Technologia w służbie zdrowia — jak systemy IT zmieniają polskie szpitale

Cyfryzacja polskich szpitali w 2026 roku przestała być wyborem strategicznym. Stała się obowiązkiem regulacyjnym, wpisanym w trzy nakładające się akty prawne: rozporządzenie unijne o sztucznej inteligencji (AI Act), znowelizowaną ustawę o krajowym systemie cyberbezpieczeństwa wdrażającą dyrektywę NIS 2 oraz inwestycję D1.1.2 z Krajowego Planu Odbudowy. Każde z tych źródeł narzuca własne wymagania, terminy i konsekwencje finansowe — a wszystkie trzy zbiegają się w tym samym roku kalendarzowym.

Dla dyrektora szpitala oznacza to pytanie znacznie ostrzejsze niż „czy warto inwestować w IT”. Brzmi ono: które wdrożenia uruchomić w pierwszej kolejności, w jakim tempie i z jakim wsparciem zewnętrznym, żeby równocześnie zachować ciągłość operacyjną placówki, rozliczyć 3,1 mld zł z KPO przed deadlinem 31 maja 2026 r., dostosować się do AI Act 2 sierpnia 2026 r. i wdrożyć NIS 2 w 12 miesiącach od 3 kwietnia 2026 r. Ten artykuł porządkuje wszystkie te wątki w jednym miejscu i wskazuje, gdzie szukać szczegółowych odpowiedzi na pytania pochodne.

Sześć liczb, które musi znać każdy dyrektor placówki w 2026 r.

Stan cyfryzacji polskich szpitali w 2026 r. najlepiej oddaje sześć kluczowych wskaźników z najnowszych badań Centrum e-Zdrowia oraz statystyk CSIRT CeZ. Te liczby są punktem wyjścia do każdej decyzji inwestycyjnej w IT medycznym.

Ryc. 1: Najważniejsze wskaźniki cyfryzacji polskich szpitali w 2026 r. Źródła: Centrum e-Zdrowia (VIII edycja Badania informatyzacji 2024), CSIRT CeZ, KPO.gov.pl.

Każda z tych liczb stoi za innym wymiarem cyfryzacji. 89,1 procent szpitali prowadzi już Elektroniczną Dokumentację Medyczną (w zakresie rozpoznania choroby, wyników badań i udzielonych świadczeń), a 91,2 procent ma EDM kart informacyjnych z leczenia szpitalnego. Repozytorium EDM posiada 92,1 procent szpitali. Telemedycyna trafiła do 40 procent szpitali, czyli niemal dwukrotnie częściej niż do całego sektora ochrony zdrowia (23 procent). Sztuczna inteligencja jest stosowana w 13,2 procent szpitali — to dwukrotny wzrost względem 2023 r. (6,5 procent). 13,1 procent dodatkowych placówek deklaruje wdrożenie AI w najbliższych 12 miesiącach, głównie do obsługi pacjentów i diagnostyki obrazowej.

Drugą stroną tej transformacji jest gwałtownie rosnąca ekspozycja na zagrożenia. W 2025 r. CSIRT CeZ odnotował 1441 incydentów cyberbezpieczeństwa w sektorze ochrony zdrowia — to 40 procent wzrost rok do roku i blisko dziesięciokrotny wzrost względem 2021 r. (150 incydentów). Średni koszt naruszenia danych w ochronie zdrowia osiągnął globalnie 7,42 mln dolarów w 2025 r. (IBM Cost of a Data Breach Report) — najwyższy w jakimkolwiek sektorze gospodarki.

W tym kontekście pojawiają się 3,1 mld zł z Krajowego Planu Odbudowy, które trafią do 325 polskich szpitali na cyfryzację, integrację z Platformą P1, wdrożenia AI i wzmocnienie cyberbezpieczeństwa. Wszystkie projekty muszą zostać zrealizowane i rozliczone do 31 maja 2026 r. Liczba aktywnych kont IKP przekroczyła 20 milionów, a Polska zajęła 5. miejsce wśród 27 krajów w raporcie Komisji Europejskiej „Cyfrowa Dekada 2024 — wskaźnik e-zdrowia”.

