Krótka odpowiedź: NIS2 (Dyrektywa (UE) 2022/2555) to unijne prawo dotyczące cyberbezpieczeństwa dla sektorów o kluczowym znaczeniu. Ochrona zdrowia to sektor o wysokiej krytyczności (Załącznik I): szpitale i inni świadczeniodawcy usług medycznych, europejskie laboratoria referencyjne, producenci podstawowych produktów farmaceutycznych oraz wyrobów medycznych krytycznych w sytuacji kryzysu zdrowotnego, a także podmioty prowadzące badania i rozwój produktów leczniczych. Objęci są również dostawcy usług cyfrowych, od których zależy ochrona zdrowia: usługi przetwarzania w chmurze, centra danych, zarządzane usługi bezpieczeństwa oraz platformy i rynki internetowe. Podmioty przekraczające próg wielkości (średnie: 50 pracowników lub 10 mln euro obrotu) są kluczowe lub ważne w zależności od sektora i wielkości, i muszą wdrożyć dziesięć kategorii środków bezpieczeństwa, zgłaszać istotne incydenty w ciągu 24 godzin, 72 godzin i miesiąca oraz zaakceptować, że zarząd ponosi osobistą odpowiedzialność. Państwa członkowskie miały obowiązek wdrożyć dyrektywę do 17 października 2024 r.; wiele zrobiło to z opóźnieniem, a obowiązują krajowe przepisy, a nie sama dyrektywa.
Kto jest objęty zakresem
Dyrektywa NIS2 obejmuje sektor ochrony zdrowia jako sektor o wysokiej krytyczności: szpitale i inni świadczeniodawcy usług medycznych, europejskie laboratoria referencyjne, producenci podstawowych produktów farmaceutycznych i wyrobów medycznych kluczowych w sytuacji zagrożenia zdrowia publicznego oraz podmioty zajmujące się badaniami i rozwojem produktów leczniczych, a także dostawcy usług chmurowych, centrów danych i usług zarządzanych, od których zależy ochrona zdrowia. Podmioty średniej wielkości są generalnie ważne, a duże – kluczowe.
| Podmiot | Załącznik | Typowy status |
|---|---|---|
| Szpitale, przychodnie, sieci lekarzy rodzinnych, laboratoria, apteki świadczące opiekę (świadczeniodawcy usług medycznych zgodnie z Dyrektywą 2011/24) | I, ochrona zdrowia | Kluczowy, jeśli duży (250+ pracowników lub 50 mln euro), ważny, jeśli średni |
| Europejskie laboratoria referencyjne | I, ochrona zdrowia | Kluczowy |
| Producenci podstawowych produktów i preparatów farmaceutycznych | I, ochrona zdrowia | Kluczowy lub ważny w zależności od wielkości |
| Producenci wyrobów medycznych uznanych za krytyczne w sytuacji kryzysu zdrowotnego (lista z Rozporządzenia 2022/123) | I, ochrona zdrowia | Kluczowy lub ważny w zależności od wielkości |
| Podmioty prowadzące badania i rozwój produktów leczniczych | I, ochrona zdrowia | Kluczowy lub ważny w zależności od wielkości |
| Dostawcy usług przetwarzania w chmurze, dostawcy centrów danych, sieci dostarczania treści, zarządzani dostawcy usług (bezpieczeństwa), DNS, rejestry TLD | I, infrastruktura cyfrowa i zarządzanie usługami ICT | Kluczowy niezależnie od wielkości dla niektórych (DNS, TLD, usługi zaufania); w przeciwnym razie w zależności od wielkości |
| Rynki internetowe, wyszukiwarki, sieci społecznościowe | II, dostawcy cyfrowi | Ważny w zależności od wielkości |
| Producenci innych wyrobów medycznych oraz komputerów, elektroniki, maszyn | II, produkcja | Ważny w zależności od wielkości |
Dostawca SaaS z branży technologii medycznych nie jest świadczeniodawcą usług medycznych, ale może być objęty zakresem jako dostawca usług przetwarzania w chmurze (jeśli oferuje usługi chmurowe jako swoją działalność) lub zostać objęty poprzez swoich klientów: Artykuł 21 ust. 2 lit. d) wymaga od kluczowych i ważnych podmiotów zarządzania bezpieczeństwem łańcucha dostaw, więc szpitale przenoszą wymagania na poziomie NIS2 do umów ze swoimi dostawcami oprogramowania. Mikro i małe firmy zazwyczaj nie są objęte zakresem, chyba że państwo członkowskie je wyznaczy (na przykład jako jedyni dostawcy krytycznej usługi).
Dziesięć środków, Artykuł 21
Artykuł 21 dyrektywy NIS2 wymaga od każdego objętego nią podmiotu podjęcia proporcjonalnych środków w dziesięciu obszarach: analizy ryzyka i polityki bezpieczeństwa, obsługi incydentów, ciągłości działania i zarządzania kryzysowego, bezpieczeństwa łańcucha dostaw, bezpiecznego pozyskiwania i rozwoju, w tym obsługi luk bezpieczeństwa, oceny skuteczności, higieny cyfrowej i szkoleń, kryptografii i szyfrowania, bezpieczeństwa zasobów ludzkich i kontroli dostępu oraz uwierzytelniania wieloskładnikowego z zabezpieczoną komunikacją.
