NIS2 w ochronie zdrowia: kto jest objęty, od kliniki po technikę medyczną
Objęci są świadczeniodawcy, tacy jak szpitale i praktyki lekarskie, firmy farmaceutyczne i producenci wyrobów medycznych, gdy mają co najmniej 50 pracowników albo roczny obrót i sumę bilansową, każde powyżej 10 mln EUR (§ 28 BSIG). Zdrowie jest wymienione w załączniku 1 do BSIG, technika medyczna w załączniku 2. Objęte firmy rejestrują się w BSI, podejmują środki bezpieczeństwa i zgłaszają poważne incydenty.
Kto w ochronie zdrowia jest objęty
Te rodzaje podmiotów są wymienione w BSIG. Firma jest objęta, jeśli jest też wystarczająco duża.
§ 28 BSIG · załączniki 1 i 2
| Kto | Gdzie w BSIG |
|---|---|
| Szpitale, praktyki lekarskie, apteki i inni świadczeniodawcy opieki zdrowotnej | Załącznik 1 nr 4.1.1 |
| Laboratoria referencyjne UE | Załącznik 1 nr 4.1.2 |
| Firmy prowadzące badania i rozwój produktów leczniczych | Załącznik 1 nr 4.1.3 |
| Producenci produktów farmaceutycznych | Załącznik 1 nr 4.1.4 |
| Producenci wyrobów medycznych uznanych za krytyczne w sytuacji zagrożenia zdrowia publicznego | Załącznik 1 nr 4.1.5 |
| Wszyscy pozostali producenci wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro | Załącznik 2 nr 5.1.1 |
Taka firma jest podmiotem ważnym od 50 pracowników albo przy rocznym obrocie i sumie bilansowej, każde powyżej 10 mln EUR.
Podmiotami kluczowymi mogą być tylko firmy wymienione w załączniku 1: od 250 pracowników albo przy ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej, albo jako operatorzy instalacji krytycznej.
Technika medyczna: załącznik 1 czy załącznik 2
Producenci wyrobów medycznych według MDR i wyrobów medycznych do diagnostyki in vitro według IVDR są wymienieni w załączniku 2. Są podmiotami ważnymi od 50 pracowników, nawet jeśli są bardzo duzi.
Jeśli produkt jest na liście krytycznych wyrobów medycznych na wypadek sytuacji zagrożenia zdrowia publicznego według Art. 22 rozporządzenia (UE) 2022/123, producent podlega załącznikowi 1. Od 250 pracowników jest wtedy podmiotem kluczowym.
NIS2 dotyczy IT producenta: rozwoju, produkcji, sprzedaży, administracji. Bezpieczeństwo samych produktów regulują MDR i IVDR.
Załącznik 1 nr 4.1.5 · załącznik 2 nr 5.1.1 BSIG
Co jest szczególne w ochronie zdrowia
Wielu sieciowych wyrobów medycznych operator nie może aktualizować. Zapisz na liście swoich aktywów, których urządzeń to dotyczy i jak je chronisz, na przykład w osobnym segmencie sieci.
Dane dotyczące zdrowia są szczególną kategorią danych osobowych (Art. 9 RODO). Jeden incydent może więc wywołać zgłoszenie do BSI i drugie do organu ochrony danych.
Od zatwierdzonych szpitali BSI może żądać dowodów najwcześniej od 6 grudnia 2030 r., dwa lata później niż od innych podmiotów kluczowych.
Niektóre obowiązki z BSIG nie dotyczą gematik i operatorów usług infrastruktury telematycznej w zakresie wymienionych tam usług.
§ 28(6) nr 2 · § 61(3) BSIG · Art. 9 i 33 RODO
Co to oznacza przy 50 do 150 pracownikach
Klinika specjalistyczna, duże centrum opieki medycznej (MVZ) albo producent techniki medycznej tej wielkości jest zwykle podmiotem ważnym.
Praktyka lekarska z mniej niż 50 pracownikami nie jest objęta, chyba że jej obrót i suma bilansowa przekraczają każde 10 mln EUR. Przedsiębiorstwa powiązane też się liczą.
Jak dokładny musi być każdy środek, zależy od ryzyka, wielkości i kosztów.
§ 28(2) i (4) · § 30(1), zdanie drugie, BSIG
Przykład
Fikcyjna firma: producent urządzeń do diagnostyki laboratoryjnej (diagnostyka in vitro), 120 pracowników.
Wyroby medyczne do diagnostyki in vitro są wymienione w załączniku 2 do BSIG. Przy 120 pracownikach firma jest podmiotem ważnym.
Rejestruje się w BSI, używając certyfikatu organizacji ELSTER, którego już używa do spraw podatkowych.
Spisuje, z czym pracuje: rozwój, produkcja, zarządzanie jakością z dokumentacją według IVDR, ERP, poczta e-mail oraz dostawcy komponentów i IT.
Z tego wynikają środki, na przykład przetestowane kopie zapasowe dokumentacji i drugi składnik przy dostępie zdalnym.
Prezes bierze udział w szkoleniu i zatwierdza dokumenty.
Jak robi to przewodnik
W przewodniku na nisd2.eu praca zaczyna się od listy tego, z czym pracuje Twoja firma.
Jeden krok pyta o procesy, oprogramowanie, urządzenia, pomieszczenia i sieci oraz o to, kto je dostarcza. Z tego powstaje lista Twoich aktywów.
Jeden krok zapisuje Twoją rejestrację w BSI.
Z Twoich odpowiedzi powstaje plan reagowania na incydenty. Mówi też, kiedy zgłaszasz dodatkowo do organu ochrony danych.
Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto.
Częste pytania
Czy technika medyczna jest objęta NIS2?
Tak. Producenci wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro są wymienieni w załączniku 2 do BSIG, producenci krytycznych wyrobów medycznych w załączniku 1. Są objęci od 50 pracowników albo przy obrocie i sumie bilansowej, każde powyżej 10 mln EUR.
Czy NIS2 dotyczy praktyk lekarskich?
Praktyk, które są wystarczająco duże: od 50 pracowników albo przy obrocie i sumie bilansowej, każde powyżej 10 mln EUR. Mniejsze praktyki nie są objęte.
Czy NIS2 dotyczy domów opieki?
Załącznik 1 odsyła do dyrektywy 2011/24/UE. Ta dyrektywa nie ma zastosowania do usług opieki długoterminowej (Art. 1(3) lit. a). Czy dom opieki lub usługa opiekuńcza jest objęta, należy więc sprawdzić w konkretnym przypadku.
Od kiedy BSI może kontrolować szpital?
Od zatwierdzonych szpitali BSI może żądać dowodów najwcześniej od 6 grudnia 2030 r. (§ 61(3) BSIG). Pozostałe obowiązki obowiązują od 6 grudnia 2025 r.
Źródła
- Ustawa o BSI (BSIG) §§ 28, 30, 61, załączniki 1 i 2, gesetze-im-internet.de/bsig_2025
- Dyrektywa 2011/24/UE, Art. 1(3) i Art. 3, EUR-Lex
- Rozporządzenie (UE) 2022/123, Art. 22; rozporządzenia (UE) 2017/745 (MDR) i 2017/746 (IVDR), EUR-Lex
- Rozporządzenie (UE) 2016/679 (RODO), Art. 9 i 33
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
