Interpelacja w sprawie skutków cyberataku na Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie, bezpieczeństwa danych pacjentów, procesu odbudowy infrastruktury informatycznej oraz działań podjętych przez resort zdrowia w celu ochrony placówek medycznych przed kolejnymi atakami

W nocy z 7 na 8 marca 2026 r. Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie, obejmujący placówki przy ul. Arkońskiej oraz w Zdunowie, padł ofiarą poważnego cyberataku typu ransomware. Złośliwe oprogramowanie doprowadziło do zaszyfrowania części zasobów informatycznych szpitala oraz utraty dostępu do danych. Placówka została zmuszona do przejścia na awaryjny, w znacznej mierze papierowy tryb pracy.

Skutki zdarzenia przez wiele tygodni odczuwali zarówno pracownicy, jak i pacjenci. Jeszcze 3 kwietnia 2026 r. szpital informował, że nie zostały przywrócone wszystkie formy rejestracji pacjentów, a część infrastruktury działała w ograniczonym zakresie. W usuwanie skutków ataku i odbudowę infrastruktury zaangażowany został m.in. podległy ministrowi zdrowia sektorowy zespół CSIRT CeZ, współpracujący z innymi służbami państwa.

Szczególne zaniepokojenie budzi kwestia bezpieczeństwa danych pacjentów. Sam SPWSZ poinformował, że incydent spowodował naruszenie ochrony danych osobowych, utratę ich dostępności oraz - z dużym prawdopodobieństwem - naruszenie poufności danych pacjentów, pracowników, kontrahentów i innych osób.

Wobec skali zdarzenia, charakteru przetwarzanych przez szpital danych, a także kolejnych poważnych incydentów cyberbezpieczeństwa dotyczących sektora ochrony zdrowia, konieczne jest przedstawienie opinii publicznej pełnej informacji o skutkach marcowego ataku oraz o działaniach podjętych przez Ministerstwo Zdrowia w celu ochrony pacjentów.

W związku z powyższym zwracam się do Pani Minister z następującymi pytaniami:

1. Czy na dzień udzielania odpowiedzi na niniejszą interpelację wszystkie systemy informatyczne SPWSZ w Szczecinie zostały już w pełni przywrócone do normalnego działania? Proszę o wskazanie daty pełnego odtworzenia infrastruktury oraz przedstawienie harmonogramu przywracania najważniejszych systemów – w szczególności dokumentacji medycznej, rejestracji pacjentów, diagnostyki laboratoryjnej i obrazowej, systemów obsługi oddziałów oraz systemów administracyjnych.
2. Jakie były rzeczywiste skutki cyberataku dla udzielania świadczeń zdrowotnych? Ilu pacjentów zostało dotkniętych utrudnieniami, ile wizyt, badań, zabiegów lub hospitalizacji zostało odwołanych, przesuniętych albo wykonanych z opóźnieniem oraz czy stwierdzono przypadki, w których brak dostępu do systemów informatycznych lub dokumentacji medycznej miał wpływ na bezpieczeństwo pacjentów albo przebieg leczenia?
3. Jaki jest, według aktualnej wiedzy Ministerstwa Zdrowia, Centrum e-Zdrowia oraz SPWSZ, rzeczywisty zakres naruszenia danych osobowych? Proszę podać liczbę osób, których dane mogły zostać objęte incydentem, rodzaje i kategorie danych oraz wskazać, czy potwierdzono ich skopiowanie lub wyprowadzenie poza infrastrukturę szpitala, opublikowanie, sprzedaż bądź inne wykorzystanie przez osoby nieuprawnione.
4. W jaki sposób zrealizowano obowiązek poinformowania osób, których dane mogły zostać naruszone? Ilu pacjentów lub innych osób poinformowano indywidualnie, kiedy rozpoczęto i zakończono ten proces, jakimi kanałami przekazywano informacje oraz czy na dzień odpowiedzi istnieją osoby objęte naruszeniem, których nie udało się skutecznie powiadomić?
5. Czy ustalono techniczną przyczynę skutecznego włamania do infrastruktury SPWSZ? Bez ujawniania informacji, których publikacja mogłaby zagrozić bezpieczeństwu systemów, proszę wskazać, czy źródłem skutecznego ataku była podatność techniczna, niewłaściwa konfiguracja systemów, przejęcie danych uwierzytelniających, czynnik ludzki lub inne zaniedbanie oraz czy przed 8 marca 2026 r. SPWSZ był poddawany audytom lub testom cyberbezpieczeństwa prowadzonym bądź finansowanym przez podmioty podległe ministrowi zdrowia.
6. Jak dokładnie wyglądała pomoc udzielona SPWSZ przez Ministerstwo Zdrowia i CSIRT CeZ? Proszę wskazać daty rozpoczęcia i zakończenia działań, liczbę zaangażowanych specjalistów, zakres wykonanych prac, ich koszt oraz poinformować, czy po zakończeniu działań został sporządzony raport, analiza incydentu lub rekomendacje dla SPWSZ. Jeśli tak, proszę o przedstawienie najważniejszych wniosków i zaleceń.
7. Jaki był łączny koszt usunięcia skutków cyberataku i odbudowy lub wymiany infrastruktury informatycznej SPWSZ oraz z jakich źródeł wydatki te zostały sfinansowane? Proszę również wskazać, czy Ministerstwo Zdrowia, Centrum e-Zdrowia lub inne jednostki podległe resortowi przekazały szpitalowi dodatkowe środki finansowe, sprzęt lub oprogramowanie.
8. Jakie konkretne działania systemowe Ministerstwo Zdrowia podjęło po cyberataku w Szczecinie w celu zwiększenia bezpieczeństwa pozostałych szpitali w Polsce? Proszę wskazać, czy po 8 marca 2026 r. przeprowadzono lub zlecono audyty, testy podatności albo kontrole w innych placówkach, ilu podmiotów one dotyczyły, w ilu wykryto poważne lub krytyczne podatności oraz czy ministerstwo posiada informacje o ich usunięciu. Proszę również wskazać, jakie obowiązkowe zalecenia lub standardy bezpieczeństwa wprowadzono w następstwie tego incydentu.

Z uwagi na szczególny charakter danych medycznych oraz fakt, że cyberatak na duży szpital może bezpośrednio oddziaływać nie tylko na prywatność obywateli, ale również na ciągłość udzielania świadczeń zdrowotnych, proszę o udzielenie szczegółowej odpowiedzi na każde z przedstawionych pytań, wraz z konkretnymi datami, liczbami i – w zakresie dopuszczalnym prawem – wynikami przeprowadzonych analiz.

Dariusz Matecki
Poseł na Sejm RP