Szpitali nie stać na cyberbezpieczeństwo
123RF
Dyrektorzy szpitali skarżą się, że państwo nie dokłada się do bieżących wydatków na cyberbezpieczeństwo. Pieniędzy z Krajowego Planu Odbudowy wystarczyło tylko dla części lecznic, a reszta została ze starym sprzętem i oprogramowaniem. Tymczasem zagrożenie atakami rośnie.
Tylko w tym roku odnotowano 13 ataków ransomware na podmioty związane z ochroną zdrowia. W całym 2025 r. było ich 10 – wynika z informacji Centrum e-Zdrowia. Sam atak ransomware polega na zaszyfrowaniu części infrastruktury teleinformatycznej, z czym może łączyć się żądanie okupu w zamian za przekazanie klucza deszyfrującego. Ofiarami takich incydentów padły np. Szpital MSWiA w Krakowie w 2025 r. i Wojewódzki Szpital Zespolony w Szczecinie w marcu tego roku – pisze „Rzeczpospolita”.
Brak środków na cyberbezpieczeństwo
– Dla szpitala jest to niezwykle destrukcyjne, ponieważ paraliżuje kluczowe systemy, w tym np. elektroniczną dokumentację medyczną (EDM) czy systemy apteczne zarządzające stanami i dawkowaniem leków. W konsekwencji powstaje bezpośrednie ryzyko zagrożenia zdrowia i życia pacjentów – np. w sytuacji, gdy w trakcie operacji „gaśnie” dostęp do historii choroby – tłumaczy Jeremi Olechnowicz, dyrektor Pionu Eksploatacji Systemów Teleinformatycznych w CeZ.
Zagrożenie atakami rośnie, kłopot w tym, że nie wszystkim szpitalom udało się pozyskać pieniądze na cyberbezpieczeństwo. Jak podaje „Rz”, środki na ten cel nie są uwzględnione w wycenie świadczeń, za które NFZ płaci lecznicom. A umowy na inwestycje w cyfryzację z KPO – na łączną kwotę ok. 3,1 mld zł – podpisało 368 szpitali, z czego projekt dowiozły 364 podmioty – wynika z informacji uzyskanych przez „Rz” w Ministerstwie Zdrowia. Sieć szpitali w Polsce liczy 585 podmiotów. Co z tymi, które nie załapały się na finansowanie?
Tomasz Kopiec, dyrektor Samodzielnego Publicznego Szpitala Klinicznego im. prof. Witolda Orłowskiego CMKP w Warszawie, zwraca uwagę, że brak środków na cyberbezpieczeństwo może pogłębiać różnice w możliwościach technologicznych poszczególnych szpitali.
– Wnioskowaliśmy o 13 mln zł na przebudowę infrastruktury informatycznej i zakup niezbędnego wyposażenia. Cyberbezpieczeństwo to nie tylko oprogramowanie, ale także odpowiedni sprzęt, na którym można wdrożyć i skutecznie wykorzystywać nowe rozwiązania. Bez dodatkowych środków modernizacja tej infrastruktury jest dużym wyzwaniem – stwierdza.
Skąd wziąć środki na zabezpieczenie cyfrowej infrastruktury krytycznej?
– Cyberbezpieczeństwo powinno być kosztem stałym w budżecie każdej jednostki. Czy łącze internetowe jest w szpitalu kosztem stałym? Czy jest tak, że internet jest wtedy, gdy są pieniądze, a gdy ich nie ma, to internetu nie ma? To część zasobów administracyjnych. Nikt nie wycenia ochrony w szpitalu, a na wejściu czasem stoi ochroniarz – powiedział niedawno „Rzeczpospolitej” wicepremier i minister cyfryzacji Krzysztof Gawkowski.
Z takim podejściem do tematu nie zgadzają się dyrektorzy szpitali.
– W wycenach świadczeń finansowanych przez NFZ nie ma wyodrębnionego komponentu przeznaczonego na rozwój i utrzymanie infrastruktury cyfrowej. Środki otrzymywane przez szpitale są przede wszystkim przeznaczane na leczenie pacjentów, dlatego sfinansowanie dodatkowych zabezpieczeń może być trudne – podkreśla Tomasz Kopiec. Jak zaznacza, szpitale pełnią istotną rolę w systemie infrastruktury krytycznej, a zapewnienie im odpowiedniej ochrony cyfrowej wymaga współpracy placówek i państwa. Tymczasem dyrektorzy szpitali słyszą od przedstawicieli resortu zdrowia, że ewentualne dodatkowe środki na cyberbezpieczeństwo mogą się pojawić, ale w ramach nowej perspektywy budżetowej Unii Europejskiej.
– Trzeba pamiętać, że zarówno Unia Europejska, jak i nasze państwo chętnie i słusznie przyjęły regulacje dotyczące cyberbezpieczeństwa, ale nie wskazano w nich źródła finansowania. Założono, że adresaci nowych wymogów pokryją te koszty w ramach własnej działalności – zwraca uwagę inny rozmówca.
– Jeżeli brakuje pieniędzy na utrzymanie podstawowych zadań szpitali, czyli na diagnozowanie i leczenie pacjentów, to w jaki sposób mielibyśmy wygenerować dodatkowe środki na bezpieczeństwo systemów szpitalnych? Ja sobie tego nie wyobrażam – wskazuje Marek Tombarkiewicz, dyrektor Szpitala Specjalistycznego Ducha Świętego w Sandomierzu.
Eksperci ostrzegają przed ukrytymi kosztami
– Jeżeli szpital kupił w ramach specjalnej inwestycji sprzęt zapewniający cyberbezpieczeństwo, dyrektor musi się liczyć z tym, że nawet jeśli przez jakiś czas nie będzie go unowocześniał, to będzie musiał płacić za jego utrzymanie – mówi „Rz” przedstawiciel jednego z dostawców oprogramowania dla szpitali.
Jak dodaje, na zasadzie analogii do systemów informatycznych używanych w przedsiębiorstwach, można oszacować, że to koszt rzędu ok. 20 proc. wartości poczynionej inwestycji rocznie, a inwestycja początkowa może wynosić, w zależności od wielkości szpitala, od miliona do nawet 10 mln zł.
– Niektórzy decydenci uważają, że działy IT w szpitalach przyjmą cyberbezpieczeństwo jako dodatkowe zadanie do realizacji, niejako przy okazji. Niestety tak się nie da – podkreśla przedstawiciel firmy dostarczającej oprogramowanie.
Przeczytaj także: „Departament e-Zdrowia zajmie się cyberbezpieczeństwem w szerszym zakresie”.
