NIS2: अस्पतालों और हेल्थ-टेक विक्रेताओं के लिए - कौन शामिल है, क्या ज़रूरी है और घटना की समय-सीमा

संक्षिप्त उत्तर: NIS2 (निर्देश (EU) 2022/2555) यूरोपीय संघ का महत्वपूर्ण क्षेत्रों के लिए साइबर सुरक्षा कानून है। स्वास्थ्य एक उच्च महत्वपूर्णता वाला क्षेत्र है (अनुलग्नक I): अस्पताल और अन्य स्वास्थ्य सेवा प्रदाता, यूरोपीय संघ के संदर्भ प्रयोगशालाएं, बुनियादी दवा उत्पादों के निर्माता और सार्वजनिक स्वास्थ्य आपातकाल के दौरान महत्वपूर्ण चिकित्सा उपकरण, और औषधीय उत्पादों के अनुसंधान और विकास में लगी संस्थाएं। स्वास्थ्य जिन पर निर्भर करता है वे डिजिटल प्रदाता भी शामिल हैं: क्लाउड कंप्यूटिंग, डेटा सेंटर, प्रबंधित सुरक्षा सेवाएं, और ऑनलाइन प्लेटफ़ॉर्म और बाज़ार। आकार सीमा (मध्यम: 50 कर्मचारी या €10 मिलियन का कारोबार) से ऊपर की संस्थाएं क्षेत्र और आकार के आधार पर आवश्यक या महत्वपूर्ण होती हैं, और उन्हें दस श्रेणियों के सुरक्षा उपायों को लागू करना होगा, 24 घंटे, 72 घंटे और एक महीने में महत्वपूर्ण घटनाओं की रिपोर्ट करनी होगी, और यह स्वीकार करना होगा कि प्रबंधन व्यक्तिगत रूप से जवाबदेह है। सदस्य राज्यों को 17 अक्टूबर 2024 तक इसे लागू करना था; कई ने इसे देर से किया, और राष्ट्रीय कानून, न कि निर्देश, आप पर लागू होता है।

कौन दायरे में है

NIS2 स्वास्थ्य क्षेत्र को उच्च महत्वपूर्णता वाले क्षेत्र के रूप में कवर करता है: अस्पताल और अन्य स्वास्थ्य सेवा प्रदाता, यूरोपीय संघ के संदर्भ प्रयोगशालाएं, सार्वजनिक स्वास्थ्य आपातकाल में महत्वपूर्ण बुनियादी दवा उत्पादों और चिकित्सा उपकरणों के निर्माता, और औषधीय उत्पाद अनुसंधान एवं विकास संस्थाएं, साथ ही क्लाउड, डेटा सेंटर और प्रबंधित सेवा प्रदाता जिन पर स्वास्थ्य निर्भर करता है। मध्यम आकार की संस्थाएं आम तौर पर महत्वपूर्ण होती हैं, और बड़ी संस्थाएं आवश्यक होती हैं।

एक स्वास्थ्य-टेक SaaS विक्रेता स्वास्थ्य सेवा प्रदाता नहीं है, लेकिन यह क्लाउड कंप्यूटिंग सेवा प्रदाता के रूप में दायरे में आ सकता है (यदि यह अपने व्यवसाय के रूप में क्लाउड सेवाएं प्रदान करता है) या अपने ग्राहकों के माध्यम से शामिल किया जा सकता है: अनुच्छेद 21(2)(d) आवश्यक और महत्वपूर्ण संस्थाओं को आपूर्ति श्रृंखला सुरक्षा का प्रबंधन करने की आवश्यकता है, इसलिए अस्पताल NIS2-स्तर की आवश्यकताओं को अपने सॉफ्टवेयर आपूर्तिकर्ताओं के साथ अनुबंधों में पारित करते हैं। माइक्रो और छोटी कंपनियां आम तौर पर दायरे से बाहर होती हैं जब तक कि कोई सदस्य राज्य उन्हें नामित न करे (उदाहरण के लिए, एक महत्वपूर्ण सेवा के एकमात्र प्रदाता के रूप में)।

