Rövid válasz: A NIS2 (2022/2555/EU irányelv) az EU kiberbiztonsági törvénye a kritikus ágazatokra vonatkozóan. Az egészségügy magas kritikalitású ágazat (I. melléklet): kórházak és más egészségügyi szolgáltatók, uniós referencialaboratóriumok, alapvető gyógyszerészeti termékek és közegészségügyi vészhelyzet idején kritikus orvostechnikai eszközök gyártói, valamint gyógyszerkutatással és -fejlesztéssel foglalkozó szervezetek. Az egészségügy által igénybe vett digitális szolgáltatók is érintettek: felhőalapú számítástechnikai szolgáltatások, adatközpontok, felügyelt biztonsági szolgáltatások, valamint online platformok és piacterek. A méretküszöböt meghaladó (közepes: 50 fő vagy 10 millió euró árbevétel) szervezetek létfontosságúak vagy fontosak az ágazattól és a mérettől függően, és tíz kategóriájú biztonsági intézkedést kell bevezetniük, a jelentős incidenseket 24 órán, 72 órán és egy hónapon belül jelenteniük kell, és el kell fogadniuk, hogy a vezetés személyesen felelős. A tagállamoknak 2024. október 17-ig kellett átültetniük; többen késve tették meg, és az Önre vonatkozó szabályozás a nemzeti törvények, nem pedig az irányelv.
Kikre vonatkozik
A NIS2 a magas kritikalitású ágazat részeként kezeli az egészségügyi szektort: kórházak és más egészségügyi szolgáltatók, uniós referencialaboratóriumok, alapvető gyógyszerészeti termékek és orvostechnikai eszközök gyártói, amelyek kritikusak egy közegészségügyi vészhelyzetben, valamint gyógyszerfejlesztő és -kutató egységek, továbbá a felhő-, adatközpont- és felügyelt szolgáltatók, amelyekre az egészségügy támaszkodik. A közepes méretű egységek általában fontosak, a nagyok pedig elengedhetetlenek.
| Szervezet | Melléklet | Tipikus státusz |
|---|---|---|
| Kórházak, klinikák, háziorvosi hálózatok, laboratóriumok, gyógyszertárak, amelyek ellátást nyújtanak (egészségügyi szolgáltatók a 2011/24/EU irányelv alapján) | I., egészségügy | Létfontosságú, ha nagy (250+ fő vagy 50 millió euró+), fontos, ha közepes |
| Uniós referencialaboratóriumok | I., egészségügy | Létfontosságú |
| Alapvető gyógyszerészeti termékek és készítmények gyártói | I., egészségügy | Mérettől függően létfontosságú vagy fontos |
| Közegészségügyi vészhelyzet idején kritikusnak minősülő orvostechnikai eszközök gyártói (a 2022/123/EU rendelet listája) | I., egészségügy | Mérettől függően létfontosságú vagy fontos |
| Gyógyszerkutatással és -fejlesztéssel foglalkozó szervezetek | I., egészségügy | Mérettől függően létfontosságú vagy fontos |
| Felhőalapú számítástechnikai szolgáltatók, adatközpont-szolgáltatók, tartalomkézbesítő hálózatok, felügyelt (biztonsági) szolgáltatók, DNS, TLD nyilvántartók | I., digitális infrastruktúra és IKT szolgáltatáskezelés | Bizonyos esetekben (DNS, TLD, bizalmi szolgáltatások) mérettől függetlenül létfontosságú; egyébként mérettől függően |
| Online piacterek, keresőmotorok, közösségi hálózatok | II., digitális szolgáltatók | Mérettől függően fontos |
| Egyéb orvostechnikai eszközök, valamint számítógépek, elektronikai cikkek, gépek gyártói | II., gyártás | Mérettől függően fontos |
Egy egészségügyi technológiai SaaS szolgáltató nem egészségügyi szolgáltató, de érintett lehet felhőalapú számítástechnikai szolgáltatóként (ha üzleti tevékenységként kínál felhőszolgáltatásokat), vagy az ügyfelein keresztül is bevonható: a 21. cikk (2) bekezdésének d) pontja előírja a létfontosságú és fontos szervezetek számára az ellátási lánc biztonságának kezelését, így a kórházak a NIS2 szintű követelményeket áthárítják szoftverszállítóikra a szerződésekben. A mikrovállalkozások és kisvállalkozások általában nem tartoznak a hatálya alá, hacsak egy tagállam nem jelöli ki őket (például kritikus szolgáltatás egyetlen szolgáltatójaként).
A tíz intézkedés, 21. cikk
A NIS2 21. cikke előírja, hogy minden érintett egységnek tíz területen kell arányos intézkedéseket hoznia: kockázatelemzés és biztonsági szabályzatok, incidenskezelés, üzletmenet-folytonosság és válságkezelés, ellátási lánc biztonsága, biztonságos beszerzés és fejlesztés, beleértve a sebezhetőségek kezelését, hatékonyságértékelés, kiberhigiénia és képzés, kriptográfia és titkosítás, emberi erőforrások biztonsága és hozzáférés-szabályozás, valamint többtényezős hitelesítés biztonságos kommunikációval.
