dopiero przekładają się na praktykę: na decyzje o wskazaniu podmiotów krytycznych, oceny ryzyka i plany odporności.

Trzecią warstwę tworzy polityka Unii. Europejski plan działania na rzecz cyberbezpieczeństwa szpitali i świadczeniodawców, przedstawiony przez Komisję w styczniu 2025 r., wskazuje kierunki, które w najbliższych latach będą finansowane i oceniane: gotowość, wczesne ostrzeganie, ćwiczenia, odtwarzanie po incydencie i wsparcie dla podmiotów, które same nie udźwigną ciężaru zmian ⁷. Nie jest to akt prawny, ale jest to mapa, według której będą rozdzielane pieniądze.

Dlaczego sam szpital nie wystarczy

Najprostsza odpowiedź na nowe obowiązki brzmi: niech każdy szpital je wdroży. Ta odpowiedź jest formalnie poprawna i praktycznie niewystarczająca. Szpital powiatowy nie ma i długo nie będzie miał zespołu, który jednocześnie zna prawo cyberbezpieczeństwa, projektuje sieci odporne na zarażenie, prowadzi ćwiczenia kryzysowe i rozumie, jak zachowuje się łączność radiowa w warunkach zakłóceń. Nie ma też poligonu, na którym mógłby bezpiecznie sprawdzić, czy jego procedury działają. Ćwiczenie odcięcia sieci na żywym szpitalu w środku dyżuru to ryzyko, którego żaden odpowiedzialny dyrektor nie podejmie.

Druga trudność jest subtelniejsza. Odporność nie jest cechą pojedynczego budynku. Szpital, który ma doskonałe kopie zapasowe, ale nie ma z kim się połączyć, gdy padnie sieć operatora, jest odporny tylko na papierze. Szpital, który ma drugi kanał łączności, ale po drugiej stronie nikt nie odbiera, bo pogotowie i centrum zarządzania kryzysowego nie znają jego numeru zapasowego, jest odporny tylko w połowie. Odporność jest relacją: między szpitalem a jego otoczeniem, między decyzją a osobą, która ma prawo ją podjąć, między procedurą a człowiekiem, który ją przećwiczył.

Trzecia trudność dotyczy wiedzy. Doświadczenie pracy w warunkach zakłóceń, utraty łączności, zagłuszania sygnału satelitarnego i działania pod presją czasu istnieje w Polsce. Tyle że nie ma go w szpitalach. Jest w wojsku, w lotnictwie, w służbach. Przez dekady te dwa światy, medycyna cywilna i kultura operacyjna sił zbrojnych, rozmawiały ze sobą rzadko i najczęściej przy okazji jednorazowych ćwiczeń. Tymczasem to, czego szpital potrzebuje najbardziej, czyli myślenie w kategoriach ciągłości misji, redundancji i odtwarzania zdolności, jest dla świata wojskowego codziennym językiem.

Z tych trzech trudności wynika prosty wniosek. Odporności szpitala nie zbuduje się w pojedynkę. Potrzebna jest sieć szpitali, która pozwala uczyć się na cudzych doświadczeniach i porównywać wyniki. Potrzebny jest podmiot, który potrafi przełożyć obowiązki na wdrożenia, audyty i projekty. Potrzebne jest zaplecze edukacyjne i laboratoryjne, które zna warunki zakłóceń z własnej praktyki. I potrzebny jest wspólny język wartości, bez którego taka współpraca szybko zamienia się w wymianę uprzejmości albo w rywalizację o zasługi.

Trójkąt, który ma sens tylko jako całość

10 stycznia 2025 r. trzy instytucje podpisały tego samego dnia dwa listy intencyjne: Fundacja Healthcare Poland z Lotniczą Akademią Wojskową w Dęblinie oraz Polska Federacja Szpitali z tą samą uczelnią. Już wtedy role zostały rozdzielone w sposób, który dziś okazuje się kluczowy. Healthcare Poland przyjęła oś operacyjną. Lotnicza Akademia Wojskowa przyjęła oś edukacyjno-laboratoryjną. Polska Federacja Szpitali przyjęła rolę koordynatora systemu pilotaży, wdrożeń i rekomendacji dla szpitali.

