Najważniejsze
- •Gwałtowny wzrost cyberataków: W 2025 roku polskie placówki medyczne zgłosiły aż 1441 incydentów bezpieczeństwa, co stanowi wzrost o ponad 60% w skali roku.
- •Niskie nakłady finansowe w Polsce: Polskie szpitale przeznaczają na IT i cyberbezpieczeństwo zaledwie 1–1,5% budżetu, podczas gdy w Europie Zachodniej wskaźnik ten wynosi 5–6%.
- •Surowe unijne wymogi NIS2: Nowe regulacje nakładają obowiązek raportowania incydentów w czasie od 24 do 72 godzin pod groźbą kar do 10 mln euro lub 2% rocznego obrotu.
- •Nieodwracalność wycieku danych medycznych: Informacji takich jak kod DNA czy grupa krwi nie da się zmienić po wycieku, co czyni je cennym towarem na czarnym rynku (nawet 250 USD za rekord).
W 2025 roku polskie placówki medyczne zgłosiły 1441 incydentów związanych z cyberbezpieczeństwem – to o ponad 60 procent więcej niż rok wcześniej. Dane te pochodzą z raportu zespołu CSIRT CeZ.
Cyberbezpieczeństwo w polskich szpitalach w liczbach
Dane: CSIRT CeZ oraz Palo Alto Networks
W 2025 roku polskie placówki medyczne zgłosiły 1441 incydentów związanych z cyberbezpieczeństwem, czyli o ponad 60 procent więcej niż rok wcześniej. Dane te pochodzą z raportu zespołu CSIRT CeZ.
Liczba incydentów odnotowanych tylko w pierwszym kwartale 2025 roku przewyższyła bilans całego roku 2023 w tym sektorze. Raport komercyjny firmy Palo Alto Networks wskazuje, że ochrona zdrowia pozostaje obszarem najbardziej narażonym na ataki w Unii Europejskiej. Rocznie dochodzi tam do około 300 poważnych zdarzeń podlegających unijnej dyrektywie NIS. Autorzy raportu szacują średni koszt naruszenia bezpieczeństwa w szpitalach na 10 milionów dolarów, a wartość pojedynczego rekordu na 250 dolarów. Są to jednak szacunki globalne, zdominowane przez specyfikę rynku amerykańskiego, dlatego nie odzwierciedlają bezpośrednio realiów finansowych w Polsce.
Paraliż szpitali i pomoc terytorialsów
W marcu 2026 roku w ciągu zaledwie 25 dni doszło do czterech poważnych ataków na polskie szpitale. Hakerzy sparaliżowali systemy informatyczne Szpitala Wojewódzkiego w Szczecinie przy użyciu oprogramowania ransomware, co zmusiło personel do prowadzenia dokumentacji papierowej. W przywróceniu sprawności systemów IT pomagali żołnierze Wojsk Obrony Terytorialnej. Podobne ataki dotknęły również Świętokrzyskie Centrum Rehabilitacji w Czarnieckiej Górze oraz Bonifraterskie Centrum Medyczne. Choć dostawcy oprogramowania zabezpieczającego winią za te zdarzenia sztuczną inteligencję wykorzystywaną przez cyberprzestępców, eksperci wskazują na podstawowe błędy administratorów. Wśród nich wymieniają brak segmentacji sieci, nieaktualne systemy operacyjne oraz podatność pracowników na kampanie phishingowe.
Niedofinansowanie IT i nowe unijne wymogi
Polskie szpitale publiczne zmagają się z niedofinansowaniem infrastruktury informatycznej. Przeciętny szpital w kraju przeznacza na systemy IT i ich ochronę od 1 do 1,5 procent swojego budżetu. Dla porównania placówki w Europie Zachodniej przeznaczają na ten cel od 5 do 6 procent. Z ponad 1200 szpitali w Polsce zaledwie kilkadziesiąt dysponuje nowoczesnymi systemami ochrony. Równocześnie nowa unijna dyrektywa NIS2 nakłada na placówki obowiązek raportowania incydentów w czasie od 24 do 72 godzin. Za niedopełnienie tego wymogu grożą kary finansowe sięgające 10 milionów euro lub 2 procent rocznego obrotu. Ministerstwo Zdrowia oraz Centrum E-Zdrowia nie przedstawiły dotychczas stanowiska w sprawie systemowego wsparcia finansowego na utworzenie etatów dla specjalistów ds. cyberbezpieczeństwa.
Dyrektorzy szpitali publicznych przyznają, że placówki nie są w stanie konkurować płacowo o specjalistów IT z sektorem komercyjnym. Skutki wycieków danych medycznych mają charakter nieodwracalny. Pacjenci nie zmienią przecież takich informacji jak grupa krwi czy kod DNA tak łatwo, jak wymienia się skradziony numer karty płatniczej.
@CowZdrowiu
Cyberprzestępcy atakują szpitale. Rząd publikuje zalecenia https://t.co/7r5dWCIiay
Porównanie wydatków, nowoczesnych systemów i regulacji w Polsce i Europie Zachodniej
| Parametr/Kategoria | Polska | Europa Zachodnia / UE |
|---|---|---|
| Średni budżet szpitala przeznaczany na IT i cyberbezpieczeństwo | 1% - 1,5% | 5% - 6% |
| Liczba szpitali z nowoczesną ochroną IT | Zaledwie kilkadziesiąt (z ponad 1200) | Standard w większości placówek |
| Wymogi raportowania incydentów krytycznych (NIS2) | Obowiązek zgłoszenia w 24 - 72 godziny | Obowiązek zgłoszenia w 24 - 72 godziny |
| Maksymalne kary finansowe za brak zgodności z NIS2 | Do 10 mln EUR lub 2% rocznego obrotu | Do 10 mln EUR lub 2% rocznego obrotu |
Opracowanie własne na podstawie raportu Palo Alto Networks oraz dyrektywy NIS2
Słownik pojęć
- CSIRT CeZ
- Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego (Computer Security Incident Response Team) działający w strukturach Centrum e-Zdrowia, powołany do obsługi incydentów w sektorze medycznym.
- Ransomware
- Rodzaj złośliwego oprogramowania, które szyfruje dane na zainfekowanym komputerze lub serwerze, a następnie żąda od ofiary okupu (ransom) w zamian za klucz deszyfrujący.
- Dyrektywa NIS / NIS2
- Unijna dyrektywa mająca na celu zapewnienie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii Europejskiej, nakładająca surowe obowiązki i kary m.in. na sektor ochrony zdrowia.
- Medical IoT (Internet of Things)
- Kategoria urządzeń medycznych (np. pompy infuzyjne, monitory pacjenta) podłączonych do sieci szpitalnej i internetu w celu przesyłania danych.
- Phishing
- Metoda oszustwa, w której przestępca podszywa się pod inną osobę lub instytucję w celu wyłudzenia poufnych informacji (np. haseł logowania) lub zainfekowania systemu.