दस उपाय, अनुच्छेद 21

NIS2 का अनुच्छेद 21 हर संस्था से अपेक्षा करता है कि वह दस क्षेत्रों में आनुपातिक उपाय करे: जोखिम विश्लेषण और सुरक्षा नीतियां, घटना प्रबंधन, व्यवसाय निरंतरता और संकट प्रबंधन, आपूर्ति श्रृंखला सुरक्षा, भेद्यता प्रबंधन सहित सुरक्षित अधिग्रहण और विकास, प्रभावशीलता मूल्यांकन, साइबर स्वच्छता और प्रशिक्षण, क्रिप्टोग्राफी और एन्क्रिप्शन, मानव संसाधन सुरक्षा और पहुंच नियंत्रण, और सुरक्षित संचार के साथ मल्टी-फैक्टर प्रमाणीकरण।

दायरे में प्रत्येक संस्था को कम से कम निम्नलिखित को कवर करने वाले उपयुक्त और आनुपातिक तकनीकी, परिचालन और संगठनात्मक उपाय करने होंगे:

1. जोखिम विश्लेषण और सूचना प्रणाली सुरक्षा पर नीतियां;
2. घटना प्रबंधन;
3. व्यावसायिक निरंतरता (बैकअप, आपदा रिकवरी) और संकट प्रबंधन;
4. आपूर्ति श्रृंखला सुरक्षा, जिसमें प्रत्यक्ष आपूर्तिकर्ताओं के साथ संबंधों की सुरक्षा शामिल है;
5. सिस्टम के अधिग्रहण, विकास और रखरखाव में सुरक्षा, जिसमें भेद्यता प्रबंधन और प्रकटीकरण शामिल है;
6. उपायों की प्रभावशीलता का आकलन करने के लिए नीतियां;
7. बुनियादी साइबर स्वच्छता प्रथाएं और प्रशिक्षण;
8. क्रिप्टोग्राफी पर नीतियां और, जहां उपयुक्त हो, एन्क्रिप्शन;
9. मानव संसाधन सुरक्षा, पहुंच नियंत्रण और संपत्ति प्रबंधन;
10. मल्टी-फैक्टर या निरंतर प्रमाणीकरण, सुरक्षित संचार और सुरक्षित आपातकालीन संचार।

अक्टूबर 2024 का एक कार्यान्वयन विनियमन (2024/2690) डिजिटल अवसंरचना और आईसीटी प्रदाताओं के लिए इन्हें विस्तार से निर्दिष्ट करता है, और राष्ट्रीय प्राधिकरण स्वास्थ्य के लिए अपनी कैटलॉग प्रकाशित करते हैं। सूची ISO/IEC 27001 अनुलग्नक A से काफी मिलती-जुलती है; संबंधित प्रणालियों पर दायरे में एक प्रमाणित ISMS वाली संस्था काफी हद तक वहां पहुंच जाती है। ISO 27001 बनाम ISO 27799 देखें।

घटना घड़ी, अनुच्छेद 23

NIS2 के अनुच्छेद 23 के तहत, किसी भी महत्वपूर्ण घटना की सूचना राष्ट्रीय CSIRT या सक्षम प्राधिकारी को तीन चरणों में देनी होगी: जानकारी मिलने के 24 घंटे के भीतर एक प्रारंभिक चेतावनी, प्रारंभिक मूल्यांकन के साथ 72 घंटे के भीतर एक घटना अधिसूचना, और मूल कारण और शमन को कवर करने वाली एक महीने के भीतर अंतिम रिपोर्ट, अनुरोध पर एक मध्यवर्ती रिपोर्ट के साथ।

एक महत्वपूर्ण घटना (एक जो गंभीर परिचालन व्यवधान या वित्तीय हानि का कारण बनती है या हो सकती है, या दूसरों को काफी नुकसान पहुंचाती है) की रिपोर्ट राष्ट्रीय CSIRT या सक्षम प्राधिकारी को की जानी चाहिए:

• जागरूक होने के 24 घंटे के भीतर प्रारंभिक चेतावनी, यह बताते हुए कि क्या दुर्भावनापूर्ण कार्रवाई का संदेह है और क्या कोई क्रॉस-बॉर्डर प्रभाव है;
• 72 घंटे के भीतर घटना अधिसूचना, गंभीरता और प्रभाव का प्रारंभिक मूल्यांकन और समझौता संकेतकों के साथ;
• अनुरोध पर एक मध्यवर्ती रिपोर्ट;
• एक महीने के भीतर एक अंतिम रिपोर्ट, जिसमें मूल कारण, शमन और क्रॉस-बॉर्डर प्रभाव शामिल हैं।

जहां व्यक्तिगत डेटा शामिल है, डेटा संरक्षण प्राधिकरण को GDPR की 72-घंटे की अधिसूचना समानांतर चलती है; एक अस्पताल रैंसमवेयर हमला दोनों को ट्रिगर करता है। सेवा प्राप्तकर्ताओं को सूचित किया जाना चाहिए जब घटना उन्हें प्रभावित कर सकती है।

