Коротка відповідь: NIS2 (Директива (ЄС) 2022/2555) — це закон ЄС про кібербезпеку для критично важливих секторів. Охорона здоров'я є сектором високої критичності (Додаток I): лікарні та інші медичні заклади, референтні лабораторії ЄС, виробники основних лікарських засобів та медичних виробів, критично важливих під час надзвичайної ситуації у сфері охорони здоров'я, а також організації, що займаються дослідженнями та розробкою лікарських засобів. Також охоплюються цифрові постачальники, від яких залежить охорона здоров'я: хмарні обчислення, центри обробки даних, керовані послуги безпеки, а також онлайн-платформи та ринки. Суб'єкти, що перевищують пороговий розмір (середні: 50 співробітників або оборот 10 млн євро), є суттєвими або важливими залежно від сектора та розміру, і повинні впровадити десять категорій заходів безпеки, повідомляти про значні інциденти протягом 24 годин, 72 годин та одного місяця, і усвідомлювати, що керівництво несе персональну відповідальність. Країни-члени мали імплементувати директиву до 17 жовтня 2024 року; деякі зробили це із запізненням, і застосовуються національні закони, а не сама директива.
Хто підпадає під дію
NIS2 охоплює сферу охорони здоров'я як сектор високої критичності: лікарні та інші медичні заклади, референтні лабораторії ЄС, виробники основних фармацевтичних продуктів та медичних виробів, критично важливих у надзвичайних ситуаціях громадського здоров'я, а також суб'єкти, що займаються дослідженнями та розробками лікарських засобів, плюс хмарні, дата-центрові та керовані сервісні провайдери, на яких покладається охорона здоров'я. Середні підприємства загалом важливі, великі – надзвичайно важливі.
| Суб'єкт | Додаток | Типовий статус |
|---|---|---|
| Лікарні, клініки, мережі сімейних лікарів, лабораторії, аптеки, що надають медичну допомогу (медичні заклади згідно з Директивою 2011/24) | I, охорона здоров'я | Суттєві, якщо великі (250+ співробітників або 50 млн євро), важливі, якщо середні |
| Референтні лабораторії ЄС | I, охорона здоров'я | Суттєві |
| Виробники основних лікарських засобів та препаратів | I, охорона здоров'я | Суттєві або важливі за розміром |
| Виробники медичних виробів, що вважаються критично важливими під час надзвичайної ситуації у сфері охорони здоров'я (список згідно з Регламентом 2022/123) | I, охорона здоров'я | Суттєві або важливі за розміром |
| Організації, що займаються дослідженнями та розробкою лікарських засобів | I, охорона здоров'я | Суттєві або важливі за розміром |
| Постачальники послуг хмарних обчислень, постачальники центрів обробки даних, мережі доставки контенту, керовані постачальники послуг (безпеки), DNS, реєстри TLD | I, цифрова інфраструктура та управління ІКТ-послугами | Суттєві незалежно від розміру для деяких (DNS, TLD, довірчі послуги); в іншому випадку — за розміром |
| Онлайн-маркетплейси, пошукові системи, соціальні мережі | II, цифрові постачальники | Важливі за розміром |
| Виробники інших медичних виробів, а також комп'ютерів, електроніки, машин | II, виробництво | Важливі за розміром |
Постачальник SaaS для медичних технологій не є медичним закладом, але може підпадати під дію як постачальник послуг хмарних обчислень (якщо він пропонує хмарні послуги як свій бізнес) або бути залученим через своїх клієнтів: Стаття 21(2)(d) вимагає від суттєвих та важливих суб'єктів керувати безпекою ланцюга постачання, тому лікарні передають вимоги рівня NIS2 у контракти зі своїми постачальниками програмного забезпечення. Мікро- та малі компанії, як правило, не підпадають під дію, якщо тільки країна-член не визначить їх (наприклад, як єдиних постачальників критично важливої послуги).
Десять заходів, Стаття 21
Стаття 21 NIS2 вимагає від кожного суб'єкта, що підпадає під дію, вживати пропорційних заходів у десяти сферах: аналіз ризиків та політики безпеки, обробка інцидентів, безперервність бізнесу та управління кризовими ситуаціями, безпека ланцюга постачання, безпечне придбання та розробка, включаючи обробку вразливостей, оцінка ефективності, кібергігієна та навчання, криптографія та шифрування, безпека персоналу та контроль доступу, а також багатофакторна автентифікація із захищеними комунікаціями.
