Rok, který proměnil zázemí nemocnice

Rok, který proměnil zázemí nemocnice – i když to většina z vás neviděla

Každá nemocnice potřebuje spolehlivé technické zázemí, které zajišťuje bezpečný a plynulý chod zdravotní péče. Počítače, datové sítě a informační systémy umožňují, aby se zdravotní dokumentace, výsledky vyšetření i další důležité informace dostaly ke zdravotníkům ve správný okamžik. Za posledních dvanáct měsíců prošlo technické zázemí naší nemocnice zásadní proměnou. Tento článek přibližuje, co všechno se podařilo modernizovat, jaké změny ještě pokračují a proč jsou důležité pro každodenní fungování nemocnice.

Neviditelná práce, která drží nemocnici v chodu

Denně se staráte o pacienty a rozumíte lidskému tělu líp než kdokoliv jiný. My z IT se zase staráme o něco, co byste mohli nazvat „druhým tělem“ nemocnice – o počítače, sítě a systémy, díky kterým se objeví zdravotní karta na obrazovce ve správný okamžik, výsledek z laboratoře nezmizí a přístroje fungují tak, jak mají. Je to jiný obor, jiná „anatomie“ – ale funguje na podobném principu jako lidské tělo: má svůj oběhový systém, nervy, imunitu i paměť.

Za poslední rok prošlo toto „druhé tělo“ nemocnice tak zásadní proměnou, že by se to dalo přirovnat k výměně srdce, cév i nervové soustavy najednou – a to u pacienta, který celou dobu zůstal při vědomí a chodil do práce. Tento článek se pokusí bez odborného žargonu vysvětlit, co všechno se povedlo, a hlavně proč je to výkon, na který má celý IT tým důvod být hrdý.

Období září 2025 – září 2026 není zvoleno náhodně: právě v září 2025 začala s dodavatelem fyzická výměna klíčových síťových prvků v areálu (viz kapitola o „nervové soustavě“ níže) – tedy okamžik, od kterého se dá mluvit o reálném startu velké části této proměny.

Nová „paměť“ nemocnice

Úplně na začátku všeho stojí místo, kde se fyzicky ukládají veškerá data nemocnice – zdravotní záznamy, snímky z vyšetření, výsledky testů, rozpisy směn i účetnictví. Je to obdoba centrální kartotéky, jen digitální. Tato úložiště, servery, na kterých běží veškeré programy, i záložní systémy byly kompletně vyměněny za novou generaci technologie – nové servery, nové diskové pole, propojovací technologii mezi nimi a samostatné zálohovací úložiště.

Zjednodušeně: vyměnili jsme starou, dosluhující kartotéku plnou důležitých záznamů za novou, rychlejší a bezpečnější – aniž bychom přestali záznamy používat, byť jen na hodinu.
Zároveň se vyměnilo i propojení mezi těmito úložišti a servery – tedy „cévy“, kterými data proudí tam a zpět.

Nová „nervová soustava“ nemocnice

Datová síť je pro nemocnici tím, čím je pro lidské tělo nervová soustava – vede signály mezi jednotlivými částmi. Tyto „nervy“, tedy klíčové síťové přepínače propojující jednotlivé budovy v areálu, prošly kompletní obnovou za novou generaci – a nejde jen o výměnu za novější kus stejné značky, ale o přechod na úplně jiného výrobce. Jinými slovy, „druhé tělo“ nemocnice teď má nejen nové srdce a cévy, ale i nové nervové uzly. Samotná optická vlákna mezi budovami se z větší části jen přepojila – jen na několika málo místech se starší typ vlákna vyměnil za novější a odolnější (tzv. singlemode), případně se natáhl zcela nový propoj tam, kde dosud chyběl.
Výsledkem je síť, která přenese mnohonásobně víc dat, mnohem rychleji, a navíc se dá sledovat a spravovat centrálně, na dálku – podobně jako když má centrální sesterna přehled o monitorech ve všech pokojích, aniž by musela běhat od lůžka k lůžku.