Każdy objęty zakresem podmiot musi podjąć odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne obejmujące co najmniej:
- polityki dotyczące analizy ryzyka i bezpieczeństwa systemów informatycznych;
- zarządzanie incydentami;
- ciągłość działania (kopie zapasowe, odzyskiwanie po awarii) i zarządzanie kryzysowe;
- bezpieczeństwo łańcucha dostaw, w tym bezpieczeństwo relacji z bezpośrednimi dostawcami;
- bezpieczeństwo w pozyskiwaniu, rozwoju i utrzymaniu systemów, w tym zarządzanie i ujawnianie luk w zabezpieczeniach;
- polityki oceny skuteczności środków;
- podstawowe praktyki higieny cybernetycznej i szkolenia;
- polityki dotyczące kryptografii oraz, w stosownych przypadkach, szyfrowania;
- bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami;
- uwierzytelnianie wieloskładnikowe lub ciągłe, bezpieczną komunikację i bezpieczną komunikację awaryjną.
Rozporządzenie wykonawcze z października 2024 r. (2024/2690) szczegółowo określa te wymogi dla dostawców infrastruktury cyfrowej i usług ICT, a krajowe organy publikują własne katalogi dla ochrony zdrowia. Lista ta jest ściśle powiązana z załącznikiem A do normy ISO/IEC 27001; organizacja posiadająca certyfikowany ISMS obejmujący odpowiednie systemy jest już w dużej mierze przygotowana. Zobacz ISO 27001 vs ISO 27799.
Zegar incydentów, Artykuł 23
Zgodnie z Artykułem 23 dyrektywy NIS2, o znaczącym incydencie należy powiadomić krajowy zespół reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) lub właściwy organ w trzech krokach: wczesne ostrzeżenie w ciągu 24 godzin od momentu powzięcia informacji, powiadomienie o incydencie w ciągu 72 godzin z wstępną oceną oraz raport końcowy w ciągu miesiąca, obejmujący przyczynę źródłową i środki zaradcze, z raportem pośrednim na żądanie.
Istotny incydent (taki, który powoduje lub może spowodować poważne zakłócenia operacyjne lub straty finansowe, lub wpływa na innych z poważnymi szkodami) musi zostać zgłoszony krajowemu CSIRT lub właściwemu organowi:
- wczesne ostrzeżenie w ciągu 24 godzin od momentu powzięcia wiadomości, wskazujące, czy podejrzewa się działanie złośliwe i czy występuje wpływ transgraniczny;
- powiadomienie o incydencie w ciągu 72 godzin, wraz z wstępną oceną jego wagi i wpływu oraz wskaźnikami kompromitacji;
- raport pośredni na żądanie;
- raport końcowy w ciągu miesiąca, zawierający przyczynę źródłową, środki zaradcze i wpływ transgraniczny.
W przypadku danych osobowych, 72-godzinne powiadomienie do organu ochrony danych zgodnie z RODO biegnie równolegle; atak ransomware na szpital uruchamia oba. Odbiorcy usług muszą zostać poinformowani, gdy incydent może ich dotyczyć.
Zarządzanie, odpowiedzialność, kary
Dyrektywa NIS2 obciąża kierownictwo osobistą odpowiedzialnością: organy zarządzające muszą zatwierdzać środki cyberbezpieczeństwa, nadzorować ich wdrażanie i przechodzić szkolenia, a także mogą ponosić odpowiedzialność za naruszenia; w przypadku podmiotów kluczowych organy mogą tymczasowo zawiesić menedżerów. Kary sięgają 10 mln euro lub 2% światowego obrotu dla podmiotów kluczowych i 7 mln euro lub 1,4% dla podmiotów ważnych.
Organy mogą przeprowadzać audyty, wymagać dowodów, a w niektórych państwach członkowskich rejestracja podmiotów jest sama w sobie obowiązkiem.
Stan wdrożenia
Dyrektywa NIS2 musiała zostać transponowana do prawa krajowego do 17 października 2024 r. Do połowy 2025 r. około połowa państw członkowskich miała już obowiązujące przepisy, Komisja wszczęła postępowania w sprawie naruszenia wobec spóźniających się, a niemiecka ustawa wykonawcza weszła w życie pod koniec 2025 r. Termin rejestracji, właściwy organ i wszelkie wykazy dla sektora ochrony zdrowia określa prawo krajowe, a nie dyrektywa.
