Cyberbezpieczeństwo szpitala zgodnie z ustawą o KSC

Cyberbezpieczeństwo szpitala zgodne z KSC

Cyberbezpieczeństwo szpitala w świetle znowelizowanej ustawy o KSC to nie biurokratyczny wymysł, lecz konieczna odpowiedź systemu na skalę zagrożeń cyberbezpieczeństwa. Współczesny szpital funkcjonuje jak zaawansowana firma technologiczna,
gdzie systemy informatyczne stanowią cyfrowy układ nerwowy decydujący o życiu i zdrowiu pacjentów.
Cyberataki na szpitale w Paryżu, Barcelonie, czy ubiegłoroczny incydent w Krakowie oraz atak w styczniu 2026 roku na szpital
w Antwerpii dowodzą, że bez odgórnych decyzji i wytycznych, skuteczne zabezpieczenie infrastruktury medycznej przed rosnącymi zagrożeniami jest niemożliwe.

W nowoczesnej medycynie bezpieczeństwo danych i systemów stało się synonimem bezpieczeństwa klinicznego. Cyberbezpieczeństwo szpitala definitywnie przestało
być wewnętrzną sprawą działu technicznego, a zyskało status kluczowego elementu infrastruktury krytycznej państwa. Wprowadzenie rygorystycznych wymogów ustawowych to bezpośrednia reakcja na fakt, że dotychczasowe standardy okazały się niewystarczające w starciu z metodami i skalą ataków cybernetycznych przestępców. Bez narzuconych prawnie ram odporności, placówki medyczne pozostają stosunkowo łatwym celem, w którym paraliż bloku operacyjnego służy wyłącznie jako brutalna dźwignia negocjacyjna.

Spis treści

Lekcja z Europy – paraliż placówek w Paryżu i Barcelonie

Incydenty w Centrum Szpitalnym w Corbeil-Essonnes pod Paryżem (2022) oraz w Szpitalu Klinicznym w Barcelonie (2023) przyczyniły się do zdefiniowania współczesnego modelu zagrożeń dla sektora ochrony zdrowia. W obu przypadkach cyberprzestępcy wykorzystali szkodliwe oprogramowanie typu ransomware, aby zablokować dostęp do krytycznych baz danych i wymusić okup. Mechanizm ataku nie polegał na subtelnej kradzieży informacji, lecz na brutalnym zatrzymaniu działalności operacyjnej obu szpitali.

Skutkiem infekcji było całkowite odcięcie personelu od historii chorób i wyników badań. Wymusiło to odwołanie planowych zabiegów i przekierowanie pacjentów w stanach ostrych do innych ośrodków. Personel musiał powrócić do manualnego prowadzenia dokumentacji, co drastycznie wydłużyło czas obsługi pacjenta.
Przypadki te stanowią dowód, że usługi kluczowe świadczone przez podmioty lecznicze są zbyt istotne dla bezpieczeństwa publicznego, aby ich ciągłość zależała od indywidualnych decyzji zarządczych. Cyberbezpieczeństwo szpitala staje się tu fundamentem medycyny ratunkowej, bo nieprawidłowe działanie systemów w tym kontekście to bezpośrednie zagrożenie życia.
Co więcej, przykłady te dowiodły, że świadczenie usługi kluczowej, jaką jest opieka medyczna powinno być przygotowane na tymczasowe funkcjonowanie w warunkach analogowych, w których oprogramowanie medyczne i narzędzia IT są niedostępne a ciągłość funkcjonowania jednostki ochrony zdrowia nie może być przerwana.
Między innymi dlatego dostosowanie do dyrektywy NIS 2 w szpitalu ma na celu uwzględnienie takich okoliczności oraz wypracowanie odpowiednich procedur.

Cyberatak na szpital w Antwerpii

Początek roku 2026 przyniósł potwierdzenie, że cyberbezpieczeństwo szpitala jest parametrem bezpośrednio wpływającym na dostępność leczenia. 13 stycznia 2026 roku szpital ZNA Cadix w Antwerpii padł ofiarą ataku, który sparaliżował jego działalność chirurgiczną. W przeciwieństwie do incydentów polegających na kradzieży danych tutaj celem stała się dostępność infrastruktury. Atakujący doprowadzili do sytuacji, w której kluczowe serwisy szpitala odpowiedzialne za harmonogramowanie i obsługę bloków operacyjnych przestały funkcjonować.