Záložní zdroje – stejný princip, jaký znáte z oddělení

Každý, kdo pracuje na uzavřeném oddělení, ví, jak důležité je, aby nikdy nevypadly dveřní zámky, kamerový systém nebo tísňová signalizace pro přivolání pomoci – proto na takových místech nikdy nesmí vypadnout napájení. Přesně stejný princip – jen ve větším měřítku – platí i pro počítačové systémy. V datových centrech (speciálních klimatizovaných a zabezpečených místnostech, kde technika běží) se kompletně vyměnily záložní zdroje (UPS) o výkonu 30 kW, tedy zařízení, které v případě výpadku elektřiny okamžitě „naskočí“ a udrží vše v chodu.

Letos (2026) navíc došlo k havárii klimatizace v datovém centru, která si vynutila okamžitou výměnu klimatizačních jednotek chladících veškerou techniku – bez chlazení by se přehřála a přestala fungovat, podobně jako se přehřeje organismus při vysoké horečce.

Pro jistotu byl nově pořízen a zapojen i samostatný zálohovací systém, na který se pravidelně ukládají kopie všech dat – obdoba toho, jako když si důležité fotky zálohujete nejen v telefonu, ale i jinde.

Nové počítače pro každého zaměstnance

Na dosah ruky – doslova na každém stole – došlo k výměně počítačů za nové, s moderním operačním systémem Windows 11. Tahle na první pohled „obyčejná“ věc znamenala zorganizovat výměnu stovek zařízení tak, aby nikdo z vás nezůstal ani na den bez pracovního nástroje.

Přísnější pravidla, která nás chrání – kybernetický zákon

V posledních letech přibyly nové zákonné povinnosti na ochranu důležitých institucí, mimo jiné právě nemocnic, před kybernetickými útoky (souhrnně tzv. kybernetický zákon a evropská směrnice NIS2). Nemocnice tímto přešla do režimu vyšších povinností – přísnější pravidla pro to, kdo, kdy a jak smí do systémů přistupovat, jak se hlásí bezpečnostní incidenty a jak se celá infrastruktura chrání.

Proč na tom tolik záleží? Když se útočníkům podaří v nemocnici „vypnout“ počítačové systémy, přestane fungovat evidence medikace, bezpečnostní signalizace na uzavřených odděleních, příjem pacientů i komunikace mezi odděleními – tedy věci, na kterých doslova závisí bezpečí a klid pacientů i personálu. Podobné útoky se bohužel netýkají jen zahraničí – v posledních letech ochromily i provoz českých nemocnic, například v Brně, Jihlavě nebo Benešově. Nový zákon navíc dává za nedostatečnou ochranu přímou osobní odpovědnost vedení organizace, takže to není jen technická formalita, ale skutečná priorita na nejvyšší úrovni.

Tři bezpečnostní pásma místo dvou
Teď nemluvíme o budovách ani o fyzických prostorách areálu, ale o tom, jak je „poskládaná“ samotná počítačová síť a data v ní – jde tedy čistě o uspořádání v digitálním světě. Princip je ale podobný tomu, který dobře znáte z ochrany proti nákaze – oddělené zóny, kterými se dá projít jen postupně a s kontrolou. Stará síť měla v podstatě jen dvě takové digitální zóny. Nová má tři:

• Vstupní pásmo – místo, kudy vůbec smí jakákoli komunikace z internetu do nemocnice, hlídané dvojicí bezpečnostních bran (podobně jako filtr/propust na vstupu do citlivého provozu).
• Prostřední pásmo – přes které se k datům dostávají jednotliví uživatelé a jednotlivé budovy v areálu.
• Nejchráněnější jádro – kde fyzicky leží samotná data a úložiště, tedy nejcennější a nejcitlivější informace.