A hatálya alá tartozó minden szervezetnek megfelelő és arányos műszaki, működési és szervezeti intézkedéseket kell hoznia, amelyek legalább a következőket fedik le:
- információs rendszerek biztonságára és kockázatelemzésére vonatkozó szabályzatok;
- incidenskezelés;
- üzletmenet-folytonosság (biztonsági mentések, katasztrófaelhárítás) és válságkezelés;
- ellátási lánc biztonsága, beleértve a közvetlen beszállítókkal fennálló kapcsolatok biztonságát;
- rendszerek beszerzésének, fejlesztésének és karbantartásának biztonsága, beleértve a sebezhetőségek kezelését és közzétételét;
- az intézkedések hatékonyságának értékelésére vonatkozó szabályzatok;
- alapvető kiberhigiéniai gyakorlatok és képzés;
- a kriptográfiára és adott esetben a titkosításra vonatkozó szabályzatok;
- humánerőforrás-biztonság, hozzáférés-szabályozás és eszközkezelés;
- többtényezős vagy folyamatos hitelesítés, biztonságos kommunikáció és biztonságos sürgősségi kommunikáció.
Egy 2024. októberi végrehajtási rendelet (2024/2690) részletezi ezeket a digitális infrastruktúra és IKT-szolgáltatók számára, a nemzeti hatóságok pedig saját katalógusaikat teszik közzé az egészségügy számára. A lista szorosan illeszkedik az ISO/IEC 27001 A. mellékletéhez; egy tanúsított ISMS-sel rendelkező szervezet a releváns rendszerekre kiterjedően már nagy részben megfelel. Lásd: ISO 27001 vs ISO 27799.
Az incidens óra, 23. cikk
A NIS2 23. cikke értelmében egy jelentős incidenst három lépésben kell jelenteni a nemzeti CSIRT-nek vagy az illetékes hatóságnak: korai figyelmeztetés 24 órán belül az észleléstől számítva, incidensről szóló értesítés 72 órán belül egy kezdeti értékeléssel, és egy végső jelentés egy hónapon belül a kiváltó okot és a mérséklő intézkedéseket tartalmazva, kérésre köztes jelentéssel.
A jelentős incidenst (olyan esemény, amely súlyos működési zavart vagy pénzügyi veszteséget okoz vagy képes okozni, vagy jelentős kárt okoz másoknak) jelenteni kell a nemzeti CSIRT-nek vagy az illetékes hatóságnak:
- korai figyelmeztetés 24 órán belül a tudomásszerzéstől számítva, amely jelzi, hogy gyanítható-e rosszindulatú tevékenység, és van-e határon átnyúló hatása;
- incidensről szóló értesítés 72 órán belül, a súlyosság és a hatás kezdeti értékelésével, valamint a kompromisszió jelzőivel;
- kérésre köztes jelentés;
- végső jelentés egy hónapon belül, amely tartalmazza az okokat, a mérséklési intézkedéseket és a határon átnyúló hatást.
Személyes adatok érintettsége esetén az GDPR 72 órás adatvédelmi hatóságnak történő bejelentése párhuzamosan fut; egy kórházi ransomware támadás mindkettőt kiváltja. A szolgáltatások igénybevevőit tájékoztatni kell, ha az incidens őket érintheti.
Irányítás, felelősség, bírságok
A NIS2 a vezetést személyesen felelőssé teszi: a vezető testületeknek jóvá kell hagyniuk a kiberbiztonsági intézkedéseket, felügyelniük kell azok végrehajtását és képzésen kell részt venniük, és felelősségre vonhatók a szabályszegésekért; az alapvető egységek esetében a hatóságok ideiglenesen felfüggeszthetik a vezetőket. A bírságok 10 millió eurót vagy az alapvető egységek világméretű forgalmának 2%-át, illetve a fontos egységek esetében 7 millió eurót vagy 1,4%-át érhetik el.
A hatóságok auditálhatnak, bizonyítékokat kérhetnek, és egyes tagállamokban maguk az egységek nyilvántartásba vétele is kötelezettség.
Az átültetés állása
A NIS2-t 2024. október 17-ig kellett átültetni a nemzeti jogba. 2025 közepére a tagállamok nagyjából felében már hatályban voltak a törvények, a Bizottság eljárást indított a késlekedők ellen, és Németország végrehajtási törvénye 2025 végén lépett hatályba. A nyilvántartásba vételi határidőt, az illetékes hatóságot és az esetleges egészségügyi ágazati katalógust a nemzeti jog határozza meg, nem az irányelv.