Ekosystem IT szpitala — pięć warstw, które muszą działać razem

Cyfrowy szpital nie jest pojedynczym systemem. To wielowarstwowy ekosystem, w którym każda warstwa pełni inną funkcję, a sukces zależy od tego, jak dobrze warstwy się ze sobą komunikują. Poniższa mapa porządkuje 5 podstawowych warstw — od sprzętu przy łóżku pacjenta do centralnej infrastruktury państwowej.

Ryc. 2: Pięciowarstwowy model ekosystemu IT polskiego szpitala. Źródło: opracowanie własne wsparciedlaszpitala.pl na podstawie struktury rekomendowanej przez Centrum e-Zdrowia.

Warstwa 1 — urządzenia i bezpieczeństwo

Fundament każdej cyfrowej placówki. Tutaj mieści się sprzęt medyczny połączony z siecią (Internet of Medical Things — IoMT), infrastruktura sieciowa szpitala, systemy ochrony endpointów (antywirus, EDR, XDR), zapory sieciowe oraz operacyjne centra bezpieczeństwa (SOC) współpracujące z sektorowym zespołem CSIRT CeZ. Bez sprawnej warstwy bezpieczeństwa pozostałe warstwy są bezbronne. W 2025 r. liczba ataków na urządzenia IoMT wzrosła o ponad 170 procent rok do roku.

Warstwa 2 — AI i analityka

Algorytmy wspomagające diagnozę (analiza obrazów RTG i TK, patologia cyfrowa, diagnostyka okulistyczna, predykcja sepsy) oraz zarządzanie zasobami (planowanie łóżek, sal operacyjnych, grafików personelu). To warstwa najszybciej rozwijająca się w polskich szpitalach, ale też najbardziej regulowana — pełne stosowanie AI Act dla systemów wysokiego ryzyka rusza 2 sierpnia 2026 r.

Warstwa 3 — aplikacje kliniczne

Trzon codziennej pracy szpitala: Hospital Information System (HIS) zarządzający ruchem pacjentów i rozliczeniami, Laboratory Information System (LIS) obsługujący laboratorium, Radiology Information System (RIS) wraz z PACS dla diagnostyki obrazowej, a także repozytorium Elektronicznej Dokumentacji Medycznej. Polski rynek systemów HIS jest skoncentrowany — dominują Asseco, Comarch Healthcare i Kamsoft, z rosnącą obecnością dostawców SaaS w chmurze.

Warstwa 4 — interoperacyjność

To „tłumacz” między systemami różnych dostawców. Centralnym standardem rekomendowanym przez Centrum e-Zdrowia jest HL7 FHIR (Fast Healthcare Interoperability Resources) — otwarty protokół wymiany danych medycznych. Obok niego funkcjonują DICOM (dla obrazów), HL7 CDA (dla dokumentów EDM) oraz słowniki kodowe SNOMED CT i ICD-11. Interoperacyjność jest największą bolączką polskiej cyfryzacji — najczęstszą przyczyną nieefektywności nie jest brak systemów, lecz ich wzajemna izolacja.

Warstwa 5 — pacjent i dane krajowe

Centralna infrastruktura prowadzona przez Centrum e-Zdrowia: Platforma P1 (Elektroniczna Platforma Gromadzenia, Analizy i Udostępniania Zasobów Cyfrowych o Zdarzeniach Medycznych), Internetowe Konto Pacjenta (IKP) wraz z aplikacją mojeIKP, Centralna e-Rejestracja (CeR) oraz — od 26 marca 2027 r. — Europejska Przestrzeń Danych Zdrowotnych (EHDS) umożliwiająca wymianę danych medycznych między państwami UE.

Trzy fale regulacyjne 2026 — harmonogram, który nie może czekać

Rok 2026 jest dla polskich szpitali bezprecedensowy pod względem skali równoległych zobowiązań regulacyjnych. Trzy niezależne ramy prawne — KPO, NIS 2 i AI Act — nakładają na siebie kamienie milowe w tych samych miesiącach. Brak jednego z elementów nie zwalnia z pozostałych.

Ryc. 3: Harmonogram trzech fal regulacyjnych dla szpitali w 2026 r. Źródła: ustawa o KSC (Dz.U. 2026 poz. 425), Rozp. UE 2024/1689 (AI Act), KPO inwestycja D1.1.2.

KPO D1.1.2 — 3,1 mld zł z terminem 31 maja 2026 r.

