Jak powstała Koalicja

Koalicja na rzecz Cyberbezpieczeństwa w Ochronie Zdrowia została zainaugurowana 29 maja 2024 r. w Warszawie, w siedzibie Naczelnej Izby Lekarskiej. Inicjatorem była Fundacja Healthcare Poland, a współtwórcami — Centralny Ośrodek Badań, Innowacji i Kształcenia NIL (NIL IN), Polska Federacja Szpitali oraz Krajowa Izba Domów Opieki. W inauguracji uczestniczyli m.in. dr Artur Drobniak (prezes ORL w Warszawie, dyrektor COBIK NIL), prof. Jarosław J. Fedorowski (prezes PFSz), Roman Łożyński (dyrektor Centrum Informatyki Resortu Finansów) i Michał P. Dybowski (prezes Fundacji Healthcare Poland).

Cele przyjęte przy powołaniu Koalicji pozostają aktualne: edukacja personelu medycznego i kadry zarządzającej, wypracowanie standardów cyberbezpieczeństwa dla szpitali, audyty oraz rozszerzenie pracy o bezpieczeństwo infrastruktury i telemedycyny.

Pisali o nas w okresie powstania Koalicji

Co już powstało

Dane według komunikatu prasowego Fundacji Healthcare Poland z 8 lipca 2026 r.

• 29 maja 2024Inauguracja Koalicji w Warszawie.
• wrzesień–październik 2024Szkolenia „NIS2 i cyberbezpieczeństwo w ochronie zdrowia” dla dyrektorów, zespołów IT, prawników i działów zamówień — m.in. Białystok (30.09) i Szczecin (16.10); w kolejnych edycjach także Łódź i Poznań.
• 28 listopada 2024Sesja #CyberC4HE z dyrektorami szpitali podczas 13. Kongresu PFSz w Warszawie — rekomendacja uwierzytelniania dwuskładnikowego i fizycznych kluczy bezpieczeństwa; uczestnicy otrzymali 100 kluczy sprzętowych.
• luty 2025Przystąpienie Zakładu Ubezpieczeń Społecznych.
• luty 2026Raport o otwartych i bezpiecznych systemach szpitalnych (HIS) w kontekście NIS2 i EHDS oraz stanowisko skierowane do Ministerstwa Zdrowia w sprawie uniezależniania szpitali od pojedynczych dostawców oprogramowania (vendor lock-in).
• 13 kwietnia 2026Warsztaty strategii cyberbezpieczeństwa w Urzędzie Marszałkowskim Województwa Pomorskiego — dyrektorzy i szefowie IT podmiotów leczniczych przy jednym stole z Centrum e-Zdrowia; kierunek: regionalny model SOC i usług wspólnych.
• 19 czerwca 2026Warsztaty cyberbezpieczeństwa dla szpitali województwa podlaskiego w SP Psychiatrycznym ZOZ w Choroszczy — ścieżka zgodności NIS2/KSC, modele usług IT, bezpieczna łączność, szkolenia w formule de minimis.
• 30 września 20268. Forum Cyberbezpieczeństwa (PKiN, Warszawa) — Piotr Welenc, Dyrektor Departamentu Jakości, Audytu i Certyfikacji HCPL, panelistą sesji o cyberbezpieczeństwie łańcuchów dostaw ICT, na zaproszenie Wicepremiera, Ministra Cyfryzacji.
• jesień 2026Hospital & Healthcare Management oraz Jesienna Konferencja Programowa PFSz — warsztaty, prace zespołów roboczych i raport edycji 2026.

Stan prawny — aktualizacja 2026

Analiza i rekomendacje zamieszczone niżej na tej stronie pochodzą z lat 2024–2025 i opisują stan sprzed nowelizacji. Zgodność z przepisami nie jest tożsama z odpornością — Koalicja pracuje nad jednym i drugim.

Perspektywa wojewódzka — województwo pomorskie

W 2026 r. Koalicja sprawdziła swoje rekomendacje na poziomie regionu. 13 kwietnia 2026 r. Departament Zdrowia Urzędu Marszałkowskiego Województwa Pomorskiego przeprowadził warsztaty strategii cyberbezpieczeństwa szpitali wspólnie z Fundacją Healthcare Poland, Polską Federacją Szpitali i Centrum e-Zdrowia (CSIRT CeZ), z firmą Ricoh jako partnerem technologicznym. Raport przygotowany przez Fundację został uzupełniony po konsultacji z Departamentem Cyfryzacji UMWP (9 czerwca 2026 r.) i jego pisemnych uwagach, a Urząd zaakceptował wersję 2.2 w dniu 9 lipca 2026 r. jako podstawę przekazania raportu podmiotom leczniczym województwa.

Źródła: CSIRT CeZ (incydenty, monitorowanie podatności); raport PTKOZ, wrzesień 2025 r. (znajomość ustawy o KSC) — za raportem z warsztatów.

