Okup, który płaci pacjent. Ransomware w szpitalu — anatomia utraty nośności

W szczecińskim szpitalu nie zawalił się żaden strop i nie pękła żadna ściana. A jednak z konstrukcji, która każdego dnia dźwiga tysiące pacjentów, w ciągu kilku godzin zniknął filar nośny. Ransomware nie zwiększa obciążenia systemu — on odejmuje jego nośność.

Autor: Michał P. Dybowski — współzałożyciel i zarządzający Fundacją Healthcare Poland; architekt systemowy i twórca polityk zdrowotnych. Fundacja Healthcare Poland tworzy ekosystem zdrowia transgranicznego (m.in. CM-KLARA, Poliversum, Global Healthcare Systems Hub, Just Council, CyberC4HE).

W nocy z soboty na niedzielę, na początku marca 2026 roku, w Samodzielnym Publicznym Wojewódzkim Szpitalu Zespolonym w Szczecinie nie zawalił się żaden strop i nie pękła żadna ściana. A jednak z konstrukcji, która każdego dnia dźwiga tysiące pacjentów, w ciągu kilku godzin zniknął jeden z filarów nośnych. Przestępcy zaszyfrowali krytyczne dane placówki, odcinając personel od cyfrowej dokumentacji medycznej. Lekarze wrócili do wypisywania kart długopisem, dyrekcja zaapelowała do pacjentów, by w miarę możliwości kierowali się do innych placówek w regionie, a informatycy rozpoczęli wielotygodniową pracę nad przywróceniem systemów.² Trzy tygodnie później rzecznik szpitala Tomasz Owsik-Kozłowski mówił wprost: placówka nadal działa w trybie awaryjnym, nie prowadzi rejestracji do poradni specjalistycznych z wyjątkiem pacjentów onkologicznych z kartami DILO, obsługiwanych ręcznie, część lekarzy wciąż ma trudności z wystawianiem recept i zwolnień, a szpital nie ma dostępu do znacznej części danych medycznych swoich pacjentów. Samo odtworzenie konfiguracji ponad tysiąca szpitalnych komputerów okazało się zadaniem, do którego trzeba było zaangażować nie tylko sektorowy zespół CSIRT Centrum e-Zdrowia, lecz także żołnierzy Wojsk Obrony Terytorialnej.¹

W serii o nośności systemu ochrony zdrowia opisujemy zdolność systemu do przenoszenia obciążeń: ilu pacjentów, w jakim czasie, z jakim bezpieczeństwem system jest w stanie unieść. Ransomware jest w tej optyce zjawiskiem szczególnym. Nie zwiększa obciążenia — nie przywozi ani jednego pacjenta więcej. On odejmuje nośność. W ciągu jednej nocy sprawia, że ta sama liczba chorych, ten sam personel i te same łóżka muszą być udźwignięte przez konstrukcję pozbawioną spoiwa, którym w dwudziestym pierwszym wieku stała się informacja. Anatomia ataku ransomware jest więc anatomią utraty nośności w czystej postaci — i właśnie dlatego zasługuje na sekcję przeprowadzoną z chłodną precyzją, bez taniej sensacji, ale i bez znieczulenia.

Polska na celowniku: liczby, które przestały być abstrakcją

Zacznijmy od pomiaru, bo w doktrynie tej serii pomiar zawsze poprzedza decyzję. Sektorowy zespół cyberbezpieczeństwa CSIRT CeZ, działający przy Centrum e-Zdrowia, zarejestrował w 2024 roku 1028 zdarzeń bezpieczeństwa w polskim sektorze zdrowia, a w roku 2025 — już 1441.¹ Kierownik tego zespołu, Jeremi Olechnowicz, komentuje ten wzrost bez dyplomatycznych zmiękczeń: to nie jest pytanie, „czy” nastąpi kolejna próba ataku, lecz „kiedy” — i jak dobrze organizacja będzie na nią przygotowana. Analizy branżowe cytowane po ataku szczecińskim wskazują, że częstotliwość ataków ransomware wzrosła w skali roku o około 40 procent, a Polska w drugiej połowie 2025 roku była trzecim najczęściej atakowanym państwem świata, po Turcji i Stanach Zjednoczonych — w pierwszej połowie tego samego roku zajmowała zaś pierwsze miejsce tego niechlubnego rankingu.² Na tę pozycję pracuje geopolityka: państwo frontowe, węzeł logistyczny wsparcia dla Ukrainy, jest naturalnym celem nie tylko dla przestępców motywowanych finansowo, lecz także dla powiązanych z obcymi państwami grup APT, dla których sparaliżowany szpital to nie źródło okupu, lecz narzędzie destabilizacji.

