Tato stránka je určena pro výrobce zdravotnických prostředků podléhající současně nařízení MDR a zákonu č. 264/2025 Sb. Seznámíte se s konkrétními povinnostmi, které musíte splnit do konce roku 2025 a následujícím roce.
Výrobci zdravotnických prostředků podléhají NIS2 jako důležité entity (Příloha II), pokud jsou subjektem kritické infrastruktury podle zákona č. 264/2025 Sb. nebo významným poskytovatelem digitálních služeb. To se týká zejména výrobců, jejichž zdravotnické prostředky jsou podstatné pro funkci zdravotnických systémů nebo jejichž software má přístup k citlivým zdravotnickým údajům.
Musíte vytvořit a průběžně aktualizovat seznam všech komponent softwaru obsažených ve vašich zdravotnických prostředcích, včetma open-source knihoven a třetích stran. Tento seznam je klíčový pro identifikaci zranitelností v dodávkovém řetězci a pro monitoring známých bezpečnostních nedostatků dle MDR čl. 5(5).
Zavádějte kontinuální monitorování bezpečnostních hrozeb a zranitelností v již distribuovaných zdravotnických prostředcích. Musíte mít formální proces pro detekci, analýzu a nasazování bezpečnostních aktualizací a oprav firmwaru, který zajistí jejich ověření před distribucí koncovým uživatelům.
Vyžadujte od všech poskytovatelů komponent, osazených modulů a kritických třetích stran podrobné informace o jejich bezpečnostních praktikách, včetma SBOM jejich produktů. Včleňte do smluv povinnost hlášení bezpečnostních incidentů a závazné termíny pro distribuci záplat.
Musíte hlásit NÚKIB incidenty související s bezpečností zdravotnických prostředků v souladu s časovými lhůtami: časné varování do 24 hodin, formální oznámení do 72 hodin a finální zpráva do 1 měsíce. Zvýšená pozornost se věnuje incidentům ovlivňujícím bezpečnost pacientů nebo integritu zdravotnických údajů.
Zavedete kryptografické kontroly, autentifikaci, protokolování přístupu, detekci anomálií a zálohovací systémy pro všechny nové zdravotnické prostředky a postupně i pro starší produkty. Tyto opatření musí být plně zavedena do jednoho roku od vaší registrace u NÚKIB, což je nejpozději v prosinci 2026.
Registrace u NÚKIB musela být dokončena do 31. prosince 2025 podle zákona č. 264/2025 Sb. Technická bezpečnostní opatření musíte mít plně zavedena nejpozději do jednoho roku od registrace, tedy nejpozději v prosinci 2026.
MDR (Nařízení o zdravotnických prostředcích) se zaměřuje na bezpečnost a výkonnost prostředků, včetně bezpečnosti softwaru v rámci rizikového řízení. NIS2 (a zákon č. 264/2025 Sb.) se zaměřuje na kybernetickou bezpečnost, řízení incidentů a ochranné opatření. Obě nařízení na vás působí současně — MDR čl. 5(5) přímo odkazuje na NIS2 požadavky pro software.
Za porušení povinností je možno uložit pokutu až do výše 7 milionů eur nebo 1,4 % celosvětového ročního obratu (pro důležité entity). Při závažnějších porušeních nebo opakovaných prohřešcích je možno uložit i vyšší sankce až 10 milionů eur či 2 % obratu pro podstatné porušení.