Krátká odpověď: NIS2 (směrnice (EU) 2022/2555) je kybernetický zákon EU pro kritická odvětví. Zdravotnictví je odvětví s vysokou kritičností (příloha I): nemocnice a další poskytovatelé zdravotní péče, referenční laboratoře EU, výrobci základních farmaceutických výrobků a zdravotnických prostředků kritických během mimořádné situace v oblasti veřejného zdraví a subjekty provádějící výzkum a vývoj léčivých přípravků. Jsou zahrnuti i digitální poskytovatelé, na kterých zdravotnictví závisí: cloud computing, datová centra, spravované bezpečnostní služby a online platformy a tržiště. Subjekty nad prahovou velikostí (střední: 50 zaměstnanců nebo obrat 10 milionů EUR) jsou základní nebo důležité v závislosti na odvětví a velikosti a musí zavést deset kategorií bezpečnostních opatření, hlásit významné incidenty do 24 hodin, 72 hodin a jednoho měsíce a přijmout, že vedení je osobně odpovědné. Členské státy musely směrnici transponovat do 17. října 2024; některé tak učinily opožděně a platí pro vás národní zákony, nikoli směrnice.
Kdo je v rozsahu
NIS2 se vztahuje na zdravotnictví jako na sektor s vysokou mírou kritičnosti: nemocnice a další poskytovatelé zdravotní péče, evropská referenční laboratoře, výrobci základních farmaceutických produktů a zdravotnických prostředků kritických pro případ nouze v oblasti veřejného zdraví a subjekty zabývající se výzkumem a vývojem léčiv, plus poskytovatelé cloudových služeb, datových center a spravovaných služeb, na kterých zdravotnictví závisí. Středně velké subjekty jsou obecně důležité, velké pak nezbytné.
| Subjekt | Příloha | Typický status |
|---|---|---|
| Nemocnice, kliniky, sítě praktických lékařů, laboratoře, lékárny poskytující péči (poskytovatelé zdravotní péče podle směrnice 2011/24) | I, zdravotnictví | Základní, pokud jsou velké (250+ zaměstnanců nebo 50 milionů EUR+), důležité, pokud jsou střední |
| Referenční laboratoře EU | I, zdravotnictví | Základní |
| Výrobci základních farmaceutických výrobků a přípravků | I, zdravotnictví | Základní nebo důležité podle velikosti |
| Výrobci zdravotnických prostředků považovaných za kritické během mimořádné situace v oblasti veřejného zdraví (seznam podle nařízení 2022/123) | I, zdravotnictví | Základní nebo důležité podle velikosti |
| Subjekty provádějící výzkum a vývoj léčivých přípravků | I, zdravotnictví | Základní nebo důležité podle velikosti |
| Poskytovatelé služeb cloud computingu, poskytovatelé datových center, sítě pro doručování obsahu, spravovaní (bezpečnostní) poskytovatelé služeb, DNS, registry TLD | I, digitální infrastruktura a správa ICT služeb | Základní bez ohledu na velikost pro některé (DNS, TLD, důvěryhodné služby); jinak podle velikosti |
| Online tržiště, vyhledávače, sociální sítě | II, digitální poskytovatelé | Důležité podle velikosti |
| Výrobci jiných zdravotnických prostředků a počítačů, elektroniky, strojů | II, výroba | Důležité podle velikosti |
Poskytovatel zdravotnických technologií SaaS není poskytovatelem zdravotní péče, ale může být v rozsahu jako poskytovatel služeb cloud computingu (pokud nabízí cloudové služby jako své podnikání) nebo být zahrnut prostřednictvím svých zákazníků: článek 21 odst. 2 písm. d) vyžaduje, aby základní a důležité subjekty řídily bezpečnost dodavatelského řetězce, takže nemocnice přenášejí požadavky na úrovni NIS2 do smluv se svými dodavateli softwaru. Mikropodniky a malé podniky jsou obecně mimo rozsah, pokud je členský stát neurčí (například jako jediní poskytovatelé kritické služby).
Deset opatření, článek 21
Článek 21 směrnice NIS2 vyžaduje, aby každý subjekt, na který se směrnice vztahuje, přijal přiměřená opatření v deseti oblastech: analýza rizik a bezpečnostní politiky, řešení incidentů, kontinuita podnikání a krizové řízení, bezpečnost dodavatelského řetězce, bezpečné pořízení a vývoj včetně řešení zranitelností, hodnocení účinnosti, kybernetická hygiena a školení, kryptografie a šifrování, bezpečnost lidských zdrojů a řízení přístupu a vícefaktorová autentizace se zabezpečenou komunikací.
