简短回答： NIS2（指令 (EU) 2022/2555）是欧盟针对关键行业的网络安全法律。医疗保健是一个高度关键的行业（附件 I）：医院和其他医疗保健提供者、欧盟参考实验室、基本药品和在突发公共卫生事件中至关重要的医疗设备的制造商，以及从事药品研发的实体。医疗保健所依赖的数字服务提供商也包括在内：云计算、数据中心、托管安全服务以及在线平台和市场。超过规模门槛（中型：50 名员工或 1000 万欧元营业额）的实体，根据行业和规模，被视为基本或重要，必须实施十类安全措施，在24 小时、72 小时和一个月内报告重大事件，并接受管理层个人承担责任。成员国必须在 2024 年 10 月 17 日之前将其转化为国内法；一些国家推迟了，最终适用的将是国家法律，而不是指令本身。
适用范围
NIS2 法案涵盖了医疗保健行业，将其列为高度关键的领域：包括医院和其他医疗保健提供者、欧盟参考实验室、在公共卫生紧急事件中至关重要的基础药品和医疗器械制造商，以及药品研发实体，此外还包括医疗保健所依赖的云服务、数据中心和托管服务提供商。中型企业通常很重要，而大型企业则至关重要。
| 实体 | 附件 | 通常状态 |
|---|---|---|
| 提供护理的医院、诊所、全科医生网络、实验室、药房（根据指令 2011/24 的医疗保健提供者） | I, 医疗保健 | 大型（250+ 名员工或 5000 万欧元以上）为基本，中型为重要 |
| 欧盟参考实验室 | I, 医疗保健 | 基本 |
| 基本药品和制剂的制造商 | I, 医疗保健 | 根据规模为基本或重要 |
| 被认为在突发公共卫生事件中至关重要的医疗设备的制造商（根据法规 2022/123 名单） | I, 医疗保健 | 根据规模为基本或重要 |
| 从事药品研发的实体 | I, 医疗保健 | 根据规模为基本或重要 |
| 云计算服务提供商、数据中心提供商、内容分发网络、托管（安全）服务提供商、DNS、TLD 注册机构 | I, 数字基础设施和 ICT 服务管理 | 部分（DNS、TLD、信任服务）无论规模大小均为基本；其他根据规模而定 |
| 在线市场、搜索引擎、社交网络 | II, 数字服务提供商 | 根据规模为重要 |
| 其他医疗设备以及计算机、电子产品、机械的制造商 | II, 制造业 | 根据规模为重要 |
健康科技 SaaS 供应商本身并非医疗保健提供者，但它可能作为云计算服务提供商（如果其业务是提供云服务）而被纳入范围，或者通过其客户被纳入：第 21(2)(d) 条要求基本和重要的实体管理供应链安全，因此医院会将 NIS2 级别的要求纳入其与软件供应商的合同中。微型和小型公司通常不在范围内，除非成员国将其指定（例如，作为关键服务的唯一提供商）。
十项措施，第 21 条
NIS2 法案第 21 条要求所有纳入范围内的实体在十个领域采取相称的措施：风险分析和安全策略、事件处理、业务连续性和危机管理、供应链安全、安全采购和开发（包括漏洞处理)、有效性评估、网络卫生和培训、密码学和加密、人力资源安全和访问控制，以及带有安全通信的多因素身份验证。
每个在范围内的实体都必须采取适当且相称的技术、运营和组织措施，至少涵盖：
- 风险分析和信息系统安全政策；
- 事件处理；
- 业务连续性（备份、灾难恢复）和危机管理；
- 供应链安全，包括与直接供应商关系的安全性；
- 系统采购、开发和维护中的安全，包括漏洞处理和披露；
- 评估措施有效性的政策；
- 基本的网络卫生实践和培训；
- 密码学政策，以及在适当时的加密政策；
- 人力资源安全、访问控制和资产管理；
- 多因素或持续身份验证、安全通信和安全紧急通信。
2024 年 10 月的一项实施法规 (2024/2690) 详细规定了数字基础设施和 ICT 提供商的这些要求，各国主管部门会发布针对医疗保健行业的具体要求清单。该清单与 ISO/IEC 27001 附件 A 非常吻合；拥有经过认证的、覆盖相关系统的 ISMS 的组织已经基本满足要求。请参阅 ISO 27001 vs ISO 27799。
事件时钟，第 23 条
根据 NIS2 法案第 23 条，必须在三个步骤内向国家 CSIRT 或主管当局报告重大事件：在意识到事件后 24 小时内发出预警，在 72 小时内提交事件通知和初步评估，并在一个月内提交涵盖根本原因和缓解措施的最终报告，可根据要求提交中间报告。
重大事件（导致或可能导致严重运营中断或财务损失，或对他人造成重大损害的事件）必须报告给国家 CSIRT 或主管当局：
