Szpitale w Polsce w kryzysie cyberbezpieczeństwa. Dyrektor placówki mówi wprost: „Szukamy pieniędzy, których nie mamy”

Szpitale w Polsce w obliczu ogromnych kosztów

Wdrożenie przepisów ma na celu wzmocnienie ochrony infrastruktury krytycznej w sektorze zdrowia, w tym systemów IT w szpitalach. Nowe regulacje oznaczają jednak, że placówki będą musiały pozbyć się sprzętu i oprogramowania pochodzącego od tzw. „dostawców wysokiego ryzyka”. Jeśli lista takich państw zostanie opublikowana, a dany szpital korzysta z ich systemów – konieczna będzie natychmiastowa wymiana sprzętu.

- Szpitale nie mają pieniędzy, więc ciężko z tym. Nasza jednostka stara się dopinać wszystko z projektów unijnych. Z KPO udało nam się uzyskać dofinansowanie. Będą też projekty regionalne, z których będziemy uzupełniać brakujące oprogramowanie. Na pewno zakup właśnie tych dodatkowych systemów, no to już jest koszt jednorazowo od 100 do 200 000. Później oczywiście licencje roczne – mówi Paweł Zera, szef IT w Szpitalu Miejskim w Rudzie Śląskiej, w rozmowie z Radiem Eska.

Problem dotyka także producentów sprzętu

Eksperci wskazują, że przepisy mogą utrudnić pracę nie tylko szpitalom, lecz także producentom sprzętu medycznego.

- Niektóre sprzęty, które są produkowane w Europie czy w Stanach Zjednoczonych mogą posiadać podzespoły chińskie i to już będzie też chyba wydaje mi się jeszcze większy problem producenta, niektórzy szpitala, żeby sobie z tym poradzić na później, nie? W kwestii serwisowania na przykład tego – podkreśla Mariusz Kaszubowski, dyrektor Szpitala Psychiatrycznego w Gdańsku.

Według raportu Polskiego Towarzystwa Koordynowanej Ochrony Zdrowia, aż 45% szpitali może mieć problemy z utrzymaniem ciągłości działania po wprowadzeniu nowych przepisów, jeśli wymagana będzie wymiana sprzętu spoza krajów UE i NATO. Średnio jedna placówka będzie musiała przeznaczyć 4,6 mln zł w ciągu pięciu lat, by dostosować się do nowych wymogów.

Dyrektorzy szpitali biją na alarm

- Szukam pieniędzy, jak wielu kolegów z innych szpitali, na ten cel – przyznaje dziennikarzom Radia Eska Mariusz Kokosza, dyrektor Wojewódzkiego Szpitala Specjalistycznego nr 4 w Bytomiu. - Ubiegamy się o środki, których nie mamy, a które musimy posiadać. Ubiegamy się o te środki ze źródeł różnych zewnętrznych we wszelkich możliwych miejscach. Uwzględniliśmy potrzeby inwestycyjne związane z realizacją tych obowiązków dotyczących poziomu cyberbezpieczeństwa we wniosku w ramach Krajowego Planu Odbudowy.

Ministerstwo Zdrowia podkreśla, że szpitale miały czas na przygotowanie się do wymagań.

- Warto takie pytanie na temat przygotowania zadać zarządzającym szpitalami, ponieważ o tych przepisach i o ustawie wiemy już od dłuższego czasu. Wiemy, że jesteśmy po rozdaniu KPO i ponad 3 miliardy złotych trafi do szpitali – mówi Jolanta Sobierańska-Grenda, szefowa resortu zdrowia.

Polska wdraża NIS2 w ostrzejszej formie

Eksperci wskazują, że Polska wdraża unijną dyrektywę NIS2 w znacznie bardziej restrykcyjnej wersji niż inne kraje UE.

- Przyjęto inny model tego zabezpieczenia, takiego, który się opiera na tym, żeby wskazać kogoś konkretnego z państwa trzeciego i powiedzieć: No nie, no ty ty po prostu z uwagi na ryzyka geopolityczne, na ryzyka technologiczne, które twoje państwo w zasadzie stwarza, nie ty. To ty nie możesz dostarczać tutaj technologii – tłumaczy prof. Artur Nowak-Far ze Szkoły Głównej Handlowej.

Szpitale będą musiały natychmiast lub w określonym czasie wymienić sprzęt od wskazanych „dostawców wysokiego ryzyka”.

- W większości przypadków będzie miał pewien czas do wymiany. W niektórych przypadkach rzeczywiście to będzie musiało nastąpić natychmiast – dodaje profesor.

Co dalej z ustawą?

Przyjęcie nowelizacji ustawy o Krajowym Systemie Cyberbezpieczeństwa planowane jest na IV kwartał 2025 roku. Polska powinna była wdrożyć dyrektywę NIS2 już w październiku 2024 roku. Eksperci wskazują, że brak przygotowania może zagrozić bezpieczeństwu systemów informatycznych w szpitalach i ciągłości świadczenia usług medycznych.