Dlaczego lokalna infrastruktura to realna tarcza szpitala?

Dokładnie rok temu, 8 marca 2025 roku w krakowskim szpitalu MSWiA trwały zwykłe dyżury. Nagle główny system komputerowy przestał odpowiadać. Potem kolejny. Personel zaczął pracować na papierze. Karetki z pacjentami w trybie pilnym były kierowane do trzech innych placówek.

Ransomware zaszyfrował infrastrukturę. Nie jakiś mały szpital na prowincji - placówka MSWiA, chroniona, instytucjonalna, ze wsparciem CERT Polska i Centralnego Biura Zwalczania Cyberprzestępczości. Dyrektor dr Michał Zabojszcz mówił, że powrót do normalnego funkcjonowania może zająć dni, a nawet tygodnie. A wszystko to na żywej, szpitalnej tkance. Wicepremier Krzysztof Gawkowski przyznał publicznie, że Polska codziennie rejestruje około dwóch tysięcy cyberincydentów, z czego nawet trzysta wymaga natychmiastowej reakcji specjalistów.

Czy incydent z Krakowa był punktem zwrotnym? Dla szpitala w Krakowie zapewne tak, choć nadal dla wielu dyrektorów szpitali w Polsce to wciąż temat, którym ma zająć się dział IT.

Liczby, których nie da się zbagatelizować

Raport Grant Thornton i KICB z sierpnia 2025 roku przebadał pięćdziesiąt największych polskich szpitali. Wynik: 668 krytycznych luk bezpieczeństwa i 2 209 wycieków haseł personelu. Nie potencjalnych podatności. Rzeczywistych, potwierdzonych dziur. W pierwszym kwartale 2025 roku Polska odpowiadała za blisko 6% globalnych ataków ransomware na sektor zdrowia.

Centrum e-Zdrowia podało, że w 2024 roku odnotowano 1 028 incydentów cybernetycznych w polskich placówkach medycznych. Wzrost o 2,5 raza w stosunku do 2023 roku.

IBM wylicza, że średni koszt pojedynczego naruszenia danych w sektorze zdrowia wynosi globalnie 7,42 mln dolarów. Najwyższy wynik spośród wszystkich branż, czternasty rok z rzędu. Palo Alto Networks szacuje, że pojedynczy plik z danymi pacjenta z polskiego szpitala osiąga na czarnym rynku cenę nawet 250 tysięcy złotych. Dla porównania: skradzione dane karty kredytowej są warte kilka dolarów. Dane medyczne to cała tożsamość człowieka. Historia chorób, dane ubezpieczeniowe, informacje, których nie da się zastrzec w banku.

Według PAP, 72% polskich placówek nie ma dedykowanego zespołu ds. bezpieczeństwa. Dla hakerów szpital to nie przypadkowy cel - to składnica najcenniejszych danych.

Düsseldorf, King's College i granica, której nie chcemy przekraczać

W 2020 roku w szpitalu uniwersyteckim w Düsseldorfie ransomware zablokował systemy na tyle skutecznie, że nie można było przyjąć pacjentki w stanie zagrożenia życia. Kobieta zmarła po przewiezieniu do innej placówki. Prokuratura ostatecznie nie postawiła zarzutów - bo nie można było jednoznacznie wykazać związku przyczynowego.

W 2025 roku CyberDefence24 odnotowało kolejny precedens: w brytyjskim King's College Hospital doszło do pierwszego oficjalnie potwierdzonego zgonu, którego bezpośrednią przyczyną był cyberatak na szpitalne systemy.

Te dwa zdarzenia dzieli pięć lat i zmiana w kwalifikacji prawnej. Kierunek jest jednoznaczny.

NIS2, KSC i osobista odpowiedzialność dyrektora

Przez lata cyberbezpieczeństwo w szpitalach było tematem dla działów IT. Od lutego 2026 roku to już nie tylko ich problem. Dyrektorów także.

Po podpisaniu przez Prezydenta nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa, wdrażającej unijną dyrektywę NIS2, szpitale zostały zakwalifikowane jako podmioty kluczowe. A to oznacza konsekwencje. Nie tylko dla placówki jako instytucji. Dla konkretnych osób.

Dyrektor szpitala odpowiada teraz osobiście, finansowo i prawnie za zaniedbania w obszarze cyberbezpieczeństwa.

