Tato stránka je určena pro vlastníky a vedoucí kybernetické bezpečnosti lékárenských řetězců, výrobců léčiv a farmaceutických distributorů s 50 a více zaměstnanci, kteří museli do 31. prosince 2025 provést registraci a sebeevaluaci podle zákona č. 264/2025 Sb. (ZoKB). Dozvíte se konkrétní povinnosti týkající se bezpečnosti dodavatelských řetězců, řízení přístupu a hlášení bezpečnostních incidentů.
Lékárenské řetězce, farmaceutičtí výrobci a velkoobchodní distributoři léčiv se sídlem v České republice, kteří zaměstnávají nejméně 50 pracovníků a jejichž činnost zahrnuje výrobu, distribuci nebo prodej farmaceutických přípravků. Sem spadají také řetězce klinických lékáren a centrálních farmaceutických skladů nemocničních zařízení. Povinnost registrace platí i pro subjekty, které provozují kritické informační systémy ovlivňující dostupnost a integritu léčiv na českém trhu.
Musíte zavést postupy pro ověřování bezpečnosti systémů, přes které objednáváte léčiva od výrobců a velkodistributorů. Lze sem zahrnout technické audity poskytovatelů (splnění ISMS), kontrolu přístupu k objednacím portálům a šifrování dat během přenosu. Zejména ověřte, že vaši nákupní partneři mají v místě kontrolní mechanismy bránící neoprávněnému přístupu ke skladovým informacím.
Na všech systémech spravujících e-recepty, lékárenské účty a pacientské údaje musí být aktivní vícefaktorová autentizace (MFA) pro pracovníky i partnery. Zakažte sdílená přihlašovací jména mezi personálem; každý pracovník musí mít individuální účet s právem odpovídajícím jeho pozici. Pravidelně auditujte, kdo má přístup k jednotlivým modulům a zrušte práva těch, kteří již v lékárně nepracují.
Jakmile zjistíte kybernetický útok nebo selhání bezpečnosti, které může ohrozit kontinuitu dodávky léčiv nebo správnost předpisů pacientů, musíte bez zbytečného odkladu (nejdéle do 24 hodin) poslat předběžné hlášení orgánu NÚKIB. Do 72 hodin pak doručit podrobné oznámení a do jednoho měsíce finální zprávu s popisem incidentu a učiněných opatření.
Údaje z elektronických receptů a zdravotních záznamů pacientů spadají zároveň pod NIS2 i GDPR. Zajistěte enkryptaci těchto dat jak při uložení, tak při přenosu; omezujte počet pracovníků se přístupem. Implementujte mechanismy pro detekci neoprávněného přístupu a pravidelně školte personál o bezpečnosti dat a ohrožení sociálním inženýrstvím.
Vypracujte písemný plán obnovy po incidentu (disaster recovery), který specifikuje časy obnovení (RTO) a akceptovatelný rozsah ztrácených dat (RPO) pro systémy řídící výdej léčiv a správu zásob. Testujte pravidelně obnovení záloh mimo provozní síť; zajistěte, aby zálohy byly izolovány od hlavních systémů, aby útočník je nemohl smazat. Plán musí obsahovat kontakty na NÚKIB a postupy pro komunikaci s pacienty v případě nedostupnosti služby.
Registraci podléhají lékárenské řetězce a farmaceutičtí výrobci/distributoři se sídlem v ČR s minimálně 50 zaměstnanci. Sem patří síťové lékárny, centrální farmaceutické sklady nemocnic, velkoobchodní distributoři léčiv a výrobci. Jednotlivé lékárny bez právnické osobnosti jsou vyřazeny; registruje se právnická osoba jako celek.
Registrace a sebeevaluace musely být provedeny do 31. prosince 2025. Technická bezpečnostní opatření (MFA, inkryptování, zálohy, monitoring) je třeba implementovat nejpozději do 1 roku od doručení rozhodnutí o registraci, tedy individuálně pro každý subjekt. NÚKIB však očekává, že začnete v bezprostředně po registraci.
Za porušení povinností ZoKB hrozí lékárnám a distributorům jako podstatným entitám pokuty až do výše 7 milionů eur nebo 1,4 % jejich celosvětového ročního obratu (co je vyšší). Nejzávažnější případ (např. nereportování incidentu v čase) může vést i k penalizaci vedení. Doporučujeme začít s plnými přípravami ihned po 1. listopadu 2025.