Inwestycja D1.1.2 z Krajowego Planu Odbudowy to największy w historii Polski jednorazowy zastrzyk środków na cyfryzację szpitali. Z 4 466,3 mln zł łącznego budżetu, 3 131 mln zł trafiło w naborze konkursowym do 325 szpitali wchodzących w skład sieci szpitali (PSZ). Spośród 495 złożonych wniosków pozytywnie oceniono 457, a do dofinansowania zarekomendowano 325 z najwyższą punktacją.

Środki można przeznaczyć na cztery obszary:

• integrację systemów IT i ich rozbudowę (w tym integrację z Platformą P1),
• digitalizację dokumentacji medycznej (9 nowych dokumentów EDM od 2026 r.),
• wdrożenie certyfikowanych narzędzi sztucznej inteligencji,
• zwiększenie cyberbezpieczeństwa (firewalle, EDR/XDR, kopie zapasowe, szkolenia).

Maksymalne dofinansowanie dla szpitali III stopnia oraz placówek ogólnopolskich, onkologicznych, pulmonologicznych i pediatrycznych to 12 mln zł. Minimalna kwota: 2,325 mln zł. Dofinansowanie obejmuje 100 procent kosztów kwalifikowanych netto, ale VAT (23 procent) jest kosztem niekwalifikowalnym, który musi pokryć sam szpital.

Krytycznym terminem jest 31 maja 2026 r. — wszystkie projekty muszą zostać zakończone i rozliczone. Po tej dacie środki przepadają, a szpitale, które nie wywiążą się z umowy, ryzykują obowiązkiem zwrotu wypłaconych zaliczek wraz z odsetkami.

NIS 2 i nowelizacja ustawy o KSC — od 3 kwietnia 2026 r.

3 kwietnia 2026 r. weszła w życie znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę unijną NIS 2. Dla polskich szpitali oznacza to zasadniczą zmianę statusu prawnego. Każdy publiczny szpital — w praktyce nawet 38 tys. podmiotów w kraju — uzyskał status podmiotu kluczowego.

Konsekwencje są poważne:

• odpowiedzialność osobista kierownictwa za niespełnienie wymogów art. 21 dyrektywy (w tym minimum 12 obszarów polityk bezpieczeństwa, od oceny ryzyka po zarządzanie dostawcami),
• obowiązek zgłaszania incydentów w czasie do 24 godzin (wstępne zgłoszenie) i 72 godzin (raport),
• kary finansowe sięgające 10 mln euro lub 2 procent rocznego obrotu globalnego (dla podmiotów kluczowych),
• 12-miesięczny okres dostosowania mijający 30 października 2026 r.

W tym samym roku CSIRT CeZ wykrył tylko w pierwszym kwartale 2025 r. ponad 120 podatności w infrastrukturze IT placówek medycznych, a w marcu 2026 r. ofiarą ransomware padło Bonifraterskie Centrum Medyczne — śledztwo prowadzone przez Centralne Biuro Zwalczania Cyberprzestępczości wskazuje, że za atakiem stoi ta sama grupa, co za atakiem na szpital wojewódzki w Szczecinie. Skala problemu jest na tyle duża, że Unia Europejska wdraża w 2026 r. dedykowany plan zwiększenia cyberodporności sektora zdrowia — z systemem wczesnego ostrzegania, zespołami szybkiego reagowania i wsparciem finansowym.

AI Act — pełne stosowanie dla wysokiego ryzyka od 2 sierpnia 2026 r.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, znane jako AI Act, jest pierwszą na świecie kompleksową regulacją sztucznej inteligencji. Dla szpitali kluczowy jest art. 6 określający systemy wysokiego ryzyka. Należą do nich wszystkie systemy AI wspomagające diagnozę, triaż, predykcję sepsy oraz planowanie zasobów klinicznych.

Od 2 sierpnia 2026 r. szpital jako wdrażający (deployer) musi:

• przeprowadzić inwentaryzację wszystkich systemów AI w placówce,
• wykonać klasyfikację ryzyka zgodnie z art. 6 i art. 7 rozporządzenia,
• zapewnić nadzór ludzki nad decyzjami algorytmicznymi (human-in-the-loop),
• dokumentować każde użycie AI w dokumentacji medycznej pacjenta,
• współpracować z dostawcami w zakresie ich obowiązków wynikających z rozporządzenia.

