Răspuns scurt: NIS2 (Directiva (UE) 2022/2555) este legea UE privind securitatea cibernetică pentru sectoarele critice. Sănătatea este un sector de înaltă criticitate (Anexa I): spitale și alți furnizori de servicii medicale, laboratoare de referință ale UE, producători de produse farmaceutice de bază și de dispozitive medicale critice în timpul unei urgențe de sănătate publică, precum și entități care desfășoară activități de cercetare și dezvoltare a produselor medicinale. Sunt acoperiți și furnizorii digitali de care depinde sănătatea: servicii de cloud computing, centre de date, servicii de securitate gestionate și platforme și piețe online. Entitățile care depășesc pragul de mărime (medie: 50 de angajați sau 10 milioane EUR cifră de afaceri) sunt esențiale sau importante, în funcție de sector și mărime, și trebuie să implementeze zece categorii de măsuri de securitate, să raporteze incidentele semnificative în 24 de ore, 72 de ore și o lună și să accepte că managementul este personal responsabil. Statele membre au avut termen până la 17 octombrie 2024 pentru transpunere; multe au făcut-o cu întârziere, iar legile naționale, nu directiva, sunt cele care se aplică dumneavoastră.
Cine este vizat
NIS2 acoperă sectorul sănătății ca un sector de înaltă criticitate: spitale și alți furnizori de servicii medicale, laboratoare de referință UE, producători de produse farmaceutice de bază și de dispozitive medicale critice în caz de urgență de sănătate publică, precum și entități de cercetare-dezvoltare pentru produse medicinale, plus furnizorii de servicii cloud, centre de date și servicii gestionate pe care se bazează sănătatea. Entitățile medii sunt, în general, importante, cele mari, esențiale.
| Entitate | Anexă | Statut tipic |
|---|---|---|
| Spitale, clinici, rețele de medici de familie, laboratoare, farmacii care oferă îngrijiri (furnizori de servicii medicale în sensul Directivei 2011/24) | I, sănătate | Esențial dacă sunt mari (peste 250 de angajați sau peste 50 de milioane EUR), important dacă sunt medii |
| Laboratoare de referință ale UE | I, sănătate | Esențial |
| Producători de produse și preparate farmaceutice de bază | I, sănătate | Esențial sau important în funcție de mărime |
| Producători de dispozitive medicale considerate critice în timpul unei urgențe de sănătate publică (lista Regulamentului 2022/123) | I, sănătate | Esențial sau important în funcție de mărime |
| Entități care desfășoară activități de cercetare și dezvoltare a produselor medicinale | I, sănătate | Esențial sau important în funcție de mărime |
| Furnizori de servicii de cloud computing, furnizori de centre de date, rețele de livrare de conținut, furnizori de servicii gestionate (de securitate), DNS, registre TLD | I, infrastructură digitală și managementul serviciilor ICT | Esențial indiferent de mărime pentru unele (DNS, TLD, servicii de încredere); altfel, în funcție de mărime |
| Piețe online, motoare de căutare, rețele sociale | II, furnizori digitali | Important în funcție de mărime |
| Producători de alte dispozitive medicale și de computere, electronice, mașini | II, producție | Important în funcție de mărime |
Un furnizor SaaS health-tech nu este un furnizor de servicii medicale, dar poate fi vizat ca furnizor de servicii de cloud computing (dacă oferă servicii cloud ca afacere) sau poate fi atras prin clienții săi: Articolul 21 alineatul (2) litera (d) impune entităților esențiale și importante să gestioneze securitatea lanțului de aprovizionare, astfel încât spitalele să transmită cerințe de nivel NIS2 în contractele cu furnizorii lor de software. Companiile micro și mici sunt, în general, exceptate, cu excepția cazului în care un stat membru le desemnează (de exemplu, ca singuri furnizori ai unui serviciu critic).
Cele zece măsuri, Articolul 21
Articolul 21 din NIS2 impune fiecărei entități vizate să ia măsuri proporționate în zece domenii: analiză de risc și politici de securitate, gestionarea incidentelor, continuitatea afacerii și managementul crizelor, securitatea lanțului de aprovizionare, achiziția și dezvoltarea securizată, inclusiv gestionarea vulnerabilităților, evaluarea eficacității, igiena cibernetică și formarea, criptografia și criptarea, securitatea resurselor umane și controlul accesului, precum și autentificarea multi-factor cu comunicații securizate.