Ten podział nie jest kwestią protokołu. Odpowiada na trzy trudności opisane wyżej. Polska Federacja Szpitali skupia ponad 250 szpitali zrzeszonych bezpośrednio, a wraz z podmiotami, do których dociera przez organizacje parasolowe, w tym regionalne związki szpitali, jej zasięg obejmuje około 520 podmiotów. To jest sieć, w której doświadczenie jednego szpitala może stać się wiedzą wielu, a rekomendacja ma szansę trafić tam, gdzie zapadają decyzje. Healthcare Poland wnosi zdolność operacyjną: prowadzenie projektów, audyt i certyfikację w ramach własnego Centrum Jakości, Audytu i Certyfikacji, budowanie konsorcjów, pozyskiwanie finansowania i koordynację Koalicji na rzecz Cyberbezpieczeństwa w Ochronie Zdrowia CyberC4HE. Lotnicza Akademia Wojskowa wnosi to, czego nie ma nikt inny w tym układzie: kadrę i infrastrukturę zdolną do kształcenia i prowadzenia ćwiczeń w warunkach, w których zawodzi to, co w cywilnym świecie uchodzi za oczywiste.

Czwartym wierzchołkiem, który nie jest instytucją, lecz zasadą, jest Just Council. To doktryna, którą rozwijam od lat i która łączy pięć wartości: sprawiedliwość, proporcję, odpowiedzialność, współczucie połączone z rozeznaniem i neutralność analizy. W tym układzie Just Council pełni funkcję kotwicy. Przypomina, że celem współpracy nie jest zdobycie grantu, ogłoszenie porozumienia ani wspólne zdjęcie, tylko pacjent, który o drugiej w nocy otrzyma właściwą dawkę leku, choć system informatyczny nie działa. Przypomina też, że w sprawach bezpieczeństwa państwa obietnica bez pokrycia jest formą nieodpowiedzialności, a nie entuzjazmu.

Szkoła Orląt jako laboratorium odporności

Dęblin od blisko stu lat kształci polskich lotników. Szkoła Orląt to w polskiej pamięci zbiorowej nie tylko uczelnia, ale symbol pokolenia, które w najtrudniejszych latach naszej historii wzięło na siebie odpowiedzialność za niebo nad Polską. W tradycji Dęblina zapisane jest coś, czego szpitale potrzebują dziś bardziej niż kiedykolwiek: przekonanie, że w sytuacji krytycznej nie ma czasu na naukę, a jedyne, co działa, to to, co zostało wcześniej przećwiczone tyle razy, że stało się odruchem.

Lotnictwo wojskowe żyje w świecie, w którym łączność bywa zakłócana, sygnał nawigacji satelitarnej bywa fałszowany lub zagłuszany, a decyzje trzeba podejmować przy niepełnej informacji. Dla szpitala te zjawiska jeszcze kilka lat temu brzmiały egzotycznie. Dziś zakłócenia sygnału GNSS w naszym regionie są codziennością odnotowywaną przez służby ruchu lotniczego, a od poprawnego czasu i lokalizacji zależy więcej systemów szpitalnych, niż zwykle zakładamy. Akademia, która uczy, jak latać i dowodzić w takich warunkach, może nauczyć szpital, jak w nich leczyć.

Drugim obszarem jest transport medyczny. Bezzałogowe statki powietrzne, które przewożą krew, próbki i leki między szpitalami, a w perspektywie także wspierają ewakuację medyczną, wymagają przestrzeni testowej, procedur bezpieczeństwa i zgód, których szpital sam nie uzyska. Uczelnia wojskowa, z doświadczeniem w zarządzaniu przestrzenią powietrzną i w szkoleniu operatorów, jest naturalnym partnerem do budowy takich zdolności w kontrolowanych warunkach, w ramach piaskownic regulacyjnych, o których rozmawiamy z administracją od ubiegłego roku.

Trzecim obszarem jest kształcenie. Szpital nie potrzebuje kolejnego szkolenia z prezentacjami. Potrzebuje programu, w którym dyrektor, kierownik IT i koordynator zarządzania kryzysowego razem przechodzą przez scenariusz utraty systemów, razem podejmują decyzję o odcięciu sieci i razem przekonują się, ile trwa przełączenie na łączność zapasową. Takiego programu nie da się zbudować bez kadry, która zna kulturę ćwiczeń, i bez sieci szpitali, która dostarczy uczestników i przełoży wnioski na praktykę.

