Krátká odpověď: ISO/IEC 27001 definuje systém řízení bezpečnosti informací (ISMS): jak organizace identifikuje svá informační rizika, vybírá opatření, zavádí je a zlepšuje, přičemž výsledek certifikuje auditor. Jeho doplňková norma ISO/IEC 27002 popisuje samotná opatření. ISO 27799 (zdravotnická informatika: řízení bezpečnosti informací ve zdravotnictví s využitím ISO/IEC 27002) bere tato opatření a říká, jak je aplikovat na osobní zdravotní informace: minimální požadavky, specifická zdravotnická rizika a opatření, která by nemocnice nebo dodavatel zdravotnického softwaru měl považovat za povinná, nikoli volitelná. Certifikujete se podle 27001; používáte 27799 k rozhodnutí, co musí certifikát pokrývat, pokud jde o zdravotnická data. Nemocnice a národní programy stále častěji požadují certifikát a doklad o zohlednění zdravotnických specifik, nebo národní systém, který je zahrnuje.
ISO/IEC 27001:2022 v jednom odstavci
ISO/IEC 27001:2022 je mezinárodní norma pro systém řízení bezpečnosti informací, která je certifikovatelná. Články 4 až 10 stanovují požadavky na kontext, vedení, plánování založené na riziku, podporu, provoz, hodnocení výkonnosti a zlepšování; příloha A uvádí 93 kontrol ve čtyřech tématech, vybraných a zdůvodněných ve Prohlášení o použitelnosti. Certifikace zahrnuje dvouetapový audit, roční dohled a recertifikaci každé tři roky.
Norma má deset článků; články 4 až 10 jsou požadavky: kontext a rozsah, vedení, plánování (hodnocení a ošetření rizik, cíle), podpora (zdroje, způsobilost, dokumentace), provoz, hodnocení výkonnosti (monitorování, interní audit, přezkoumání vedením) a zlepšování. Příloha A uvádí 93 opatření ve čtyřech tématech (organizační, lidé, fyzická, technologická), která byla v roce 2022 reorganizována z 114 opatření edice z roku 2013, s novými pro zpravodajství o hrozbách, cloudové služby, připravenost ICT na kontinuitu podnikání, maskování dat, prevenci úniku dat, monitorování, filtrování webu a bezpečné kódování. Nemusíte implementovat každé opatření; musíte v Prohlášení o aplikovatelnosti zdůvodnit, která opatření uplatňujete a proč ostatní nejsou relevantní. Certifikace je audit fáze 1 a fáze 2, poté roční dohled a recertifikace každé tři roky.
Co ISO 27799 přidává
ISO 27799 přidává k kontrolám ISO/IEC 27002 pokyny specifické pro zdravotnictví: pro osobní zdravotní informace činí několik kontrol povinnými, včetně jedinečné identifikace uživatele, řízení přístupu na základě rolí a vztahu péče, auditního záznamu každého přístupu ke zdravotním záznamům, šifrování na mobilních zařízeních a při přenosu, bezpečného likvidování, řízení incidentů a kontinuity provozu a popisuje hrozby specifické pro zdravotnické organizace.
27799 (aktuální edice 2016) prochází opatřeními 27002 a pro každé uvádí, co by zdravotnické organizace měly dělat. Některá povyšuje z "mělo by se zvážit" na "musí": zdokumentovaná politika bezpečnosti informací specifická pro zdravotní informace; jedinečná identifikace uživatele (žádné sdílené účty v klinických systémech); řízení přístupu na základě role a vztahu péče; auditní záznamy o každém přístupu k osobním zdravotním informacím, uchovávané a přezkoumatelné; šifrování zdravotních informací na mobilních zařízeních a při přenosu; bezpečné zlikvidování; řízení incidentů, které zahrnuje narušení soukromí; a kontinuita podnikání, protože nedostupný záznam může poškodit pacienta. Vysvětluje také specifická zdravotnická rizika: interní prohlížení záznamů známých osob, nesprávné zařazení mezi pacienty, slabé místo výzkumných výtažků a dlouhé doby uchovávání, které udržují stará data vystavená.