शासन, देयता, जुर्माना

NIS2 प्रबंधन को व्यक्तिगत रूप से जवाबदेह बनाता है: प्रबंधन निकायों को साइबर सुरक्षा उपायों को मंजूरी देनी होगी, उनके कार्यान्वयन की निगरानी करनी होगी और प्रशिक्षण का पालन करना होगा, और उल्लंघनों के लिए उत्तरदायी ठहराया जा सकता है; आवश्यक संस्थाओं के लिए, अधिकारी प्रबंधकों को अस्थायी रूप से निलंबित कर सकते हैं। आवश्यक संस्थाओं के लिए जुर्माना €10 मिलियन या विश्वव्यापी टर्नओवर का 2% तक पहुंचता है और महत्वपूर्ण संस्थाओं के लिए €7 मिलियन या 1.4% तक।

अधिकारी ऑडिट कर सकते हैं, साक्ष्य की मांग कर सकते हैं, और कुछ सदस्य राज्यों में संस्थाओं का पंजीकरण स्वयं एक दायित्व है।

प्रतिस्थापन कहाँ खड़ा है

NIS2 को 17 अक्टूबर 2024 तक राष्ट्रीय कानून में लागू किया जाना था। 2025 के मध्य तक लगभग आधे सदस्य राज्यों के पास कानून लागू थे, आयोग ने देर से आने वालों के खिलाफ उल्लंघन प्रक्रियाएं शुरू कर दी थीं, और जर्मनी का कार्यान्वयन अधिनियम 2025 के अंत में प्रभावी हुआ। राष्ट्रीय कानून, न कि निर्देश, पंजीकरण की समय सीमा, सक्षम प्राधिकारी और किसी भी स्वास्थ्य-क्षेत्र सूची को निर्धारित करता है।

प्रतिस्थापन की समय सीमा 17 अक्टूबर 2024 थी। 2025 के मध्य तक लगभग आधे सदस्य राज्यों के पास कानून लागू थे (बेल्जियम, क्रोएशिया, हंगरी, इटली, लातविया, लिथुआनिया, रोमानिया, स्लोवाकिया पहले थे), और आयोग ने देर से आने वालों के खिलाफ उल्लंघन प्रक्रियाएं शुरू कीं; जर्मनी का NIS2 कार्यान्वयन अधिनियम 2025 के अंत में प्रभावी हुआ। पंजीकरण की समय सीमा, प्राधिकारी (अक्सर स्वास्थ्य के लिए राष्ट्रीय साइबर सुरक्षा एजेंसी, कभी-कभी एक स्वास्थ्य-क्षेत्र नियामक) और क्षेत्र-विशिष्ट कैटलॉग के लिए अपने राष्ट्रीय कानून की जांच करें। यूरोपीय संघ के बाहर, यूके साइबर सुरक्षा और लचीलापन विधेयक के साथ इसका अनुसरण कर रहा है।

एक स्वास्थ्य-टेक विक्रेता के लिए, व्यावहारिक रूप से

एक स्वास्थ्य-टेक विक्रेता के लिए, NIS2 मुख्य रूप से अस्पताल अनुबंधों के माध्यम से आता है: दायरे में आने वाले ग्राहकों को आपूर्ति श्रृंखला सुरक्षा का प्रबंधन करना होता है, इसलिए वे घंटों के भीतर घटना अधिसूचना, दस अनुच्छेद 21 उपायों के प्रमाण, भेद्यता प्रकटीकरण, उपठेकेदार सूचियां और निकास और निरंतरता योजनाएं मांगते हैं। इन तत्वों के साथ एक सूचना सुरक्षा प्रबंधन प्रणाली जिसे एक बार प्रलेखित किया गया हो, जवाब देने का सबसे सस्ता तरीका है।

Anpheros डेवलपर साइट (security, reliability) पर अपनी सुरक्षा प्रथा प्रकाशित करता है और एक ही रनबुक में NIS2 और GDPR दोनों घड़ियों के साथ घटना प्रतिक्रिया चलाता है।

यह पृष्ठ उत्पाद और इंजीनियरिंग टीमों के लिए विनियमन की व्याख्या करता है। यह कानूनी सलाह नहीं है; स्रोतों के तहत लिंक किए गए पाठ ही प्राधिकारी हैं, और आपका डेटा संरक्षण अधिकारी, अधिसूचित निकाय या वकील आपके मामले का निर्णय लेता है। अंतिम समीक्षा: अक्टूबर 2026।