Nowe przepisy wprowadzają trzy twarde obowiązki:

Zgłoszenie incydentu w ciągu 24 godzin (wstępnie) i 72 godzin (pełna analiza)
Działający plan odporności na ransomware
Zaawansowany system kopii zapasowych

Za niedopełnienie - kary do 10 milionów euro lub 2% globalnego obrotu. UODO już wcześniej udowodniło, że działa. Kara dla Szpitala Świętej Rodziny wyniosła 1,1 miliona złotych. I to jeszcze przed NIS2.

Chmura czy on-premise?

Przez jakiś czas w branży panowało przekonanie, że chmura to automatycznie wyższe bezpieczeństwo. Duży dostawca, więcej budżetu na ochronę, odpowiednie certyfikaty. I to po części prawda. Problem w tym, że w ochronie zdrowia bezpieczeństwo to nie tylko pytanie o to, kto lepiej strzeże serwera.

RODO nakłada rygorystyczne wymogi co do miejsca przechowywania danych pacjentów. Każdy transfer do zewnętrznego dostawcy chmury, nawet europejskiego, tworzy punkt styku, który trzeba dokumentować, audytować i kontrolować. Każdy taki punkt to potencjalna powierzchnia ataku.

Przypadek Krakowa pokazał coś jeszcze. Kiedy ransomware zablokował systemy, największą wartością okazała się możliwość lokalnej kontroli. Szpital mógł odcinać kolejne węzły sieci, separować zainfekowane segmenty, chronić to, co jeszcze nie zostało zaszyfrowane. W modelu chmurowym tego rodzaju odcięcie jest znacznie trudniejsze albo niemożliwe. Granice między środowiskami są rozmyte, a reakcja zależy od dostawcy zewnętrznego.

Są trzy różnice, które w praktyce decydują o wszystkim:

Dane fizycznie przechowywane w infrastrukturze szpitala nie wymagają żadnych umów powierzenia ani kontroli - są po prostu tutaj
Lokalny system ma ściśle określone punkty wejścia i wyjścia - administrator wie, co jest w sieci i może to kontrolować
System on-premise działa nawet przy zerowym dostępie do internetu - diagnostyka obrazowa, predykcja kliniczna, dokumentacja - wszystko lokalnie, niezależnie od tego, co dzieje się na zewnątrz

To nie był akademicki argument w Krakowie, kiedy przez kilka godzin szpital funkcjonował tylko dzięki temu, co miał na miejscu.

Co to oznacza w praktyce

Zarząd szpitala stoi dziś przed dość konkretnym rachunkiem. Z jednej strony: koszt wdrożenia lokalnej, bezpiecznej platformy AI i infrastruktury on-premise. Z drugiej: koszt naruszenia danych - statystycznie 7,42 mln dolarów, plus kary UODO i NIS2, plus utracone zaufanie pacjentów, plus tygodnie powrotu do sprawności.

Do tego dochodzi odpowiedzialność osobista dyrektora, która w nowym stanie prawnym jest faktem, nie scenariuszem.

Nie chodzi o to, żeby każdy szpital natychmiast wymienił całą infrastrukturę. Chodzi o to, żeby nowe narzędzia - zwłaszcza te oparte na AI, przetwarzające dane pacjentów - były wdrażane w modelu, który od pierwszego dnia:

spełnia wymogi NIS2 i RODO
nie wymaga transferu danych poza placówkę
daje działowi IT realną kontrolę nad tym, co się dzieje w sieci

Medalion Technology buduje narzędzia AI dla szpitali zaprojektowane dokładnie pod ten wymóg. Cały proces - od importu danych z HIS, PACS i RIS, przez trening modeli predykcyjnych i analizę obrazów medycznych, po automatyczną dokumentację - odbywa się w infrastrukturze szpitala. Dane pacjentów nie opuszczają placówki. Architektura jest zgodna z wymogami NIS2 od pierwszego dnia wdrożenia. System działa przy braku połączenia z internetem.

Personel medyczny nie musi znać machine learningu. Trzy kroki: zdefiniuj problem kliniczny, uruchom platformę, interpretuj predykcje. Czas do pierwszego działającego modelu liczy się w godzinach, nie miesiącach.

Chcesz dowiedzieć się więcej o bezpiecznym wdrożeniu AI w Twojej placówce? Skontaktuj się z nami