Kısa cevap: NIS2 (Yönerge (AB) 2022/2555), AB'nin kritik sektörler için siber güvenlik yasasıdır. Sağlık, yüksek derecede kritik bir sektördür (Ek I): hastaneler ve diğer sağlık hizmeti sağlayıcıları, AB referans laboratuvarları, temel ilaç ürünleri ve halk sağlığı acil durumlarında kritik olan tıbbi cihaz üreticileri ve ilaç ürünlerinin araştırma ve geliştirilmesini yapan kuruluşlar. Sağlığın dayandığı dijital sağlayıcılar da kapsanmaktadır: bulut bilişim, veri merkezleri, yönetilen güvenlik hizmetleri ve çevrimiçi platformlar ve pazar yerleri. Eşik boyutun üzerindeki kuruluşlar (orta ölçekli: 50 personel veya 10 milyon € ciro), sektöre ve büyüklüğe bağlı olarak temel veya önemli olarak kabul edilir ve on güvenlik önlemi kategorisini uygulamalı, 24 saat, 72 saat ve bir ay içinde önemli olayları bildirmeli ve yönetimin kişisel olarak sorumlu olduğunu kabul etmelidir. Üye devletlerin 17 Ekim 2024 tarihine kadar bu yönergeyi kendi ulusal yasalarına aktarmaları gerekiyordu; birkaçı bunu geç yaptı ve size uygulanan, yönerge değil, ulusal yasalar olacaktır.
Kapsam Dahilindekiler
NIS2, hastaneler ve diğer sağlık hizmeti sunucuları, AB referans laboratuvarları, halk sağlığı acil durumlarında kritik öneme sahip temel ilaç ürünleri ve tıbbi cihaz üreticileri, ilaç ürünleri Ar-Ge kuruluşları ile sağlığın dayandığı bulut, veri merkezi ve yönetilen hizmet sağlayıcıları gibi yüksek derecede kritiklik taşıyan sektörleri kapsar. Orta ölçekli kuruluşlar genellikle önemlidir, büyük kuruluşlar ise esastır.
| Kuruluş | Ek | Tipik statü |
|---|---|---|
| Bakım sağlayan hastaneler, klinikler, pratisyen hekim ağları, laboratuvarlar, eczaneler (Yönerge 2011/24 kapsamındaki sağlık hizmeti sağlayıcıları) | I, sağlık | Büyükse (250+ personel veya 50 milyon €+), orta ölçekliyse önemli |
| AB referans laboratuvarları | I, sağlık | Temel |
| Temel ilaç ürünleri ve preparatları üreticileri | I, sağlık | Büyüklüğe göre temel veya önemli |
| Halk sağlığı acil durumu sırasında kritik kabul edilen tıbbi cihaz üreticileri (2022/123 sayılı Tüzük listesi) | I, sağlık | Büyüklüğe göre temel veya önemli |
| İlaç ürünlerinin Ar-Ge'sini yürüten kuruluşlar | I, sağlık | Büyüklüğe göre temel veya önemli |
| Bulut bilişim hizmeti sağlayıcıları, veri merkezi sağlayıcıları, içerik dağıtım ağları, yönetilen (güvenlik) hizmet sağlayıcıları, DNS, TLD kayıt kuruluşları | I, dijital altyapı ve BİT hizmet yönetimi | Bazıları için büyüklükten bağımsız olarak temel (DNS, TLD, güven hizmetleri); aksi takdirde büyüklüğe göre |
| Çevrimiçi pazar yerleri, arama motorları, sosyal ağlar | II, dijital sağlayıcılar | Büyüklüğe göre önemli |
| Diğer tıbbi cihazlar ile bilgisayar, elektronik, makine üreticileri | II, imalat | Büyüklüğe göre önemli |
Bir sağlık teknolojisi SaaS satıcısı bir sağlık hizmeti sağlayıcısı değildir, ancak bulut bilişim hizmeti sağlayıcısı olarak (işi olarak bulut hizmetleri sunuyorsa) kapsama girebilir veya müşterileri aracılığıyla dahil edilebilir: Madde 21(2)(d), temel ve önemli kuruluşların tedarik zinciri güvenliğini yönetmesini gerektirir, bu nedenle hastaneler NIS2 düzeyindeki gereksinimleri yazılım tedarikçileriyle yaptıkları sözleşmelere aktarırlar. Mikro ve küçük şirketler genellikle kapsam dışındadır, ancak bir üye devlet onları (örneğin kritik bir hizmetin tek sağlayıcısı olarak) belirlemedikçe.
On önlem, Madde 21
NIS2'nin 21. Maddesi, kapsama giren her kuruluştan on alanda orantılı önlemler almasını gerektirir: risk analizi ve güvenlik politikaları, olay yönetimi, iş sürekliliği ve kriz yönetimi, tedarik zinciri güvenliği, güvenlikli tedarik ve geliştirme (zayıflıkların yönetimi dahil), etkililik değerlendirmesi, siber hijyen ve eğitim, kriptografi ve şifreleme, insan kaynakları güvenliği ve erişim kontrolü, ayrıca çok faktörlü kimlik doğrulama ve güvenli iletişim.
