NIS2 a ubezpieczenie placówki medycznej w 2026 — czy polisa pokryje straty z awarii systemów IT i przestoju?

Współczesna placówka medyczna — czy to duży szpital, czy specjalistyczna przychodnia — jest w istocie skomplikowanym przedsiębiorstwem technologicznym. Gdy gasną ekrany, a systemy rejestracji i obsługi pacjenta przestają odpowiadać, problem w ułamku sekundy wykracza daleko poza dział IT. Najczęstsze i najkosztowniejsze nieporozumienie zarządzających brzmi: „nasza polisa to pokryje”. Po wejściu w życie nowelizacji ustawy o KSC wdrażającej dyrektywę NIS2 to przekonanie jest groźniejsze niż kiedykolwiek.

Ten artykuł rozdziela trzy często mylone instrumenty ochrony, pokazuje, gdzie realnie przebiega granica wypłaty odszkodowania, i tłumaczy, jak nowelizacja KSC zmienia reguły gry dla każdej placówki uznanej za podmiot kluczowy lub ważny.

Skala problemu: dane, które zmieniają perspektywę

Cyberzagrożenie w polskiej ochronie zdrowia przestało być scenariuszem hipotetycznym. Skala ataków na placówki medyczne rośnie lawinowo, a liczby mówią same za siebie.

Według Sektorowego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego działającego w Centrum e-Zdrowia (CSIRT CeZ) w 2025 r. odnotowano rekordowe 1 441 incydentów cyberbezpieczeństwa w podmiotach medycznych — o 40% więcej niż rok wcześniej (1 028 zdarzeń). To kontynuacja gwałtownego trendu: 150 incydentów w 2021 r., 251 w 2022 r., 405 w 2023 r. Najczęstszą metodą pozostają oszustwa komputerowe (phishing, vishing, socjotechnika), a tłem jest napięta sytuacja geopolityczna i status Polski jako jednego z najczęściej atakowanych krajów UE.

Wymiar finansowy jest równie wymowny. Według raportu IBM „Cost of a Data Breach” średni koszt naruszenia danych w sektorze ochrony zdrowia wyniósł w 2025 r. ok. 7,42 mln USD — najwyższy spośród wszystkich branż, wyżej niż w finansach czy energetyce. W marcu 2026 r. ofiarą ataku padł m.in. szpital MSWiA w Krakowie, a do jednej z atakowanych placówek skierowano specjalistów Wojsk Obrony Terytorialnej. Problem pogłębia niedojrzałość zabezpieczeń: ponad 90% szpitali ma kopie zapasowe, ale tylko ok. 60% testuje ich odzyskiwanie, a 9% nie dysponuje podstawowym firewallem.

Anatomia finansowa cyfrowego paraliżu

Gdy w podmiocie leczniczym dochodzi do awarii kluczowych systemów — HIS (szpitalny system informacyjny), RIS/PACS (radiologia), LIS (laboratorium) czy ERP odpowiedzialnego za rozliczenia — skutki finansowe uderzają z trzech stron jednocześnie.

Warstwa 1: utracone przychody

Odwołane wizyty, wstrzymane zabiegi planowe, brak realizacji kontraktów z płatnikiem publicznym i niemożność świadczenia usług komercyjnych tworzą dziurę budżetową, która powiększa się z każdą godziną. W medycynie czas jest towarem nieskładowalnym — utraconej godziny pracy bloku operacyjnego zwykle nie da się odrobić, bo grafik jest wypełniony po brzegi.

Warstwa 2: koszty stałe

Wynagrodzenia personelu, czynsze, raty leasingowe za sprzęt diagnostyczny, media, serwis aparatury — to obciążenie nie znika w momencie awarii serwera. Gdy przychody spadają do zera, a koszty stałe pozostają, płynność finansowa placówki może załamać się w bardzo krótkim czasie. Powrót do papierowej dokumentacji paradoksalnie zwiększa chaos i koszty operacyjne, zamiast je niwelować.

