Według bilansu Ministerstwa Zdrowia do końca września 2026 roku CSIRT Centrum e-Zdrowia odnotował 1379 incydentów w sektorze ochrony zdrowia. Ministerstwo Zdrowia opublikowało bilans 1 października. Liczba jest bliska 1441 zdarzeniom z całego 2025 roku. Zestawienie pokazuje duże obciążenie zespołu, lecz nie pozwala samodzielnie wyliczyć wzrostu wszystkich ataków na szpitale. Znaczenie mają także skuteczność wykrywania, zgłaszanie i przyjęty sposób klasyfikacji.

Dziewięć miesięcy i pełny rok to różne okresy

Porównanie 1379 incydentów ze stycznia–września z 1441 z dwunastu miesięcy poprzedniego roku może wskazywać kierunek, ale nie jest bilansem rok do roku. Październik, listopad i grudzień 2026 jeszcze nie znalazły się w zestawieniu. Nie dopisujemy prognozowanego wyniku jako liczby zdarzeń już potwierdzonych.

Ministerstwo przypomina także o 251 incydentach w 2022 roku. Różnica względem późniejszych lat jest duża. Nie wiadomo jednak z samego komunikatu, jak w każdym okresie zmieniała się kompletność zgłoszeń i dostępność monitoringu. Więcej wykrytych zdarzeń może oznaczać zarówno większą skalę zagrożeń, jak i lepsze rozpoznanie istniejących problemów.

Nie należy utożsamiać liczby incydentów z liczbą poszkodowanych placówek. Jedna jednostka może mieć kilka zdarzeń, a pojedynczy problem u dostawcy może dotyczyć różnych odbiorców. Komunikat nie podaje zestawienia pozwalającego obliczyć udział wszystkich szpitali objętych incydentem. Podobnie nie wyznacza liczby pacjentów, których dane ujawniono.

Phishing i podatne usługi dominują w zestawieniu

Dla 2025 roku resort wymienia 580 oszustw komputerowych, w tym phishing, i 344 przypadki podatnych usług. Razem odpowiadają one za około 64 proc. wskazanej liczby zdarzeń. Dodatkowo odnotowano 148 wycieków poświadczeń i 146 przypadków szkodliwego oprogramowania. Dane te dotyczą poprzedniego roku, nie podziału 1379 incydentów z 2026.

Poświadczenia umożliwiają dostęp do systemu, więc ich ujawnienie wymaga innej reakcji niż samo podejrzane pismo w skrzynce. Podatna usługa również nie jest automatycznie potwierdzeniem kradzieży dokumentacji. Różne kategorie pokazują, dlaczego zbiorcze słowo „atak” może ukrywać bardzo odmienne problemy i potrzeby naprawy.

Dla placówki medycznej znaczenie ma ciągłość świadczeń. Bezpieczeństwo obejmuje zarówno poufność informacji, jak i możliwość korzystania z systemu wtedy, gdy jest potrzebny. Przywrócenie działania aplikacji nie musi kończyć analizy danych, które mogły zostać ujawnione. Z kolei każda awaria nie powinna być automatycznie opisywana jako potwierdzony cyberatak.

Zalecenia dla dostawców mają stać się wymogiem

CSIRT CeZ przygotował zalecenia bezpieczeństwa dla dostawców oprogramowania i przekazał je do wdrożenia 16 września. Obejmują zarządzanie bezpieczeństwem, ochronę danych, architekturę systemu, uwierzytelnianie i obsługę incydentów. Ministerstwo opisuje przygotowanie ich jako wymogu prawnego na podstawie art. 8b ustawy o systemie informacji w ochronie zdrowia jako kolejny krok.

To istotna różnica etapu. Rozpowszechnienie zaleceń nie dowodzi, że planowany obowiązek prawny już wszedł w życie. Nie potwierdza też, że każdy producent wdrożył wszystkie rozwiązania. Do oceny realizacji potrzebne będą informacje o ostatecznym dokumencie, jego zakresie i sposobie sprawdzania wykonania.

Współpraca z dostawcą ma znaczenie, ponieważ placówka nie zawsze samodzielnie kontroluje cały system. Trzeba wiedzieć, kto utrzymuje oprogramowanie, jak zgłosić problem i kto przywraca usługę. Ogólny komunikat nie ujawnia treści umów poszczególnych szpitali. Nie daje więc podstaw do przypisania konkretnej firmie odpowiedzialności za opisane statystyki.