Kapsam dahilindeki her kuruluş, en azından aşağıdaki konuları kapsayan uygun ve orantılı teknik, operasyonel ve organizasyonel önlemleri almalıdır:
- risk analizi ve bilgi sistemi güvenliği politikaları;
- olay yönetimi;
- iş sürekliliği (yedeklemeler, felaket kurtarma) ve kriz yönetimi;
- tedarik zinciri güvenliği, doğrudan tedarikçilerle olan ilişkilerin güvenliği dahil;
- sistemlerin edinilmesi, geliştirilmesi ve bakımında güvenlik, zayıflıkların yönetimi ve ifşası dahil;
- önlemlerin etkinliğini değerlendirmeye yönelik politikalar;
- temel siber hijyen uygulamaları ve eğitim;
- kriptografi ve uygun olduğunda şifreleme politikaları;
- insan kaynakları güvenliği, erişim kontrolü ve varlık yönetimi;
- çok faktörlü veya sürekli kimlik doğrulama, güvenli iletişim ve güvenli acil durum iletişimi.
Ekim 2024 tarihli bir uygulama tüzüğü (2024/2690), dijital altyapı ve BİT sağlayıcıları için bunları ayrıntılı olarak belirtir ve ulusal yetkililer sağlık sektörü için kendi kataloglarını yayınlar. Liste, ISO/IEC 27001 Ek A ile yakından eşleşir; ilgili sistemleri kapsayan sertifikalı bir Bilgi Güvenliği Yönetim Sistemi (BGYS) olan bir kuruluş, yolun büyük bir kısmını kat etmiş demektir. ISO 27001 vs ISO 27799 bölümüne bakınız.
Olay saati, Madde 23
NIS2'nin 23. Maddesi uyarınca, önemli bir olayın ulusal CSIRT'ye veya yetkili otoriteye üç adımda bildirilmesi gerekir: farkındalık oluştuktan sonra 24 saat içinde erken uyarı, ilk değerlendirmeyle birlikte 72 saat içinde olay bildirimi ve kök neden ile azaltma önlemlerini kapsayan, talep üzerine ara raporla birlikte bir ay içinde nihai rapor.
Önemli bir olay (operasyonel aksaklığa veya mali kayba neden olan veya neden olabilecek, ya da başkalarını önemli ölçüde zarar veren bir olay) ulusal CSIRT'ye veya yetkili makama bildirilmelidir:
- farkına varıldıktan sonra 24 saat içinde erken uyarı, kötü niyetli bir eylemin şüphelenilip şüphelenilmediğini ve sınır ötesi bir etki olup olmadığını belirterek;
- 72 saat içinde olay bildirimi, ciddiyet ve etki hakkında ilk değerlendirme ve saldırı göstergeleri ile;
- talep üzerine ara rapor;
- bir ay içinde nihai rapor, kök neden, azaltma ve sınır ötesi etkiyi içerecek şekilde.
Kişisel verilerin söz konusu olduğu durumlarda, veri koruma otoritesine 72 saatlik bildirim GDPR'ye göre paralel olarak yürür; bir hastanenin fidye yazılımı saldırısı her ikisini de tetikler. Hizmet alanlar, olayın kendilerini etkileyebileceği durumlarda bilgilendirilmelidir.
Yönetişim, sorumluluk, cezalar
NIS2, yönetim organlarını kişisel olarak sorumlu tutar: yönetim organları siber güvenlik önlemlerini onaylamalı, uygulamalarını denetlemeli ve eğitim almalıdır; ihlallerden sorumlu tutulabilirler; temel kuruluşlar için yetkililer yöneticileri geçici olarak görevden alabilir. Cezalar, temel kuruluşlar için 10 milyon Avro veya dünya cirosunun %2'sine, önemli kuruluşlar için ise 7 milyon Avro veya %1,4'üne ulaşır.
Yetkililer denetim yapabilir, kanıt isteyebilir ve bazı üye devletlerde kuruluşların kaydı başlı başına bir yükümlülüktür.
Aktarımın durumu
NIS2'nin ulusal hukuka 17 Ekim 2024 tarihine kadar aktarılması gerekiyordu. 2025 ortasına kadar üye devletlerin yaklaşık yarısında yürürlükte olan yasalar vardı, Komisyon geç kalanlara karşı ihlal prosedürleri başlatmıştı ve Almanya'nın uygulama yasası 2025'in sonlarında yürürlüğe girdi. Kayıt son tarihini, yetkili otoriteyi ve herhangi bir sağlık sektörü kataloğunu belirleyen direktif değil, ulusal yasadır.
