Od listu intencyjnego do dyżuru w ciemności. Jak Healthcare Poland operacjonalizuje odporność szpitali

Listy intencyjne z Lotniczą Akademią Wojskową w Dęblinie nazwały kierunek. Ten tekst pokazuje, co dzieje się dalej: jak Fundacja Healthcare Poland, jako oś operacyjna partnerstwa z Polską Federacją Szpitali i Szkołą Orląt, zamienia wiedzę o działaniu w warunkach zakłóceń w ścieżkę, którą szpital może przejść krok po kroku, i w narzędzia, które pacjent odczuje przy łóżku w najgorszą noc szpitala.

Michał P. Dybowski — Prezes Zarządu i współzałożyciel Fundacji Healthcare Poland; koordynator Koalicji na rzecz Cyberbezpieczeństwa w Ochronie Zdrowia CyberC4HE. Opracowanie na podstawie tekstu „Szkoła Orląt i szpital w ciemności” (dybowski.co, Polska Odporna).

Ta sama noc, inne pytanie

Wtorek, 02:05. Szpital powiatowy, około trzystu łóżek. Operator telekomunikacyjny traci łączność, a w tym samym czasie ktoś, kto od kilku dni przebywał w sieci szpitala, szyfruje serwery systemu szpitalnego, laboratorium i pracowni obrazowej. Agregat działa, więc światło jest. Pielęgniarka nie wie jednak, jaką dawkę leku przeciwkrzepliwego pacjentka z sali czwartej otrzymała o północy. To scenariusz ilustracyjny, który opisaliśmy szerzej w tekście „Szkoła Orląt i szpital w ciemności”, złożony wyłącznie z elementów zdarzeń, które w Europie już się wydarzyły.

Tamten tekst stawiał pytanie, dlaczego odporności szpitala nie zbuduje w pojedynkę ani szpital, ani uczelnia, ani fundacja. To opracowanie stawia pytanie operacyjne: co konkretnie musi się wydarzyć wcześniej, żeby o 02:05 każdy w tym szpitalu wiedział, co robić, i kto w Healthcare Poland odpowiada za każdy z tych kroków. Odpowiedź nie jest jedną usługą. Jest ścieżką, przez którą prowadzą szpital kolejne departamenty Fundacji, z udziałem partnerów, którzy wnoszą to, czego my sami nie mamy.

Przekładnia: rola Healthcare Poland w trójkącie

10 stycznia 2025 r. tego samego dnia podpisano dwa listy intencyjne: Fundacji Healthcare Poland z Lotniczą Akademią Wojskową w Dęblinie oraz Polskiej Federacji Szpitali z tą samą uczelnią. Role rozdzielono wtedy jasno. Akademia przyjęła oś edukacyjno-laboratoryjną. Federacja przyjęła rolę koordynatora pilotaży, wdrożeń i rekomendacji dla sieci ponad 250 szpitali zrzeszonych. Healthcare Poland przyjęła oś operacyjną.

Oś operacyjna to w praktyce funkcja przekładni. Wiedza Dęblina o pracy w warunkach zakłóceń łączności, zagłuszania sygnału satelitarnego i decyzji przy niepełnej informacji nie trafi do szpitala sama. Musi zostać zamieniona na projekt z harmonogramem, na scenariusz ćwiczenia, na kryteria audytu, na umowę i na finansowanie. Z drugiej strony rekomendacja Federacji ma wartość tylko wtedy, gdy stoi za nią sprawdzony wynik w konkretnych szpitalach. Healthcare Poland jest miejscem, w którym jedno przechodzi w drugie.

Departament Bezpieczeństwa i Ochrony Ludności

Sercem tej pracy po stronie Fundacji jest Departament Bezpieczeństwa i Ochrony Ludności, którym kieruje Janusz Janiszewski. Departament zajmuje się tym, co w szpitalu dzieje się, gdy zawodzą rzeczy uznawane za oczywiste: prąd, łączność, systemy informatyczne, dostawy i ludzie na właściwych stanowiskach. Łączy trzy porządki prawne, które w 2026 r. spotkały się w jednym budynku szpitala.