Systemy AI w diagnostyce dodatkowo muszą posiadać oznaczenie CE jako wyrób medyczny zgodnie z rozporządzeniem MDR (2017/745). Brak takiego oznaczenia oznacza brak prawa do stosowania algorytmu w decyzjach klinicznych w UE.

Fundamenty cyfryzacji — co już działa w polskich szpitalach

Elektroniczna Dokumentacja Medyczna (EDM)

EDM jest najbardziej zaawansowanym obszarem polskiej cyfryzacji. Według danych Centrum e-Zdrowia z marca 2025 r., 89,1 procent szpitali prowadzi EDM w zakresie informacji o rozpoznaniu choroby, wynikach badań i udzielonych świadczeniach, a 91,2 procent prowadzi EDM kart informacyjnych z leczenia szpitalnego. Repozytorium EDM posiada 92,1 procent szpitali, a 61,2 procent placówek wdrożyło indeksowanie EDM w Systemie e-Zdrowia (P1).

Od 1 stycznia 2026 r. weszły w życie dwa nowe rodzaje EDM:

• KMCR — karta medyczna czynności ratunkowych,
• KMLZRM — karta medyczna leczenia zespołu ratownictwa medycznego.

Wraz z nimi pojawiło się dziewięć dodatkowych dokumentów elektronicznych. Pełna analiza obowiązków szpitala związanych z EDM w 2026 r. znajduje się w naszym artykule Elektroniczna dokumentacja medyczna w szpitalu — 10 najważniejszych obowiązków na 2026 rok.

Platforma P1 i Internetowe Konto Pacjenta

Centralna infrastruktura e-zdrowia obejmuje cztery główne komponenty: e-receptę (obowiązkową od 2020 r., do końca 2025 r. wystawiono ponad 2,3 mld e-recept), e-skierowanie (237 mln dokumentów wystawionych do końca 2025 r.), Centralną e-Rejestrację (od 1 stycznia 2026 r. dla profilaktyki i kardiologii) oraz Internetowe Konto Pacjenta. Liczba aktywnych użytkowników IKP przekroczyła 20 mln, a aplikacja mobilna mojeIKP ma ponad 4 mln użytkowników.

Od 1 lipca 2026 r. NFZ refunduje tylko pierwszorazowe wizyty u specjalistów, które przeszły przez Centralną e-Rejestrację, a od 1 sierpnia 2026 r. CeR objęła kolejne 8 świadczeń specjalistycznych.

Hospital Information System (HIS) i jego ekosystem

System HIS jest podstawowym narzędziem zarządzania szpitalem — obejmuje ruch pacjentów, rozliczenia z NFZ, gospodarkę lekową, zarządzanie zasobami i raportowanie do organów nadzoru. Polski rynek jest skoncentrowany — dominują Asseco, Comarch Healthcare i Kamsoft, choć rośnie udział dostawców niszowych, szczególnie w modelu SaaS.

Wybór systemu HIS to decyzja na 10–15 lat, z kosztem migracji do innego dostawcy szacowanym na 200–400 procent kosztu pierwotnego wdrożenia. Najczęstszy błąd, jaki raportuje Centrum e-Zdrowia beneficjentom KPO, to dostosowywanie pracy lekarzy do ograniczeń HIS zamiast odwrotnie. Praktyczny przewodnik wyboru i wdrożenia HIS w szpitalu znajdziesz w artykule System HIS w szpitalu — jak wybrać oprogramowanie i przeprowadzić wdrożenie bez chaosu.

Integracja HIS, LIS i RIS

Większość polskich szpitali korzysta z kilkunastu różnych systemów IT, które historycznie nie rozmawiały ze sobą. Laboratorium pracuje na LIS, oddział radiologii na RIS i PACS, apteka szpitalna na własnym systemie. Integracja tych systemów w jeden spójny ekosystem to dziś warunek bezpiecznego funkcjonowania placówki — a od 3 kwietnia 2026 r. także warunek zgodności z NIS 2.

Standardem wymiany danych jest HL7 FHIR (Fast Healthcare Interoperability Resources). Dane pacjenta opisane w formacie FHIR mogą być przesyłane między szpitalami, do aplikacji mobilnych i do systemów analitycznych bez ręcznego przepisywania i ryzyka błędu. Strategie integracji systemów HIS, LIS i RIS w polskich realiach omawiamy szczegółowo w artykule Integracja systemów IT w szpitalu — jak połączyć HIS, LIS i RIS w jeden spójny ekosystem.