Každý subjekt v rozsahu musí přijmout vhodná a přiměřená technická, provozní a organizační opatření zahrnující minimálně:
- politiky pro analýzu rizik a bezpečnost informačních systémů;
- řešení incidentů;
- kontinuitu podnikání (zálohování, obnova po havárii) a krizové řízení;
- bezpečnost dodavatelského řetězce, včetně bezpečnosti vztahů s přímými dodavateli;
- bezpečnost při akvizici, vývoji a údržbě systémů, včetně řešení a zveřejňování zranitelností;
- politiky pro hodnocení účinnosti opatření;
- základní postupy kybernetické hygieny a školení;
- politiky pro kryptografii a, je-li to vhodné, šifrování;
- bezpečnost lidských zdrojů, řízení přístupu a správu aktiv;
- vícefaktorové nebo průběžné ověřování, zabezpečenou komunikaci a zabezpečenou nouzovou komunikaci.
Prováděcí nařízení z října 2024 (2024/2690) je podrobně specifikuje pro digitální infrastrukturu a poskytovatele ICT a národní orgány zveřejňují své vlastní katalogy pro zdravotnictví. Seznam se úzce shoduje s přílohou A normy ISO/IEC 27001; organizace s certifikovaným ISMS v rozsahu relevantních systémů je na nejlepší cestě. Viz ISO 27001 vs ISO 27799.
Hodiny incidentů, článek 23
Podle článku 23 směrnice NIS2 musí být významný incident nahlášen národnímu CSIRT nebo příslušnému orgánu ve třech krocích: včasné varování do 24 hodin od zjištění, oznámení o incidentu do 72 hodin s počátečním posouzením a závěrečná zpráva do jednoho měsíce pokrývající hlavní příčinu a zmírnění dopadů, s průběžnou zprávou na vyžádání.
Významný incident (ten, který způsobuje nebo může způsobit vážné provozní narušení nebo finanční ztrátu, nebo který ovlivňuje ostatní s podstatnou škodou) musí být nahlášen národnímu CSIRT nebo příslušnému orgánu:
- včasné varování do 24 hodin od zjištění, s uvedením, zda je podezření na škodlivou akci a zda existuje přeshraniční dopad;
- oznámení o incidentu do 72 hodin, s počátečním hodnocením závažnosti a dopadu a indikátory kompromitace;
- průběžná zpráva na vyžádání;
- konečná zpráva do jednoho měsíce, s hlavní příčinou, zmírňujícími opatřeními a přeshraničním dopadem.
Pokud jsou zapojeny osobní údaje, 72hodinové oznámení podle GDPR datovému ochránci probíhá souběžně; ransomware útok na nemocnici spouští obojí. Příjemci služeb musí být informováni, když je incident může ovlivnit.
Správa, odpovědnost, pokuty
NIS2 činí vedení osobně odpovědným: řídící orgány musí schvalovat opatření kybernetické bezpečnosti, dohlížet na jejich implementaci a absolvovat školení a mohou být činěny odpovědnými za porušení; u základních subjektů mohou orgány dočasně pozastavit činnost manažerů. Pokuty dosahují 10 milionů EUR nebo 2 % celosvětového obratu u základních subjektů a 7 milionů EUR nebo 1,4 % u důležitých subjektů.
Orgány mohou provádět audity, vyžadovat důkazy a v některých členských státech je registrace subjektů sama o sobě povinností.
Stav transpozice
Směrnice NIS2 měla být transponována do vnitrostátního práva do 17. října 2024. Do poloviny roku 2025 mělo přibližně polovina členských států platné zákony, Komise zahájila řízení pro porušení právních předpisů proti těm opožděným a německý prováděcí zákon vstoupil v platnost koncem roku 2025. Národní zákon, nikoli směrnice, stanoví termín registrace, příslušný orgán a případný katalog zdravotnického sektoru.