Pierwszy porządek to cyberbezpieczeństwo: zarządzanie ryzykiem, ciągłość działania, kopie zapasowe, łączność awaryjna i zgłaszanie incydentów w rytmie 24 godzin, 72 godzin i miesiąca ¹. Drugi to odporność fizyczna podmiotów krytycznych, którą Polska wdrożyła z opóźnieniem i która dopiero przekłada się na oceny ryzyka i plany odporności ⁴. Trzeci to system ochrony ludności i obrony cywilnej, w którym podmioty lecznicze są elementem zdolności państwa do ochrony obywateli w sytuacjach kryzysowych ⁵. Szpital nie może wdrażać tych porządków osobno, bo w nocy o 02:05 nie przychodzą one osobno.

Zadania Departamentu w partnerstwie z Dęblinem i Federacją są cztery. Po pierwsze, ocena luki, która łączy wymagania cyfrowe, fizyczne i ochrony ludności w jeden obraz, zamiast trzech osobnych raportów. Po drugie, plany ciągłości działania i tryb awaryjny: kto decyduje, jakim kanałem łączności, z jakim zestawem danych i w jakiej kolejności. Po trzecie, scenariusze ćwiczeń, projektowane razem z kadrą Akademii tak, by zakłócenie było warunkiem ćwiczenia, a nie wyjątkiem. Po czwarte, styk z administracją: centrum zarządzania kryzysowego, organ tworzący, zespół reagowania na incydenty, wojewoda. Numer zapasowy szpitala ma być znany po drugiej stronie, zanim będzie potrzebny.

Numer zapasowy szpitala ma być znany po drugiej stronie, zanim będzie potrzebny.

Departament Bezpieczeństwa i Ochrony Ludności HCPL

Ścieżka szpitala: siedem kroków od zgłoszenia do rekomendacji

Dyrektor szpitala, który chce przygotować się do wiosny 2027 r., nie musi wiedzieć, który departament Fundacji czym się zajmuje. Wchodzi jednym oknem i przechodzi siedem kroków. Każdy krok ma właściciela, produkt i miarę.

1. Zgłoszenie. Jedno okno kontaktu: global@healthcarepoland.pl. Koordynacja Zarządu przypisuje opiekuna szpitala na całą ścieżkę.
2. Autodiagnoza. Kwestionariusz Koalicji CyberC4HE oparty na wymaganiach NIS2 i materiałach ENISA. Szpital w kilka godzin widzi własny punkt startu.
3. Ocena luki. Departament Bezpieczeństwa i Ochrony Ludności łączy wynik autodiagnozy z wymaganiami CER i ochrony ludności. Produkt: jedna mapa luk z priorytetami, a nie trzy raporty.
4. Plan i ćwiczenie. Plan ciągłości działania, tryb awaryjny i scenariusz ćwiczenia stolikowego lub funkcjonalnego, projektowany z kadrą Akademii w Dęblinie. Mierzymy czas przełączenia, działanie kanału zapasowego i wiek danych w kopii.
5. Wdrożenie. Zmiany techniczne i organizacyjne. Gdy wymagają nowego rozwiązania, Centrum Innowacji prowadzi je przez piaskownicę; gdy dotyczą danych i systemów, przez komponent Data Governance.
6. Certyfikacja. Centrum Jakości, Audytu i Certyfikacji (CJAiC HCPL) prowadzi audyt według jawnych kryteriów. Pozytywna certyfikacja uprawnia do otrzymania rekomendacji Polskiej Federacji Szpitali.
7. Rekomendacja i powrót. Federacja przekłada doświadczenie szpitala na rekomendację dla sieci. Po sześciu miesiącach szpital wraca do kroku czwartego: drugie ćwiczenie pokazuje, czy luka się zamknęła.

Ścieżka pacjenta: co zmienia się przy łóżku

Pacjentka z sali czwartej nie wie, że szpital przeszedł ocenę luki ani że ma certyfikat. Odczuje to wyłącznie po tym, co dzieje się przy jej łóżku. Dlatego każdy element ścieżki szpitala projektujemy wstecz: od momentu, w którym pacjent mógłby zostać skrzywdzony przez improwizację.