Wiemy też, że po stronie akademickiej trwają prace, które tę drogę instytucjonalnie porządkują i otwierają szerzej, niż pozwalały na to dotychczasowe ramy. Więcej powiemy wtedy, gdy pozwoli na to porządek formalny. Dziś wystarczy stwierdzić, że kierunek jest wspólny, a decyzje po stronie uczelni zapadają w rytmie właściwym dla instytucji wojskowej: wolniej niż w świecie fundacji, ale trwalej.

W sytuacji krytycznej nie ma czasu na naukę. Działa tylko to, co zostało przećwiczone tyle razy, że stało się odruchem.

Michał P. Dybowski, „Szkoła Orląt i szpital w ciemności”

Ile danych potrzebuje szpital w ciemności

Wróćmy do pielęgniarki z sali czwartej. Gdyby szpital miał przygotowaną kopię najważniejszych danych pacjentów, dostępną na urządzeniach działających bez sieci i bez centralnego systemu logowania, wiedziałaby, jaki lek i o której godzinie podano. Pytanie, które w tym miejscu staje przed projektantem odporności, nie jest techniczne. Technicznie zmieścimy na jednym laptopie dane całego szpitala z wielu lat. Pytanie jest etyczne i prawne: ile danych powinniśmy tam trzymać.

Każde dodatkowe pole w awaryjnej kopii ma dwie strony. Z jednej strony może pomóc w leczeniu. Z drugiej, jeśli urządzenie zginie albo zostanie skradzione w chaosie kryzysu, zwiększa szkodę dla pacjentów, których dane trafią w niepowołane ręce. Rozporządzenie o ochronie danych osobowych wyraża to zasadą minimalizacji: dane mają być adekwatne, stosowne i ograniczone do tego, co niezbędne do celu ⁸. W przypadku danych o zdrowiu ta zasada nie jest formalnością, bo chodzi o informacje szczególnie wrażliwe.

Odpowiedź, którą proponuję, ma strukturę warstw. Pierwsza warstwa jest zawsze obecna: tożsamość i lokalizacja pacjenta, alergie i ostrzeżenia krytyczne, leki aktywne wraz z godziną ostatniego podania oraz zlecenia oczekujące. Druga warstwa obejmuje wyniki badań, ale tylko z bieżącego pobytu, a nie całą historię. Trzecia warstwa, czyli pełna dokumentacja, opisy, obrazowanie i dane historyczne, nie powinna trafiać do kopii awaryjnej w ogóle, bo w trybie awaryjnym nie jest potrzebna do bezpiecznego leczenia, a najbardziej powiększa szkodę w razie utraty urządzenia.

Jest też druga oś: zakres danych na jedno urządzenie. Tablet na oddziale powinien przechowywać pacjentów tego oddziału, a nie całego szpitala. Pełną listę powinno mieć wyłącznie stanowisko dowodzenia. Dzięki temu utrata jednego urządzenia ujawnia dane kilkudziesięciu osób, a nie kilkuset. Na każdym ekranie i każdym wydruku musi być widoczna godzina, z której pochodzą dane, bo pielęgniarka powinna wiedzieć, czy patrzy na obraz sprzed kwadransa, czy sprzed sześciu godzin. Odświeżanie kopii powinno działać tylko w jedną stronę, tak aby zarażenie systemu głównego nie mogło przejść na urządzenia awaryjne.

Tu ujawnia się sens trójkąta. O treści pierwszej i drugiej warstwy powinni decydować klinicyści, bo to decyzja o bezpieczeństwie pacjenta. O sposobie ochrony powinni decydować specjaliści bezpieczeństwa. A o tym, czy cały układ działa, powinno rozstrzygnąć ćwiczenie, w którym urządzenia zostają odcięte od sieci, personel pracuje z kopią, a ktoś mierzy czas dostępu i wiek danych. To jest zadanie dokładnie na miarę współpracy szpitali zrzeszonych w PFSz, operacyjnej zdolności Healthcare Poland i kultury ćwiczeń, którą wnosi Dęblin. W badaniach i ćwiczeniach używamy przy tym wyłącznie danych syntetycznych, bo laboratorium odporności nie może samo stać się źródłem ryzyka.