Aktarım son tarihi 17 Ekim 2024 idi. 2025 ortasına kadar üye devletlerin yaklaşık yarısında yürürlükte olan yasalar vardı (Belçika, Hırvatistan, Macaristan, İtalya, Letonya, Litvanya, Romanya, Slovakya ilkler arasındaydı) ve Komisyon geç kalanlara karşı ihlal prosedürleri başlattı; Almanya'nın NIS2 uygulama yasası 2025'in sonlarında yürürlüğe girdi. Kayıt son tarihini, yetkili makamı (genellikle sağlık için ulusal siber güvenlik ajansı, bazen bir sağlık sektörü düzenleyicisi) ve sektöre özgü katalogları öğrenmek için ulusal yasanızı kontrol edin. AB dışında, Birleşik Krallık Siber Güvenlik ve Dayanıklılık Yasa Tasarısı ile bu yolu izliyor.
Bir sağlık teknolojisi satıcısı için pratik olarak
Bir sağlık teknolojisi satıcısı için NIS2, öncelikle hastane sözleşmeleri aracılığıyla gelir: kapsama giren müşteriler tedarik zinciri güvenliğini yönetmek zorundadır, bu nedenle olay bildirimini saatler içinde, 21. Madde'deki on önlemin kanıtını, alt yüklenici listelerini ve çıkış ile süreklilik planlarını talep ederler. Bu unsurları içeren tek bir bilgi güvenliği yönetim sistemi, en ucuz yanıttır.
Anpheros, güvenlik uygulamasını geliştirici sitesinde (security, reliability) yayınlar ve olay müdahalesini hem NIS2 hem de GDPR saatlerini aynı çalışma kitabında çalıştırır.
Bu sayfa ürün ve mühendislik ekipleri için düzenlemeleri açıklamaktadır. Yasal tavsiye değildir; Kaynaklar altında bağlantısı verilen metinler yetkilidir ve veri koruma görevliniz, bildirimde bulunan kuruluş veya danışmanınız sizin durumunuz için karar verir. Son gözden geçirme: Ekim 2026.
İlgili sayfalar
- ISO 27001 vs ISO 27799
- Sağlık verileri için GDPR Madde 9
- Sağlık verileri düzenleme haritası
- Bir sağlık uygulaması için DPIA
- Platform güvenliği (geliştirici sitesi)
Kaynaklar
- Yönerge (AB) 2022/2555 (NIS2), EUR-Lex
- Komisyon Uygulama Tüzüğü (AB) 2024/2690 (NIS2 dijital sağlayıcılar için teknik gereksinimler), EUR-Lex
- Avrupa Komisyonu: NIS2 Yönergesi genel bakış
- Tüzük (AB) 2022/123 (EMA'nın güçlendirilmiş rolü; kritik tıbbi cihazlar listesi), EUR-Lex
Sık sorulan sorular
30 kişilik sağlık yazılım şirketim kapsama giriyor mu?
Genellikle doğrudan girmez, ancak ulusal yasanız sizi belirlerse veya büyüklüğünden bağımsız olarak Ek I'de listelenen bir hizmet sunarsanız. Yine de hastane müşterilerinizin tedarik zinciri yükümlülükleri aracılığıyla NIS2 ile karşılaşacaksınız, bu da sözleşmelere yansır.
Önemli bir olay nedir?
Kuruluş için ciddi operasyonel aksaklığa veya mali kayba neden olan veya neden olabilecek, ya da başkalarını veya kuruluşları önemli maddi veya manevi zararla etkileyen bir olaydır. Bir hastanenin fidye yazılımı saldırısı ders kitaplarındaki örnektir; veri etkisi olmayan kısa bir kesinti genellikle değildir.
NIS2, GDPR ihlal bildiriminin yerini mi alıyor?
Hayır. Farklı alıcılara (CSIRT veya siber güvenlik otoritesi vs. veri koruma otoritesi), farklı tetikleyicilere (hizmet kesintisi vs. kişisel veri ihlali) ve örtüşen son tarihlere sahip olarak paralel çalışırlar.
ISO 27001 sertifikası NIS2 uyumluluğunun kanıtı mıdır?
Resmi olarak değil, ancak birkaç üye devlet ve ENISA, ilgili kapsamı kapsayan sertifikalı bir BGYS'yi güçlü bir kanıt olarak kabul eder ve bazı ulusal şemalar bunu çoğu önlem için bir varsayım olarak kabul eder. Olay raporlama ve yönetim eğitimi görevlerinin hala ayrı olarak gösterilmesi gerekir.
Sandbox'ta ücretsiz deneyin
İlk FHIR çağrınız 5 dakikada. Hasta izniyle yerleşik HL7 FHIR R4 API: sandbox'ta deneyin, ardından kendi uygulamanızı veya klinik sisteminizi bağlayın.
Ücretsiz · 30 sentetik hasta · kart gerekmez
Anpheros, hasta kontrolünde olan ve herhangi bir klinik ile paylaşılabilecek, AB merkezli bir HL7 FHIR R4 platformu üzerinde tıbbi kayıtlar oluşturur. Bu rehberler, sağlığınızı anlamanıza ve düzenlemenize yardımcı olur; doktorunuzun yerini tutmaz.
Anpheros Hakkında →