DICOM, PACS i niewidzialna infrastruktura obrazowania

Za każdym zdjęciem RTG, wynikiem tomografii komputerowej i rezonansu magnetycznego w polskim szpitalu stoi globalny standard DICOM (Digital Imaging and Communications in Medicine). DICOM definiuje sposób przechowywania i przesyłania obrazów medycznych, a system PACS (Picture Archiving and Communication System) agreguje te obrazy w centralnym repozytorium dostępnym dla lekarzy w całej placówce.

Integracja PACS z systemem HIS i repozytorium EDM jest jednym z kluczowych kroków w budowie spójnego ekosystemu IT szpitala. W warstwie diagnostycznej obrazowanie wspomagane AI staje się coraz powszechniejsze — w polskich szpitalach algorytmy do analizy tomografii komputerowej są stosowane przez 33,9 procent placówek korzystających z AI, czyli przez około 4,5 procent wszystkich szpitali.

Sztuczna inteligencja — od pilotaży do rutynowych wdrożeń

Sztuczna inteligencja w polskich szpitalach przestała być eksperymentem konferencyjnym. Centrum e-Zdrowia dzięki wdrożeniu Platformy Usług Inteligentnych (PUI) chce konsekwentnie i etapowo dostarczać systemowe rozwiązania AI tak, aby każda placówka zdrowotna w kraju miała możliwość skorzystania z algorytmów. Na rozwój PUI przeznaczono 150,6 mln zł z KPO.

Działające wdrożenia AI w diagnostyce obejmują:

• analizę obrazów RTG, TK i MRI — algorytmy wykrywające zmiany nowotworowe, pneumonię i złamania z dokładnością porównywalną do doświadczonego radiologa,
• patologię cyfrową — analiza preparatów histologicznych wspomagająca diagnozę onkologiczną,
• predykcję sepsy — systemy alertujące personel na podstawie trendów w parametrach życiowych pacjenta,
• diagnostykę okulistyczną — analiza obrazów siatkówki pozwalająca wykryć cukrzycową chorobę oczu i jaskrę.

Pełen przegląd technologii AI w diagnostyce z rekomendacjami priorytetów wdrożeniowych znajduje się w artykule Sztuczna inteligencja w diagnostyce szpitalnej — co działa dziś i co wdrożyć w pierwszej kolejności.

Drugi nurt zastosowań AI to zarządzanie zasobami szpitala — algorytmy planujące obłożenie łóżek, grafiki personelu, harmonogramy sal operacyjnych oraz przewidujące zapotrzebowanie kadrowe na poszczególne oddziały. W Stanach Zjednoczonych predykcyjne modele AI w EHR raportuje 71 procent szpitali nieuczelnianych (AHA IT Supplement 2024). W skali UE 74 procent państw członkowskich wykorzystuje AI w diagnostyce (raport WHO/Europe, kwiecień 2026).

Telemedycyna — od pandemicznej prowizorki do obowiązku regulacyjnego

Telemedycyna w polskim szpitalu w 2026 r. przestała być pandemicznym rozwiązaniem doraźnym. Z opcji „na czas COVID-19″ stała się obowiązkowym elementem infrastruktury cyfrowej, regulowanym przez co najmniej sześć aktów prawnych — od ustawy o zawodach lekarza, przez rozporządzenia Ministra Zdrowia, po unijny AI Act dla systemów wysokiego ryzyka.

40 procent szpitali stosuje rozwiązania telemedyczne (vs 23 procent wszystkich placówek medycznych). Najczęstszą formą są zdalne konsultacje z lekarzem specjalistą — oferuje je 18,7 procent placówek (vs 9,6 procent w 2023 r.).

Cyberbezpieczeństwo — najszybciej rosnące ryzyko 2026 r.