Кожен суб'єкт, що підпадає під дію, повинен вжити відповідних та пропорційних технічних, операційних та організаційних заходів, що охоплюють щонайменше:
- політики щодо аналізу ризиків та безпеки інформаційних систем;
- управління інцидентами;
- безперервність бізнесу (резервне копіювання, відновлення після збоїв) та кризове управління;
- безпека ланцюга постачання, включаючи безпеку відносин з прямими постачальниками;
- безпека при придбанні, розробці та обслуговуванні систем, включаючи управління вразливостями та їх розкриття;
- політики для оцінки ефективності заходів;
- базові практики кібергігієни та навчання;
- політики щодо криптографії та, де це доцільно, шифрування;
- безпека людських ресурсів, контроль доступу та управління активами;
- багатофакторна або безперервна автентифікація, захищені комунікації та захищені екстрені комунікації.
Виконавчий регламент від жовтня 2024 року (2024/2690) деталізує ці заходи для постачальників цифрової інфраструктури та ІКТ, а національні органи публікують власні каталоги для охорони здоров'я. Цей список тісно відповідає Додатку A стандарту ISO/IEC 27001; організація з сертифікованою ISMS, що охоплює відповідні системи, вже майже досягла мети. Див. ISO 27001 проти ISO 27799.
Годинник інцидентів, Стаття 23
Згідно зі Статтею 23 NIS2, про значний інцидент необхідно повідомити національний CSIRT або компетентний орган у три етапи: раннє попередження протягом 24 годин після виявлення, повідомлення про інцидент протягом 72 годин з початковою оцінкою та остаточний звіт протягом одного місяця, що охоплює першопричину та заходи пом'якшення, з проміжним звітом на запит.
Про значний інцидент (той, що спричиняє або може спричинити серйозні операційні збої або фінансові збитки, або впливає на інших зі значною шкодою) необхідно повідомити національний CSIRT або компетентний орган:
- раннє попередження протягом 24 годин після виявлення, із зазначенням, чи підозрюється зловмисна дія та чи є транскордонний вплив;
- повідомлення про інцидент протягом 72 годин, з початковою оцінкою серйозності та впливу, а також індикаторами компрометації;
- проміжний звіт на запит;
- остаточний звіт протягом одного місяця, із зазначенням першопричини, заходів пом'якшення та транскордонного впливу.
Якщо задіяні персональні дані, 72-годинне повідомлення до органу із захисту даних згідно з GDPR відбувається паралельно; атака з використанням програм-вимагачів на лікарню запускає обидва процеси. Отримувачі послуг повинні бути поінформовані, коли інцидент може на них вплинути.
Управління, відповідальність, штрафи
NIS2 робить керівництво особисто відповідальним: керівні органи повинні затверджувати заходи кібербезпеки, контролювати їх впровадження та проходити навчання, і можуть бути притягнуті до відповідальності за порушення; щодо важливих суб'єктів, органи можуть тимчасово відсторонити керівників. Штрафи сягають 10 мільйонів євро або 2% світового обороту для важливих суб'єктів та 7 мільйонів євро або 1,4% для значущих суб'єктів.
Органи можуть проводити аудити, вимагати докази, а в деяких державах-членах реєстрація суб'єктів сама по собі є зобов'язанням.
Статус імплементації
NIS2 мала бути імплементована в національне законодавство до 17 жовтня 2024 року. До середини 2025 року приблизно половина держав-членів мали чинні закони, Комісія розпочала процедури порушення проти тих, хто запізнився, а німецький закон про імплементацію набрав чинності наприкінці 2025 року. Національний закон, а не директива, встановлює термін реєстрації, компетентний орган та будь-який каталог для сфери охорони здоров'я.