- 在意识到事件后的 24 小时内发出预警，说明是否怀疑有恶意行为以及是否存在跨境影响；
- 在 72 小时内提交事件通知，包含对严重性和影响的初步评估以及入侵指标；
- 应要求提供中间报告；
- 在 一个月内提交最终报告，说明根本原因、缓解措施和跨境影响。
如果涉及个人数据，GDPR 中向数据保护机构报告的 72 小时通知将并行进行；医院遭受勒索软件攻击将同时触发这两项要求。服务接收者必须在事件可能影响他们时得到通知。
治理、责任、罚款
NIS2 法案使管理层承担个人责任：管理机构必须批准网络安全措施，监督其执行情况并接受培训，并且可能因违规行为而承担责任；对于关键实体，主管当局可以暂时暂停管理人员的职务。对于关键实体，罚款最高可达 1000 万欧元或全球营业额的 2%；对于重要实体，罚款最高可达 700 万欧元或全球营业额的 1.4%。
主管当局可以进行审计、要求提供证据，在某些成员国中，实体的注册本身就是一项义务。
转化进展
NIS2 法案必须在 2024 年 10 月 17 日之前转化为国内法。到 2025 年年中，大约一半的成员国已将法律付诸实施，欧盟委员会已对逾期国家启动了侵权程序，德国的实施法案于 2025 年底生效。注册截止日期、主管当局以及任何医疗保健领域的目录均由国内法而非指令规定。
转化截止日期是 2024 年 10 月 17 日。截至 2025 年年中，约有一半的成员国已颁布法律（比利时、克罗地亚、匈牙利、意大利、拉脱维亚、立陶宛、罗马尼亚、斯洛伐克等首批），欧盟委员会已对迟延的国家启动了侵权程序；德国的 NIS2 实施法于 2025 年底生效。请查阅您所在国家的法律，了解注册截止日期、主管部门（通常是国家网络安全机构负责医疗保健，有时是医疗保健行业监管机构）以及行业特定的要求清单。在欧盟之外，英国也正在通过《网络安全和韧性法案》进行跟进。
对于健康科技供应商，实际操作建议
对于健康科技供应商而言，NIS2 法案主要通过医院合同实施：纳入范围内的客户必须管理供应链安全，因此他们要求在数小时内收到事件通知，提供第 21 条十项措施的证据、漏洞披露、分包商列表以及退出和连续性计划。一次性记录并包含这些要素的信息安全管理系统是成本最低的解决方案。
Anpheros 在开发者网站上发布了其安全实践（security（安全)，reliability（可靠性))，并使用 NIS2 和 GDPR 的时间表在同一个运行手册中处理事件响应。
本页面解释了针对产品和工程团队的法规。它不构成法律建议；“来源”下的链接文本具有权威性，您的数据保护官、认证机构或法律顾问将决定您的情况。最后审查：2026 年 10 月。
相关页面
来源
- 指令 (EU) 2022/2555 (NIS2), EUR-Lex
- 委员会实施条例 (EU) 2024/2690 (NIS2 对数字服务提供商的技术要求), EUR-Lex
- 欧洲委员会：NIS2 指令概述
- 法规 (EU) 2022/123 (EMA 的强化作用；关键医疗设备清单), EUR-Lex
常见问题
我的 30 人健康软件公司是否在 NIS2 的范围内？
通常情况下不会直接在范围内，除非您的国家法律指定了您，或者您提供附件 I 中列出的任何规模的服务。您仍将通过医院客户的供应链义务（这些义务会体现在合同中）来满足 NIS2 的要求。
什么是重大事件？
是指导致或可能导致实体遭受严重运营中断或财务损失，或对他人造成重大物质或非物质损害的事件。医院遭受勒索软件攻击是典型案例；短暂的中断且无数据影响通常不属于此类。
NIS2 是否取代 GDPR 的违约通知？
不。它们是并行进行的，有不同的接收方（CSIRT 或网络安全机构 vs 数据保护机构），不同的触发条件（服务中断 vs 个人数据泄露），以及重叠的截止日期。
ISO 27001 认证是否证明符合 NIS2？
正式来说不是，但许多成员国和 ENISA 将经过认证的、覆盖相关范围的 ISMS 视为有力证据，一些国家计划也将其作为大多数措施的推定依据。事件报告和管理培训的义务仍需单独证明。
在沙盒中免费试用
5 分钟完成第一次 FHIR 调用. 一个内置患者授权的 HL7 FHIR R4 API：先在沙盒中试用，然后连接您自己的应用或诊所系统。
免费 · 30 位合成患者 · 无需信用卡
Anpheros 致力于打造一个由患者掌控的医疗记录，并可在欧盟的 HL7 FHIR R4 平台上与任何诊所共享。这些指南旨在帮助您理解和整理您的健康信息，但不能替代您的医生。
关于 Anpheros →