Skala zagrożeń cybernetycznych dla polskiego sektora ochrony zdrowia rośnie wykładniczo. Dane Sektorowego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT CeZ) pokazują, jak gwałtownie zmienia się sytuacja:

Rok	Liczba incydentów	Zmiana rok do roku
2021	150	—
2022	251	+67%
2023	405	+61%
2024	1028	+154%
2025	1441	+40%

Najczęstsze metody ataków w 2025 r. to oszustwa komputerowe (580 incydentów — phishing, vishing, socjotechnika), wykorzystywanie podatności w systemach (znacząca część zgłoszeń) oraz złośliwe oprogramowanie. Średni miesięczny poziom incydentów do sierpnia 2025 r. wynosił około 118, w ostatnich czterech miesiącach roku wzrósł do ponad 123. Analiza Check Point Software wskazuje, że w pierwszym tygodniu 2026 r. pojedyncza polska instytucja publiczna mierzyła się średnio z niemal 3200 próbami ataków, a szpitale jako element infrastruktury krytycznej są celem od 20 do 50 ataków dziennie.

Najbardziej niepokojące są ustalenia CSIRT CeZ dotyczące stanu zabezpieczeń:

• 60 procent placówek nie monitoruje na bieżąco podatności w swoich systemach,
• niemal 60 procent nie testuje regularnie procedur tworzenia kopii zapasowych i odzyskiwania danych,
• niemal 9 procent placówek nie posiada podstawowych narzędzi ochrony (antywirus, EDR/XDR, firewall),
• tylko 36 procent dyrektorów placówek medycznych zostało przeszkolonych z cyberbezpieczeństwa (wzrost z 29 procent rok wcześniej).

Skutkiem skutecznego ataku może być nie tylko utrata danych. W marcu 2026 r. cztery polskie placówki w ciągu 25 dni padły ofiarą ransomware — do szczecińskiego szpitala wojewódzkiego trzeba było skierować specjalistów Wojsk Obrony Terytorialnej. Atak na firmę Synnovis dostarczającą usługi laboratoryjne dla NHS w Londynie w czerwcu 2024 r. doprowadził według NHS do śmierci pacjenta, którego diagnostyka została opóźniona. W Düsseldorfie w 2020 r. ofiarą ataku ransomware została kobieta w stanie krytycznym, której szpital nie mógł przyjąć — uznaje się ją za pierwszą ofiarę cyberataku w ochronie zdrowia.

Kompletny przewodnik ochrony danych pacjentów i systemów medycznych przed atakami — w tym wymogi NIS 2, procedury zgłaszania incydentów i rekomendacje techniczne — znajduje się w artykule Cyberbezpieczeństwo szpitala — jak chronić dane pacjentów i systemy medyczne przed atakami hakerów.

Bariery wdrożeniowe — co realnie zatrzymuje polskie szpitale

Mimo solidnego fundamentu prawnego i instytucjonalnego oraz historycznych środków z KPO, polska cyfryzacja zdrowia napotyka cztery główne bariery, które należy rozpoznać przed planowaniem kolejnych inwestycji.

Dług technologiczny

Część polskich szpitali wciąż używa systemów sprzed dekady lub starszych. Migracja jest kosztowna i ryzykowna — przestój systemu informatycznego w szpitalu ma inne konsekwencje niż w firmie handlowej. Według raportu Najwyższej Izby Kontroli, znacząca część szpitali powiatowych nie ma kompetencji do efektywnego zarządzania zaawansowanymi projektami IT. Niemal co dziesiąta placówka medyczna nie posiada nawet podstawowych zabezpieczeń typu firewall czy oprogramowanie antywirusowe.

Kompetencje cyfrowe personelu

Szkolenie personelu medycznego z nowych systemów to długotrwały i kosztowny proces, często pomijany w budżetach wdrożeniowych. 46,8 procent placówek deklaruje potrzebę szkoleń w zakresie rozwijania kompetencji cyfrowych — to wzrost względem 2023 r., ale wciąż realna luka. Tylko 36 procent dyrektorów przeszło szkolenia z cyberbezpieczeństwa — w środowisku, w którym to oni ponoszą odpowiedzialność osobistą za incydenty zgodnie z NIS 2.

Tempo rozliczeń KPO

Choć 3,1 mld zł zostało rozdysponowane, faktyczne tempo wydatkowania pozostawia wiele do życzenia. Według doniesień Rzeczpospolitej, do 27 stycznia 2026 r. Centrum e-Zdrowia ogłosiło tylko 43 przetargi w ramach KPO na łączną kwotę 874,2 mln zł, a rozstrzygniętych zostało 25 na 190,3 mln zł. Średni czas postępowania przetargowego w sektorze zdrowia wynosi 4,8 miesiąca, a dla złożonych systemów IT może wydłużyć się do 9 miesięcy. Termin 31 maja 2026 r. wymaga od beneficjentów żelaznej dyscypliny harmonogramowej.

