NIS2 wchodzi do polskich lecznic w środku fali ataków — i przenosi odpowiedzialność za cyberbezpieczeństwo tam, gdzie zapadają decyzje: na zarząd.
Autor: Michał P. Dybowski — założyciel i współzarządzający Fundacją Healthcare Poland; architekt systemowy i twórca polityk zdrowotnych · stan na 4 czerwca 2026
W nocy z 7 na 8 marca 2026 roku Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie przestał być instytucją cyfrową. Część zasobów serwerowych została zaszyfrowana, przestępcy zażądali okupu liczonego w milionach dolarów, a placówka przeszła na obieg papierowy.
Trzy tygodnie później rzecznik szpitala mówił wprost, że atak „nie sparaliżował całkowicie szpitala, ale boleśnie zachwiał codzienną pracą, a powrót do pełnej równowagi potrwa na pewno długie tygodnie". Szpital nie miał dostępu do znacznej części danych medycznych pacjentów, część lekarzy nie mogła wystawiać recept ani zwolnień, a konfiguracja ponad tysiąca komputerów stała się zadaniem na tygodnie.
Ransomware, okup w milionach dolarów, przejście na papier, brak dostępu do danych pacjentów.
Atak ransomware w tym samym miesiącu — CBZC uznało oba zdarzenia za prawdopodobnie powiązane.
1 028 zdarzeń w sektorze zdrowia w 2024 r., już 1 441 w 2025 r. — dane CSIRT Centrum e-Zdrowia.
„To nie jest pytanie »czy«, lecz »kiedy« nastąpi kolejna próba ataku i jak dobrze organizacja będzie na nią przygotowana." — Jeremi Olechnowicz, kierownik Sektorowego Zespołu Cyberbezpieczeństwa CSIRT CeZ
19 lutego 2026 roku Prezydent Karol Nawrocki podpisał nowelizację ustawy o krajowym systemie cyberbezpieczeństwa (UKSC), wdrażającą unijną dyrektywę NIS2. Po miesięcznym vacatio legis nowe przepisy weszły w życie 3 kwietnia 2026 roku. Część przepisów — dotyczących dostawców wysokiego ryzyka, poleceń zabezpieczających i kar — skierowano do Trybunału Konstytucyjnego; trzon regulacji pozostaje jednak w mocy.
Ochrona zdrowia została zaliczona do sektorów kluczowych — najwyższego poziomu wymagań i najsurowszych sankcji. Prawo nareszcie traktuje cyberbezpieczeństwo placówki medycznej tak, jak od dawna traktuje jej sterylność czy zaopatrzenie w prąd — jako warunek bezpiecznego leczenia.
To kalendarz, który już biegnie.
Europejska Agencja ds. Cyberbezpieczeństwa (ENISA) przeanalizowała ponad dwa lata zdarzeń w sektorze zdrowia w UE. Wyniki są jednoznaczne — i nakładają się na polską rzeczywistość z niepokojącą dokładnością.
Udział ransomware wśród wszystkich zagrożeń w sektorze zdrowia (ENISA).
Odsetek incydentów dotykających bezpośrednio szpitali spośród wszystkich zdarzeń u świadczeniodawców.
Tylko tyle organizacji zdrowotnych miało dedykowany program obrony przed ransomware.
Szacowany medianowy koszt poważnego incydentu cyberbezpieczeństwa w sektorze zdrowia.
Najważniejsza zmiana, jaką przynosi NIS2, nie jest techniczna — jest ustrojowa. Ustawa wprowadza osobistą odpowiedzialność kierownictwa za cyberbezpieczeństwo i wprost wyklucza możliwość przerzucenia jej na niższe szczeble. Dyrektor szpitala i rada nadzorcza odpowiadają za wdrożenie i nadzór nad środkami zarządzania ryzykiem, a ustawa nakłada obowiązek regularnych, udokumentowanych szkoleń członków zarządu.
Kary do 10 mln EUR lub 2% światowego rocznego obrotu — liczy się kwota wyższa.
Kary do 7 mln EUR lub 1,4% obrotu. Odpowiedzialność finansowa kierownictwa za naruszenie obowiązków.
Do 100 mln zł, gdy naruszenie wywołało bezpośrednie zagrożenie dla życia i zdrowia ludzi.
Prezes UODO już egzekwował tę odpowiedzialność: nałożył karę 66 500 zł na Uniwersytecki Dziecięcy Szpital Kliniczny w Białymstoku za niewdrożenie odpowiednich środków technicznych i organizacyjnych po incydencie cyberbezpieczeństwa. NIS2 nie tworzy odpowiedzialności z niczego — porządkuje ją i lokuje tam, gdzie naprawdę zapadają decyzje o pieniądzach i priorytetach.