Az átültetés határideje 2024. október 17. volt. 2025 közepére a tagállamok nagyjából fele rendelkezett hatályos törvényekkel (többek között Belgium, Horvátország, Magyarország, Olaszország, Lettország, Litvánia, Románia, Szlovákia), és a Bizottság közigazgatási eljárásokat indított a késlekedők ellen; Németország NIS2 átültetési törvénye 2025 végén lépett hatályba. Ellenőrizze a nemzeti jogszabályokat a regisztrációs határidő, a hatóság (gyakran a nemzeti kiberbiztonsági ügynökség az egészségügyért, néha egy egészségügyi ágazati szabályozó) és az ágazatspecifikus katalógusok tekintetében. Az EU-n kívül az Egyesült Királyság a Cyber Security and Resilience Bill-lel követi ezt.
Egészségügyi technológiai szolgáltatóként, gyakorlatilag
Egészségügyi technológiai szolgáltatóként a NIS2 főként a kórházi szerződéseken keresztül érkezik: az érintett ügyfeleknek kezelniük kell az ellátási lánc biztonságát, ezért órákon belüli incidens-értesítést, a 21. cikkben szereplő tíz intézkedés igazolását, sebezhetőségi bejelentést, alvállalkozói listákat, valamint kilépési és folytonossági terveket követelnek meg. Egyetlen információbiztonsági irányítási rendszer, amely ezeket az elemeket egyszer dokumentálja, a legolcsóbb módja a válaszadásnak.
Az Anpheros a fejlesztői oldalon (security, reliability) teszi közzé biztonsági gyakorlatát, és az incidenskezelést a NIS2 és a GDPR határidejével egyaránt egyetlen runbookban végzi.
Ez az oldal a termék- és mérnöki csapatok számára magyarázza el a szabályozást. Nem jogi tanácsadás; a Források alatt linkelt szövegek az irányadóak, és az Ön adatvédelmi tisztviselője, bejelentett szerve vagy tanácsadója dönt az Ön esetében. Utolsó felülvizsgálat: 2026. október.
Kapcsolódó oldalak
- ISO 27001 vs ISO 27799
- GDPR 9. cikk az egészségügyi adatokra vonatkozóan
- Egészségügyi adatszabályozási térkép
- DPIA egy egészségügyi alkalmazáshoz
- Platformbiztonság (fejlesztői oldal)
Források
- 2022/2555/EU irányelv (NIS2), EUR-Lex
- 2024/2690/EU bizottsági végrehajtási rendelet (NIS2 technikai követelmények a digitális szolgáltatók számára), EUR-Lex
- Európai Bizottság: NIS2 irányelv áttekintés
- 2022/123/EU rendelet (az EMA megerősített szerepe; kritikus orvostechnikai eszközök listája), EUR-Lex
Gyakori kérdések
A 30 fős egészségügyi szoftvercégem a hatálya alá tartozik?
Általában nem közvetlenül, hacsak a nemzeti jogszabályok nem jelölik ki, vagy Ön nem nyújt olyan szolgáltatást, amely az I. mellékletben szerepel, mérettől függetlenül. Az egészségügyi intézmények ügyfelei ellátási lánc kötelezettségein keresztül továbbra is találkozni fog a NIS2-vel, amelyek a szerződésekbe épülnek.
Mi számít jelentős incidensnek?
Olyan esemény, amely súlyos működési zavart vagy pénzügyi veszteséget okoz vagy képes okozni a szervezet számára, vagy amely más embereket vagy szervezeteket jelentős anyagi vagy nem anyagi kárral érint. Egy kórház elleni ransomware támadás a tipikus eset; egy rövid, adatvesztés nélküli kimaradás általában nem.
A NIS2 helyettesíti a GDPR incidensbejelentést?
Nem. Párhuzamosan futnak, különböző címzettekkel (a CSIRT vagy a kiberbiztonsági hatóság, illetve az adatvédelmi hatóság), különböző kiváltó okokkal (szolgáltatáskimaradás, illetve személyes adatokkal kapcsolatos incidens) és átfedő határidőkkel.
Az ISO 27001 tanúsítás a NIS2 megfelelőség igazolása?
Nem hivatalosan, de több tagállam és az ENISA a releváns hatályra kiterjedő, tanúsított ISMS-t erős bizonyítékként kezeli, és egyes nemzeti rendszerek a legtöbb intézkedés esetében elfogadják azt feltételezésként. Az incidensjelentési és a vezetőképzési kötelezettségeket továbbra is külön kell igazolni.
Próbálja ki ingyen a sandboxban
Az első FHIR-hívás 5 perc alatt. Egy HL7 FHIR R4 API, amely tartalmazza a beteg beleegyezését: próbáld ki a sandboxban, majd csatlakoztasd saját alkalmazásodat vagy klinikai rendszeredet.
Ingyenes · 30 szintetikus beteg · kártya nélkül
Az Anpheros egy olyan egészségügyi nyilvántartást épít, amelyet a beteg irányít, és megoszthat bármelyik klinikával, egy EU-ban működő HL7 FHIR R4 platformon. Ezek az útmutatók segítenek megérteni és rendszerezni az egészségügyi adataidat; nem helyettesítik az orvosodat.
Tudj meg többet az Anpherosról →