Tato stránka je určena operátorům telehealth platforem, poskytovatelům služeb vzdáleného monitorování pacientů a vývojářům zdravotnických aplikací, kteří spadají pod категorию důležité subjekty dle zákona č. 264/2025 Sb. Dozvíte se konkrétní technické a organizační povinnosti, které musíte splnit – registrace proběhla do 31. prosince 2025 a technická opatření musíte zavést nejpozději do 1 roku od doručení rozhodnutí o registraci, v souladu s českými požadavky NÚKIB.
Pod NIS2 spadají telehealth platformy, aplikace pro vzdálené monitorování a digitální zdravotnické služby, které poskytují služby v EU a jsou považovány za důležité entity dle zákona č. 264/2025 Sb. Typicky sem patří poskytovatele telemedických konzultací s více než 100 miliony uživateli v EHP, operátoři monitorovacích zařízení propojených se zdravotnickými informačními systémy a aplikace, které mají kritickou roli v kontinuitu péče.
Všechny video konzultace, zprávy pacientů a zdravotnické údaje přenášené vaší platformou musí být šifrované end-to-end a v klidu. Konkrétně to znamená: videosestry jsou chráněny TLS 1.2+ a šifrují se na straně serveru, veškeré zdravotnické záznamy v databází jsou šifrované (AES-256), přístupové klíče jsou spravované v bezpečném úschovně (HSM). Ověřte si, že třetí strany (např. hostingové služby AWS) mají také implementované šifrování podle standardu ISO 27001.
Pokud vaše platforma se integruje s nemocničním systémem (ISIN, NEMIS či vlastním EHR), musíte mít formální datové smlouvy se všemi subdodavateli (poskytovateli cloudových služeb, API integrátoři, bezpečnostní dodavatelé). Proveďte bezpečnostní audit každého dodavatele alespoň jednou ročně, zdokumentujte jejich povinnosti týkající se incidentů, zálohování a kontinuity provozu. Toto je kritické proto, že přerušení spojení s nemocnicí může přímo ohrozit péči o pacienty.
Vaše telehealth aplikace a platforma musí podléhat alespoň dvěma nezávislým penetračním testům ročně — jeden zaměřený na API, druhý na frontend a autentizaci. Všechny nalezené slabiny se musí opravit v dohodnuté lhůtě (kritické do 7 dní, vysoké do 30 dnů). Kromě toho si musíte udržovat seznam všech známých zranitelností třetích stran (např. knihovny JavaScript, používané API) a automatizovat jejich sledování pomocí nástroje SBOM (Software Bill of Materials).
Jakýkoliv bezpečnostní incident postihující dostupnost vaší telehealth služby, integritu zdravotnických dat či jejich důvěrnost musí být hlášen NÚKIB v co nejkratší době — včasné upozornění do 24 hodin, formální oznámení do 72 hodin. Zejména výpadky platformy déle než 4 hodiny, které brání pacientům přistupovat k monitorovacím datům či lékařům vést konzultace, se kvalifikují jako kritické incidenty. Musíte mít formální plán kontinuity a obnovy (RTO ≤ 4 h, RPO ≤ 1 h pro kritické pacienty).
Všechny zpracování osobních a zdravotnických údajů (dle čl. 4 GDPR a speciální kategorie dle čl. 9) musí mít právní základ (souhlas pacienta, léčebná povinnost). Máte povinnost mít písemné Dodatky na zpracování dat (DPA) se všemi zpracovateli a subdodavateli — včetně cloud hostů, analytických služeb a bezpečnostních firem. Registrace u NÚKIB byla povinná do 31. prosince 2025 a zajistěte, aby všechny DPA odrážely bezpečnostní opatření popsaná v NIS2, která musíte zavést nejpozději do 1 roku od doručení rozhodnutí o registraci.
Registrace a samohodnocení musely být provedeny do 31. prosince 2025 dle zákona č. 264/2025 Sb. Při nesplnění hrozila pokuta až do výše 7 milionů EUR nebo 1,4 % ročního obratu — v souladu s pokutami pro důležité entity. Zákon je nyní v platnosti a tyto povinnosti se na vás vztahují.
Implementace technických opatření včetně end-to-end šifrování musí být hotova přibližně do 12 měsíců po registraci. Nejprve si proveďte penetrační test aktuálního stavu (zaměřený na přenos dat), poté implementujte E2E šifrování (např. DTLS-SRTP pro video, Signal protocol pro zprávy), znovu proveďte test a zdokumentujte opatření v hlášení NÚKIB. Používejte nástroje jako Secfix pro sledování remediation.
Musíte okamžitě (nejpozději do 24 hodin) zaslat NÚKIB včasné upozornění obsahující popis incidentu a první odhad dopadů. Do 72 hodin podejte formální oznámení s podrobnostmi o počtu zasažených pacientů, typu dat a přijatých opatřeních. Finální zprávu předejte do 1 měsíce. Zároveň musíte informovat pacienty dle GDPR a případně Úřad pro ochranu osobních údajů, pokud došlo k úniku osobních údajů.