Fiecare entitate vizată trebuie să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționate, care să acopere cel puțin:
- politici privind analiza riscurilor și securitatea sistemelor informatice;
- gestionarea incidentelor;
- continuitatea activității (backup, recuperare în caz de dezastru) și managementul crizelor;
- securitatea lanțului de aprovizionare, inclusiv securitatea relațiilor cu furnizorii direcți;
- securitatea în achiziționarea, dezvoltarea și întreținerea sistemelor, inclusiv gestionarea și divulgarea vulnerabilităților;
- politici pentru evaluarea eficacității măsurilor;
- practici de bază de igienă cibernetică și formare;
- politici privind criptografia și, acolo unde este cazul, criptarea;
- securitatea resurselor umane, controlul accesului și managementul activelor;
- autentificare multifactorială sau continuă, comunicații securizate și comunicații de urgență securizate.
Un regulament de punere în aplicare din octombrie 2024 (2024/2690) specifică aceste aspecte în detaliu pentru furnizorii de infrastructură digitală și ICT, iar autoritățile naționale își publică propriile cataloage pentru sănătate. Lista corespunde în mare măsură cu Anexa A din ISO/IEC 27001; o organizație cu un ISMS certificat, care acoperă sistemele relevante, este deja pe jumătate pe drum. Consultați ISO 27001 vs ISO 27799.
Ceasul incidentelor, Articolul 23
În temeiul Articolului 23 din NIS2, un incident semnificativ trebuie raportat CSIRT-ului național sau autorității competente în trei etape: un avertisment timpuriu în termen de 24 de ore de la luarea la cunoștință, o notificare a incidentului în termen de 72 de ore cu o evaluare inițială și un raport final în termen de o lună, acoperind cauza principală și măsurile de atenuare, cu un raport intermediar la cerere.
Un incident semnificativ (unul care cauzează sau poate cauza o perturbare operațională severă sau pierderi financiare, sau care afectează alte persoane cu daune considerabile) trebuie raportat CSIRT-ului național sau autorității competente:
- avertisment preliminar în termen de 24 de ore de la luarea la cunoștință, indicând dacă se suspectează o acțiune malițioasă și dacă există un impact transfrontalier;
- notificare de incident în termen de 72 de ore, cu o evaluare inițială a gravității și impactului și indicatori de compromitere;
- un raport intermediar la cerere;
- un raport final în termen de o lună, cu cauza principală, măsuri de atenuare și impact transfrontalier.
În cazul în care sunt implicate date cu caracter personal, notificarea GDPR către autoritatea pentru protecția datelor în termen de 72 de ore se desfășoară în paralel; un atac ransomware asupra unui spital declanșează ambele. Destinatarii serviciilor trebuie informați atunci când incidentul îi poate afecta.
Guvernanță, răspundere, amenzi
NIS2 face ca managementul să fie personal răspunzător: organele de conducere trebuie să aprobe măsurile de securitate cibernetică, să supravegheze implementarea acestora și să urmeze formarea, și pot fi trase la răspundere pentru încălcări; pentru entitățile esențiale, autoritățile pot suspenda temporar managerii. Amenzile ajung la 10 milioane EUR sau 2% din cifra de afaceri mondială pentru entitățile esențiale și 7 milioane EUR sau 1,4% pentru entitățile importante.
Autoritățile pot audita, solicita dovezi, iar în unele state membre, înregistrarea entităților este ea însăși o obligație.
Stadiul transpunerii
NIS2 trebuia transpusă în legislația națională până la 17 octombrie 2024. Până la jumătatea anului 2025, aproximativ jumătate dintre statele membre aveau legi în vigoare, Comisia deschisese proceduri de încălcare împotriva celor întârziate, iar actul de punere în aplicare al Germaniei a intrat în vigoare la sfârșitul anului 2025. Legea națională, nu directiva, stabilește termenul de înregistrare, autoritatea competentă și orice catalog al sectorului sănătății.
