Краткий ответ: NIS2 (Директива (ЕС) 2022/2555) — это закон ЕС о кибербезопасности для критически важных секторов. Здравоохранение является сектором высокой критичности (Приложение I): больницы и другие поставщики медицинских услуг, референтные лаборатории ЕС, производители основных фармацевтических продуктов и медицинских изделий, критически важных во время чрезвычайной ситуации в области общественного здравоохранения, а также организации, занимающиеся исследованиями и разработкой лекарственных средств. Также охватываются цифровые поставщики, от которых зависит здравоохранение: облачные вычисления, центры обработки данных, управляемые службы безопасности, а также онлайн-платформы и торговые площадки. Организации, превышающие порог размера (средние: 50 сотрудников или оборот 10 млн евро), считаются существенными или важными в зависимости от сектора и размера, и должны внедрить десять категорий мер безопасности, сообщать о значительных инцидентах в течение 24 часов, 72 часов и одного месяца, а также принять тот факт, что руководство несет личную ответственность. Государства-члены должны были имплементировать директиву к 17 октября 2024 года; некоторые сделали это с опозданием, и применяются национальные законы, а не сама директива.
Кто подпадает под действие
Директива NIS2 охватывает сектор здравоохранения как сектор высокой критичности: больницы и другие поставщики медицинских услуг, референс-лаборатории ЕС, производители основных фармацевтических продуктов и медицинских изделий, критически важных в условиях чрезвычайной ситуации в области общественного здравоохранения, а также научно-исследовательские организации, занимающиеся разработкой лекарственных средств, плюс поставщики облачных услуг, центров обработки данных и управляемых услуг, от которых зависит здравоохранение. Средние организации в целом важны, крупные — необходимы.
| Организация | Приложение | Типичный статус |
|---|---|---|
| Больницы, клиники, сети врачей общей практики, лаборатории, аптеки, предоставляющие медицинскую помощь (поставщики медицинских услуг согласно Директиве 2011/24) | I, здравоохранение | Существенные при большом размере (250+ сотрудников или 50 млн евро+), важные при среднем |
| Референтные лаборатории ЕС | I, здравоохранение | Существенные |
| Производители основных фармацевтических продуктов и препаратов | I, здравоохранение | Существенные или важные в зависимости от размера |
| Производители медицинских изделий, считающихся критически важными во время чрезвычайной ситуации в области общественного здравоохранения (список согласно Регламенту 2022/123) | I, здравоохранение | Существенные или важные в зависимости от размера |
| Организации, занимающиеся исследованиями и разработкой лекарственных средств | I, здравоохранение | Существенные или важные в зависимости от размера |
| Поставщики облачных услуг, поставщики центров обработки данных, сети доставки контента, управляемые поставщики услуг (безопасности), DNS, реестры TLD | I, цифровая инфраструктура и управление ИКТ-услугами | Существенные независимо от размера для некоторых (DNS, TLD, службы доверия); в остальных случаях — по размеру |
| Онлайн-торговые площадки, поисковые системы, социальные сети | II, цифровые поставщики | Важные в зависимости от размера |
| Производители других медицинских изделий, а также компьютеров, электроники, машин | II, производство | Важные в зависимости от размера |
Поставщик SaaS для медицинских технологий не является поставщиком медицинских услуг, но может подпадать под действие директивы как поставщик облачных услуг (если он предлагает облачные услуги как свой бизнес) или быть включенным через своих клиентов: Статья 21(2)(d) требует от существенных и важных организаций управлять безопасностью цепочки поставок, поэтому больницы передают требования уровня NIS2 в контракты со своими поставщиками программного обеспечения. Микро- и малые компании, как правило, не подпадают под действие директивы, если только государство-член не обозначит их (например, как единственных поставщиков критически важной услуги).
Десять мер, Статья 21
Статья 21 директивы NIS2 требует от каждой организации, подпадающей под ее действие, принятия соразмерных мер в десяти областях: анализ рисков и политики безопасности, обработка инцидентов, обеспечение непрерывности бизнеса и управление кризисами, безопасность цепочки поставок, безопасное приобретение и разработка, включая обработку уязвимостей, оценка эффективности, кибергигиена и обучение, криптография и шифрование, безопасность персонала и контроль доступа, а также многофакторная аутентификация с защищенными коммуникациями.
