Debata zorganizowana 5 listopada 2026 roku dotyczyła tego, jak szpitale wykorzystały w ostatnim roku środki przeznaczone na poprawę bezpieczeństwa, z jakimi problemami mierzą się po zakończeniu projektów inwestycyjnych oraz jak łączyć cyberbezpieczeństwo z ochroną fizyczną placówek. Była kontynuacją debaty sprzed pół roku, w której uczestniczyli również przedstawiciele Ministerstwa Cyfryzacji, MSWiA i Rządowej Agencji Rezerw Strategicznych.
Zapoznaj się z relacją z kwietniowej debaty: kliknij
Wówczas dyrektorzy szpitali przedstawiali administracji publicznej swoje doświadczenia i potrzeby. Tym razem rozmowa koncentrowała się na tym, co udało się już wdrożyć i jak zapewnić trwałość tych działań.
Na zdjęciu od lewej: Dr n. med. Marek Migdał – Dyrektor – Instytut ”Pomnik-Centrum Zdrowia Dziecka”,
Wioletta Śląska-Zyśk – Dyrektor Warmińsko-Mazurskiego Centrum Chorób Płuc w Olsztynie,
Paweł Dobrzański, Chief Defence Advisor, T-Mobile Polska,
Dr n. med. Marek Tombarkiewicz – Dyrektor Szpitala Świętego Ducha w Sandomierzu,
Marcin Malinowski, wydawca Raportu „Zdrowa Przyszłość-Inspiracje”.
Marcin Malinowski: Dzień Dobry. Zacznijmy od tego, jakie inwestycje i zakupy z KPO udało się zrealizować w ostatnich miesiącach w obszarze bezpieczeństwa? Jakie inwestycje i rozwiązania zostały już zrealizowane, a jakie są w trakcie wdrażania?
Wioletta Śląska-Zyśk: Zrealizowaliśmy duży projekt finansowany z KPO o wartości 14 mln zł. Dzięki tym środkom mogliśmy zaspokoić najpilniejsze potrzeby. W ostatnich latach inwestycji w ochronie zdrowia było niewiele, dlatego pieniądze przeznaczyliśmy przede wszystkim na wymianę sprzętu komputerowego. W części placówek pracowały jeszcze komputery z systemem Windows 10. Zakupiliśmy także serwery i podstawowe wyposażenie, które poprawiły poziom zabezpieczeń.
Dr n. med. Marek Migdał:
Nasz instytut jest rozległym kompleksem: obejmuje 31 budynków, zatrudnia 2800 pracowników, a każdego roku leczą się u nas setki tysięcy dzieci. W ramach środków na cyfryzację i cyberbezpieczeństwo pozyskaliśmy 10 mln zł.
Część pieniędzy przeznaczyliśmy na rozwiązania zabezpieczające, a część na narzędzia ułatwiające pacjentom poruszanie się po placówce. Połowa naszych pacjentów przyjeżdża spoza województwa. Z ankiet wynikało, że przy pierwszej wizycie źródłem stresu często nie jest sama procedura medyczna, lecz obawa, czy uda się znaleźć właściwy gabinet. Dlatego przy wejściach udostępniliśmy awatary oraz wirtualny, trójwymiarowy model szpitala, który pomaga dotrzeć do konkretnego miejsca.
Dr n med. Marek Tombarkiewicz:
Środki na cyberbezpieczeństwo pozwoliły nam wykonać duży skok technologiczny: wymienić sprzęt i wdrożyć zabezpieczenia. To była podstawa. Realizujemy także drugi projekt ze środków unijnych, przy wsparciu urzędu marszałkowskiego i z udziałem własnym. Pozwala on przeprowadzić kolejny etap prac. Tam, gdzie było to możliwe, kupowaliśmy sprzęt z trzy- lub pięcioletnią gwarancją.
W wielu rozmowach o projektach finansowanych z KPO powraca jednak zastrzeżenie, że dofinansowanie pozwala kupić sprzęt i wdrożyć systemy, ale nie zawsze zapewnia środki na ich późniejsze utrzymanie. Czy takie projekty nie tworzą więc nowych zobowiązań dla szpitali? Kto ma finansować licencje, serwis, audyty, szkolenia i utrzymanie infrastruktury po zakończeniu dofinansowania?