Termenul de transpunere a fost 17 octombrie 2024. Până la jumătatea anului 2025, aproximativ jumătate din statele membre aveau legi în vigoare (Belgia, Croația, Ungaria, Italia, Letonia, Lituania, România, Slovacia printre primele), iar Comisia a demarat proceduri de infringement împotriva celor care au întârziat; legea de implementare NIS2 din Germania a intrat în vigoare la sfârșitul anului 2025. Verificați legea națională pentru termenul de înregistrare, autoritatea (adesea agenția națională de securitate cibernetică pentru sănătate, uneori un regulator din sectorul sănătății) și cataloagele specifice sectorului. În afara UE, Regatul Unit urmează cu proiectul de lege privind securitatea cibernetică și reziliența.
Pentru un furnizor de tehnologie medicală, practic
Pentru un furnizor de tehnologie medicală, NIS2 ajunge în principal prin contractele cu spitalele: clienții vizați trebuie să gestioneze securitatea lanțului de aprovizionare, așa că solicită notificarea incidentelor în câteva ore, dovezi ale celor zece măsuri din Articolul 21, divulgarea vulnerabilităților, liste de subcontractori și planuri de ieșire și de continuitate. Un sistem de management al securității informației cu aceste elemente documentate o singură dată este cea mai ieftină modalitate de a răspunde.
Anpheros își publică practica de securitate pe site-ul dezvoltatorului (security, reliability) și gestionează răspunsul la incidente atât cu ceasul NIS2, cât și cu cel GDPR în același runbook.
Această pagină explică reglementările pentru echipele de produs și inginerie. Nu constituie consultanță juridică; textele legate sub Surse sunt autoritatea, iar ofițerul dumneavoastră pentru protecția datelor, organismul notificat sau consilierul decide pentru cazul dumneavoastră. Ultima revizuire: Octombrie 2026.
Pagini conexe
- ISO 27001 vs ISO 27799
- Articolul 9 GDPR pentru datele de sănătate
- Hartă a reglementărilor privind datele de sănătate
- DPIA pentru o aplicație de sănătate
- Securitatea platformei (site-ul dezvoltatorului)
Surse
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690 (Cerințe tehnice NIS2 pentru furnizorii digitali), EUR-Lex
- Comisia Europeană: Prezentare generală a Directivei NIS2
- Regulamentul (UE) 2022/123 (Rolul consolidat al EMA; lista dispozitivelor medicale critice), EUR-Lex
Întrebări frecvente
Compania mea de software medical cu 30 de angajați este vizată?
De obicei, nu direct, cu excepția cazului în care legea națională vă desemnează sau furnizați un serviciu listat în Anexa I, indiferent de mărime. Veți fi totuși afectat de NIS2 prin obligațiile de securitate a lanțului de aprovizionare ale clienților dumneavoastră spitalicești, care se reflectă în contracte.
Ce este un incident semnificativ?
Unul care cauzează sau poate cauza o perturbare operațională severă sau pierderi financiare pentru entitate, sau care afectează alte persoane sau organizații cu daune materiale sau nemateriale considerabile. Un atac ransomware asupra unui spital este cazul tipic; o întrerupere scurtă, fără impact asupra datelor, de obicei nu este.
NIS2 înlocuiește notificarea de încălcare a GDPR?
Nu. Acestea se desfășoară în paralel, cu destinatari diferiți (CSIRT-ul sau autoritatea de securitate cibernetică vs. autoritatea pentru protecția datelor), declanșatori diferiți (întreruperea serviciului vs. încălcarea datelor cu caracter personal) și termene suprapuse.
Certificarea ISO 27001 este o dovadă a conformității cu NIS2?
Nu formal, dar mai multe state membre și ENISA consideră un ISMS certificat care acoperă domeniul de aplicare relevant ca o dovadă solidă, iar unele scheme naționale îl acceptă ca o prezumție pentru majoritatea măsurilor. Obligațiile de raportare a incidentelor și de formare a managementului trebuie totuși demonstrate separat.
Încearcă gratuit în sandbox
Primul apel FHIR în 5 minute. Un API HL7 FHIR R4 cu consimțământul pacientului integrat: încearcă-l în sandbox, apoi conectează-ți propria aplicație sau sistemul clinicii.
Gratuit · 30 de pacienți sintetici · fără card
Anpheros construiește un dosar medical pe care pacientul îl controlează și îl poate da oricărei clinici, pe o platformă HL7 FHIR R4, cu sediul în UE. Ghidurile te ajută să-ți înțelegi și să-ți organizezi sănătatea; nu înlocuiesc medicul.
Despre Anpheros →