Marzec 2026 roku pokazał, że statystyka umie schodzić na poziom konkretnych oddziałów. Po Szczecinie celem ataku ransomware stało się Bonifraterskie Centrum Medyczne; postępowanie prowadzi Centralne Biuro Zwalczania Cyberprzestępczości, a rzecznik CBZC komisarz Marcin Zagórski przekazał, że rozpoznane dane informatyczne i użyte oprogramowanie wskazują na spore prawdopodobieństwo powiązania obu ataków. Skala zjawiska skłoniła Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, ministra cyfryzacji Krzysztofa Gawkowskiego, do wydania — wspólnie z CSIRT CeZ, CSIRT NASK i CSIRT GOV — specjalnego komunikatu zawierającego wskaźniki kompromitacji (IOC) oraz listę kontrolną działań prewencyjnych dla placówek medycznych: od aktualizacji systemów, przez wydzielenie sieci zarządzającej i przegląd kont uprzywilejowanych, po geoblokadę ruchu spoza Europy i codzienny przegląd alertów systemów antywirusowych. W komunikacie znalazło się zdanie, które powinno trafić do każdej sali posiedzeń zarządów: ignorowanie alertów o wykryciu złośliwego oprogramowania jest najczęstszą przyczyną udanych ataków tego rodzaju.¹

Warto zatrzymać się przy tym zdaniu, bo ono nie opisuje problemu technicznego. Ono opisuje problem zarządczy. System, który generuje ostrzeżenia szybciej, niż organizacja potrafi je konsumować, nie jest systemem bezpieczeństwa; jest generatorem szumu, w którym ginie sygnał o nadchodzącej katastrofie.

Anatomia ataku: osiem tygodni ciszy przed jedną nocą hałasu

Aby zrozumieć, jak ransomware odbiera szpitalowi nośność, trzeba prześledzić atak wzorcowy — a takim, najlepiej udokumentowanym w historii europejskiego zdrowia, pozostaje uderzenie w irlandzki Health Service Executive. Czternastego maja 2021 roku HSE, publiczny operator opieki zdrowotnej dla ponad pięciu milionów ludzi, wyłączył wszystkie swoje systemy informatyczne w całym kraju. Ale prawdziwy początek ataku nastąpił niemal dwa miesiące wcześniej: osiemnastego marca jeden z pracowników otworzył złośliwy arkusz kalkulacyjny dołączony do wiadomości phishingowej.¹⁰

Przez osiem tygodni napastnicy — powiązana z Rosją grupa przestępcza znana jako Wizard Spider, operująca oprogramowaniem Conti — poszerzali dostęp, poruszając się po sieci ofiary. Oprogramowanie antywirusowe wykryło podejrzaną aktywność już 31 marca, lecz nie zdołało jej powstrzymać; ostrzeżenie utonęło w szumie. Gdy 14 maja napastnicy uruchomili szyfrowanie, w ich rękach było już około 80 procent środowiska informatycznego HSE. Zażądali okupu; media informowały o kwocie 16,5 miliona euro w zamian za odszyfrowanie danych i powstrzymanie się od publikacji wykradzionych informacji. Irlandia okupu nie zapłaciła — i mimo że tydzień później przestępcy, pod presją międzynarodową, sami udostępnili klucz deszyfrujący, odtwarzanie systemów trwało miesiącami: w połowie lipca przywrócono 82 procent serwerów, a pełne odtworzenie zajęło aż cztery miesiące. Dane 520 pacjentów, w tym dokumentacja medyczna, trafiły do sieci. Dyrektor HSE Paul Reid już w pierwszych tygodniach szacował koszt odtworzenia i modernizacji sieci na co najmniej 100 milionów euro.¹⁰