Warstwa 3: koszty dodatkowe (extra expenses)

Nadgodziny personelu wprowadzającego dane ręcznie po przywróceniu systemu, wynajęcie zewnętrznych ekspertów IT, zakup sprzętu zastępczego, uruchomienie procedur zarządzania kryzysowego i obsługi PR. Jeśli doszło do naruszenia danych — dochodzą koszty obsługi prawnej oraz powiadomienia organów nadzorczych i osób, których dane mogły wyciec.

Pułapka klasycznego ubezpieczenia utraty zysku (BI)

Wielu zarządzających zakłada, że standardowa polisa majątkowa zawiera klauzulę Business Interruption (BI), która zadziała przy każdym przestoju. To jedno z najkosztowniejszych nieporozumień na rynku.

Jeżeli paraliż wynika z błędu oprogramowania, nieudanej aktualizacji, awarii chmury obliczeniowej albo ataku, który szyfruje dane, ale nie niszczy fizycznie dysków — klasyczne BI najprawdopodobniej nie zadziała. Dla ubezpieczyciela „szkoda logiczna” (utrata danych lub dostępności systemu) nie jest tożsama ze szkodą materialną. Ta subtelna różnica w definicjach decyduje o tym, czy placówka otrzyma wielomilionowe wsparcie, czy zostanie z problemem sama.

Na rynku istnieją rozszerzenia łagodzące ten problem — klauzule w ramach ubezpieczenia sprzętu elektronicznego (EEI) uznające określone awarie systemowe za zdarzenie ubezpieczeniowe albo rzadkie klauzule „non-damage BI”. Są to jednak rozwiązania niestandardowe, zwykle droższe i wymagające precyzyjnych negocjacji z brokerem. Opieranie bezpieczeństwa finansowego na domniemaniu, że „ubezpieczenie od wszystkiego” pokryje też awarię IT, jest strategią obarczoną potężnym ryzykiem.

Cyberpolisa — tarcza zaprojektowana pod zagrożenia niematerialne

W lukę pozostawioną przez klasyczne ubezpieczenie majątkowe wchodzą ubezpieczenia ryzyk cybernetycznych (Cyber), projektowane od podstaw z myślą o zagrożeniach niematerialnych. Ich przewagą jest łączenie pokrycia kosztów własnych (reagowanie na incydent, odtwarzanie danych) z odpowiedzialnością cywilną oraz — kluczowe przy przestoju — z sekcją Cyber Business Interruption, która potrafi pokryć utracony zysk i koszty stałe nawet bez fizycznego uszkodzenia sprzętu.

Rynek cyberubezpieczeń jest jednak wciąż młody i niejednolity. Nie każda polisa „Cyber” chroni przed każdym przestojem. Kluczowe jest rozróżnienie, czy ochrona obejmuje wyłącznie skutki ataku hakerskiego (security breach), czy też szeroko rozumianą awarię systemu (system failure). Tańsze, uproszczone produkty często koncentrują się tylko na działaniach osób trzecich, pozostawiając placówkę bez ochrony przy błędzie własnego pracownika, wadliwej aktualizacji wdrożonej przez dział IT czy awarii infrastruktury dostawcy chmurowego.

Okres wyczekiwania — franszyza czasowa, o której się zapomina

Decydującym detalem technicznym jest okres wyczekiwania (waiting period) — zwykle od 12 do 24 godzin od wystąpienia awarii, za który ubezpieczyciel nie ponosi odpowiedzialności. W praktyce oznacza to, że straty z pierwszej doby paraliżu, gdy chaos jest największy, placówka pokrywa z własnej kieszeni. Zrozumienie tego mechanizmu jest kluczowe dla realnego oszacowania, jaka część straty zostanie zrekompensowana.