Aby se útočník dostal k datům, musí projít postupně přes všechny tři kontrolní body – ne jen přes jeden. Tohle rozdělení bylo v průběhu roku ještě zpřesněno a nedávno formálně ověřeno, že skutečně funguje přesně takto, jak bylo navrženo.

Bezpečnější přihlašování pro každého

Nasadili jsme technologii (Active Directory), která řídí, kdo se kam smí přihlásit a s jakými právy – funguje trochu jako vaše přístupová karta do nemocnice, jen pro počítačový svět: každý má jedno bezpečné přihlašovací jméno a heslo platné napříč systémy, a nemocnice díky tomu přesně ví, kdo, kdy a k čemu měl přístup. I to je jedna z podmínek nového zákona.

To ale platí jen pro lidi. Aby se do sítě nemohlo bez dovolení připojit ani žádné cizí zařízení, nasadili jsme navíc digitální certifikáty a technologii RADIUS – v podstatě obdobu stejné „přístupové karty“, jen pro samotné počítače, tiskárny a další síťová zařízení. Než se jakýkoli přístroj do sítě vůbec připojí, musí se sám „prokázat“ platným certifikátem, jinak zůstane před branou.

Nový „vrátný“ u vstupu do sítě

Byl spuštěn zcela nový bezpečnostní systém (firewall nové generace), který funguje jako přísný vrátný nebo recepce – kontroluje veškerý provoz mířící do sítě i z ní a podle přesně nastavených pravidel rozhoduje, koho a co pustí dál.

Stěhování ze starého do nového za plného provozu

Jedna z nejnáročnějších částí projektu stále probíhá: přesun všech sdílených disků, aplikací a uživatelských účtů ze staré infrastruktury do nové. Aby nedošlo k žádnému výpadku, obě infrastruktury – stará i nová – musí běžet souběžně, dokud se úplně vše nepřestěhuje. Je to podobné, jako byste přesouvali pacienta na nové oddělení, ale museli mu přitom nechat plně funkční i to původní lůžko, dokud se nepřevezou úplně všechny věci.

Modernější nástroje pro personální oddělení

I personální systém, který se stará například o mzdy a docházku, prošel rozšířením. Kromě povinných legislativních novinek přibyly i moduly usnadňující práci personálnímu oddělení, které lépe zapadají do nových bezpečnostních pravidel. I tato práce stále pokračuje.

Tahle úprava není jen administrativní vylepšení – je to nutnost. Právě personální systém totiž slouží jako jediný a závazný zdroj informace o tom, kdo v nemocnici pracuje, na jaké pozici a zda je stále zaměstnancem. Tyto údaje se odtud automaticky promítají do bezpečnostního přihlašovacího systému popsaného v kapitole 6 (Active Directory) – tedy do místa, které rozhoduje, kdo se kam smí přihlásit. Zjednodušeně: personální oddělení tím pádem přímo řídí, kdo má a kdo nemá přístup do počítačových systémů nemocnice.

Jedno místo, kam se s IT problémem obrátit

Zavádíme centrální systém pro hlášení IT problémů (ServiceDesk) spolu s evidencí veškerého technického vybavení nemocnice. V praxi to pro vás do budoucna znamená jedno jednoduché místo, kam nahlásit jakýkoli problém s počítačem nebo systémem, místo hledání, na koho se zrovna obrátit. Tato část projektu je aktuálně v testovacím režimu.

Zkouška ohněm – kybernetický audit

Celá nová infrastruktura prošla nezávislým kybernetickým auditem – podobně, jako když k vám přijde na kontrolu hygienik. Nalezené nedostatky z prvního kola byly opraveny a při opakované kontrole (reauditu) už byly úspěšně potvrzeny jako vyřešené.