W tej anatomii każdy element ma znaczenie dla polskiego czytelnika. Po pierwsze, czas przebywania napastnika w sieci — osiem tygodni — oznacza, że w chwili, gdy szpital dowiaduje się o ataku, jest już dawno po włamaniu; różnica między organizacją odporną a bezbronną rozstrzyga się w zdolności wykrycia intruza w fazie cichej, nie w reakcji na szyfrowanie. Po drugie, model podwójnego wymuszenia: zanim dane zostaną zaszyfrowane, są kradzione, więc nawet doskonałe kopie zapasowe nie chronią przed szantażem publikacją intymnych historii chorób. Po trzecie, asymetria ekonomiczna, którą przypadek irlandzki obnażył bezlitośnie: w chwili ataku państwowe centrum cyberbezpieczeństwa NCSC, odpowiedzialne za ochronę całego kraju, zatrudniało 25 osób, dysponowało budżetem pięciu milionów euro rocznie i od roku nie mogło obsadzić stanowiska dyrektora. Naprzeciw tej struktury stanęła zorganizowana grupa przestępcza działająca w modelu przemysłowym. Rachunek za tę asymetrię — co najmniej sto milionów euro, wielokrotność wszystkich wcześniejszych „oszczędności” — zapłacił podatnik.

Model przemysłowy nie jest tu figurą retoryczną. Ransomware-as-a-Service uczynił z cyberprzestępczości gospodarkę platformową: wyspecjalizowane grupy tworzą i utrzymują złośliwy kod, który w abonamencie udostępniają „afiliantom” przeprowadzającym ataki. Grupa Qilin — ta sama, która w 2024 roku uderzyła w londyńskie laboratoria Synnovis, paraliżując dziesiątki szpitali i przychodni — według badaczy z Comparitech przeprowadziła w ubiegłym roku ponad 700 ataków, a analitycy Cisco Talos wyliczyli, że publikowała dane około czterdziestu ofiar miesięcznie. Jedną z nich była amerykańska katolicka sieć Covenant Health, gdzie ośmiodniowa obecność napastników w systemach w maju 2025 roku zakończyła się ujawnieniem danych 478 188 osób — z numerami ubezpieczenia społecznego, diagnozami i historią leczenia — oraz tygodniami pracy laboratoriów wyłącznie na papierowych zleceniach.¹¹ Czterdzieści ofiar miesięcznie to nie jest działalność hakerska w romantycznym sensie tego słowa. To linia produkcyjna, której surowcem jest cudza ciągłość działania, a produktem — utrata nośności.

Co mówią dane: mniej pacjentów, wyższa śmiertelność

Przez lata dyskusja o cyberatakach na szpitale toczyła się językiem ochrony danych: wyciek, RODO, kary, reputacja. Ten język jest już niewystarczający — i mamy na to twarde dowody. W lutym 2026 roku w „American Economic Journal: Economic Policy” ukazało się badanie Hannah Neprash, Claire McGlave i Sayeh Nikpay pod wymownym tytułem „Hacked to Pieces?”, w którym autorki połączyły zbudowaną przez siebie bazę ataków ransomware na amerykańskie szpitale z danymi rozliczeniowymi Medicare. Wyniki są jednoznaczne: w tygodniu ataku wolumen działalności szpitala spada o 17 do 24 procent, a powrót do normy zajmuje około trzech tygodni. Najbardziej porażający jest jednak wynik dotyczący pacjentów, którzy w chwili rozpoczęcia ataku już leżeli w szpitalu: ich śmiertelność wewnątrzszpitalna rośnie o 34 do 38 procent.⁶ Nie o ułamek procenta — o ponad jedną trzecią. Monitory działają, leki są w aptece, personel jest na miejscu; znika „tylko” informacja: wyniki badań, historia dawkowania, alergie, komunikacja między laboratorium a oddziałem.

Te ustalenia współbrzmią z tym, co o własnej kondycji mówią szpitale europejskie. Opublikowane w maju 2026 roku, przed kopenhaskim kongresem HIMSS26 Europe, badanie Black Book Research wśród 284 europejskich decydentów szpitalnych odpowiedzialnych za cyberbezpieczeństwo pokazuje sektor, który przestał się łudzić: 82 procent respondentów określa swoje obawy przed atakiem w 2026 roku jako bardzo wysokie lub ekstremalne, a 74 procent uznaje poważny incydent we własnej organizacji za prawdopodobny lub wysoce prawdopodobny jeszcze w tym roku.⁷

Najciekawszy jest rozkład zaufania do własnej zdolności przetrwania: 59 procent badanych wierzy, że ich szpital może bezpiecznie funkcjonować 24 godziny bez dostępu do elektronicznej dokumentacji medycznej; przy 48 godzinach odsetek ten spada do 32 procent, a przy 72 godzinach — do zaledwie 14 procent. Autor badania Doug Brown komentuje: szpital, który improwizacją przetrwa pierwszą dobę przestoju, nie jest jeszcze odporny; w drugiej i trzeciej dobie uzgadnianie leków, czasy laboratoryjne, przepływy radiologiczne i planowanie wypisów stają się ryzykiem dla bezpieczeństwa pacjenta. Zbiorczy indeks ciągłości klinicznej, którym Black Book podsumował próbę, wyniósł 44 punkty na 100 możliwych. Pole bitwy — jak ujął to Brown — przeniosło się z serwerowni do łóżka pacjenta.