Tyto dvě normy dohromady a jejich sousedé
ISO/IEC 27001 a ISO 27799 spolupracují: 27001 je certifikovatelný systém řízení a 27799 jsou pokyny pro zdravotnický sektor, které kontroly zahrnout. Sousední normy a schémata pokrývají potřeby: ISO 27701 pro ochranu soukromí, ISO 27017 a 27018 pro cloud, SOC 2 a HITRUST pro americké zákazníky, HDS (Francie), C5 (Německo), NHS DSPT (Anglie) a ENS (Španělsko) pro národní zakázky.
| Norma nebo systém | Typ | Použijte pro |
|---|---|---|
| ISO/IEC 27001:2022 | Certifikovatelné požadavky ISMS | Certifikát, který nemocnice a výběrová řízení požadují |
| ISO/IEC 27002:2022 | Pokyny k opatřením | Implementace opatření z Přílohy A |
| ISO 27799:2016 | Pokyny pro zdravotnický sektor | Vymezení rozsahu a zdůvodnění opatření pro zdravotnická data; důkaz při náležité péči |
| ISO/IEC 27701:2019 | Rozšíření ochrany soukromí k 27001/27002 | Prokázání řízení ochrany soukromí v souladu s GDPR jako správce a zpracovatel |
| ISO/IEC 27017 a 27018 | Pokyny pro zabezpečení cloudu a ochranu soukromí v cloudu | Poskytovatelé cloudu a SaaS zpracovávající osobní údaje |
| SOC 2 (AICPA) | Zpráva o ověření v USA (Typ I nebo II) o kritériích důvěryhodnosti | Zákazníci a investoři v USA; není to certifikát |
| HITRUST CSF | Rámec a certifikace pro zdravotnictví v USA | Zdravotnické systémy a plátci v USA, kteří to vyžadují |
| HDS (Francie) | Povinná certifikace pro hostování zdravotnických dat ve Francii | Každý poskytovatel hostující francouzská zdravotnická data; založeno na 27001 |
| C5 (Německo) | BSI cloudové ověření | Veřejný sektor a nákup nemocnic v Německu |
| NHS DSPT (Anglie) | Roční samohodnotící nástroj | Každý dodavatel pro NHS |
| ENS (Španělsko) | Národní rámec bezpečnosti | Systémy veřejného sektoru ve Španělsku |
| IEC 81001-5-1 | Bezpečný životní cyklus produktu pro zdravotnický software | Kybernetická bezpečnost softwaru zdravotnických prostředků, spolu s IEC 62304 |
Většina z nich se silně překrývá s kontrolní sadou 27001; organizace se mapují jednou a důkazy znovu používají. Několik národních systémů (HDS, C5, ENS) je postaveno na 27001 a přidává sektorové nebo národní požadavky, proto je 27001 rozumným prvním certifikátem pro zdravotnickou technologickou společnost prodávající v Evropě.
Co certifikovat a kdy
Pro společnost zabývající se zdravotnickými technologiemi prodávající v Evropě je obvyklým postupem nejprve certifikovat ISO/IEC 27001, zaměřený na platformu a týmy, které ji provozují, po implementaci zdravotnických kontrol z ISO 27799 (záznamy o přístupu k jednotlivým záznamům, přístup založený na vztahu, šifrování, žádné sdílené účty, testované obnovení), a poté přidat ISO 27701, HDS, C5 nebo SOC 2, když si je trh vyžádá.
- Rozsah úzce a poctivě: platforma a týmy, které ji provozují, nikoli všechny firemní notebooky, pokud se nedotýkají dat. Nemocnice si přečtou prohlášení o rozsahu.
- Zdravotnické specifiky řešte ještě před certifikací: záznamy o přístupu na záznam pacienta, přístup založený na roli a vztahu, šifrování všude, žádné sdílené účty, testované obnovy. Bezpečnostní dotazník nemocnice se na ně ptá; 27799 je kontrolní seznam.
- Nejprve certifikujte 27001, přidejte 27701, pokud zpracováváte jako správce a zpracovatel pro mnoho zákazníků, přidejte HDS nebo C5, když si to trh vyžádá, SOC 2, když to udělají zákazníci v USA.