Termín pro transpozici byl 17. října 2024. V polovině roku 2025 mělo zhruba polovinu členských států platné zákony (mezi prvními Belgie, Chorvatsko, Maďarsko, Itálie, Lotyšsko, Litva, Rumunsko, Slovensko) a Komise zahájila řízení pro porušení práv proti těm opožděným; německý zákon o implementaci NIS2 vstoupil v platnost koncem roku 2025. Zkontrolujte svůj národní zákon pro termín registrace, orgán (často národní agentura pro kybernetickou bezpečnost pro zdravotnictví, někdy regulátor zdravotnického sektoru) a sektorově specifické katalogy. Mimo EU Spojené království následuje s návrhem zákona o kybernetické bezpečnosti a odolnosti.
Pro dodavatele zdravotnických technologií, prakticky
Pro dodavatele zdravotnických technologií přichází NIS2 hlavně prostřednictvím smluv s nemocnicemi: zákazníci, na které se směrnice vztahuje, musí řídit bezpečnost dodavatelského řetězce, proto vyžadují oznámení o incidentech během několika hodin, důkazy o deseti opatřeních podle článku 21, zveřejnění zranitelností, seznamy subdodavatelů a plány ukončení činnosti a kontinuity. Jediný systém řízení informační bezpečnosti s těmito prvky zdokumentovanými jednou je nejlevnější způsob, jak odpovědět.
Anpheros zveřejňuje svou bezpečnostní praxi na vývojářském webu (security, reliability) a řídí reakci na incidenty podle časových harmonogramů NIS2 i GDPR ve stejném runbooku.
Tato stránka vysvětluje regulaci pro produktové a inženýrské týmy. Nejedná se o právní poradenství; závazné jsou texty uvedené v sekci Zdroje a pro váš případ rozhoduje váš pověřenec pro ochranu osobních údajů, notifikovaný orgán nebo právní zástupce. Poslední revize: říjen 2026.
Související stránky
- ISO 27001 vs ISO 27799
- GDPR článek 9 pro zdravotní údaje
- Mapa regulace zdravotních údajů
- DPIA pro zdravotní aplikaci
- Bezpečnost platformy (vývojářský web)
Zdroje
- Směrnice (EU) 2022/2555 (NIS2), EUR-Lex
- Prováděcí nařízení Komise (EU) 2024/2690 (technické požadavky NIS2 pro digitální poskytovatele), EUR-Lex
- Evropská komise: Přehled směrnice NIS2
- Nařízení (EU) 2022/123 (posílená role EMA; seznam kritických zdravotnických prostředků), EUR-Lex
Časté otázky
Je moje 30členná společnost zabývající se zdravotnickým softwarem v rozsahu?
Obvykle ne přímo, pokud vás váš národní zákon neurčí nebo neposkytujete službu uvedenou v příloze I bez ohledu na velikost. Stále se budete setkávat s požadavky NIS2 prostřednictvím povinností týkajících se dodavatelského řetězce vašich nemocničních zákazníků, které se přenášejí do smluv.
Co je významný incident?
Incident, který způsobí nebo může způsobit vážné provozní narušení nebo finanční ztrátu pro subjekt, nebo který ovlivňuje jiné osoby nebo organizace s podstatnou materiální nebo nemateriální škodou. Ransomware útok na nemocnici je učebnicový případ; krátký výpadek bez dopadu na data obvykle není.
Nahrazuje NIS2 oznámení o porušení GDPR?
Ne. Probíhají souběžně s různými příjemci (CSIRT nebo orgán pro kybernetickou bezpečnost vs. orgán pro ochranu osobních údajů), různými spouštěči (narušení služby vs. porušení osobních údajů) a překrývajícími se lhůtami.
Je certifikace ISO 27001 důkazem souladu s NIS2?
Ne formálně, ale několik členských států a ENISA považuje certifikovaný ISMS v relevantním rozsahu za silný důkaz a některé národní systémy jej přijímají jako předpoklad pro většinu opatření. Povinnosti týkající se hlášení incidentů a školení managementu je stále třeba prokázat samostatně.
Vyzkoušejte zdarma v sandboxu
První volání FHIR za 5 minut. API standardu HL7 FHIR R4 s integrovaným souhlasem pacienta: vyzkoušejte si ho v sandboxu a poté propojte svou vlastní aplikaci nebo klinický systém.
Zdarma · 30 syntetických pacientů · bez karty
Anpheros vytváří zdravotní záznamy, které pacient ovládá a může sdílet s jakoukoli klinikou, na platformě HL7 FHIR R4 se sídlem v EU. Tyto průvodce vám pomohou porozumět vašemu zdraví a uspořádat si ho; nenahrazují vašeho lékaře.
O Anpheros →