I jeszcze jedna liczba z tego badania, być może najważniejsza dla rad społecznych, organów tworzących i zarządów: 78 procent respondentów deklaruje, że ich zarząd otrzymuje ogólne raporty o ryzyku cybernetycznym, ale tylko 31 procent — że otrzymuje metryki cyberodporności powiązane z ciągłością kliniczną. Zaledwie 26 procent organizacji przeprowadziło w ostatnich dwunastu miesiącach pełną symulację pracy bez systemów, a co trzecia nie zrobiła tego nigdy lub poprzestała na ćwiczeniu sztabowym przy stole. To jest dokładnie ta różnica, którą w tej serii nazywamy różnicą między sprawozdawczością a nośnością: zarząd, który wie, „ile mamy incydentów”, a nie wie, „ile godzin szpital uniesie pacjentów bez systemu”, nie zarządza ryzykiem — on je kolekcjonuje.

Lekcja z historii: WannaCry, czyli katastrofa zapowiedziana

Dla porządku wywodu cofnijmy się do zdarzenia założycielskiego całej tej dziedziny. Dwunastego maja 2017 roku robak WannaCry w ciągu jednego popołudnia zainfekował co najmniej 81 z 236 angielskich trustów szpitalnych oraz 595 praktyk lekarzy rodzinnych. Brytyjski Narodowy Urząd Kontroli (NAO) w swoim dochodzeniu ustalił fakty, które brzmią znajomo do bólu: departament zdrowia był ostrzegany o ryzyku na rok przed atakiem; lokalne organizacje nie wdrożyły krytycznych poprawek, o których przypominano w marcu i kwietniu 2017 roku; istniał plan reagowania, ale nigdy nie przećwiczono go lokalnie, więc w pierwszych godzinach nie było jasne, kto dowodzi; łączność e-mailowa padła razem z systemami, a personel komunikował się prywatnymi telefonami przez komunikatory.⁸ Odwołano ponad 19 tysięcy wizyt i zabiegów, pięć szpitalnych oddziałów ratunkowych przekierowywało pacjentów, a dalszą eskalację powstrzymał nie rządowy system obrony, lecz młody badacz, który przypadkiem aktywował „wyłącznik awaryjny” ukryty w kodzie złośliwego oprogramowania. Resort zdrowia oszacował później łączny koszt ataku na 92 miliony funtów — około 20 milionów w utraconej działalności w tygodniu ataku i 72 miliony w kosztach odtworzenia systemów.⁹ NAO podsumował rzecz zdaniem, które powinno wisieć nad biurkiem każdego dyrektora: był to atak stosunkowo prymitywny, któremu zapobiegłoby przestrzeganie elementarnych praktyk bezpieczeństwa.

Dziewięć lat później te same mechanizmy — niezałatane systemy, ostrzeżenia bez adresata, plany bez ćwiczeń, komunikacja padająca razem z siecią — powtarzają się w kolejnych krajach z regularnością, która odbiera prawo do mówienia o „zaskoczeniu”. W kategoriach nośności WannaCry był tym, czym dla mostów bywa katastrofa zapowiedziana: inspekcja wskazała korozję, raport trafił do szuflady, a most stał, dopóki stał.

