Cyberataki na polskie szpitale rosną, a finansowanie zabezpieczeń pozostaje niewystarczające

Od początku 2026 roku w Polsce odnotowano 13 incydentów ransomware dotyczących podmiotów związanych z ochroną zdrowia — wynika z danych przekazanych przez Centrum e-Zdrowia. W całym 2025 roku takich incydentów było 10, ale CeZ nie podało publicznie metodologii ani definicji ataku i incydentu.

Dane obejmują nie tylko szpitale i nie wskazują, ilu różnych placówek dotknęły te zdarzenia. Nie wiadomo też, czy każdy incydent dotyczył innego podmiotu, ilu pacjentów dotknęły skutki ataków ani czy doszło do przerw w udzielaniu świadczeń lub wycieku danych.

Jednocześnie 368 szpitali podpisało umowy na projekty cyfryzacyjne finansowane z Krajowego Planu Odbudowy. Łączna wartość umów wyniosła około 3,1 mld zł. Ministerstwo Zdrowia podawało, że 364 podmioty miały zrealizować projekty. Sieć szpitali obejmuje 585 placówek, ale przedstawione dane nie wskazują, jaka część pieniędzy trafiła bezpośrednio na cyberbezpieczeństwo. Umowy na cyfryzację nie oznaczają więc automatycznie finansowania ochrony systemów informatycznych.

W materiałach wymieniono atak na Wojewódzki Szpital Zespolony w Szczecinie na początku marca 2026 roku oraz incydent w Szpitalu MSWiA w Krakowie w 2025 roku. Nie przedstawiono szczegółowych informacji o skutkach tych zdarzeń. Według Jeremiego Olechnowicza z CeZ ransomware może zablokować dostęp do elektronicznej dokumentacji medycznej, systemów aptecznych i innych narzędzi używanych przez placówki. Nie oznacza to jednak, że takie skutki wystąpiły we wszystkich 13 przypadkach.

Rozmówcy branżowi szacują, że początkowe zabezpieczenie infrastruktury może kosztować od 1 do 10 mln zł. Do tego dochodzą koszty utrzymania, szacowane na około 20 proc. wartości inwestycji rocznie, monitoring kosztujący 5–30 tys. zł miesięcznie oraz wynagrodzenie specjalisty wynoszące 200–300 tys. zł rocznie. Dyrektor Szpitala im. prof. W. Orłowskiego w Warszawie Tomasz Kopiec mówił, że placówka wnioskowała o 13 mln zł na infrastrukturę informatyczną, ale nie otrzymała dofinansowania na ten cel. Z kolei Szpital Specjalistyczny Ducha Świętego w Sandomierzu miał otrzymać 12 mln zł na cyfryzację.

Z dostępnych danych nie wynika, jaka kwota z 3,1 mld zł została przeznaczona konkretnie na cyberbezpieczeństwo ani czy brak środków doprowadził do któregokolwiek z opisanych incydentów. Dla szpitali oznacza to konieczność uwzględnienia nie tylko zakupu systemów, lecz także ich stałego monitorowania i aktualizacji oraz zapewnienia środków na utrzymanie personelu.