Tato stránka je určena pro zdravotnická zařízení, nemocniční sítě a soukromé kliniky s 50 a více zaměstnanci nebo regionálním dosahem. Naučíte se konkrétní povinnosti, lhůty a praktické kroky k splnění NIS2 compliance.
Povinnost NIS2 compliance mají nemocnice, nemocniční sítě, speciálně zaměřená zdravotnická zařízení a soukromé kliniky s minimálně 50 zaměstnanci nebo s významným vlivem na zdravotnickou péči v regionu. Tuto klasifikaci provádí NÚKIB; subjekty v působnosti zákona k 1. listopadu 2025 se musely zaregistrovat do 31. prosince 2025, nové subjekty se registrují do 60 dnů od splnění kritérií.
Každá nemocnice a zdravotnické zařízení zařazené do přílohy I, pokud byly v působnosti zákona k 1. listopadu 2025, musely být zaregistrovány u NÚKIB do 31. prosince 2025; nové subjekty se registrují do 60 dnů od splnění kritérií. Registrace zahrnuje základní údaje o subjektu a jeho IT infrastruktuře. Bez registrace hrozí pokuta až 10 milionů eur nebo 2 % obratu.
Při podezření na incident týkající se zdravotnických systémů, medicínských přístrojů nebo osobních údajů musíte poslat rané varování NÚKIB-CSIRT do 24 hodin a plné hlášení do 72 hodin. Finální zprávu odevzdejte do jednoho měsíce. Systém incident reportingu musí být dokumentován a personálem zažit prostřednictvím pravidelného školení.
Klinické sítě obsahující zobrazovací přístroje (CT, MRI, RTG), monitorovací systémy a neinvasivní zařízení musí být odděleny od administrativních sítí a Wi-Fi v budovách. Použijte fyzické nebo logické oddělení (VLAN) a řízený firewall s pravidly. Toto oddělení snižuje riziko porušení dostupnosti kritických zdravotnických služeb.
Všichni dodavatelé medicínských softwarů, systémů pro správu pacientů a pronajímaných IT služeb musí být posuzováni a schváleni dle dokumentované bezpečnostní politiky. Formalizujte přístupová práva, auditujte vzdálené připojení a provádějte alespoň roční kontroly bezpečnosti. Smluvně vykažte, že dodavatelé splňují minimální normy NIS2.
Zdravotnické zařízení musí mít dokumentovaný plán kontinuity obchodní činnosti (BCP) a plán obnovy po havárii (DRP) pro systémy určující dostupnost zdravotnické péče — zejména systémy řízení pacientů, léčebné záznamy a systémy vedoucí ke kritickým klinickým rozhodnutím. Plán musí obsahovat cíl času obnovy (RTO) v hodinách a cíl bodu obnovení (RPO), která budou testována alespoň dvakrát ročně.
Všechny nemocnice, nemocniční sítě, speciálně zaměřená zdravotnická zařízení a soukromé kliniky s minimálně 50 zaměstnanci nebo s regionálním dopadem na zdravotnickou péči se považují za podstatné subjekty podle přílohy I zákona č. 264/2025 Sb. NÚKIB stanoví přesný seznam; subjekty v působnosti zákona k 1. listopadu 2025 se musely zaregistrovat do 31. prosince 2025, nové subjekty se registrují do 60 dnů od splnění kritérií.
Lhůta pro implementaci technických opatření (segmentace sítě, incident reporting, BCP/DRP) je nejpozději 1 rok od doručení rozhodnutí o registraci u NÚKIB pro danou regulovanou službu. Pro většinu subjektů registrovaných koncem roku 2025 to prakticky znamená přibližně konec roku 2026, nejedná se však o jednotný pevný termín 31. prosince 2026 pro všechny. Pokuty za nedodržení mohou dosáhnout až 10 milionů eur.
Rané varování musí být zasláno do 24 hodin, plné hlášení do 72 hodin a finální zpráva do jednoho měsíce od objevení incidentu. Porušení těchto lhůt (zejména neinformování NÚKIB-CSIRT) se kvalifikuje jako zásadní porušení NIS2 s pokutou až 10 milionů eur nebo 2 % ročního obratu zdravotnického zařízení.