Odpowiedź Europy i odpowiedź Polski: od planu działań do ustawy

Dobra wiadomość brzmi: regulator — europejski i polski — przestał traktować cyberbezpieczeństwo szpitali jako niszę informatyczną. W styczniu 2025 roku Komisja Europejska ogłosiła Europejski plan działań na rzecz cyberbezpieczeństwa szpitali i podmiotów leczniczych, zbudowany na czterech filarach: zapobieganiu, wykrywaniu, reagowaniu z odtwarzaniem oraz odstraszaniu. W ramach planu ENISA buduje Europejskie Centrum Wsparcia Cyberbezpieczeństwa dla sektora zdrowia; powstały wytyczne dotyczące najbardziej krytycznych praktyk, ramy oceny dojrzałości, zalecenia zakupowe oraz — co wymowne — poradnik, jak nie płacić okupu; do unijnej rezerwy cyberbezpieczeństwa włączono usługę szybkiego reagowania dla sektora zdrowia, a na rok 2026 zaplanowano uruchomienie ogólnounijnej subskrypcji wczesnego ostrzegania oraz usługi wsparcia odtwarzania po ransomware, obok programów bonów cyberbezpieczeństwa finansujących wdrożenia w mniejszych podmiotach. Same liczby, którymi Komisja uzasadnia plan, mówią zresztą wszystko: ransomware odpowiadał za 54 procent przeanalizowanych incydentów w sektorze zdrowia w latach 2021–2023, a w samym 2023 roku państwa członkowskie zgłosiły 309 incydentów — czyniąc zdrowie najczęściej atakowanym sektorem krytycznym Unii.³

Polska w tym samym czasie domknęła wreszcie własny fundament prawny. Trzeciego kwietnia 2026 roku, po siedmiu latach prac, weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Dla szpitali i innych podmiotów leczniczych oznacza ona przejście od deklaracji do zegara.⁴

Podmioty spełniające kryteria podmiotu kluczowego lub ważnego mają obowiązek dokonać samooceny i do 3 października 2026 roku złożyć wniosek o wpis do wykazu w systemie S46; w ciągu dwunastu miesięcy od wejścia ustawy w życie — do 3 kwietnia 2027 roku — wdrożyć system zarządzania bezpieczeństwem informacji; a podmioty kluczowe w ciągu dwudziestu czterech miesięcy przejść pierwszy audyt bezpieczeństwa, powtarzany następnie co najmniej raz na trzy lata. Ustawa wprowadza osobistą odpowiedzialność kierownika podmiotu za realizację zadań z zakresu cyberbezpieczeństwa, z możliwością nałożenia kar na samego kierownika i obowiązkiem odbycia szkolenia; przewiduje kary pieniężne, których pułapy dyrektywa NIS2 ustawia na poziomie do 10 milionów euro lub 2 procent światowego obrotu dla podmiotów kluczowych; umożliwia tworzenie CSIRT-ów sektorowych i wyposaża ministra cyfryzacji w instrument polecenia zabezpieczającego na czas incydentu krytycznego.⁴ Wstępne zgłoszenie poważnego incydentu musi nastąpić w ciągu 24 godzin. Sektor zdrowia dostał przy tym narzędzie, które obniża próg wejścia: pod koniec czerwca 2026 roku Centrum e-Zdrowia uruchomiło portal csirt.cez.gov.pl z formularzem zgłaszania incydentów, ankietą samooceny pozwalającą zweryfikować, czy i w jakiej kategorii ustawa obejmuje dany podmiot, oraz bieżącymi ostrzeżeniami o podatnościach i kampaniach wymierzonych w placówki medyczne.⁵

Trzeba to powiedzieć jasno, językiem korzyści, a nie językiem przymusu. Dla dyrektora szpitala ta architektura regulacyjna nie jest kolejnym ciężarem sprawozdawczym — jest darmową dźwignią. Samoocena z portalu CeZ to gotowa diagnoza dojrzałości. Wykaz S46 to bilet do systemu wczesnego ostrzegania, w którym o kampanii wymierzonej w sektor dowiadujemy się od państwa, zanim przeczytamy o sobie w mediach. Audyt co trzy lata to zewnętrzna para oczu, która widzi korozję filara, zanim zobaczy ją pacjent. A osobista odpowiedzialność kierownika — rozwiązanie budzące zrozumiałe emocje — jest w istocie przeniesieniem do prawa zasady znanej każdemu inżynierowi budownictwa: pod projektem mostu ktoś się podpisuje imieniem i nazwiskiem. Nośność zawsze ma swojego gwaranta.