Od listu intencyjnego do operacji

Listy intencyjne są ważne, bo nazywają kierunek. Ale list intencyjny niczego nie chroni. Chroni dopiero projekt, który ma właściciela po każdej stronie, harmonogram i produkt, który można zmierzyć. Dlatego po ponad półtora roku rozmów przechodzimy do fazy, w której współpraca ma przestać być deklaracją, a stać się pracą. Proponujemy sześć ścieżek.

Akademia „Szpital jako infrastruktura krytyczna”

Program kształcenia dla dyrektorów, kierowników IT i bezpieczeństwa informacji oraz koordynatorów zarządzania kryzysowego. Obejmuje obowiązki wynikające z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, ciągłość działania i pracę bez systemów informatycznych, łączność awaryjną, ochronę infrastruktury i współpracę cywilno-wojskową. Akademia w Dęblinie odpowiada za program i kadrę, Healthcare Poland za organizację i operację, Polska Federacja Szpitali za udział szpitali i walidację programu przez praktyków.

Laboratorium i ćwiczenia ciągłości w warunkach zakłóceń

Ćwiczenia stolikowe i funkcjonalne, w których szpital przełącza się na tryb awaryjny, łączy z odbiorcą zewnętrznym kanałem zapasowym i odtwarza systemy po incydencie, a wszystko to w środowisku, w którym zakłócenia łączności i sygnału satelitarnego są warunkiem ćwiczenia, a nie wyjątkiem. Jednym z pytań badawczych jest właśnie minimalny zbiór danych pacjenta w trybie awaryjnym.

Pilotaże w szpitalach członkowskich

Trzy szpitale o różnym profilu: powiatowy, położony w regionie przygranicznym lub przy korytarzu logistycznym oraz specjalistyczny. W każdym ocena luki wobec nowych obowiązków, plan działań, ćwiczenie i ponowna ocena. Z tych doświadczeń powstaje rekomendacja Polskiej Federacji Szpitali dla całej sieci.

Wspólna jednostka badawcza

Instytut, który Healthcare Poland i Lotnicza Akademia Wojskowa tworzą jako miejsce badań nad aeromedycyną, transportem medycznym z użyciem bezzałogowców, danymi i sztuczną inteligencją w ochronie zdrowia oraz odpornością systemu. To także platforma, która pozwoli przyjmować partnerów zagranicznych, w tym naukowców z państw, które doświadczenie pracy szpitali pod ostrzałem mają nie z podręczników, lecz z codzienności.

Transport medyczny i piaskownica regulacyjna

Koncepcja transportu krwi, próbek i leków bezzałogowcami oraz protokołów ewakuacji medycznej, testowana w kontrolowanych warunkach, z udziałem partnerów lotniczych i szpitali odbiorczych, w ramach piaskownicy regulacyjnej dla technologii podwójnego zastosowania.

Raport i stanowisko

Rozdział o technologiach podwójnego zastosowania w kolejnej edycji Raportu Bezpieczeństwa Szpitali Polskiej Federacji Szpitali oraz sesja poświęcona tym zagadnieniom na listopadowej konferencji Federacji, której produktem ma być stanowisko i rekomendacja dla administracji.

Zasady, które chronią współpracę przed nią samą

Współprace instytucjonalne rzadko umierają z powodu złej woli. Częściej umierają z nadmiaru dobrej woli, która nie zostaje przełożona na reguły. Dlatego razem z projektami przyjmujemy zasady, które wynikają wprost z dotychczasowych rozmów, także tych w gronie konsorcjum pracującego nad piaskownicą regulacyjną dla technologii podwójnego zastosowania.

Nie obiecywać ponad zdolności

W rozmowach padło wprost ostrzeżenie przed nadmiernymi obietnicami, także tymi, które dotyczą wymiaru sojuszniczego. To ostrzeżenie przyjmujemy jako zasadę. Każdy projekt ma mieć produkt, który partnerzy są w stanie dostarczyć własnymi zasobami. Odporność państwa nie potrzebuje kolejnych zapowiedzi. Potrzebuje dostarczonych zdolności.