Osm velkých veřejných zakázek

Aby se to všechno mohlo vůbec uskutečnit, muselo se transparentně a v souladu se zákonem vysoutěžit celkem osm nadlimitních veřejných zakázek – na nové servery, zálohovací úložiště (NAS), propojovací SAN infrastrukturu, diskové pole, aktivní síťové prvky, přechod na nové prostředí, nový bezpečnostní systém (NGFW) a komplexní systém pro odhalování a řešení kybernetických incidentů popsaný v kapitole 15. Z vlastních zdrojů nemocnice hradila jen zakázku na přechod na nové prostředí popsanou v kapitole 16 – zbylých sedm zakázek pomohla zaplatit dotace z Národního plánu obnovy. Každá taková zakázka navíc představuje měsíce přípravy, právní a administrativní práce – a to ještě předtím, než se vůbec začalo se samotnou realizací.

Nový nemocniční informační systém – nová centrální kartotéka

Nejviditelnější změnou pro vás bude nový Nemocniční informační systém, který nahrazuje dosavadní systém a jehož nasazování právě probíhá. Je to systém, přes který se eviduje zdravotní dokumentace, výsledky vyšetření i komunikace mezi odděleními – tedy vaše každodenní pracovní nástroj.

Nový systém navíc splňuje všechny aktuální zákonné požadavky, včetně napojení na celostátní elektronické zdravotnictví (eHealth) a povinné napojení na centrální státní komunikační uzel, přes který musí ze zákona probíhat elektronická komunikace se zdravotnickým sektorem. Zjednodušeně: nemocnice se tím propojuje do celostátní „sítě“ zdravotnictví, po které mohou bezpečně putovat informace mezi nemocnicemi, pojišťovnami a dalšími institucemi. Přechází se také na jednotné standardizované formáty předávání zdravotnických informací – jedním z používaných standardů je například HL7 – díky kterým si mezi sebou budou moci systémy různých nemocnic lépe „rozumět“, podobně jako když si lékaři z různých oddělení rozumí díky společné odborné terminologii.

Trvalé a nezměnitelné uložení zdravotní dokumentace

Bylo nainstalováno speciální úložiště (tzv. WORM – jednou zapsáno, navždy neměnitelné) pro dlouhodobé uchovávání zdravotnické dokumentace přesně podle zákonných požadavků. Funguje to podobně jako záznam v chorobopisu, který nejde zpětně vymazat ani přepsat, jen doplnit – jednou uložený zdravotní záznam už tedy nikdo, ani omylem, ani úmyslně, nemůže dodatečně upravit či smazat.

Digitální „tísňové tlačítko“ pro celou síť

Na závěr jedna z méně viditelných, ale velmi důležitých investic. Znáte to z oddělení – tísňová signalizace upozorní kolegy dřív, než se situace vyhrotí, a umožní zasáhnout včas. Přesně na tomhle principu teď funguje i ochrana naší počítačové sítě, a to hned na třech úrovních:

• První nástroj funguje jako centrální „velín“, do kterého se sbíhají informace ze všech systémů a hledají se v nich vzorce podezřelého chování – obdoba centrálního dohledového pracoviště, kam se sbíhají signály ze všech oddělení.
• Druhý nástroj funguje jako aktivní ochrana přímo na jednotlivých počítačích a serverech – jako imunitní systém, který dovede sám zasáhnout, jakmile něco rozpozná jako hrozbu.
• Třetí nástroj nepřetržitě sleduje veškerý provoz přímo v síti a umí odhalit hrozbu i tam, kde by se jinak schovala mezi běžným provozem.

Společně tyto tři nástroje tvoří vícevrstvý bezpečnostní systém, který dovede podezřelou aktivitu nejen odhalit, ale často i zastavit dřív, než napáchá škodu – stejně jako díky včasné signalizaci stihnete zasáhnout dřív, než dojde ke skutečné komplikaci.
Tahle konkrétní část bezpečnostní modernizace (nové brány, zálohování, ochrana počítačů i sítě) navíc nešla čistě z rozpočtu nemocnice – z velké části ji pomohla zaplatit dotace z Národního plánu obnovy, tedy z peněz Evropské unie určených právě na posílení kybernetické bezpečnosti důležitých institucí.