Wnioski z perspektywy wojewódzkiej

1. Zegar zgodności tyka na poziomie województwa, nie tylko w każdym szpitalu. Samoidentyfikacja do 3 października 2026 r., system zarządzania bezpieczeństwem do 3 kwietnia 2027 r. i pierwsze audyty od 3 kwietnia 2028 r. dotyczą jednocześnie wszystkich podmiotów podległych samorządowi. Regionalny zespół koordynujący (Departament Zdrowia, Departament Cyfryzacji, CSIRT CeZ, eksperci) pozwala przejść ten proces razem, a nie każdemu osobno.
2. Skala jest warunkiem wejścia. Pojedynczy szpital wojewódzki czy powiatowy nie utrzyma własnego profesjonalnego SOC, audytorów wewnętrznych i pełnego zestawu narzędzi. Wspólny SOC świadczony jako usługa (managed SOC) Departament Cyfryzacji ocenił jako atrakcyjny i realny.
3. Najpierw to, co da się dowieźć przed 2028 r. Konsultacja pokazała, że pełne wspólne centrum danych jest trudne do osiągnięcia do kwietnia 2028 r. i musi uwzględniać koszty migracji. Priorytetem na najbliższy czas są więc prostsze rozwiązania o natychmiastowym efekcie: wspólna chmura backupowa w zasadzie 3-2-1, testowane odtwarzanie i wspólny zakup licencji.
4. Trzy rodzaje luk, trzy rodzaje odpowiedzi. Luki organizacyjne (polityki, analiza ryzyka, role), luki usługowe (monitorowanie i reagowanie) oraz klasyczne luki sprzętowo-programowe (brak zapór, przestarzały sprzęt) wymagają innych narzędzi — wersja 2.2 raportu ma osobną sekcję o organizacyjnej warstwie bezpieczeństwa.
5. Najpierw ludzie, potem technologia. Większość incydentów zaczyna się od człowieka — kliknięcia, prywatnej poczty, słabego hasła. Uwierzytelnianie wieloskładnikowe, regularne szkolenia z cyberhigieny i kultura zgłaszania bez szukania winnych (Just Culture) to najtańsze i najskuteczniejsze zabezpieczenia.
6. Cyberbezpieczeństwo to koszt operacyjny, nie jednorazowy projekt. Region popiera włączenie komponentu cyberbezpieczeństwa do wyceny świadczeń zdrowotnych. Szpitale psychiatryczne i stacje pogotowia ratunkowego zostały pominięte we wcześniejszych dotacjach na cyberbezpieczeństwo i wymagają ukierunkowanego wsparcia.
7. Innowacje przez piaskownice, nie przez doraźne pilotaże. Nowe rozwiązania AI, MedTech i cyber powinny być testowane w kontrolowanym środowisku — m.in. w laboratorium testowym Black Box Fundacji Healthcare Poland i Polish Air Force Academy – Dęblin (LAW, Lotnicza Akademia Wojskowa).
8. Decyzje pozostają przy podmiotach leczniczych i Samorządzie Województwa. Raport wyznacza kierunek; o tym, czy i jak wdrożyć każdą rekomendację, decydują samodzielne podmioty lecznicze i Samorząd Województwa Pomorskiego. Fundacja działa jako partner ekspercki.

Dalsze kroki w regionie: druga, skoncentrowana na potrzebach ankieta jednostek prowadzona przez Departament Cyfryzacji; prezentacja na żywo bezpłatnej platformy Fundacji do zarządzania zgodnością (NIS2/KSC); wojewódzki benchmark dojrzałości oparty na samoocenie ENISA.

Co z doświadczenia pomorskiego wynika dla innych regionów: obowiązki z ustawy o KSC są indywidualne, ale zdolność do ich spełnienia można budować wspólnie. Samorząd województwa jako podmiot tworzący to naturalny poziom dla usług wspólnych, wspólnych zakupów i jednego kanału dialogu z CSIRT CeZ.

Dołącz do Koalicji

Koordynator Koalicji: Michał P. Dybowski, Prezes Zarządu Fundacji Healthcare Poland · centrum@healthcarepoland.pl · tel. +48 787 000 827

Zamknięcie 2025 — bilans celów krótkoterminowych

Harmonogram z 2024 r. zakładał na 2025 r. trzy cele. Poniżej ich rozliczenie i to, co z nich wynika na kolejne lata.

Liczba uczestników — komunikat prasowy Fundacji Healthcare Poland z 8 lipca 2026 r.

Informacja do szpitali PFSz o szkoleniach

W październiku 2026 r. informacja o szkoleniach finansowanych z pomocy de minimis trafiła do około 900 przedstawicieli dyrekcji i kadr szpitali zrzeszonych w Polskiej Federacji Szpitali i z nią współpracujących.

Szkolenia dostępne teraz w ramach pomocy de minimis

Szpital działający jako spółka prawa handlowego może przeszkolić kadry bez obciążania budżetu placówki — w programach operatorów nawet w 100%. Limit pomocy de minimis wynosi 300 000 EUR na przedsiębiorstwo w okresie trzech lat (rozporządzenie Komisji (UE) 2023/2831); dostępny limit sprawdzamy za szpital na podstawie NIP w SUDOP. Sytuację SPZOZ wpisanego do KRS oceniamy indywidualnie.

• Cyberbezpieczeństwo i NIS2 — 23 h szkolenia połączonego z indywidualnym doradztwem, dla zarządu, IT i bezpieczeństwa informacji (program operatora, pomoc de minimis).
• NIS2 dla szpitali — 16 h szkoleń online i 15 h doradztwa: analiza luki, warsztat ryzyk, plan naprawczy, konsultacje przedaudytowe (Akademia HCPL; de minimis, KFS lub BUR).
• CyberC4HE Essentials (20 h) i ćwiczenia tabletop dla kadry zarządzającej (8 h) — dla szpitali członkowskich PFSz w ramach składki.
• Pozostałe programy de minimis dla kadr szpitala: dostępność w ochronie zdrowia (0 zł, do 32 h), dostępność dla biznesu PARP (0 zł, 24 h + 15 h doradztwa), specjaliści gospodarki o obiegu zamkniętym i ESG (0 zł, 26 h).

Zgłoszenie jest niewiążące i zajmuje około 5 minut. Operator programów szkoleniowych: Związek Pracodawców IZOB — rozmowa telefoniczna: +48 602 657 062. Informacje o finansowaniu mają charakter orientacyjny; ostateczne warunki określa umowa z operatorem lub urzędem pracy.