Wioletta Śląska-Zyśk:
To jest właśnie problem. Projekty nie zapewniają kontynuacji finansowania. W okresie trwałości inwestycji powinniśmy mieć środki na szkolenia personelu i utrzymanie infrastruktury kupionej z dofinansowania. Tymczasem szpitale i samorządy z obszarów przygranicznych, takich jak nasz, nie otrzymały dodatkowego, dedykowanego wsparcia na ten cel. Jesteśmy wdzięczni za pozyskane środki i wykorzystaliśmy je na najpilniejsze potrzeby, ale za nowymi obowiązkami powinno iść finansowanie.
Potrzebujemy pieniędzy nie tylko na sprzęt, lecz także na jego utrzymanie i szkolenia.
Marek Migdał:
Dofinansowanie było ważne, ale jednorazowe. Przykładowo, na jedno z rozwiązań cyberbezpieczeństwa musimy przeznaczać około 2 mln zł rocznie na licencję. Każdy szpital będący beneficjentem programu musiał również sfinansować VAT. W naszym przypadku oznaczało to ponad 2 mln zł dodatkowych wydatków z własnych środków.
Finansowanie otrzymywane z NFZ nie pozwala łatwo pokrywać takich kosztów.
Jako instytut bezpośrednio podległy ministrowi zdrowia nie otrzymujemy od naszego organu założycielskiego odrębnych środków na cyberbezpieczeństwo. Widzimy różnice w dostępie do finansowania. Szpitale samorządowe mogą korzystać ze wsparcia swoich właścicieli. Podczas jednego ze spotkań przedstawiciel dużego szpitala samorządowego mówił, że w ciągu trzech lat placówka zainwestowała 70 mln zł w infrastrukturę, z czego 44 mln zł pochodziły z dofinansowania samorządowego. My pozyskaliśmy z KPO 10 mln zł.
Marek Tombarkiewicz:
Trzeba jednak pamiętać, że samorząd samorządowi nierówny. Placówki powiatowe znacznie rzadziej otrzymują podobną pomoc. Znam codzienne problemy dyrektorów szpitali powiatowych i wiem, jak trudno jest znaleźć środki na kolejne zadania.
Wdrożenie zabezpieczeń to dopiero początek. Później trzeba utrzymywać systemy, opłacać licencje i zapewniać dalszy rozwój infrastruktury. Nie wszystko można kupić z kilkuletnią gwarancją. Potrzeby są znacznie większe, bo przepisy się zmieniają, pojawiają się nowe zagrożenia, a placówki muszą reagować także na ryzyka, których nie obejmują jeszcze obowiązujące regulacje. Perspektywa karania dyrektora za niedopełnienie kolejnych obowiązków, bez zapewnienia odpowiednich środków, budzi poważne wątpliwości.
Jeśli pieniędzy na bezpieczeństwo jest mniej, niż wynoszą potrzeby, trzeba również zastanowić się, jak je wydawać. Czy odpowiedzią musi być zakup własnego sprzętu? Czy szpitale powinny częściej rozważać rozwiązania centralne, regionalne albo korzystanie z usług wyspecjalizowanych operatorów?
Paweł Dobrzański: Jednym z efektów ostatnich rozmów jest wzrost świadomości dotyczącej dostępnych rozwiązań i możliwości ich wykorzystania. Dyskusje stają się bardziej konkretne. Łatwo kupić urządzenie lub pakiet rozwiązań, ale sama nazwa produktu nie oznacza, że jest on optymalny dla danego szpitala. Trzeba sprawdzić, czy odpowiada rzeczywistym potrzebom placówki.
Rola dyrektora szpitala jest trudna, bo musi on godzić potrzeby placówki z wymaganiami bezpieczeństwa. Nakłady w tym obszarze są bardzo wysokie. Jako przykład można przywołać wydatki dużego operatora telekomunikacyjnego, które w ostatnim okresie szacowano na 350-500 mln zł. Szpitale nie są w stanie przeznaczyć na bezpieczeństwo podobnych kwot. Dlatego tak ważna jest rozsądna optymalizacja. Zanim placówka coś kupi, powinna przeanalizować potrzeby i skonsultować wybór.
Nie zawsze sensowne jest budowanie dużych magazynów sprzętu, który będzie się starzał i może okazać się niekompatybilny z używanymi systemami. Warto rozważyć korzystanie z usług wyspecjalizowanych operatorów, którzy dysponują nowoczesnymi i zabezpieczonymi centrami przetwarzania danych. Można w nich korzystać z przestrzeni dyskowej i mocy obliczeniowej bez konieczności samodzielnego utrzymywania całej infrastruktury.