Organizacja bezpieczeństwa wymaga więcej niż deklaracji

W badaniu z przełomu 2025 i 2026 roku 76 proc. jednostek deklarowało wdrożenie systemu zarządzania bezpieczeństwem informacji. Jednocześnie ponad 28 proc. nie miało opublikowanej polityki bezpieczeństwa, a około 29 proc. dyrektorów nie wykonywało regularnych przeglądów oceny ryzyka. Komunikat nie podaje pełnej charakterystyki próby.

Nie traktujemy tych procentów jako dokładnego wyniku wszystkich polskich podmiotów medycznych. Pokazują odpowiedzi jednostek objętych badaniem. Przydatność wniosku zależy od sposobu doboru uczestników i definicji pytań. Bez tych informacji trudno porównywać wynik z innymi analizami lub ustalać tempo poprawy całego sektora.

Deklaracja posiadania systemu nie mówi też, czy personel potrafi zastosować procedurę w czasie awarii. W praktyce trzeba sprawdzić komunikację, dostęp do kopii i podział odpowiedzialności. Są to przykłady obszarów oceny organizacyjnej. Nie twierdzimy, że wszystkie badane jednostki miały w nich taki sam problem.

Dwa oficjalne serwisy pokazują różne liczby

Podczas sprawdzania źródeł 11 października strona główna CSIRT CeZ prezentowała 946 zarejestrowanych incydentów w 2026 roku. To inna liczba niż 1379 w datowanym komunikacie resortu. Oba serwisy podawały 1441 dla 2025 roku. Bez wyjaśnienia daty aktualizacji i zakresu licznika nie można uznać obu wartości z 2026 roku za zgodne ani wyliczać na ich podstawie dokładnej dynamiki. Artykuł opisuje bilans ministerstwa i ujawnia tę rozbieżność, zamiast rozstrzygać jej przyczynę bez danych.

Finansowanie, wsparcie i granice bilansu

Ministerstwo podaje, że w 2025 roku CSIRT CeZ otrzymał 13 mln zł dofinansowania z KPO. Środki wspierają kompetencje, sprzęt, działania edukacyjne i przegląd procedur. Zespół dysponuje także specjalistycznym pojazdem do odtwarzania podstawowych usług teleinformatycznych. To opis zasobów; komunikat nie przedstawia pełnego niezależnego rozliczenia ich wykorzystania.

Stan wiedzy na 11 października obejmuje bilans i zapowiedzi przekazane przez Ministerstwo Zdrowia. Nie ma w przywołanym materiale audytu wszystkich placówek ani szczegółowego wykazu incydentów. Najbardziej ostrożny wniosek dotyczy rosnącej liczby zdarzeń rozpoznawanych i obsługiwanych przez zespół. Ich rzeczywiste przyczyny, wpływ na pacjentów i rezultat wdrożeń wymagają bardziej szczegółowych danych.

Liczby szkoleń i ostrzeżeń należy również oceniać osobno. Liczba uczestników pokazuje zasięg działania edukacyjnego, a liczba opisanych podatności zakres pracy analitycznej. Ich dodanie nie tworzy jednego wskaźnika skuteczności. Do jej oceny potrzebne byłyby informacje, czy zalecenia wdrożono i czy ograniczyły skutki konkretnych zdarzeń.

Źródła

Stan wiedzy: 11 października 2026 roku. Materiały sprawdzono przed zaplanowaniem publikacji.

Źródła obrazów

Szafy serwerowe w NOIRLab; ilustracja infrastruktury informatycznej, nie obiekt CSIRT ani szpital. Autor: NOIRLab/NSF/AURA/T. Slovinský. Strona pliku w Wikimedia Commons. Licencja: Creative Commons Uznanie autorstwa 4.0 Międzynarodowe. Zmniejszono rozdzielczość; bez kadrowania i retuszu.

Dołącz do dyskusji

Dodaj komentarz

Adres e-mail nie będzie widoczny publicznie. Komentarze pojawiają się automatycznie i są sprawdzane przez filtr antyspamowy.