Tato stránka je určena vedoucím zdravotnických zařízení, CISO a IT manažerům klinických sítí s 50+ zaměstnanci, které musí splnit zákon č. 264/2025 Sb. o kybernetické bezpečnosti, včetně zavedení bezpečnostních opatření do 1 roku od doručení rozhodnutí o registraci. Dozvíte se konkrétní povinnosti týkající se pacientských dat, reportování incidentů a opatření proti kybernetickým hrozbám.
Povinnost se vztahuje na stomatologické kliniky a speciální zdravotnická zařízení se 50 nebo více zaměstnanci, která spravují digitální zdravotnické záznamy pacientů. Do skupiny spadají síťové zdravotnické instituce, soukromé a veřejné kliniky s vlastním systémem pro správu pacientských údajů. Микропraktiky bez digitálního řízení nejsou zahrnuty.
Zdravotnická zařízení musí zajistit bezpečnost všech systémů, které obsahují nebo zpracovávají pacientské záznamy, včetně DICOM servery (rentgenografické, CT systémy) a software pro správu pacientů. Systémy musí být izolované od obecné kancelářské sítě, zálohovány na bezpečných místech a chráněny silnou autentizací. Vzhledem k zdravotnickému charakteru dat jsou opatření kritičtější než v jiných sektorech.
Pacientské údaje jsou jak zdravotnickými údaji (GDPR, zákon č. 101/2000 Sb.), tak údaji kritické infrastruktury (NIS2). Musíte splnit požadavky na souhlas pacienta (GDPR), minimální dobu uchování záznamů a zároveň zajistit bezpečnost chodu kliniky před narušením IT systémů. Incidenty zasahující správu pacientů se hlásí oběma regulačním autoritám.
Pokud dojde k porušení bezpečnosti zaměřenému na pacientské záznamy nebo schopnost kliniky poskytnout péči (např. výpadek rezervačního systému), musíte informovat NÚKIB v předčasném varování do 24 hodin a formální oznámení do 72 hodin. Finální zpráva musí být podána do jednoho měsíce. Zdravotnická zařízení jsou zvýšeně sledována kvůli dopadům na zdraví pacientů.
Vaši dodavatelé software pro správu pacientů (elektronická zdravotnická dokumentace, rezervační systémy) musí splňovat bezpečnostní standardy a být schopni poskytnout záruky pro podporu vašeho dodržování NIS2. Podepište dodatky k licenčním smlouvám, které definují jejich povinnosti v oblasti bezpečnosti, zálohování a reportování incidentů. Pravidelně auditujte jejich bezpečnostní posture.
Každý zaměstnanec kliniky (lékaři, zdravotní sestry, recepční) musí mít individuální přihlašovací údaje do systémů pacientských údajů — sdílené přihlášení je nepřípustné. Implementujte vícefaktorovou autentizaci pro přístup k citlivým záznamům. Role a oprávnění musí být definované funkcí (lékař vidí diagnózy, recepce pouze kontakty a schéma).
Ne, povinnost se vztahuje na zdravotnická zařízení a klinické sítě se 50 nebo více zaměstnanci. Zubní ordinace s menším počtem zaměstnanců nejsou zahrnuty, pokud nespravujídigidální zdravotnickou infrastrukturu jako klíčové zdravotnické služby.
Klinika je klasifikována jako důležitá entita (Příloha II), takže hrozí pokuty až do 7 milionů eur nebo 1,4 % celkového ročního obratu. Konkrétní výše závisí na závažnosti porušení (např. chybějící autentizace vs. zcela nefunkční zálohy) a na dopadech na pacienty.
Klinika musela být registrována do 31. prosince 2025, pokud již spadala do rozsahu zákona k 1. listopadu 2025; nové subjekty se registrují do 60 dnů od splnění kritérií. Technická opatření (firewall, multifaktorová autentizace, zálohování, síťová segmentace) musí být implementována do 1 roku od doručení rozhodnutí o registraci. NÚKIB poskytuje postupné harmonogramy pro větší projekty.