Jeden właściciel po każdej stronie

Model, który przyjęto przy pracach nad piaskownicą regulacyjną, zakłada na początku jednego operatora i kontrakt z kontrolą efektów. Tę samą logikę stosujemy do każdego projektu: jedna osoba po każdej stronie odpowiada za wynik i ma prawo podejmować decyzje.

Rozdzielenie ścieżki cywilnej i obronnej

Programy cywilne finansują zastosowania cywilne. Komponent obronny ma własne instrumenty i własne reguły. Mieszanie tych ścieżek jest najkrótszą drogą do utraty finansowania i zaufania. Dlatego każdy projekt od początku wie, w której ścieżce się znajduje.

Kontrola eksportu, własność intelektualna i dane

Technologie podwójnego zastosowania podlegają unijnemu reżimowi kontroli eksportu ⁹, a wyniki powstające przy uczelni wojskowej mogą rodzić szczególne roszczenia państwa. Te sprawy rozstrzygamy przed startem projektu, a nie wtedy, gdy pojawi się pierwszy wynik. W badaniach i ćwiczeniach używamy wyłącznie danych syntetycznych lub zanonimizowanych.

Rozdzielenie ról zawodowych

Każdy z nas pełni więcej niż jedną funkcję. Dlatego przyjmujemy prostą regułę: wiedza, którą ktoś zdobywa w ramach zobowiązań wobec podmiotów trzecich, pozostaje tam, gdzie powstała. Współpraca opiera się na prawie publicznym, na wiedzy własnej partnerów i na materiałach jawnych.

Sprawiedliwa kultura w szpitalu, który ćwiczy porażkę

Każde dobre ćwiczenie kończy się porażką. Jeśli scenariusz zostaje przeprowadzony bez jednego błędu, oznacza to najczęściej, że był za łatwy. Prawdziwą wartość ćwiczenia mierzy się tym, co ujawniło: lukę w procedurze, brakujący numer telefonu, decyzję, której nikt nie miał prawa podjąć, urządzenie, które nie uruchomiło się na zasilaniu awaryjnym. Tu pojawia się problem, który zna każdy, kto pracował w polskim szpitalu. Ujawnienie błędu bywa traktowane jak przyznanie się do winy.

Sprawiedliwa kultura, rozwijana od dawna w lotnictwie, a następnie przeniesiona do ochrony zdrowia, odwraca tę logikę. Nie pyta, kto zawinił, tylko co w systemie sprawiło, że błąd był możliwy. Rozróżnia ludzką omyłkę, zachowanie ryzykowne i lekkomyślność, a odpowiedzialność przypisuje proporcjonalnie do każdej z tych kategorii. Nie jest to pobłażliwość. Jest to warunek, bez którego ludzie przestają zgłaszać to, co widzą, a system przestaje się uczyć.

Nie jest przypadkiem, że to lotnictwo nauczyło świat tej kultury, i nie jest przypadkiem, że w trójkącie, o którym piszę, jednym z wierzchołków jest uczelnia lotnicza. Just Council przekłada tę samą intuicję na język wartości. Sprawiedliwość oznacza, że ocena dotyczy decyzji i warunków, w jakich zapadła, a nie wyniku oglądanego z perspektywy czasu. Proporcja oznacza, że reakcja na błąd odpowiada jego naturze. Odpowiedzialność oznacza, że instytucja odpowiada za warunki pracy, a człowiek za decyzje w granicach swojej wiedzy. Współczucie z rozeznaniem oznacza, że wspieramy tego, kto się pomylił, ale nie udajemy, że pomyłki nie było. Neutralność analizy oznacza, że wnioski wyciągamy z faktów, a nie z hierarchii.

Szpital, który ćwiczy w takiej kulturze, po każdym ćwiczeniu jest silniejszy. Szpital, który ćwiczy w kulturze winy, po każdym ćwiczeniu jest tylko lepiej przygotowany do ukrywania problemów.

Szpital, który ćwiczy w kulturze winy, po każdym ćwiczeniu jest tylko lepiej przygotowany do ukrywania problemów.