Vendor lock-in i kompetencje wewnętrzne

Wewnętrzny zespół do obsługi informatycznej podmiotu posiada 37,4 procent placówek. Pozostałe są zależne od dostawców zewnętrznych, co znacząco utrudnia kontrolę nad TCO i ścieżką wyjścia. Tylko 34,1 procent podmiotów dysponuje budżetem na utrzymanie i rozwój systemu gabinetowego lub szpitalnego — co oznacza, że pozostałe wdrożenia mogą szybko stać się systemami legacy.

Co przyniesie najbliższa przyszłość — kierunki 2026–2030

Kierunki kształtujące IT w polskiej ochronie zdrowia przez najbliższe lata są dziś już dość wyraźnie zarysowane:

• powszechna interoperacyjność oparta na HL7 FHIR — Centrum e-Zdrowia wskazuje ten standard jako docelowy dla całej polskiej infrastruktury,
• Europejska Przestrzeń Danych Zdrowotnych (EHDS) — wymóg interoperacyjności transgranicznej od 26 marca 2027 r.,
• ekspansja modelu SaaS w chmurze medycznej zgodnej z RODO i KSC — obecnie tylko 17,5 procent placówek korzysta z usług chmurowych,
• monitoring ciągły przez urządzenia IoMT — wearables, czujniki implantowane, pompy infuzyjne podłączone do sieci,
• integracja danych genomicznych z opieką kliniczną — wsparcie dla medycyny spersonalizowanej,
• platformy pacjentcentryczne, w których pacjent jest aktywnym właścicielem swoich danych zdrowotnych,
• Centrum Cyfryzacji Dokumentacji Medycznej i Centrum Operacji Bezpieczeństwa — dwa nowe ośrodki powołane w Centrum e-Zdrowia z końcem 2025 r.

Dla dyrektora szpitala kluczowa jest świadomość, że żaden z tych kierunków nie wykluczy obecnych obowiązków regulacyjnych. Wszystkie będą się na nie nakładać.

FAQ — najczęściej zadawane pytania

Czy szpital musi obowiązkowo rozliczyć środki z KPO do 31 maja 2026 r.?

Tak. Termin 31 maja 2026 r. wynika z umowy o dofinansowanie inwestycji D1.1.2 z Krajowego Planu Odbudowy i jest nieprzekraczalny. Szpitale, które nie zakończą i nie rozliczą projektów do tej daty, są zobowiązane do zwrotu wypłaconych zaliczek wraz z odsetkami. Ministerstwo Zdrowia w komunikatach do beneficjentów wielokrotnie podkreśliło, że nie planuje przedłużania tego terminu.

Kiedy AI Act zaczyna obowiązywać polskie szpitale?

Rozporządzenie UE 2024/1689 (AI Act) weszło w życie 1 sierpnia 2024 r., ale dla systemów AI wysokiego ryzyka — czyli większości systemów stosowanych w szpitalach (diagnostyka, triaż, planowanie zasobów) — pełne stosowanie zaczyna się 2 sierpnia 2026 r. Szpital jako wdrażający (deployer) musi do tego dnia wykonać inwentaryzację systemów AI, ich klasyfikację ryzyka i zapewnić zgodność operacyjną.

Czy szpital jest podmiotem kluczowym w rozumieniu NIS 2?

Tak. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r., kwalifikuje publiczne szpitale jako podmioty kluczowe. Oznacza to obowiązek wdrożenia minimum 12 obszarów polityk bezpieczeństwa z art. 21 dyrektywy NIS 2, zgłaszania incydentów w czasie do 24 godzin oraz odpowiedzialność osobistą kierownictwa za naruszenia. Okres dostosowania wynosi 12 miesięcy.

Jaka jest różnica między HIS, LIS i RIS?

HIS (Hospital Information System) zarządza całą działalnością szpitala — ruchem pacjentów, rozliczeniami z NFZ, zasobami i raportowaniem. LIS (Laboratory Information System) obsługuje laboratorium szpitalne — od pobierania materiału, przez wykonanie badania, po raportowanie wyniku. RIS (Radiology Information System) wspiera pracę pracowni diagnostyki obrazowej i współpracuje z systemem PACS przechowującym obrazy. Wszystkie trzy systemy muszą być zintegrowane, najlepiej w standardzie HL7 FHIR.