Polskie szpitale nie muszą wymyślać odporności od zera. ENISA publikuje praktyczne przewodniki dla sektora zdrowia — w tym wydany we wrześniu 2025 roku poradnik higieny cyfrowej oraz wytyczne techniczne do rozporządzenia wykonawczego NIS2. To materiały dostępne bezpłatnie, wymagające jedynie przełożenia na lokalne procedury.
Aktualizowanie systemów do najnowszych wersji, dostęp administracyjny wyłącznie z wydzielonej sieci zarządzającej.
Weryfikacja logowań o nietypowych godzinach, natychmiastowe usuwanie kont byłych pracowników, przegląd kont o podwyższonych uprawnieniach.
Regularne tworzenie kopii zapasowych i codzienny przegląd dzienników alertów — kluczowe przy ransomware.
Polska zbudowała sektorowy zespół reagowania na incydenty dedykowany wyłącznie ochronie zdrowia — rozumiejący specyfikę szpitala, jego urządzenia medyczne i tryb pracy. To wzorzec, do którego NIS2 zachęca, a który Polska już realnie uruchomiła jako pierwszą linię wsparcia w kryzysie.
W Szczecinie ujawnił się element bez precedensu: żołnierze Wojsk Obrony Terytorialnej wspierali sparaliżowaną placówkę. To zalążek modelu, w którym zdolności państwa kierowane są tam, gdzie infrastruktura krytyczna zdrowia traci nośność — szczególnie istotny wobec rosnącej presji geopolitycznej.
Domknięciem jest przyjęta przez Radę Ministrów 10 marca 2026 roku Strategia Cyberbezpieczeństwa RP na lata 2025–2029, wyznaczająca kierunki wzmacniania krajowego systemu cyberbezpieczeństwa i ochrony danych obywateli. Polska, zmierzająca się z presją ze wschodu jak mało które państwo Unii, ma szansę wypracować i pokazać Europie praktykę, której inni będą dopiero potrzebować.
Gdy szpital traci dostęp do dokumentacji medycznej, traci pamięć o pacjencie: o jego uczuleniach, lekach, wynikach, historii. Atak na system informatyczny szpitala jest atakiem na bezpieczeństwo pacjenta — nawet jeśli nie pada ani jeden strzał. ENISA wskazuje bezpieczeństwo pacjenta jako nadrzędną troskę sektora, przywołując realne ryzyko opóźnień w triażu i leczeniu wywołanych incydentami cyfrowymi.
Surowe sankcje NIS2 niosą jednak pułapkę: skoro incydent grozi karą i piętnem, pojawia się pokusa, by go ukryć. Tymczasem najczęstszą przyczyną udanych ataków ransomware jest właśnie ignorowanie wczesnych alertów. System, który karze za zgłoszenie, uczy patrzeć w drugą stronę.
Bonifraterskie Centrum Medyczne, komunikując o ataku, podkreśliło, że „atak nie był wynikiem nieostrożności pracownika" — i to jest dokładnie właściwy, dojrzały ton.
Między literą ustawy a realnym bezpieczeństwem szpitala rozciąga się przepaść wdrożeniowa. Fundacja Healthcare Poland rozwija w ramach Koalicji CyberC4HE model odpowiadający na tę przepaść po stronie wdrożenia i rozliczenia.
Sektorowo świadoma diagnoza: gdzie placówka jest, czego jej brakuje i które działania przyniosą największą poprawę przy danym budżecie.
Własne centrum operacji bezpieczeństwa lub model współdzielony — bo nie każdą placówkę stać na własny zespół w trybie ciągłym.
Plany odtwarzania po awarii przetestowane w praktyce — by przejście „na papier" było kontrolowaną procedurą, nie chaosem jak w Szczecinie.
Budowanie kultury, w której człowiek jest pierwszą linią obrony, a zgłoszenie alertu jest nagradzane — nie karane.
Reforma, która nie oferuje korzyści wszystkim, pozostaje na papierze. NIS2 jest dźwignią — nie zaklęciem. A dźwignia bez punktu podparcia nie podnosi niczego.
Pewność, że dane są bezpieczne, a opieka ciągła — nawet w dniu ataku.
Jasność odpowiedzialności i wsparcie sektorowego CSIRT, audytu i planów ciągłości.
Ryzyko dotąd niewidzialne staje się policzalne, zarządzalne i podzielone na kroki z terminami.
Reputacja systemu, który traktuje dane pacjenta poważnie i potrafi obronić ciągłość opieki.
Polska ma dziś rzadką, gorzką okazję: fala ataków, która obnażyła kruchość cyfrowej pamięci szpitala, zbiega się z prawem dającym narzędzia, by tę kruchość zmniejszyć. Pod jednym warunkiem: że zaczniemy nie od strachu przed karą, lecz od pytania — nie „czy", lecz „kiedy", i jak dobrze będziemy przygotowani.
Gdy szpital przechodzi na papier