Rozchod s desítky let starým prostředím pro poštu a sdílení souborů

Nemocnice dlouhá léta stavěla elektronickou poštu, sdílení souborů a přihlašování zaměstnanců na jednom starém softwarovém prostředí. Nešlo o drobnou nepříjemnost ani o otázku vkusu – tohle prostředí bylo dávno technologicky zastaralé, prakticky bez řádné podpory výrobce a čím dál hůř slučitelné s bezpečnostními požadavky popsanými v kapitole 5. Jinými slovy: nešlo o to, že bychom si řekli „zkusíme balík od jiné firmy“, ale o to, že to staré prostředí dosluhovalo a dál by představovalo skutečné bezpečnostní riziko pro celou nemocnici.

Vysoutěžili jsme proto kompletní přechod na nové prostředí, které dnes používá naprostá většina firem i úřadů: nové serverové licence, elektronickou poštu, nástroje pro komunikaci a online schůzky, kancelářský balík a s tím spojenou technickou podporu. Podstatnou a nejnáročnější částí zakázky přitom nejsou samotné licence, ale rozsáhlé implementační práce – tedy skutečné přestěhování desítek systémů, tisíců e-mailových schránek, sdílených souborů i uživatelských účtů a jejich oprávnění do zcela nového prostředí, a to bez přerušení běžného provozu nemocnice.

Je to podobné, jako kdyby se v celé nemocnici najednou muselo přejít ze starého, dnes už nepoužívaného telefonního systému na běžné mobily, které dnes má každý – nejde jen o výměnu přístrojů na stole, ale o přebudování celého způsobu, jakým lidé komunikují, jak se k nim dá dovolat a jak to všechno zapadá do zbytku fungování nemocnice. Rozsah a komplexnost téhle změny přesně odpovídá tomu přirovnání – nejde o kosmetickou výměnu jednoho balíku za jiný, ale o zásadní přestavbu základů, na kterých celá administrativní komunikace nemocnice stojí.

Na rozdíl od ostatních sedmi zakázek popsaných v tomto článku, na které přispěla evropská dotace z Národního plánu obnovy, tuto změnu hradila nemocnice výhradně z vlastního rozpočtu.
Stav: rozpracováno.

Na závěr: velký dík za obrovský kus práce

Když se to všechno sečte, jde o naprosto zásadní proměnu technického zázemí celé nemocnice – během jediného roku se vyměnila prakticky každá důležitá součástka digitální infrastruktury: od úložišť dat přes celou síť, zálohovací a chladicí systémy, stovky počítačů, bezpečnostní systémy, přihlašování uživatelů, personální systém, až po zcela nový nemocniční informační systém. A to vše se dělo za plného provozu nemocnice, kde selhání není přípustnou možností – stejně jako vy nemůžete přerušit péči o pacienta, nemohli jsme ani my nikdy vypnout nemocnici „na údržbu“.

Součástí této práce bylo i osm úspěšně vysoutěžených veřejných zakázek a úspěšné obhájení kybernetického auditu, tedy spousta administrativní a organizační práce, která na první pohled není vidět, ale je stejně náročná jako práce technická.

Část projektu – zejména nasazení nového nemocničního informačního systému, dokončení stěhování dat do nové infrastruktury a rozjezd centrálního ServiceDesku – ještě pokračuje. To, co se ale za posledních dvanáct měsíců povedlo, představuje mimořádný výkon celého IT týmu, na který má být hrdý nejen tým sám, ale i celá nemocnice. Bez lidí, kteří tuhle práci odvedli, by nemocnice dnes stála na mnohem křehčích a zranitelnějších základech – a vy byste to nejspíš ani nepoznali, dokud by nebylo pozdě.

Děkuji tímto svému týmu
Petr Knížek