Węzeł, który trzyma sieć. Szpitalny Węzeł Odporności jako element bezpieczeństwa państwa

Od 17 lipca 2026 roku część szpitali jest podmiotami krytycznymi państwa, a od 3 kwietnia 2026 roku — podmiotami nowego krajowego systemu cyberbezpieczeństwa. Prawo nazwało problem. Nie zbudowało jednak elementu, który ten problem rozwiązuje. Ten tekst proponuje taki element: Szpitalny Węzeł Odporności — powtarzalny moduł bezpieczeństwa państwa, który można złożyć w każdym szpitalu z pięciu warstw, a następnie spiąć w sieć.

Michał P. Dybowski — współzałożyciel i zarządzający Fundacją Healthcare Poland; CSO i Dyrektor Departamentu Zielonych Szpitali i Bezpieczeństwa Polskiej Federacji Szpitali; Prezes Global Healthcare Systems Hub; Lider Sekcji Piaskownic Regulacyjnych i Wsparcia Innowacji GRAI przy Ministerstwie Cyfryzacji; architekt systemowy i twórca polityk zdrowotnych. · stan na 12 października 2026

Prawo nazwało problem. Brakuje elementu

W ciągu sześciu miesięcy 2026 roku polski szpital otrzymał trzy nowe statusy prawne. 3 kwietnia weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2; termin samodzielnego złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych upłynął 3 października.¹⁰ 4 lipca weszła w życie nowelizacja ustawy o zarządzaniu kryzysowym, wdrażająca dyrektywę CER o odporności podmiotów krytycznych.^8,9 17 lipca upłynął unijny termin wskazania podmiotów krytycznych — wśród jedenastu sektorów, obok energetyki, transportu i wody pitnej, znajduje się zdrowie.⁵

Każdy z tych aktów słusznie diagnozuje zagrożenie i nakłada obowiązki. Żaden z nich nie odpowiada jednak na pytanie, które zadaje dyrektor szpitala powiatowego w poniedziałek rano: z czego mam to zbudować, za co i z kim? Prawo opisuje wymagania wobec wyniku. Nie dostarcza elementu konstrukcyjnego, który ten wynik wytwarza. To jest dokładnie ta luka, w której odporność pozostaje deklaracją w rejestrze, a nie zdolnością w budynku.

Teza tego tekstu jest prosta: odporność szpitala można i należy projektować jako powtarzalny moduł bezpieczeństwa państwa — tak jak projektuje się węzeł energetyczny czy węzeł łączności. Moduł o znanej budowie, mierzalnych parametrach i jednolitym interfejsie do służb państwa. Nazywam go Szpitalnym Węzłem Odporności.

Dowody: co mówią liczby z polskiego sektora

Zacznijmy od danych krajowych, bo to one — a nie analogie zagraniczne — przesądzają o skali potrzeby. Sektorowy zespół CSIRT Centrum e-Zdrowia, jedyny sektorowy CSIRT dla ochrony zdrowia w Polsce, w raporcie za 2025 rok odnotował 1441 obsłużonych incydentów bezpieczeństwa, w tym 5 incydentów poważnych w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa oraz 8 ataków z użyciem oprogramowania ransomware.¹ Rok wcześniej incydentów było 1028, a w 2023 roku — 435.

Ta sama publikacja przynosi drugą liczbę, ważniejszą dla architektury niż sama statystyka incydentów. Według wstępnych szacunków zespołu, po nowelizacji liczba podmiotów sektora objętych ustawą wzrośnie z 238 operatorów usług kluczowych do ponad 2800 podmiotów kluczowych i ważnych — mniej więcej dwunastokrotnie.¹ Zespół zapowiada przejście na tryb całodobowy i rozwój kadry. To konieczne, ale nie wystarczy: żaden pojedynczy zespół centralny nie obsłuży bezpośrednio dwunastokrotnie większej populacji podmiotów, z których większość nie ma własnych kompetencji bezpieczeństwa.

Ankieta CSIRT CeZ, w której wzięło udział 696 z około 1600 zaproszonych placówek, pokazuje też poziom dojrzałości: ponad 60 procent ma wyznaczoną osobę odpowiedzialną za cyberbezpieczeństwo, 76 procent deklaruje wdrożony system zarządzania bezpieczeństwem informacji, niemal 62 procent prowadzi okresowe szkolenia z cyberhigieny, a w szkoleniu z cyberbezpieczeństwa uczestniczyło 42 procent dyrektorów.¹ To obraz sektora w drodze — z deklaracjami, które dopiero trzeba przełożyć na sprawdzalną zdolność.