Каждая организация, подпадающая под действие директивы, должна принять соответствующие и пропорциональные технические, операционные и организационные меры, охватывающие как минимум:
- политики анализа рисков и безопасности информационной системы;
- управление инцидентами;
- обеспечение непрерывности бизнеса (резервное копирование, аварийное восстановление) и управление кризисами;
- безопасность цепочки поставок, включая безопасность отношений с прямыми поставщиками;
- безопасность при приобретении, разработке и обслуживании систем, включая управление уязвимостями и их раскрытие;
- политики оценки эффективности мер;
- базовые практики кибергигиены и обучение;
- политики в отношении криптографии и, где это применимо, шифрования;
- безопасность персонала, контроль доступа и управление активами;
- многофакторная или непрерывная аутентификация, защищенные коммуникации и защищенная экстренная связь.
Исполнительный регламент от октября 2024 года (2024/2690) детализирует эти меры для поставщиков цифровой инфраструктуры и ИКТ, а национальные органы публикуют свои собственные каталоги для здравоохранения. Список тесно соответствует Приложению A стандарта ISO/IEC 27001; организация с сертифицированной ISMS, охватывающей соответствующие системы, уже прошла большую часть пути. См. ISO 27001 против ISO 27799.
Часы инцидентов, Статья 23
Согласно статье 23 директивы NIS2, о значительном инциденте необходимо сообщать национальному CSIRT или компетентному органу в три этапа: раннее предупреждение в течение 24 часов после обнаружения, уведомление об инциденте в течение 72 часов с первоначальной оценкой и окончательный отчет в течение одного месяца, охватывающий первопричину и меры по смягчению последствий, с промежуточным отчетом по запросу.
О значительном инциденте (вызывающем или способном вызвать серьезное нарушение работы или финансовые потери, или затрагивающем других лиц со значительным ущербом) необходимо сообщить в национальный CSIRT или компетентный орган:
- предварительное уведомление в течение 24 часов с момента обнаружения, указывающее, подозревается ли злонамеренная активность и есть ли трансграничное воздействие;
- уведомление об инциденте в течение 72 часов, с первоначальной оценкой серьезности и воздействия, а также индикаторами компрометации;
- промежуточный отчет по запросу;
- окончательный отчет в течение одного месяца, с указанием первопричины, мер по смягчению последствий и трансграничного воздействия.
В случае вовлечения персональных данных, 72-часовое уведомление согласно GDPR в орган по защите данных происходит параллельно; атака программы-вымогателя на больницу запускает оба процесса. Получатели услуг должны быть проинформированы, когда инцидент может их затронуть.
Управление, ответственность, штрафы
Директива NIS2 возлагает личную ответственность на руководство: руководящие органы должны утверждать меры кибербезопасности, контролировать их внедрение и проходить обучение, а также могут нести ответственность за нарушения; в отношении существенных организаций власти могут временно отстранять руководителей. Штрафы достигают 10 миллионов евро или 2% от мирового оборота для существенных организаций и 7 миллионов евро или 1,4% для важных организаций.
Власти могут проводить аудиты, требовать доказательства, а в некоторых государствах-членах регистрация организаций сама по себе является обязательством.
Состояние имплементации
Директива NIS2 должна была быть трансформирована в национальное законодательство к 17 октября 2024 года. К середине 2025 года примерно половина государств-членов имели действующие законы, Комиссия возбудила процедуры нарушения против отстающих, а имплементационный акт Германии вступил в силу в конце 2025 года. Срок регистрации, компетентный орган и любой каталог для сектора здравоохранения устанавливаются национальным законом, а не директивой.