Just Culture: człowiek nie jest najsłabszym ogniwem. Jest pierwszym czujnikiem

W komunikacie Bonifraterskiego Centrum Medycznego po marcowym ataku znalazło się zdanie, które z perspektywy kultury organizacyjnej jest ważniejsze niż wszystkie techniczne detale: „atak nie był wynikiem nieostrożności pracownika”.¹ Niezależnie od ustaleń śledztwa, sam odruch, by w pierwszym komunikacie zdjąć ciężar z ludzi, zasługuje na odnotowanie — bo odwraca schemat, który przez lata zatruwał cyberbezpieczeństwo tak samo, jak zatruwał bezpieczeństwo kliniczne. Doktryna Just Culture, którą Fundacja Healthcare Poland przenosi z lotnictwa i medycyny do zarządzania systemami, mówi: błąd pojedynczego człowieka jest niemal zawsze objawem wady systemu, a organizacja, która karze za zgłoszenie, uczy nie ostrożności, lecz milczenia. W cyberbezpieczeństwie milczenie ma cenę mierzoną w godzinach przewagi napastnika. Pracownik, który boi się przyznać, że kliknął w podejrzany załącznik, daje przestępcom dokładnie to, czego potrzebują najbardziej: czas. Osiem irlandzkich tygodni ciszy zaczęło się od jednego kliknięcia — ale o skali katastrofy zdecydowało nie kliknięcie, lecz to, że system nie umiał usłyszeć własnych alarmów.

To jest także tarcza dla personelu: pielęgniarka, która w trybie papierowym podaje lek bez dostępu do elektronicznej historii dawkowania, pracuje na poziomie ryzyka, którego nie wybrała. Sprawiedliwa kultura chroni ją dwukrotnie — najpierw budując system, w którym awaria jest ćwiczona, zanim nastąpi, a potem nie obarczając jej winą za skutki decyzji podjętych o piętro wyżej.

Pomiar, decyzja, wdrożenie, rozliczenie: cyberodporność jako wskaźnik nośności

Jak zwykle w tej serii, sprowadźmy rzecz do czterotaktu, który uważamy za elementarną gramatykę polityki publicznej.

Pomiar: każdy szpital powinien znać — i raportować organowi tworzącemu — swój czas przeżycia bez systemów (24, 48, 72 godziny), odsetek krytycznych procesów klinicznych posiadających przećwiczoną procedurę papierową, czas odtworzenia systemów krytycznych z kopii odizolowanych od sieci oraz datę ostatniej pełnej symulacji pracy w trybie awaryjnym. Decyzja: na podstawie tych metryk zarząd i płatnik decydują, gdzie kierować nakłady — nie „na informatykę” w ogóle, lecz na konkretne godziny wytrzymałości: z 24 do 48, z 48 do 72. Wdrożenie: segmentacja sieci, kopie niezmienialne, dostęp awaryjny do dokumentacji w trybie tylko do odczytu, umowy z dostawcami zawierające obowiązki incydentalne, ćwiczenia downtime z udziałem personelu klinicznego, nie tylko działu IT. Rozliczenie: audyt co trzy lata to minimum ustawowe; dojrzały system rozlicza się co roku — przed zarządem, organem tworzącym i, w ujęciu zagregowanym, przed obywatelem, bo mapa cyberodporności szpitali jest w tym samym stopniu informacją publiczną, co mapa stanu technicznego mostów. Black Book pokazał, że tylko co trzeci europejski zarząd widzi metryki ciągłości klinicznej; ambicją Polski powinno być, by w horyzoncie dwóch lat widział je każdy.

W tym miejscu wypada wskazać, kto tę pracę potrafi wykonać. W ekosystemie Fundacji Healthcare Poland rolę tę pełni Koalicja na rzecz Cyberbezpieczeństwa w Ochronie Zdrowia — cyberC4HE — skupiająca praktyków bezpieczeństwa, zarządzających szpitalami i ekspertów regulacyjnych. Koalicja prowadzi audyty zgodności z NIS2 i znowelizowaną ustawą o KSC wraz z oceną dojrzałości według metodyk zbieżnych z europejskimi ramami; wspiera szpitale w samoocenie i rejestracji w systemie S46 przed październikowym terminem; projektuje i moderuje symulacje utraty systemów z udziałem personelu klinicznego, mierząc realny, a nie deklarowany czas przeżycia; doradza w architekturze rozwiązań współdzielonych — z sektorowym centrum operacji bezpieczeństwa na czele, bo SOC budowany wspólnie przez grupę szpitali kosztuje ułamek sumy SOC-ów budowanych osobno; wreszcie prowadzi szkolenia kadr w duchu Just Culture, o którym mowa wyżej. Nie chodzi o to, by każdy szpital samotnie dźwigał ciężar, który przerósł systemy ochrony zdrowia znacznie zamożniejszych państw. Chodzi o to, by ciężar rozłożyć na konstrukcję wspólną — bo odporność, jak każda nośność, jest własnością konstrukcji, nie pojedynczej belki.