Skutki były natychmiastowe: dyrekcja została zmuszona do odwołania 70 operacji planowych. Incydent ten dobitnie pokazuje, że wspomniana powyżej ciągłość działania nie jest teoretycznym pojęciem, ale warunkiem koniecznym do realizacji świadczeń medycznych. Każda godzina przestoju systemów IT generuje kolejkę zabiegów,
której rozładowanie zajmuje tygodnie, realnie wpływając na rokowania pacjentów oczekujących na pomoc.
Przykład cyberataku z Antwerpii pokazuje, iż zapobieganie incydentom ma na celu nie tylko powstrzymanie przed atakiem na bazy danych i wykradnięcie danych osobowych pacjentów. Celem wszystkich działań zmierzających do niwelowania zagrożeń w cyberprzestrzeni i przeciwdziałaniu podatności jednostek ochrony zdrowia
na ataki hakerów jest również dążenie do zapewnienia opieki pacjentom.

Incydent w Krakowie. Utrata poufności i kryzys zaufania

Zdarzenie z marca 2025 roku, które dotknęło szpital MSWiA w Krakowie, miało fundamentalnie inny charakter niż paraliż operacyjny znany z Francji czy Hiszpanii.
W tym przypadku wektorem ataku nie było zablokowanie usług medycznych, lecz cicha i skuteczna eksfiltracja danych medycznych pacjentów. Jednostka medyczna stała się ofiarą naruszenia, w wyniku którego cyberprzestępcy uzyskali nieautoryzowany wgląd do wrażliwych zasobów. Incydent ten obnażył, jak bolesne w skutkach może być zaniedbanie filaru poufności i doprowadzić do zagrożenia dla bezpieczeństwa informacji.

Dla podmiotu publicznego skutki takiego wycieku są dewastujące i długofalowe. Szpital nie przetwarza bowiem anonimowych statystyk, lecz najbardziej intymne dane
o obywatelach. Zaczynając od historii chorób, przez numery PESEL, aż po adresy zamieszkania i dane kontaktowe. Zarządzanie bezpieczeństwem tego typu danych musi odbywać się z zachowaniem odpowiednich procedur, cyberhigieny oraz wykorzystania adekwatnych narzędzi (systemów informatycznych wykorzystywanych do cyberochrony).
Upublicznienie tych informacji lub ich sprzedaż na czarnym rynku (Dark Web) naraża pacjentów na realne ryzyko kradzieży tożsamości i wyłudzeń finansowych.
W tym scenariuszu szpital, zamiast być miejscem bezpiecznym, staje się mimowolnym źródłem zagrożenia dla swoich pacjentów. Tak więc ochrona danych obok wspomnianej już ciągłości funkcjonowania, to kluczowe filary cyberbezpieczeństwa jednostek ochrony zdrowia, które ustawa o Krajowym Systemie Cyberbezpieczeństwa reguluje na nowo.

cyberbezpieczeństwo szpitala - cyberhigiena w szpitalu

Dlaczego szpitale są idealnym celem dla cyberprzestępców?

Cyberprzestępczość to biznes kierujący się rachunkiem ekonomicznym, a szpitale stanowią w tym modelu cel o najwyższej stopie zwrotu. Wynika to z dwóch czynników: unikalnej wartości informacji oraz presji czasu. Przetwarzane dane medyczne mają w Dark Webie wartość wielokrotnie wyższą niż dane finansowe.
Dlaczego tak się dzieje? Numer karty kredytowej można zablokować w kilka minut, natomiast historii chorób, numeru PESEL czy wyników badań genetycznych ofiara nie zmieni nigdy. To sprawia, że szantaż oparty na groźbie ujawnienia danych jest niezwykle skuteczny.

Drugim czynnikiem jest krytyczność czasu. Operatorzy ransomware doskonale wiedzą, że firma produkcyjna może wstrzymać taśmę na dwa dni, tracąc jedynie pieniądze. Infrastruktura szpitala nie ma tego luksusu. Każda godzina przestoju to bezpośrednie ryzyko zgonów i pozwów sądowych. Ta presja sprawia, że zarządy placówek medycznych są bardziej atrakcyjnym celem ataków. To cyniczna kalkulacja, która czyni ten kluczowy sektor zakładnikiem własnej misji ratowania życia.