Срок имплементации истек 17 октября 2024 года. К середине 2025 года примерно половина государств-членов имели действующие законы (среди первых — Бельгия, Хорватия, Венгрия, Италия, Латвия, Литва, Румыния, Словакия), и Комиссия возбудила дела о нарушении против отстающих; закон Германии об имплементации NIS2 вступил в силу в конце 2025 года. Проверьте национальное законодательство на предмет срока регистрации, органа (часто национальное агентство по кибербезопасности для здравоохранения, иногда регулятор сектора здравоохранения) и отраслевых каталогов. За пределами ЕС Великобритания следует с законопроектом о кибербезопасности и устойчивости.
Практически для поставщика медицинских технологий
Для поставщика медицинских технологий директива NIS2 в основном поступает через контракты с больницами: клиенты, подпадающие под ее действие, должны управлять безопасностью цепочки поставок, поэтому они требуют уведомления об инцидентах в течение нескольких часов, доказательств десяти мер статьи 21, раскрытия уязвимостей, списков субподрядчиков, а также планов выхода и непрерывности. Одна система управления информационной безопасностью с задокументированными элементами является самым дешевым способом ответа.
Anpheros публикует свою практику безопасности на сайте для разработчиков (security, reliability) и осуществляет реагирование на инциденты в соответствии с графиками NIS2 и GDPR в одном и том же плане действий.
Эта страница объясняет регулирование для продуктовых и инженерных команд. Это не юридическая консультация; тексты, на которые ссылаются в разделе «Источники», являются авторитетными, и ваш сотрудник по защите данных, уведомленный орган или юрист принимает решение по вашему случаю. Последнее обновление: октябрь 2026 г.
Связанные страницы
- ISO 27001 против ISO 27799
- Статья 9 GDPR для медицинских данных
- Карта регулирования медицинских данных
- DPIA для медицинского приложения
- Безопасность платформы (сайт разработчика)
Источники
- Директива (ЕС) 2022/2555 (NIS2), EUR-Lex
- Исполнительный регламент (ЕС) 2024/2690 (технические требования NIS2 для цифровых поставщиков), EUR-Lex
- Европейская комиссия: Обзор Директивы NIS2
- Регламент (ЕС) 2022/123 (усиленная роль EMA; список критически важных медицинских изделий), EUR-Lex
Частые вопросы
Подпадает ли моя компания по разработке медицинского ПО с 30 сотрудниками под действие директивы?
Обычно нет, если только ваше национальное законодательство не относит вас к таковым или вы не предоставляете услугу, указанную в Приложении I, независимо от размера. Вы все равно будете соответствовать требованиям NIS2 через обязательства по обеспечению безопасности цепочки поставок ваших больничных клиентов, которые переходят в контракты.
Что такое значительный инцидент?
Это инцидент, который вызывает или может вызвать серьезное нарушение работы или финансовые потери для организации, или который затрагивает других лиц или организации со значительным материальным или нематериальным ущербом. Атака программы-вымогателя на больницу — это классический пример; кратковременный сбой без воздействия на данные обычно таковым не является.
Заменяет ли NIS2 уведомление об утечке данных согласно GDPR?
Нет. Они действуют параллельно с разными получателями (CSIRT или орган по кибербезопасности против органа по защите данных), разными триггерами (нарушение работы услуги против утечки персональных данных) и пересекающимися сроками.
Является ли сертификация ISO 27001 доказательством соответствия NIS2?
Формально нет, но несколько государств-членов и ENISA рассматривают сертифицированную ISMS, охватывающую соответствующую область, как весомое доказательство, а некоторые национальные схемы принимают ее как презумпцию для большинства мер. Обязательства по отчетности об инцидентах и обучению руководства по-прежнему должны быть продемонстрированы отдельно.
Попробуйте бесплатно в песочнице
Первый запрос FHIR за 5 минут. API HL7 FHIR R4 с встроенным согласием пациента: попробуйте в песочнице, затем подключите свое приложение или систему клиники.
Бесплатно · 30 синтетических пациентов · без карты
Anpheros создает медицинскую карту, которую пациент контролирует и может делиться с любой клиникой, на платформе HL7 FHIR R4, базирующейся в ЕС. Эти руководства помогут вам понять и организовать свое здоровье; они не заменяют вашего врача.
О Anpheros →