Michał P. Dybowski, „Szkoła Orląt i szpital w ciemności”

Pomiar, decyzja, wdrożenie, rozliczenie

W programie Tarczy Zdrowotnej Państwa, który przedstawiłem na tych łamach, trzynastym wskaźnikiem, stojącym nad pozostałymi, jest domknięcie pętli. Chodzi o to, czy system potrafi przejść przez pełny cykl: pomiar, wyjaśnienie, decyzję, wdrożenie i rozliczenie. Współpraca szpitali, fundacji i uczelni wojskowej jest dokładnie tym rodzajem przedsięwzięcia, które bez takiej pętli zamienia się w serię spotkań.

Pomiar oznacza, że przed pierwszym ćwiczeniem wiemy, jak szpital radzi sobie dziś: ile trwa przełączenie na tryb awaryjny, czy kanał zapasowy działa, jak stare są dane w kopii, ile czasu zajmuje odtworzenie jednego systemu. Wyjaśnienie oznacza, że rozumiemy przyczyny wyników, a nie tylko je zapisujemy. Decyzja oznacza, że ktoś z imienia i nazwiska wybiera, co zmieniamy najpierw. Wdrożenie oznacza, że zmiana rzeczywiście trafia do szpitala, a nie do raportu. Rozliczenie oznacza, że po kolejnym ćwiczeniu sprawdzamy, czy wynik się poprawił, i mówimy o tym otwarcie, także wtedy, gdy się nie poprawił.

Dla trójkąta, o którym piszę, ta pętla ma jeszcze jeden wymiar. Pomiar w jednym szpitalu jest ciekawostką. Pomiar w trzech szpitalach o różnym profilu jest porównaniem. Pomiar w sieci Polskiej Federacji Szpitali jest wiedzą o stanie państwa. To jest powód, dla którego współpraca musi zacząć się od pilotaży, a nie od strategii: strategia napisana przed pomiarem jest tylko przypuszczeniem.

Warunek brzegowy Tarczy

Odporność szpitala nie jest projektem technicznym. Jest zobowiązaniem państwa wobec obywatela, który w najgorszym dniu swojego życia trafia do szpitala w najgorszym dniu tego szpitala. To zobowiązanie ma warunek brzegowy: obywatel musi móc zaufać, że ktoś wcześniej pomyślał o tym dniu, przećwiczył go i wyciągnął wnioski.

Z tego warunku wynikają trzy prośby. Do szpitali: potraktujcie najbliższe miesiące, do wiosny 2027 r., nie jako czas papierowego wdrażania obowiązków, lecz jako czas pierwszego rzetelnego pomiaru i pierwszego ćwiczenia. Do administracji: przełóżcie wdrożoną już dyrektywę o odporności podmiotów krytycznych na obowiązki szpitali w sferze fizycznej równie jasne jak w sferze cyfrowej i wspierajcie ćwiczenia, a nie tylko audyty. Do środowiska akademickiego i wojskowego: otwórzcie dla ochrony zdrowia swoją kulturę ćwiczeń, bo w tej dziedzinie nikt nie zastąpi doświadczenia ludzi, którzy uczą się działać, gdy wszystko inne zawodzi.

Polska ma w historii momenty, w których z rozproszonych sił udało się w krótkim czasie zbudować sprawne państwo. W latach dwudziestych minionego stulecia, w tym samym czasie, gdy w Dęblinie zaczynała się historia Szkoły Orląt, budowano od podstaw instytucje, które miały przetrwać próbę. Nie wszystkie przetrwały. Te, które przetrwały, łączyło jedno: nie były zbudowane na deklaracjach, tylko na ludziach przygotowanych do odpowiedzialności. Odporność polskich szpitali potrzebuje dziś tej samej lekcji.

Healthcare Poland, Polska Federacja Szpitali i Lotnicza Akademia Wojskowa w Dęblinie nie mają gotowej odpowiedzi na wszystkie pytania, które postawiłem w tym tekście. Mają natomiast coś, czego do tej pory brakowało: podział ról, wspólną zasadę i decyzję, by przejść od słów do pracy. Tarcza nie powstaje w dniu podpisania porozumienia. Powstaje w dniu pierwszego ćwiczenia, które coś ujawni, i w dniu, w którym ktoś na podstawie tego ćwiczenia zmieni procedurę.

Szpital w ciemności nie potrzebuje bohaterów. Potrzebuje ludzi, którzy wcześniej przećwiczyli ciemność.

Michał P. Dybowski, „Szkoła Orląt i szpital w ciemności”

Przypisy i źródła