Кінцевий термін імплементації був 17 жовтня 2024 року. До середини 2025 року приблизно половина країн-членів мали чинні закони (серед перших — Бельгія, Хорватія, Угорщина, Італія, Латвія, Литва, Румунія, Словаччина), а Комісія розпочала процедури порушення проти тих, хто запізнився; закон Німеччини про імплементацію NIS2 набув чинності наприкінці 2025 року. Перевірте національне законодавство щодо терміну реєстрації, органу (часто національне агентство з кібербезпеки для охорони здоров'я, іноді регулятор сектору охорони здоров'я) та галузевих каталогів. Поза межами ЄС, Велика Британія йде тим самим шляхом із законопроектом про кібербезпеку та стійкість.
Для постачальника медичних технологій, практично
Для постачальника медичних технологій NIS2 надходить переважно через контракти з лікарнями: клієнти, що підпадають під дію, повинні керувати безпекою ланцюга постачання, тому вони вимагають повідомлення про інциденти протягом кількох годин, докази десяти заходів Статті 21, розкриття вразливостей, списки субпідрядників, а також плани виходу та безперервності. Одна система управління інформаційною безпекою з цими елементами, задокументована один раз, є найдешевшим способом відповісти.
Anpheros публікує свою практику безпеки на сайті розробника (security, reliability) та керує реагуванням на інциденти за обома годинниками – NIS2 та GDPR – в одному робочому протоколі.
Ця сторінка пояснює регулювання для команд продуктів та розробки. Це не юридична консультація; тексти, посилання на які наведено в розділі "Джерела", є авторитетними, а ваш спеціаліст із захисту даних, уповноважений орган або юрист приймає рішення у вашому випадку. Останній перегляд: жовтень 2026 року.
Пов'язані сторінки
- ISO 27001 проти ISO 27799
- Стаття 9 GDPR для медичних даних
- Карта регулювання медичних даних
- DPIA для медичного додатку
- Безпека платформи (сайт розробника)
Джерела
- Директива (ЄС) 2022/2555 (NIS2), EUR-Lex
- Виконавчий регламент Комісії (ЄС) 2024/2690 (Технічні вимоги NIS2 для цифрових постачальників), EUR-Lex
- Європейська Комісія: Огляд Директиви NIS2
- Регламент (ЄС) 2022/123 (Посилена роль EMA; список критично важливих медичних виробів), EUR-Lex
Поширені запитання
Чи підпадає моя компанія з розробки медичного програмного забезпечення з 30 співробітниками під дію?
Зазвичай ні, якщо тільки ваше національне законодавство не визначає вас або ви не надаєте послугу, зазначену в Додатку I, незалежно від розміру. Ви все одно будете відповідати вимогам NIS2 через зобов'язання щодо ланцюга постачання ваших лікарняних клієнтів, які передаються в контракти.
Що таке значний інцидент?
Це інцидент, який спричиняє або може спричинити серйозні операційні збої або фінансові збитки для суб'єкта, або який впливає на інших людей чи організації зі значною матеріальною чи нематеріальною шкодою. Атака з використанням програм-вимагачів на лікарню є класичним прикладом; короткочасний збій без впливу на дані зазвичай таким не є.
Чи замінює NIS2 повідомлення про порушення GDPR?
Ні. Вони відбуваються паралельно з різними отримувачами (CSIRT або орган кібербезпеки проти органу із захисту даних), різними тригерами (збій послуги проти порушення персональних даних) та пересічними термінами.
Чи є сертифікація ISO 27001 доказом відповідності NIS2?
Не формально, але кілька країн-членів та ENISA розглядають сертифіковану ISMS, що охоплює відповідну сферу, як вагомий доказ, а деякі національні схеми приймають її як припущення для більшості заходів. Обов'язки щодо звітування про інциденти та навчання керівництва все ще потребують окремого підтвердження.
Спробуйте безкоштовно в пісочниці
Перший запит FHIR за 5 хвилин. API стандарту HL7 FHIR R4 з вбудованою згодою пацієнта: спробуйте в пісочниці, а потім підключіть власну програму чи клінічну систему.
Безкоштовно · 30 синтетичних пацієнтів · без картки
Anpheros створює медичну карту, яку пацієнт контролює та може ділитися з будь-якою клінікою, на платформі HL7 FHIR R4, розташованій в ЄС. Ці посібники допоможуть вам зрозуміти та організувати своє здоров'я; вони не замінюють вашого лікаря.
Про Anpheros →