Co Polska oferuje światu — i co świat oferuje Polsce

Perspektywa dwustronna, stały element tej serii, w przypadku cyberodporności układa się wyjątkowo symetrycznie. Świat oferuje Polsce gotową, opłaconą cudzym cierpieniem wiedzę: irlandzki raport poincydentalny z ataku na HSE jest bezpłatnym podręcznikiem anatomii ataku; brytyjskie dochodzenie NAO po WannaCry — podręcznikiem anatomii zaniechania; amerykańskie badania na danych Medicare — dowodem, że stawką jest śmiertelność, a nie tylko dane; europejski plan działań — katalogiem instrumentów, po które wystarczy sięgnąć, od bonów cyberbezpieczeństwa po usługę wczesnego ostrzegania. Polska nie musi płacić frycowego, które zapłacili inni; wystarczy, że będzie umiała czytać cudze rachunki.

Ale i Polska ma światu coś do zaoferowania — więcej, niż zwykliśmy sądzić. Jesteśmy państwem frontowym, które od lat pracuje pod presją ataków motywowanych geopolitycznie; nasze zespoły CSIRT, z sektorowym CSIRT CeZ na czele, mają doświadczenie operacyjne, którego zachodnioeuropejskie odpowiedniki dopiero nabierają. Model, w którym odtwarzanie szpitala po ataku wspierają żołnierze Wojsk Obrony Terytorialnej, jest naturalnym poligonem interoperacyjności cywilno-wojskowej — dokładnie tej zdolności dual-use, którą Unia próbuje dziś budować w ramach gotowości na sytuacje kryzysowe. Doświadczenie kraju, który w ciągu jednego półrocza był najczęściej atakowanym państwem świata i mimo to utrzymał ciągłość systemu ochrony zdrowia, jest eksportowalnym produktem wiedzy: od metodyk ćwiczeń, przez wzorce komunikatów IOC, po praktykę współpracy CSIRT-ów krajowych z sektorowymi. Marka Healthcare Poland może i powinna obejmować także to: kompetencję odporności zdobytą na najtrudniejszym poligonie Europy. W świecie, w którym pole bitwy przeniosło się do łóżka pacjenta, kraj frontowy ma prawo być eksporterem tarczy.

Tarcza dla obywateli

Na koniec wróćmy do fundamentu, czyli do obywatela — bo cała ta architektura istnieje wyłącznie po to, by w środku nocy, gdy filar znika, nikt nie musiał tego zauważyć przy szpitalnym łóżku. Prawo pacjenta do ciągłości leczenia nie zna wyjątku „chyba że trwa incydent informatyczny”. Obywatel ma prawo wiedzieć, że jego szpital przećwiczył pracę bez systemów, zanim życie wymusiło ten egzamin; że jego dane — najintymniejsze, jakie państwo o nim przechowuje — są chronione nie deklaracją, lecz architekturą; że decyzje o nakładach na odporność zapadają na podstawie pomiaru, a rozliczenie z nich jest jawne.

Ransomware obnaża prawdę, którą ta seria powtarza od pierwszego odcinka: nośność systemu ochrony zdrowia nie jest sumą budynków, łóżek i etatów, lecz właściwością konstrukcji, która ujawnia się dopiero pod obciążeniem. Okup — powiedzmy to raz jeszcze — płaci się zawsze. Można go zapłacić przed atakiem, w postaci przemyślanych, mierzalnych, rozliczalnych inwestycji w odporność. Albo po ataku — w funtach, euro i złotówkach, w tygodniach pracy na papierze, w odwołanych wizytach onkologicznych i w punktach procentowych śmiertelności ludzi, którzy zaufali, że system ich uniesie. Wybór między tymi dwiema fakturami jest istotą polityki zdrowotnej godnej tego miana. I jest to wybór, którego dokonuje się dziś — między kwietniem a październikiem 2026 roku, gdy zegar ustawy już tyka, a przeciwnik, jak uczy CSIRT CeZ, nie pyta „czy”, lecz „kiedy”.

Przypisy i źródła

Wszystkie źródła zweryfikowane bezpośrednio (otwarte i sprawdzone pod kątem przywoływanych treści) w dniu 8 lipca 2026 r.