W nocy z 7 na 8 marca 2026 roku Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie przestał być instytucją cyfrową. Część zasobów serwerowych została zaszyfrowana, przestępcy zażądali okupu liczonego w milionach dolarów, a placówka przeszła na obieg papierowy.

Trzy tygodnie później rzecznik szpitala mówił wprost, że atak „nie sparaliżował całkowicie szpitala, ale boleśnie zachwiał codzienną pracą, a powrót do pełnej równowagi potrwa na pewno długie tygodnie". Szpital nie miał dostępu do znacznej części danych medycznych pacjentów, część lekarzy nie mogła wystawiać recept ani zwolnień, a konfiguracja ponad tysiąca komputerów stała się zadaniem na tygodnie.

Europejska Agencja ds. Cyberbezpieczeństwa (ENISA) przeanalizowała ponad dwa lata zdarzeń w sektorze zdrowia w UE. Wyniki są jednoznaczne — i nakładają się na polską rzeczywistość z niepokojącą dokładnością.

Najważniejsza zmiana, jaką przynosi NIS2, nie jest techniczna — jest ustrojowa. Ustawa wprowadza osobistą odpowiedzialność kierownictwa za cyberbezpieczeństwo i wprost wyklucza możliwość przerzucenia jej na niższe szczeble. Dyrektor szpitala i rada nadzorcza odpowiadają za wdrożenie i nadzór nad środkami zarządzania ryzykiem, a ustawa nakłada obowiązek regularnych, udokumentowanych szkoleń członków zarządu.

Polskie szpitale nie muszą wymyślać odporności od zera. ENISA publikuje praktyczne przewodniki dla sektora zdrowia — w tym wydany we wrześniu 2025 roku poradnik higieny cyfrowej oraz wytyczne techniczne do rozporządzenia wykonawczego NIS2. To materiały dostępne bezpłatnie, wymagające jedynie przełożenia na lokalne procedury.

Gdy szpital traci dostęp do dokumentacji medycznej, traci pamięć o pacjencie: o jego uczuleniach, lekach, wynikach, historii. Atak na system informatyczny szpitala jest atakiem na bezpieczeństwo pacjenta — nawet jeśli nie pada ani jeden strzał. ENISA wskazuje bezpieczeństwo pacjenta jako nadrzędną troskę sektora, przywołując realne ryzyko opóźnień w triażu i leczeniu wywołanych incydentami cyfrowymi.

Surowe sankcje NIS2 niosą jednak pułapkę: skoro incydent grozi karą i piętnem, pojawia się pokusa, by go ukryć. Tymczasem najczęstszą przyczyną udanych ataków ransomware jest właśnie ignorowanie wczesnych alertów. System, który karze za zgłoszenie, uczy patrzeć w drugą stronę.

Między literą ustawy a realnym bezpieczeństwem szpitala rozciąga się przepaść wdrożeniowa. Fundacja Healthcare Poland rozwija w ramach Koalicji CyberC4HE model odpowiadający na tę przepaść po stronie wdrożenia i rozliczenia.