Co to jest standard HL7 FHIR i dlaczego ma znaczenie?

HL7 FHIR (Fast Healthcare Interoperability Resources) to otwarty protokół wymiany danych medycznych. Pełni rolę uniwersalnego „tłumacza” między różnymi systemami szpitalnymi i jest wskazany przez Centrum e-Zdrowia jako docelowy standard dla całej polskiej infrastruktury e-zdrowia. Dane pacjenta opisane w FHIR mogą być przesyłane między placówkami, do aplikacji mobilnych i do systemów analitycznych bez ręcznego przepisywania.

Czy każdy system AI w szpitalu wymaga oznaczenia CE?

Systemy AI wspomagające decyzje kliniczne (diagnostyka obrazowa, triaż, predykcja zdarzeń) są klasyfikowane jako wyroby medyczne i muszą posiadać oznaczenie CE zgodnie z rozporządzeniem MDR 2017/745. To wymóg odrębny od AI Act, ale nakładający się — bez certyfikacji MDR system nie może być stosowany w decyzjach klinicznych w UE. Systemy AI wspomagające zarządzanie (planowanie łóżek, grafiki) zwykle nie podlegają MDR, ale wchodzą w zakres AI Act.

Ile zarobią szpitale na pełnym wdrożeniu cyfryzacji?

Korzyści są mierzalne w kilku wymiarach: skrócenie czasu pobytu pacjenta (średnio o 8–12 procent w placówkach z pełnym EDM), redukcja błędów lekowych (o 30–50 procent przy systemach podwójnej weryfikacji), automatyzacja rozliczeń z NFZ (oszczędność 1–2 etatów administracyjnych w średnim szpitalu), redukcja kosztów archiwizacji (10–15 procent rocznie). W skali pojedynczej placówki o budżecie 100 mln zł realny zwrot z inwestycji IT pojawia się zwykle w okresie 24–36 miesięcy.

Co zrobić, gdy szpital nie złożył wniosku o dofinansowanie z KPO?

Konkurs D1.1.2 z KPO był jednorazowy i jego nabór zakończył się 29 maja 2025 r. Szpitale, które nie złożyły wniosku, mogą szukać alternatywnych źródeł: programu FEnIKS (II nabór planowany w I kwartale 2026 r.), środków na modernizację infrastruktury psychiatrycznej (237 mln zł), własnych środków JST jako organu założycielskiego oraz pożyczek z Banku Gospodarstwa Krajowego. Każda z tych ścieżek ma własne kryteria i terminy.

Źródła

• Centrum e-Zdrowia — VIII edycja „Badania stopnia informatyzacji podmiotów wykonujących działalność leczniczą”, marzec 2025
• Centrum e-Zdrowia — „E-zdrowie w liczbach i faktach — podsumowanie 2025 roku”, styczeń 2026
• Centrum e-Zdrowia / CSIRT CeZ — komunikaty o incydentach cyberbezpieczeństwa 2021–2025
• Ministerstwo Funduszy i Polityki Regionalnej — wyniki naboru KPO D1.1.2, wrzesień 2025
• Ministerstwo Zdrowia — komunikaty do beneficjentów Inwestycji D1.1.2
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (Akt o sztucznej inteligencji)
• Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (NIS 2)
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (tj. Dz.U. 2024 poz. 1077 ze zm. 2026)
• Ustawa z dnia 16 czerwca 2023 r. o jakości w opiece zdrowotnej i bezpieczeństwie pacjenta (Dz.U. 2023 poz. 1692)
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/327 (Europejska Przestrzeń Danych Zdrowotnych)
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/745 (MDR — wyroby medyczne)
• OECD Health at a Glance 2025
• Raport „Cyfrowa Dekada 2024: Badanie wskaźnika e-zdrowia” — Komisja Europejska
• IBM Cost of a Data Breach Report 2025
• AHA IT Supplement 2024 (American Hospital Association)
• WHO/Europe — raport o AI w diagnostyce, kwiecień 2026
• Raport Najwyższej Izby Kontroli o cyfryzacji szpitali powiatowych

Artykuł ma charakter analityczno-informacyjny i nie stanowi porady prawnej ani medycznej. W sprawach indywidualnych skonsultuj się z radcą prawnym, Inspektorem Ochrony Danych lub specjalistą ds. compliance placówki.