Wektory ataku: Phishing i socjotechnika jako klucz do serwerowni

Wbrew powszechnym wyobrażeniom, przełamanie zabezpieczeń szpitala rzadko następuje w wyniku wyrafinowanego ataku na firewall. Najsłabszym ogniwem pozostaje czynnik ludzki. Statystyki incydentów wskazują, że phishing oraz zaawansowana socjotechnika odpowiadają za większość udanych włamań. Przestępcy celują w personel medyczny i administracyjny, wysyłając wiadomości podszywające się pod faktury, wyniki badań czy komunikaty z ministerstwa.

Przejęte w ten sposób dane logowania jednego pracownika stają się kluczem do całej sieci. Pozwalają one napastnikom na tzw. cichy rekonesans. Hakerzy potrafią przebywać wewnątrz infrastruktury przez wiele tygodni, poznając jej architekturę i lokalizację kopii zapasowych, zanim przeprowadzą właściwy atak szyfrujący.
Dlatego budowanie zrozumienia zagrożeń cyberbezpieczeństwa wśród personelu niemedycznego jest równie istotne, co inwestycje w sprzęt. Mając tego świadomość twórcy dyrektywy NIS 2 zadbali o odpowiednie wyeksponowanie tego obszaru w kontekście budowania polityki bezpieczeństwa placówek medycznych czego przykładem jest duży nacisk na czynnik ludzki m.in. poprzez postawienie na szkolenia i cyberhigiene.

ZOBACZ RÓWNIEŻ:

Architektura ryzyka – dlaczego szpitalna sieć jest tak podatna?

Specyfika środowiska medycznego sprawia, że standardowe metody ochrony IT często zawodzą. Wiele placówek wciąż operuje na tzw. płaskich sieciach, gdzie systemy komputerowe w recepcji są połączone z tą samą infrastrukturą, co urządzenia podtrzymujące życie. Brak odpowiedniej segmentacji powoduje, że infekcja komputera
w księgowości może błyskawicznie rozprzestrzenić się na serwisy szpitala obsługujące blok operacyjny czy diagnostykę obrazową.

Dodatkowym wyzwaniem jest specyficzny dług technologiczny. Szpitale są pełne drogich urządzeń diagnostycznych (tomografy, rezonanse), które mają cykl życia przewidziany na 10-15 lat. Często działają one w oparciu o przestarzały system operacyjny, którego producent nie wspiera już łatkami bezpieczeństwa, a ich aktualizacja jest niemożliwa ze względu na certyfikację medyczną. Tworzy to sytuację, w której wewnątrz sieci funkcjonują urządzenia z definicji podatne na ataki, których nie da się zabezpieczyć klasycznym antywirusem.

Technologia w starciu z rzeczywistością oddziału

Rzeczywistość pracy na oddziale często wymusza na personelu obchodzenie oficjalnych procedur bezpieczeństwa, co generuje zjawisko tzw. shadow IT. Jeśli oficjalne systemy komputerowe działają wolno lub są nieintuicyjne, lekarze zaczynają przesyłać zdjęcia RTG i konsultować przypadki za pomocą prywatnych komunikatorów w smartfonach. W ten sposób wrażliwe dane pacjentów trafiają poza kontrolowaną strefę bezpieczeństwa.

Problem potęguje złożony łańcuch dostaw. Współczesne świadczenia opieki zdrowotnej opierają się na współpracy z dziesiątkami zewnętrznych podmiotów. Każdy z nich, uzyskując zdalny dostęp do sieci szpitalnej, staje się potencjalnym wektorem ataku. Usługi kluczowe są więc zależne od poziomu zabezpieczeń najsłabszego dostawcy w łańcuchu, co ustawa o KSC stara się uregulować, wymuszając weryfikację kontrahentów. Odpowiednie cyberbezpieczeństwo szpitala wymaga więc uszczelnienia nie tylko własnej sieci, ale i kanałów dostępu dla firm trzecich.

