KOMUNIKAT PRASOWY
Departament Zielonych Szpitali i Bezpieczeństwa

Warszawa, 13 sierpnia 2026 r.

Polska Federacja Szpitali potwierdza ustalenia Centrum e-Zdrowia i Ministerstwa Zdrowia: centralne usługi e-zdrowia nie zostały naruszone, a dostęp pacjentów do świadczeń i recept jest zachowany. Federacja zwraca jednocześnie uwagę, że incydent u dostawcy oprogramowania medycznego MyDr obnaża ryzyko, którego platforma krajowa nie obejmuje — ryzyko łańcucha dostaw w warstwie lokalnej, w której faktycznie powstaje dokumentacja medyczna pacjenta.

Co zostało potwierdzone

W komunikatach z 12 sierpnia 2026 r. Centrum e-Zdrowia i Ministerstwo Zdrowia stwierdziły, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia, a incydent nie wpływa na dostęp pacjentów do świadczeń zdrowotnych, recept ani usług realizowanych w publicznym systemie zdrowia. CeZ zwiększyło poziom monitoringu i pozostaje „w stanie wyższej gotowości”. Odrębnie — na konferencji prasowej Ministerstwa Cyfryzacji tego samego dnia — wskazano, że częścią operacyjną sprawy kieruje Centralne Biuro Zwalczania Cyberprzestępczości, współpracujące z prokuraturą; okoliczność ta nie wynika z komunikatów resortu zdrowia.

MyDr potwierdziła 13 sierpnia, że była celem celowego działania przestępczego i że dane objęte zdarzeniem najprawdopodobniej mają charakter historyczny i pochodzą z 2024 r. oraz lat wcześniejszych. Skala zdarzenia — podawana publicznie jako blisko 19 mln osób — została 12 sierpnia potwierdzona przez wicepremiera Krzysztofa Gawkowskiego jako ustalenie służb. Sama spółka oświadczyła, że nie jest w stanie potwierdzić ilości i rodzaju ujawnionych danych. Federacja zwraca uwagę, że pełna weryfikacja zakresu naruszenia jest warunkiem oceny obowiązków informacyjnych po stronie placówek — i że do jej zakończenia liczba pozostaje ustaleniem wstępnym.

Na co Federacja zwraca uwagę

• Odporność platformy krajowej to nie to samo co odporność systemu ochrony zdrowia. Dane pacjenta powstają i są przechowywane przede wszystkim w systemach gabinetowych, HIS i EDM po stronie podmiotu leczniczego. To warstwa najsłabiej obwarowana wymaganiami bezpieczeństwa i jednocześnie najbardziej skoncentrowana rynkowo. Zdarzenie dotknęło dokładnie tej warstwy.
• Odpowiedzialność prawna nie przenosi się na dostawcę. W relacji z dostawcą oprogramowania to podmiot leczniczy jest administratorem danych. Obowiązek zgłoszenia naruszenia organowi nadzorczemu oraz — przy wysokim ryzyku — zawiadomienia pacjentów spoczywa na placówce, niezależnie od tego, co deklaruje producent systemu. Federacja przekazała szpitalom członkowskim komunikat operacyjny w tej sprawie.
• Ryzyko łańcucha dostaw przestało być zagadnieniem teoretycznym. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa nakłada na podmioty kluczowe i ważne obowiązek wdrożenia systemu zarządzania bezpieczeństwem informacji, obejmującego ryzyko łańcucha dostaw, z terminem wdrożenia do 3 kwietnia 2027 r. i obowiązkiem wpisu do wykazu do 3 października 2026 r. Sierpniowe zdarzenie pokazuje, że jest to obowiązek o realnej treści, a nie formalność.

Kontekst: diagnoza sprzed sześciu miesięcy

W lutym 2026 r. Koalicja CyberC4HE, działająca pod egidą Polskiej Federacji Szpitali i Healthcare Poland Foundation, przedstawiła Ministerstwu Zdrowia stanowisko dotyczące uzależnienia szpitali od dostawców systemów HIS. W próbie ankietowej obejmującej 67 unikalnych szpitali cztery największe rodziny rozwiązań pokrywały ok. 80,6% podmiotów. Wskazano wówczas, że koncentracja dostawców w połączeniu z brakiem standaryzacji interfejsów, utrudnionym dostępem do logów audytowych i brakiem realnego mechanizmu wyjścia tworzy ryzyko systemowe. Sierpniowe zdarzenie jest empirycznym potwierdzeniem tej diagnozy.

Narzędzie do autodiagnozy szpitala opracowane przez Healthcare Poland dla Szpitali PFSz: Narzędzie Diagnostyczne #CyberC4HE

Czego Federacja oczekuje

• Określenia normatywnego minimalnego standardu bezpieczeństwa i logowania zdarzeń dla systemów HIS i EDM, powiązanego z warunkami zamówień publicznych. Pojedynczy szpital nie ma siły kontraktowej, by wynegocjować go samodzielnie.
• Wprowadzenia do umów powierzenia przetwarzania egzekwowalnego terminu powiadomienia administratora o naruszeniu oraz obowiązku przekazania danych umożliwiających ocenę ryzyka. Bez tego 72-godzinny termin z RODO jest terminem pozornym.
• Uznania zdolności podmiotu do pracy bez systemu informatycznego za mierzalny element bezpieczeństwa pacjenta, a nie za kwestię wewnętrzną działu IT. Jest to najtańszy i najbardziej niedoinwestowany środek ograniczania skutków incydentu.

Wypowiedź do wykorzystania

„Komunikaty Centrum e-Zdrowia i Ministerstwa Zdrowia są prawidłowe — i właśnie dlatego wymagają uzupełnienia. Platforma krajowa wytrzymała, ale test nie dotyczył platformy krajowej. Dotyczył warstwy, w której powstaje dokumentacja medyczna pacjenta, a której bezpieczeństwo pozostaje przedmiotem negocjacji między pojedynczym szpitalem a dostawcą o nieporównywalnej sile kontraktowej. Sześć miesięcy temu opisaliśmy to jako ryzyko systemowe. Dzisiaj nie mamy powodu do satysfakcji z trafnej diagnozy — mamy powód, żeby domknąć ją regulacyjnie.”

— Michał P. Dybowski, Dyrektor Departamentu Zielonych Szpitali i Bezpieczeństwa, Polska Federacja Szpitali

Kontakt dla mediów

Michał P. Dybowski, EBA, MBB LSS, EcS
Dyrektor Departamentu Zielonych Szpitali i Bezpieczeństwa, Polska Federacja Szpitali
michal.dybowski@pfsz.org