Obraz europejski jest spójny z krajowym. ENISA, analizując 215 publicznie zgłoszonych incydentów w sektorze zdrowia, ustaliła, że świadczeniodawcy odpowiadali za 53 procent z nich, same szpitale za 42 procent, ransomware stał za 54 procentami, a 46 procent incydentów miało na celu kradzież lub ujawnienie danych; medianę kosztu poważnego incydentu oszacowano na 300 tysięcy euro.² Nowszy, przekrojowy raport ENISA Threat Landscape 2025 — 4875 incydentów z okresu od lipca 2024 do czerwca 2025 roku — wskazuje administrację publiczną jako najczęstszy cel (38,2 procent) i opisuje zjawisko ważniejsze od samych liczb: konwergencję grup przestępczych, haktywistycznych i powiązanych z państwami, które współdzielą narzędzia i cele.³ Szerzej o mechanizmie utraty nośności pod ransomware pisaliśmy w odcinku „Okup, który płaci pacjent”.

Perymetr w trzech warstwach — i dron nad lądowiskiem

Granica bezpieczeństwa szpitala nie biegnie po ogrodzeniu. Biegnie przez trzy warstwy, które przenikają się w jednym punkcie — ciągłości opieki. Warstwa fizyczna to budynek, zasilanie, tlen, woda i przestrzeń powietrzna nad dachem. Warstwa cyfrowa to systemy szpitalne, archiwa obrazowe, chmura, zdalny serwis i dostawcy. Warstwa informacyjna to zaufanie pacjenta, komunikacja kryzysowa i podatność na dezinformację.

25 września 2025 roku nad Kilonią w Szlezwiku-Holsztynie zaobserwowano drony przelatujące kolejno nad stocznią marynarki wojennej ThyssenKrupp, szpitalem uniwersyteckim, elektrownią i Kanałem Kilońskim; później nad fiordem pojawiła się ich formacja. Minister spraw wewnętrznych landu Sabine Sütterlin-Waack potwierdziła, że badana jest hipoteza operacji szpiegowskiej.⁴ Dwa tygodnie wcześniej, w nocy z 9 na 10 września 2025 roku, rosyjskie drony naruszyły polską przestrzeń powietrzną i zostały zestrzelone przez polskie i sojusznicze lotnictwo; Polska złożyła formalny wniosek o konsultacje na podstawie artykułu 4 Traktatu Północnoatlantyckiego.⁶

Szczegół, który ma znaczenie systemowe: w zestawie obiektów rozpoznawanych z powietrza znalazł się szpital. W logice zagrożenia hybrydowego szpital należy do mapy krytycznej wrażliwości regionu — tam trafiają ranni, tam ląduje śmigłowiec ratowniczy, tam skupia się zaufanie ludności. Dron nad lądowiskiem szpitalnym nie jest więc wyłącznie problemem ochrony obiektu. Jest problemem ciągłości łańcucha ratunkowego.

Dwa reżimy, jedno biurko dyrektora

Dyrektywa CER — dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z 14 grudnia 2022 roku — zmieniła filozofię: z ochrony obiektu na odporność podmiotu, rozumianą jako zdolność do zapobiegania, przetrwania, absorpcji, adaptacji i odtworzenia usługi.⁵ Podmiot krytyczny ma dziewięć miesięcy od powiadomienia na ocenę ryzyka i dziesięć na wdrożenie środków odporności; istotne zakłócenie zgłasza wstępnie w ciągu 24 godzin, a raport szczegółowy — w ciągu miesiąca.⁷ Polska wdrożyła dyrektywę z opóźnieniem: 29 kwietnia 2026 roku Komisja Europejska skierowała Polskę — wraz z Bułgarią, Francją, Luksemburgiem, Niderlandami, Hiszpanią i Szwecją — do Trybunału Sprawiedliwości UE, wnosząc o nałożenie sankcji finansowych.¹¹

Nowelizacja ustawy o zarządzaniu kryzysowym (Dz.U. 2026 poz. 815) obowiązuje od 4 lipca 2026 roku.⁸ Nakłada na podmioty kompleksowy audyt bezpieczeństwa co najmniej raz na trzy lata, na własny koszt, z wymogiem niezależności audytora; wprowadza obowiązek identyfikacji dostawców krytycznych, prowadzenia ich rejestru i planów ich szybkiego zastąpienia; uprawnia Policję, Straż Graniczną, Służbę Ochrony Państwa i Żandarmerię Wojskową do przejęcia kontroli, unieruchomienia lub zniszczenia bezzałogowych obiektów zagrażających infrastrukturze krytycznej.⁹ Równolegle znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 roku; według analizy KPMG administracyjne kary pieniężne będą mogły być nakładane od 3 kwietnia 2028 roku.¹⁰

Wniosek architektoniczny jest jeden: dwa reżimy prowadzone w dwóch silosach podwajają koszt i dzielą uwagę. Prowadzone jako jeden system — jedna analiza ryzyka, jeden rejestr dostawców, jeden kanał zgłoszeń, jeden plan ćwiczeń — stają się tańsze i skuteczniejsze. To jest pierwsze założenie projektowe Węzła. Pisaliśmy o tym wcześniej w odcinkach o NIS2 w szpitalach i o łańcuchu dostaw IT.