Scenariusz 1: Blackout informacyjny – gdy szpital przestaje leczyć

Aby zrozumieć wagę problemu, należy przeanalizować hipotetyczny, lecz wysoce prawdopodobny scenariusz ataku ransomware na powiatowy szpital w Polsce.
W wyniku otwarcia zainfekowanego załącznika w dziale kadr, złośliwe oprogramowanie szyfruje główny system informatyczny szpitala (HIS) oraz serwery PACS.

atak cybernetyczny na system dziedzinowy szpitala

Konsekwencje są natychmiastowe. Szpitalny Oddział Ratunkowy (SOR) traci możliwość rejestracji pacjentów. Laboratorium diagnostyczne nie może przesłać wyników badań, gdyż serwisy szpitala odpowiedzialne za wymianę danych są „martwe”. Lekarze nie widzą, jakie leki zostały zlecone pacjentom na OIOM. Dyrekcja staje przed dylematem: ewakuować pacjentów czy leczyć ich „na ślepo”.
Taki paraliż może trwać tygodniami, generując straty, z których placówka może się już nie podnieść. W takim scenariuszu widać wyraźnie, że cyberbezpieczeństwo szpitala jest de facto elementem procedury ratowania życia. Nowoczesne zarządzanie bezpieczeństwem szpitala powinno uwzględniać tego typu sytuacje i dążyć do niwelowania ryzyka wystąpienia tego typu sytuacji oraz ograniczania skutków, gdy taki atak będzie miał miejsce.

Scenariusz 2: Tożsamość na sprzedaż – drugie życie skradzionych danych

Drugi scenariusz dotyczy „cichego” wycieku danych medycznych. Hakerzy włamują się do bazy danych (systemu HIS) i kradną kompletne rekordy medyczne tysięcy Polaków. Skradzione bazy trafiają na aukcje w Dark Webie, prowadząc do zjawiska kradzieży tożsamości.

sprzedaż danych medycznych w dark web

Jednak znacznie groźniejszy jest szantaż celowany. Ofiary otrzymują wiadomości z żądaniem okupu pod groźbą ujawnienia ich wrażliwego stanu zdrowia. Szpital,
który dopuścił do takiego wycieku, nie tylko mierzy się z karami administracyjnymi przez Urząd Ochrony Danych Osobowych, ale staje w obliczu setek pozwów cywilnych. Ochrona danych medycznych nie jest wyłącznie kwestią IT, a staje się kwestią fundamentalnego bezpieczeństwa socjalnego obywateli.

Standaryzacja cyberbezpieczeństwa szpitala i ciągła ewolucja zagrożeń

Przedstawione incydenty z Francji, Hiszpanii czy Polski dobitnie dowodzą, że ataki na infrastrukturę medyczną nie są epizodycznymi zdarzeniami. Stały się one elementem rzeczywistości, w której funkcjonują podmioty lecznicze. Niezależnie od przyjętego celu ataku, czy jest to paraliżujące szyfrowanie danych (ransomware), czy naruszenie ich poufności ostateczną ofiarą zawsze pozostaje pacjent oraz szpital jako element infrastruktury krytycznej państwa.
Dlatego ustawę o Krajowym Systemie Cyberbezpieczeństwa (KSC) należy interpretować nie jako kolejny wymóg administracyjny, lecz jako niezbędne narzędzie standaryzujące poziom bezpieczeństwa jednostek ochrony zdrowia w całej Polsce. Przepisy te mają na celu ochronę nas wszystkich, ponieważ historia choroby każdego obywatela jest zasobem, który nigdy nie powinien trafić w niepowołane ręce.

Należy mieć jednak świadomość, że cyberzagrożenia to zjawisko dynamiczne, podlegające nieustannej ewolucji. W obliczu zmieniających się technik hakerskich i rozwoju sztucznej inteligencji, osiągnięcie stanu stuprocentowego bezpieczeństwa jest celem nieosiągalnym.
Możliwe jest jednak skuteczne zarządzanie ryzykiem. Kluczem do stabilności placówki nie jest wiara w niezawodność systemów, lecz wdrożenie procedur,
które pozwolą wykryć atak na wczesnym etapie, zniwelować jego skutki i zapewnić ciągłość działania.

W Coongi wspieramy szpitale w tym procesie, przenosząc punkt ciężkości z reagowania na zapobieganie. Pomagamy zbudować system odporności cyfrowej,
który wykracza poza kwestie technologiczne, obejmując audyty bezpieczeństwa, procedury i szkolenia personelu.

Sprawdź Audyt zero
Sprawdź Audyt zero