Odpowiedzialność cywilna a straty własne — rozróżnienie konieczne

W dyskusji o ubezpieczeniach placówek mylone są dwa odrębne pojęcia: ochrona majątku i zysku placówki oraz ochrona przed roszczeniami pacjentów. Obowiązkowe OC podmiotu leczniczego i jego dobrowolne rozszerzenia chronią przed skutkami błędów, które wyrządziły szkodę na zdrowiu pacjenta. Jeśli awaria IT doprowadzi do opóźnienia w diagnostyce, pomyłki w podaniu leku czy zagubienia wyników — i przełoży się to na uszczerbek na zdrowiu — polisa OC zadziała. Mechanizm ten działa podobnie jak przy roszczeniach z tytułu naruszenia praw pacjenta.

NIS2 i nowelizacja KSC zmieniają reguły gry

Otoczenie prawne podmiotów leczniczych zmienia się dynamicznie. Po siedmiu latach prac legislacyjnych nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (KSC) wdrażająca unijną dyrektywę NIS2 została podpisana przez Prezydenta 19 lutego 2026 r., opublikowana w Dzienniku Ustaw 2 marca 2026 r. i — po miesięcznym vacatio legis — weszła w życie 2 kwietnia 2026 r. To samo otoczenie regulacyjne kształtuje obowiązki dyrektora szpitala na 2026 rok.

Najważniejsza zmiana to mechanizm samoidentyfikacji: to przedsiębiorca samodzielnie weryfikuje, czy mieści się w katalogu ustawowym, i dokonuje zgłoszenia do wykazu podmiotów. Sektor ochrony zdrowia jest traktowany jako infrastruktura krytyczna — placówki trafiają do kategorii podmiotów kluczowych lub ważnych. Harmonogram dostosowania jest jednoznaczny:

Ustawa wprowadza bezpośrednią odpowiedzialność kadry kierowniczej za zaniedbania w obszarze cyberbezpieczeństwa. Cyberbezpieczeństwo przestaje być wyłącznie domeną działu IT, a staje się elementem ładu organizacyjnego i zarządzania ryzykiem — na równi z finansami i zgodnością prawną.

Underwriting po NIS2 — czego zażąda ubezpieczyciel

Dla ubezpieczycieli zaostrzenie regulacji to sygnał do zaostrzenia kryteriów oceny ryzyka. Zakup dobrej cyberpolisy dla szpitala nie jest już tylko kwestią zapłacenia składki — ubezpieczyciele coraz częściej uzależniają samo przedstawienie oferty lub późniejszą wypłatę odszkodowania od spełnienia określonych standardów bezpieczeństwa.

Warunkami koniecznymi (pre-requisites) stają się: uwierzytelnianie wieloskładnikowe (MFA), regularne testowanie kopii zapasowych, segmentacja sieci, a także posiadanie planu reagowania na incydenty i ciągłości działania. Jeśli podczas audytu po szkodzie okaże się, że placówka zadeklarowała we wniosku wysoki poziom zabezpieczeń, który nie miał odzwierciedlenia w rzeczywistości, ubezpieczyciel może skutecznie uchylić się od odpowiedzialności, powołując się na wprowadzenie w błąd lub rażące niedbalstwo. Rozbieżność między deklaracją a stanem faktycznym to dziś jedno z najpoważniejszych ryzyk po stronie ubezpieczonego.

Audyt realnego pokrycia — co sprawdzić przed szkodą

Zamiast polegać na ogólnym poczuciu bezpieczeństwa, zarządzający powinni przeprowadzić — najlepiej przy wsparciu brokera i prawnika — szczegółowy audyt posiadanych polis pod kątem scenariusza awarii IT. Nie chodzi o czytanie całej umowy, lecz o weryfikację kilku krytycznych punktów, które w godzinie próby zadecydują o „być albo nie być” placówki:

Analiza triggera w BI: czy polisa od utraty zysku wymaga szkody materialnej, czy dopuszcza non-damage BI? Zakres polisy Cyber: czy definicja zdarzenia obejmuje tylko atak hakerski, czy także błąd pracownika, awarię aktualizacji i system failure? Limity i podlimity: jaka jest wysokość limitu na Cyber-BI i koszty dodatkowe — czy wystarczy na przestój trwający np. tydzień?

Najczęstsze pytania