Szpitalny Węzeł Odporności: pięć warstw jednego modułu

Szpitalny Węzeł Odporności to nie nowa instytucja i nie nowy obowiązek. To standard złożenia tego, co prawo już wymaga, w jeden powtarzalny moduł — z pięciu warstw, z których każda ma swoje źródło prawne, swojego właściciela i swój wskaźnik. Moduł jest ten sam w szpitalu klinicznym i w szpitalu powiatowym; różni się skalą, nie budową.

Każda z tych warstw istnieje już dziś w jakiejś postaci — rozproszona między działem technicznym, informatykiem, pełnomocnikiem do spraw obronnych i kierownikiem ochrony. Węzeł nie dokłada pracy. Zmienia jej organizację: z pięciu niezależnych obowiązków w jeden moduł o wspólnym rejestrze ryzyka i wspólnym wskaźniku wyniku. Warstwa W3 nie zakłada, że szpital będzie neutralizował drony — ustawa przyznaje to uprawnienie służbom.⁹ Szpital ma wykryć, zgłosić i zabezpieczyć ciągłość lądowania śmigłowca ratowniczego. To podział ról, nie przerzucanie odpowiedzialności.

Sieć zamiast wysp: dlaczego jeden zespół nie obsłuży 2800 podmiotów

Najważniejsza decyzja projektowa dotyczy warstwy W2. Jeżeli liczba podmiotów objętych ustawą rośnie dwunastokrotnie, a liczba incydentów w dwa lata wzrosła ponad trzykrotnie, to model „każdy szpital własnym zespołem bezpieczeństwa” jest nierealny finansowo i kadrowo, a model „wszystko obsługuje zespół centralny” jest nierealny operacyjnie. Pomiędzy nimi potrzebna jest warstwa pośrednia: regionalne, współdzielone centra operacji bezpieczeństwa, które monitorują kilkanaście lub kilkadziesiąt szpitali jednocześnie i rozmawiają z CSIRT CeZ jednym, ujednoliconym językiem.

Ten model ma oparcie w praktyce. Sam CSIRT CeZ zapowiada rozwój współpracy krajowej, w tym porozumienie z zespołem Cyber WOT i operatorem telekomunikacyjnym.¹ Europejska agencja ENISA w lipcu 2026 roku opublikowała wytyczne zakupowe dotyczące cyberbezpieczeństwa szpitali, a we wrześniu 2025 roku — podręcznik higieny cyfrowej dla sektora zdrowia.¹² Wspólne centrum operacji bezpieczeństwa daje małemu szpitalowi to, czego sam nie kupi: całodobowy dyżur analityków, wiedzę o incydencie, który wczoraj dotknął sąsiada, i wynegocjowane wspólnie standardy wobec dostawców. O tym, że wspólna osłona jest jedyną realistyczną osłoną, pisaliśmy w tekście „Cztery placówki, 25 dni”.

Luka finansowa: 33,9 mld zł na ochronę ludności, a szpital poza listą

27 maja 2025 roku Rada Ministrów przyjęła Program Ochrony Ludności i Obrony Cywilnej na lata 2025–2026, wydany na podstawie ustawy z 5 grudnia 2024 roku o ochronie ludności i obronie cywilnej. Program przewiduje 16,7 mld zł na 2025 rok i 17,2 mld zł na 2026 rok — łącznie około 33,9 mld zł — w sześciu obszarach: obiekty zbiorowej ochrony, zabezpieczenie logistyczne, podmioty ochrony ludności, edukacja i szkolenia, łączność i alarmowanie oraz korpus obrony cywilnej.¹³

W komunikacie o przyjęciu Programu szpitale ani podmioty lecznicze nie zostały wymienione wprost jako odrębny obszar finansowania — wymienia się Państwowe Ratownictwo Medyczne jako podmiot ochrony ludności.¹³ Tymczasem to szpital przyjmie rannych z każdego scenariusza, który Program ma osłaniać. Ratownictwo dowiezie pacjenta do szpitala; jeśli szpital jest bez zasilania, bez systemów i bez łączności, łańcuch pęka na ostatnim ogniwie.