संबंधित पृष्ठ

• ISO 27001 बनाम ISO 27799
• स्वास्थ्य डेटा के लिए GDPR अनुच्छेद 9
• स्वास्थ्य डेटा विनियमन मानचित्र
• स्वास्थ्य ऐप के लिए DPIA
• प्लेटफ़ॉर्म सुरक्षा (डेवलपर साइट)

स्रोत

• निर्देश (EU) 2022/2555 (NIS2), EUR-Lex
• कमीशन कार्यान्वयन विनियमन (EU) 2024/2690 (डिजिटल प्रदाताओं के लिए NIS2 तकनीकी आवश्यकताएं), EUR-Lex
• यूरोपीय आयोग: NIS2 निर्देश अवलोकन
• विनियमन (EU) 2022/123 (EMA की बढ़ी हुई भूमिका; महत्वपूर्ण चिकित्सा उपकरणों की सूची), EUR-Lex

अक्सर पूछे जाने वाले प्रश्न

क्या मेरी 30-व्यक्ति स्वास्थ्य सॉफ्टवेयर कंपनी दायरे में है?

आमतौर पर सीधे नहीं, जब तक कि आपका राष्ट्रीय कानून आपको नामित न करे या आप अनुलग्नक I में सूचीबद्ध सेवा प्रदान न करें, आकार की परवाह किए बिना। आप अभी भी अपने अस्पताल ग्राहकों के आपूर्ति-श्रृंखला दायित्वों के माध्यम से NIS2 को पूरा करेंगे, जो अनुबंधों में प्रवाहित होते हैं।

एक महत्वपूर्ण घटना क्या है?

एक जो संस्था के लिए गंभीर परिचालन व्यवधान या वित्तीय हानि का कारण बनती है या हो सकती है, या जो अन्य लोगों या संगठनों को काफी भौतिक या गैर-भौतिक नुकसान पहुंचाती है। एक अस्पताल पर रैंसमवेयर हमला एक पाठ्यपुस्तक मामला है; बिना डेटा प्रभाव के एक संक्षिप्त आउटेज आमतौर पर नहीं होता है।

क्या NIS2 GDPR उल्लंघन अधिसूचना को प्रतिस्थापित करता है?

नहीं। वे अलग-अलग प्राप्तकर्ताओं (CSIRT या साइबर सुरक्षा प्राधिकरण बनाम डेटा संरक्षण प्राधिकरण), अलग-अलग ट्रिगर (सेवा व्यवधान बनाम व्यक्तिगत डेटा उल्लंघन) और ओवरलैपिंग समय-सीमा के साथ समानांतर चलते हैं।

क्या ISO 27001 प्रमाणन NIS2 अनुपालन का प्रमाण है?

औपचारिक रूप से नहीं, लेकिन कई सदस्य राज्य और ENISA संबंधित दायरे पर एक प्रमाणित ISMS को मजबूत सबूत मानते हैं, और कुछ राष्ट्रीय योजनाएं इसे अधिकांश उपायों के लिए एक अनुमान के रूप में स्वीकार करती हैं। घटना रिपोर्टिंग और प्रबंधन-प्रशिक्षण कर्तव्यों को अभी भी अलग से दिखाया जाना चाहिए।

Anpheros Platform

सैंडबॉक्स में मुफ़्त आज़माएँ

5 मिनट में आपकी पहली FHIR कॉल. एक HL7 FHIR R4 API जिसमें मरीज़ की सहमति शामिल है: सैंडबॉक्स में आज़माएं, फिर अपना ऐप या क्लिनिक सिस्टम कनेक्ट करें।

मुफ़्त सैंडबॉक्स बनाएँडेवलपर गाइड पढ़ें →

मुफ़्त · 30 सिंथेटिक मरीज़ · कोई कार्ड नहीं

द्वारा लिखित

Anpheros टीम

Anpheros एक मेडिकल रिकॉर्ड बनाता है जिसे मरीज़ नियंत्रित कर सकता है और किसी भी क्लिनिक के साथ साझा कर सकता है, यह EU में स्थित HL7 FHIR R4 प्लेटफ़ॉर्म पर आधारित है। ये गाइड आपको अपने स्वास्थ्य को समझने और व्यवस्थित करने में मदद करते हैं; ये आपके डॉक्टर का विकल्प नहीं हैं।

Anpheros के बारे में →