Termin wdrożenia upłynął 17 października 2024 r. Do połowy 2025 r. około połowa państw członkowskich miała obowiązujące przepisy (m.in. Belgia, Chorwacja, Węgry, Włochy, Łotwa, Litwa, Rumunia, Słowacja jako pierwsze), a Komisja wszczęła postępowania w sprawie naruszenia wobec spóźnionych; niemiecka ustawa o wdrożeniu NIS2 weszła w życie pod koniec 2025 r. Sprawdź krajowe prawo dotyczące terminu rejestracji, organu (często krajowa agencja ds. cyberbezpieczeństwa dla ochrony zdrowia, czasem regulator sektora ochrony zdrowia) i katalogów specyficznych dla sektora. Poza UE, Wielka Brytania podąża śladem z ustawą o cyberbezpieczeństwie i odporności (Cyber Security and Resilience Bill).
Praktycznie dla dostawcy technologii medycznych
Dla dostawcy technologii medycznych dyrektywa NIS2 pojawia się głównie poprzez umowy z szpitalami: klienci objęci dyrektywą muszą zarządzać bezpieczeństwem łańcucha dostaw, dlatego wymagają powiadamiania o incydentach w ciągu kilku godzin, dowodów na dziesięć środków z Artykułu 21, ujawniania luk bezpieczeństwa, list podwykonawców oraz planów wyjścia i ciągłości działania. Jednolity system zarządzania bezpieczeństwem informacji z udokumentowanymi tymi elementami jest najtańszym sposobem odpowiedzi.
Anpheros publikuje swoją praktykę bezpieczeństwa na stronie dla deweloperów (security, reliability) i prowadzi reagowanie na incydenty zgodnie z harmonogramami NIS2 i RODO w tym samym podręczniku operacyjnym.
Ta strona wyjaśnia przepisy dla zespołów produktowych i inżynieryjnych. Nie stanowi porady prawnej; teksty podane w sekcji Źródła są wiążące, a decyzje w Twojej sprawie podejmuje inspektor ochrony danych, jednostka notyfikowana lub doradca prawny. Ostatnia weryfikacja: październik 2026.
Powiązane strony
- ISO 27001 vs ISO 27799
- RODO Artykuł 9 dotyczący danych medycznych
- Mapa regulacji dotyczących danych medycznych
- Ocena wpływu na ochronę danych (DPIA) dla aplikacji medycznej
- Bezpieczeństwo platformy (strona dla deweloperów)
Źródła
- Dyrektywa (UE) 2022/2555 (NIS2), EUR-Lex
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (wymogi techniczne NIS2 dla dostawców cyfrowych), EUR-Lex
- Komisja Europejska: Przegląd Dyrektywy NIS2
- Rozporządzenie (UE) 2022/123 (wzmocniona rola EMA; lista krytycznych wyrobów medycznych), EUR-Lex
Najczęstsze pytania
Czy moja firma zajmująca się oprogramowaniem medycznym z 30 pracownikami jest objęta zakresem?
Zazwyczaj nie bezpośrednio, chyba że krajowe prawo Cię wyznaczy lub świadczysz usługę wymienioną w Załączniku I niezależnie od wielkości. Nadal będziesz objęty NIS2 poprzez obowiązki dotyczące łańcucha dostaw Twoich klientów szpitalnych, które przenoszą się na umowy.
Co to jest istotny incydent?
Taki, który powoduje lub może spowodować poważne zakłócenia operacyjne lub straty finansowe dla podmiotu, lub który wpływa na inne osoby lub organizacje z poważnymi szkodami materialnymi lub niematerialnymi. Atak ransomware na szpital jest podręcznikowym przykładem; krótkie przerwy w działaniu bez wpływu na dane zazwyczaj nie są.
Czy NIS2 zastępuje powiadomienie o naruszeniu RODO?
Nie. Działają one równolegle z różnymi odbiorcami (CSIRT lub organ ds. cyberbezpieczeństwa vs organ ochrony danych), różnymi wyzwalaczami (zakłócenie usług vs naruszenie danych osobowych) i nakładającymi się terminami.
Czy certyfikat ISO 27001 jest dowodem zgodności z NIS2?
Nie formalnie, ale kilka państw członkowskich i ENISA traktuje certyfikowany ISMS obejmujący odpowiedni zakres jako silny dowód, a niektóre krajowe systemy akceptują go jako domniemanie dla większości środków. Obowiązki zgłaszania incydentów i szkoleń zarządczych nadal muszą być wykazywane oddzielnie.
Wypróbuj za darmo w sandboksie
Pierwsze wywołanie FHIR w 5 minut. API HL7 FHIR R4 z wbudowaną zgodą pacjenta: wypróbuj w piaskownicy, a następnie połącz własną aplikację lub system kliniczny.
Za darmo · 30 syntetycznych pacjentów · bez karty
Anpheros tworzy dokumentację medyczną, nad którą pacjent ma kontrolę i którą może udostępniać dowolnej klinice, na platformie HL7 FHIR R4, z siedzibą w UE. Te przewodniki pomogą Ci zrozumieć i uporządkować informacje o Twoim zdrowiu; nie zastępują one wizyty u lekarza.
O Anpheros →