Taki mechanizm odwraca logikę kosztu, o której pisaliśmy przy nadwyżce kryzysowej jako wskaźniku nośności. Odporność jest trudna do obrony w budżecie placówki, bo jej efektem jest to, że nic złego się nie stało. Ta sama odporność jest łatwa do obrony w budżecie państwa, gdy zostaje opisana jako zdolność węzła sieci: liczba łóżek, które pozostaną w gotowości przy utracie zasilania sieciowego, czas, w jakim szpital wróci do pracy po ataku, odsetek dostawców krytycznych z planem zastępstwa.

Plan na 270 dni: od powiadomienia do ćwiczenia

Węzeł da się złożyć w terminach, które wyznacza sama dyrektywa CER: dziewięć miesięcy na ocenę ryzyka, dziesięć na środki odporności.⁷ Proponowany harmonogram zakłada, że te same kroki wypełniają jednocześnie obowiązki z ustawy o krajowym systemie cyberbezpieczeństwa.

Pomiar, który coś uruchamia: wskaźniki Węzła

Seria o nośności systemu powtarza jedną zasadę: pomiar ma sens tylko wtedy, gdy uruchamia decyzję. Węzeł ma więc nie „raport z wdrożenia”, lecz krótki zestaw wskaźników, z których każdy ma próg i przypisaną reakcję. Proponuję sześć.

Tarcza dla obywatela i Just Culture

Cała ta architektura ma sens tylko wtedy, gdy prowadzi do jednego: obywatel, który potrzebuje pomocy, otrzymuje ją także w złą godzinę. Pacjent nie musi wiedzieć, czym jest dyrektywa CER. Ma prawo założyć, że gdy trafi na oddział ratunkowy o trzeciej nad ranem, tomograf się włączy, laboratorium przetworzy krew, a lekarz zobaczy jego alergie i wcześniejsze leczenie. Odporność szpitala jest niewidzialną obietnicą złożoną każdemu obywatelowi — i dlatego jest sprawą państwa, a nie wyłącznie placówki.

Warstwa W5 jest w Węźle warstwą nośną, nie dodatkiem. Odporność rodzi się z kultury, w której ludzie zgłaszają błędy i słabości, zanim wykorzysta je przeciwnik. Sprawiedliwa kultura organizacyjna rozróżnia błąd uczciwy, z którego się uczymy, od rażącego zaniedbania, które rozliczamy. Pracownik, który kliknął podejrzany link i natychmiast to zgłosił, jest najcenniejszym ogniwem obrony — pod warunkiem, że zgłoszenie nie skończy się dla niego naganą. System, który karze za zgłaszanie, oślepia sam siebie.

Co państwo zyskuje — język korzyści

Jest też korzyść międzynarodowa. Polska, kraj wschodniej flanki, który realnie zestrzeliwał obce drony we własnej przestrzeni powietrznej, może wnieść do Europy nie tylko doświadczenie zagrożenia, lecz gotowy, mierzalny standard odporności szpitala. Wschodnia flanka nie jest peryferią bezpieczeństwa; jest jego laboratorium. O wymianie doświadczeń polskich i izraelskich pisaliśmy w odcinku „Dziewięćset osób pod ziemią”.

Element, który można złożyć jutro

Prawo europejskie i krajowe zrobiło w 2026 roku swoją część: nazwało szpital podmiotem krytycznym, nałożyło obowiązki, wyznaczyło terminy i dało służbom narzędzia wobec dronów. Terminy 17 lipca i 3 października minęły. Nie były metą — były startem. Teraz rozstrzyga się, czy nowe statusy staną się martwymi wpisami w rejestrach, czy zdolnością, którą da się sprawdzić o trzeciej nad ranem.

Szpitalny Węzeł Odporności to propozycja, by tę zdolność budować jak infrastrukturę: z jednego wzoru, w pięciu warstwach, w sieci regionalnej, z interfejsem do państwa i ze wskaźnikami, które coś uruchamiają. Nie wymaga nowej ustawy. Wymaga decyzji, że odporność szpitala jest elementem bezpieczeństwa państwa — i że państwo, które jej wymaga, współtworzy także jej konstrukcję.

Szpital nie jest wyspą, którą każdy dyrektor fortyfikuje sam. Jest węzłem sieci, od której zależy, czy państwo w złą godzinę dotrzyma obietnicy złożonej obywatelowi.

Michał P. Dybowski, „Węzeł, który trzyma sieć”

Przypisy i źródła