Właściwa dawka leku: warstwa pierwsza danych

Najważniejsze narzędzie dla pacjenta jest zarazem najskromniejsze: kopia awaryjna minimalnego zbioru danych, dostępna bez sieci. Zawiera tożsamość i lokalizację pacjenta, alergie i ostrzeżenia krytyczne, leki aktywne z godziną ostatniego podania oraz zlecenia oczekujące. Na każdym ekranie i wydruku widnieje godzina, z której pochodzą dane. Nic ponad to, bo zasada minimalizacji danych chroni pacjenta także wtedy, gdy w chaosie zginie tablet ⁶. O treści tej warstwy decydują klinicyści Departamentu Lecznictwa, o sposobie ochrony specjaliści CJAiC w ramach Data Governance, a o tym, czy działa, ćwiczenie.

Rodzina, która wie, co się dzieje

W kryzysie najszybciej rośnie niepokój tych, którzy czekają pod drzwiami. Departament Bezpieczeństwa i Ochrony Ludności przygotowuje wzory komunikatów dla bliskich pacjentów na wypadek pracy w trybie awaryjnym, a Akademia HCPL szkoli personel, jak je przekazywać. To drobiazg, który decyduje o zaufaniu do szpitala na lata.

Po zdarzeniu: zgłoszenie i rozmowa, nie spór

Każde zdarzenie, także ćwiczenie, coś ujawnia. W sprawiedliwej kulturze ujawnienie błędu prowadzi do zmiany systemu, a nie do szukania winnego. Gdy pacjent lub rodzina mają poczucie krzywdy, Centrum Mediacji, Koncyliacji i Arbitrażu HCPL oferuje rozmowę prowadzoną przez neutralnego mediatora, zanim sprawa stanie się sporem.

Pacjent nie widzi certyfikatu. Widzi pielęgniarkę, która o 02:30 wie, jaki lek dostał o północy.

Healthcare Poland

Mapa departamentów: kto co robi

Departament Bezpieczeństwa i Ochrony Ludności jest w tej współpracy węzłem, ale nie działa sam. Każdy krok ścieżki szpitala i każdy moment ścieżki pacjenta opiera się na kompetencji innego zespołu Fundacji. Tak wygląda podział pracy.

Narzędzia: co jest dostępne dziś, a co powstaje

Odporność państwa nie potrzebuje kolejnych zapowiedzi, dlatego katalog narzędzi pokazujemy z uczciwym statusem. Część jest dostępna dziś, część przechodzi pilotaż, część jest w przygotowaniu w ramach fazy operacyjnej współpracy z Dęblinem i Federacją.

Sześć ścieżek współpracy w rękach departamentów

Tekst „Szkoła Orląt i szpital w ciemności” zaproponował sześć ścieżek fazy operacyjnej. Każda z nich ma po stronie Healthcare Poland konkretny zespół, który odpowiada za wynik.

Jak mierzymy, czy to działa

Ćwiczenie, po którym nic się nie zmienia, jest tylko wydarzeniem. Dlatego każda ścieżka kończy się pomiarem powtórnym, a wynik zasila trzy wskaźniki programu Tarczy Zdrowotnej Państwa: standard ciągłości działania i odtwarzania po awarii, czas przywrócenia systemów oraz wskaźnik nadrzędny — domknięcie pętli.

W praktyce mierzymy rzeczy proste i weryfikowalne: ile minut trwa przełączenie na tryb awaryjny, czy kanał zapasowy rzeczywiście łączy z odbiorcą, jak stare są dane w kopii, ile trwa odtworzenie jednego systemu i jaki odsetek luk ujawnionych w ćwiczeniu zostaje zamknięty zmianą procedury w ciągu sześciu miesięcy. Pomiar w jednym szpitalu jest ciekawostką. Pomiar w trzech szpitalach jest porównaniem. Pomiar w sieci Federacji jest wiedzą o stanie państwa.

Zasady operacyjne

Jak zacząć

Do 3 kwietnia 2027 r. zostało niespełna sześć miesięcy ³. To wystarczająco dużo, żeby przejść pierwszy pomiar i pierwsze ćwiczenie, i zdecydowanie za mało, żeby zaczynać od strategii. Zapraszamy szpitale, organy tworzące i partnerów technologicznych do rozmowy.

Tarcza nie powstaje w dniu podpisania porozumienia. Powstaje w dniu pierwszego ćwiczenia, które coś ujawni.

Michał P. Dybowski, „Szkoła Orląt i szpital w ciemności”

Przypisy i źródła