- Udržujte viditelnou vazbu na GDPR: Článek 32 požaduje zabezpečení přiměřené riziku a certifikát 27001 s rozsahem informovaným 27799 je nejuznávanějším způsobem, jak to prokázat. Sekce opatření v DPIA a plán ošetření rizik ISMS by měly být stejným seznamem. Viz DPIA pro zdravotnickou aplikaci.
- NIS2 (pro subjekty v rozsahu) a navrhovaná aktualizace HIPAA Security Rule se obě čtou jako 27001 Příloha A s povinným vícefaktorovým ověřováním a hlášením incidentů; jeden ISMS odpovídá všem třem. Viz NIS2 pro nemocnice a dodavatele.
V Anpheros
Anpheros provozuje svůj bezpečnostní program podle struktury ISO 27001 s povinnými zdravotnickými opatřeními podle 27799: záznamy o přístupu na záznam, které může osoba číst, přístup omezený souhlasem a časem, šifrování v klidu i při přenosu, hosting v EU, žádné sdílené účty, testované zálohy a proces řešení incidentů s 72hodinovou lhůtou GDPR. Vývojářské stránky dokumentují bezpečnost platformy a audit naleznete v bezpečnostní revizi z října 2026.
Tato stránka vysvětluje regulaci pro produktové a inženýrské týmy. Nejedná se o právní poradenství; texty uvedené v sekci Zdroje jsou závazné a váš pověřenec pro ochranu osobních údajů, notifikovaný orgán nebo právní zástupce rozhodne pro váš případ. Poslední revize: říjen 2026.
Související stránky
- NIS2 pro nemocnice a dodavatele zdravotnických technologií
- DPIA pro zdravotnickou aplikaci
- HIPAA vs GDPR
- Kdo si prohlížel můj lékařský záznam?
- Mapa regulace zdravotnických dat
- Bezpečnost platformy (vývojářské stránky)
Zdroje
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Zdravotnická informatika: řízení bezpečnosti informací ve zdravotnictví s využitím ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Francie): HDS certifikace
- BSI (Německo): C5 kritéria
- NHS England: Data Security and Protection Toolkit
Časté otázky
Mohu se certifikovat podle ISO 27799?
Ne. 27799 jsou pokyny; certifikační orgány certifikují ISO/IEC 27001. Rozsah 27001 a Prohlášení o aplikovatelnosti můžete nechat odkazovat na 27799, aby certifikát prokazatelně pokrýval zdravotnická specifická opatření.
Je SOC 2 ekvivalentní ISO 27001?
Překrývají se, ale liší se v druhu: SOC 2 je zpráva auditora o opatřeních v průběhu období podle kritérií důvěryhodnosti, běžná v USA; 27001 je certifikovaný systém řízení, běžný v Evropě a mezinárodně. Mnoho zdravotnických technologických společností má obojí.
Potřebuji HDS pro obsluhu francouzských klinik?
Pokud hostujete zdravotnická data pro francouzské poskytovatele péče, ano: certifikace HDS je zákonný požadavek podle francouzského kodexu veřejného zdraví a většina francouzských zákazníků bez ní nepodepíše. Staví na 27001, takže začněte tam.
Jak dlouho trvá ISO 27001?
Pro zaměřený rozsah s angažovaným týmem, šest až dvanáct měsíců od začátku do certifikátu, z čehož většina času je věnována zavedení opatření a sběru důkazů. Samotný audit trvá několik dní.
Vyzkoušejte zdarma v sandboxu
První volání FHIR za 5 minut. API standardu HL7 FHIR R4 s integrovaným souhlasem pacienta: vyzkoušejte si ho v sandboxu a poté propojte svou vlastní aplikaci nebo klinický systém.
Zdarma · 30 syntetických pacientů · bez karty
Anpheros vytváří zdravotní záznamy, které pacient ovládá a může sdílet s jakoukoli klinikou, na platformě HL7 FHIR R4 se sídlem v EU. Tyto průvodce vám pomohou porozumět vašemu zdraví a uspořádat si ho; nenahrazují vašeho lékaře.
O Anpheros →