Przy podejmowaniu decyzji trzeba porównać pełne koszty: zakup sprzętu, energię, licencje oraz wynagrodzenia administratorów i specjalistów, których na rynku trudno pozyskać i których praca jest kosztowna. Korzystanie z chmury może ograniczyć te wydatki. O tym aspekcie mówili Państwo w swoich wystąpieniach. Operator rozkłada koszty infrastruktury na wielu klientów, a nie na jedną placówkę.
Rozmowa o bezpieczeństwie często koncentruje się na systemach informatycznych, atakach hakerskich. Tymczasem szpitale i operatorzy infrastruktury mierzą się również z zagrożeniami fizycznymi. Niedawne podpalenie stacji transformatorowej pokazało, że infrastruktura może być celem bezpośredniego ataku. Jak oceniają Państwo to ryzyko?
Paweł Dobrzański: Incydenty dotyczące bezpieczeństwa fizycznego są bardzo poważne. W tym roku mieliśmy pięć przypadków wtargnięcia na teren obiektów związanych z centrami przetwarzania danych. Dochodzi także do oznaczania infrastruktury krytycznej. Takie działania trzeba obserwować i odpowiednio wcześnie wykrywać.
Nie da się zapewnić bezpieczeństwa przez nieprzerwane obserwowanie wszystkich kamer przez całą dobę. Dlatego potrzebne są systemy elektroniczne, także wykorzystujące sztuczną inteligencję, które wykrywają nietypowe i potencjalnie niebezpieczne sytuacje. Dzięki nim można szybciej reagować na próby wtargnięcia.
O bezpieczeństwie fizycznym mówi się znacznie rzadziej niż o cyberbezpieczeństwie, choć skala zagrożeń może być równie poważna. Warto uwzględniać je w planowaniu ochrony szpitali i innych obiektów krytycznych. Mamy w tym obszarze doświadczenia i możemy doradzać operatorom infrastruktury.
Marek Migdał: Chciałbym uzupełnić ten wątek o przykład naszego instytutu. Jeden z docenionych projektów dotyczy właśnie zabezpieczenia fizycznego obiektu. Zajmujemy teren o powierzchni 18 hektarów, na którym znajduje się 31 budynków. Z własnych środków zainwestowaliśmy w ponad 400 kamer, system kontroli dostępu do wyznaczonych stref oraz rozwiązania monitoringu połączone ze sztuczną inteligencją.
Dzięki temu dwóch pracowników ochrony pełniących nocny dyżur może skuteczniej nadzorować cały teren. Bez wsparcia technologicznego nie byłoby to możliwe. Trzeba brać pod uwagę, że atak fizyczny może być powiązany z próbą uzyskania dostępu do systemów informatycznych. Dlatego oba obszary bezpieczeństwa należy traktować łącznie.
Pani Dyrektor, gdyby pojawiły się nowe możliwości finansowania, jakie potrzeby znalazłyby się na liście priorytetów? I co jeszcze, poza zakupem sprzętu, jest potrzebne, by system zabezpieczeń działał na co dzień?
Wioletta Śląska-Zyśk: Nadal potrzebujemy sprzętu, ale przede wszystkim środków na audyty wymagane do utrzymania infrastruktury i zabezpieczeń. Istotne są również rozwiązania wykorzystujące sztuczną inteligencję do wykrywania zagrożeń przez całą dobę. Warto rozważyć współpracę z dostawcami systemów bezpieczeństwa i taki podział odpowiedzialności, który nie pozostawia całego ciężaru po stronie szpitala.
Nie możemy skupiać się wyłącznie na dużych systemach. Praktycznie każde urządzenie ma dziś dostęp do internetu, a przez pozornie niewielki element można dostać się do sieci. Dlatego równie ważne są procedury i szkolenia pracowników. Trzeba umieć zweryfikować osobę, która zgłasza awarię lub podaje się za serwisanta. W przywołanym przykładzie ktoś, przedstawiając się jako pracownik operatora telekomunikacyjnego i wykorzystując informację o problemie z siecią, mógł zostać wpuszczony do budynku. Takie sytuacje pokazują, że szkolenia muszą obejmować również pracowników portierni i odbywać się w sposób dostosowany do organizacji pracy, także poza standardowymi godzinami. To również wymaga finansowania.
Marcin Malinowski: Dziękuję za te opinie.
Powyższy zapis jest zredagowaną wersją dyskusji, która odbyła się 5.11.2026 roku w ramach Gali 9. edycji Konkursu „Zdrowa Przyszłość-Inspiracje”. Zdjęcia: Andrzej Różycki. Wykorzystywanie zdjęć i treści bez zgody Idea Trade – zabronione.
