NIS2 în sănătate: cine este vizat, de la clinică la tehnologia medicală
Sunt vizați furnizorii de servicii medicale precum spitalele și cabinetele, companiile farmaceutice și producătorii de dispozitive medicale, de îndată ce au cel puțin 50 de angajați sau o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane EUR fiecare (§ 28 BSIG). Sănătatea este enumerată în Anexa 1 a BSIG, tehnologia medicală în Anexa 2. Companiile vizate se înregistrează la BSI, iau măsuri de securitate și raportează incidentele semnificative.
Cine este vizat în sănătate
Aceste tipuri de entități sunt numite în BSIG. O companie este vizată dacă este și suficient de mare.
§ 28 BSIG · Anexele 1 și 2
| Cine | Unde în BSIG |
|---|---|
| Spitale, cabinete medicale, farmacii și alți furnizori de servicii medicale | Anexa 1 nr. 4.1.1 |
| Laboratoare de referință ale UE | Anexa 1 nr. 4.1.2 |
| Companii care desfășoară activități de cercetare și dezvoltare de medicamente | Anexa 1 nr. 4.1.3 |
| Producători de produse farmaceutice | Anexa 1 nr. 4.1.4 |
| Producători de dispozitive medicale considerate critice în timpul unei urgențe de sănătate publică | Anexa 1 nr. 4.1.5 |
| Toți ceilalți producători de dispozitive medicale și de dispozitive medicale pentru diagnostic in vitro | Anexa 2 nr. 5.1.1 |
O astfel de companie este entitate importantă de la 50 de angajați, sau cu o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane EUR fiecare.
Doar companiile enumerate în Anexa 1 pot fi entități esențiale: de la 250 de angajați, sau cu o cifră de afaceri de peste 50 milioane EUR și un total al bilanțului de peste 43 milioane EUR, sau ca operatori ai unei instalații critice.
Tehnologia medicală: Anexa 1 sau Anexa 2
Producătorii de dispozitive medicale conform MDR și de dispozitive medicale pentru diagnostic in vitro conform IVDR sunt enumerați în Anexa 2. Ei sunt entități importante de la 50 de angajați, chiar dacă sunt foarte mari.
Dacă un produs se află pe lista dispozitivelor medicale critice pentru urgențe de sănătate publică conform Art. 22 din Regulamentul (UE) 2022/123, producătorul intră sub Anexa 1. De la 250 de angajați este atunci entitate esențială.
NIS2 privește IT-ul producătorului: dezvoltare, producție, vânzări, administrație. Securitatea produselor înseși este reglementată de MDR și IVDR.
Anexa 1 nr. 4.1.5 · Anexa 2 nr. 5.1.1 BSIG
Ce este specific sănătății
Multe dispozitive medicale conectate în rețea nu pot fi actualizate de operator. Notați în lista activelor dumneavoastră ce dispozitive sunt în această situație și cum le protejați, de exemplu într-un segment de rețea separat.
Datele privind sănătatea sunt o categorie specială de date cu caracter personal (Art. 9 GDPR). Un incident poate declanșa deci o raportare la BSI și o alta la autoritatea de protecție a datelor.
Pentru spitalele autorizate, BSI poate dispune prezentarea de dovezi cel mai devreme din 6 decembrie 2030, cu doi ani mai târziu decât pentru alte entități esențiale.
Anumite obligații din BSIG nu se aplică gematik și operatorilor de servicii ale infrastructurii telematice, în ceea ce privește serviciile numite acolo.
§ 28(6) nr. 2 · § 61(3) BSIG · Art. 9 și 33 GDPR
Ce înseamnă asta pentru o companie cu 50 până la 150 de angajați
O clinică de specialitate, un centru medical mare sau un producător de tehnologie medicală de această mărime este de regulă o entitate importantă.
Un cabinet cu mai puțin de 50 de angajați nu este vizat, cu excepția cazului în care cifra de afaceri și totalul bilanțului depășesc ambele 10 milioane EUR. Contează și întreprinderile legate.
Cât de amănunțită trebuie să fie fiecare măsură depinde de risc, de mărime și de costuri.
§ 28(2) și (4) · § 30(1) teza a doua BSIG
Un exemplu
O firmă inventată: un producător de aparate de diagnostic de laborator (diagnostic in vitro) cu 120 de angajați.
Dispozitivele medicale pentru diagnostic in vitro sunt enumerate în Anexa 2 a BSIG. Cu 120 de angajați, firma este o entitate importantă.
Se înregistrează la BSI, cu certificatul de organizație ELSTER pe care îl folosește deja pentru taxe.
Notează cu ce lucrează: dezvoltare, producție, managementul calității cu documentația conform IVDR, ERP, e-mail și furnizorii de componente și de IT.
Din aceasta rezultă măsurile, de exemplu copii de siguranță testate pentru documentație și un al doilea factor pentru accesul de la distanță.
Directorul general participă la o instruire și aprobă documentele.
Cum face asta parcursul ghidat
În parcursul ghidat de pe nisd2.eu, munca începe cu lista lucrurilor cu care lucrează compania dumneavoastră.
Un pas întreabă despre procese, software, dispozitive, încăperi și rețele și despre cine le furnizează. De aici rezultă lista activelor dumneavoastră.
Un pas consemnează înregistrarea dumneavoastră la BSI.
Din răspunsurile dumneavoastră rezultă planul de răspuns la incidente. El spune și când raportați în plus la autoritatea de protecție a datelor.
La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont.
Întrebări frecvente
Este tehnologia medicală vizată de NIS2?
Da. Producătorii de dispozitive medicale și de dispozitive medicale pentru diagnostic in vitro sunt enumerați în Anexa 2 a BSIG, producătorii de dispozitive medicale critice în Anexa 1. Sunt vizați de la 50 de angajați sau cu o cifră de afaceri și un total al bilanțului de peste 10 milioane EUR fiecare.
Se aplică NIS2 cabinetelor medicale?
Cabinetelor suficient de mari: de la 50 de angajați sau cu o cifră de afaceri și un total al bilanțului de peste 10 milioane EUR fiecare. Cabinetele mai mici nu sunt vizate.
Se aplică NIS2 căminelor de îngrijire?
Anexa 1 face trimitere la Directiva 2011/24/UE. Această directivă nu se aplică serviciilor de îngrijire pe termen lung (Art. 1(3)(a)). Dacă un cămin sau un serviciu de îngrijire este vizat trebuie deci verificat de la caz la caz.
De când poate BSI verifica un spital?
BSI poate dispune prezentarea de dovezi de la spitalele autorizate cel mai devreme din 6 decembrie 2030 (§ 61(3) BSIG). Celelalte obligații se aplică din 6 decembrie 2025.
Surse
- Legea BSI (BSIG) §§ 28, 30, 61, Anexele 1 și 2, gesetze-im-internet.de/bsig_2025
- Directiva 2011/24/UE, Art. 1(3) și Art. 3, EUR-Lex
- Regulamentul (UE) 2022/123, Art. 22; Regulamentele (UE) 2017/745 (MDR) și 2017/746 (IVDR), EUR-Lex
- Regulamentul (UE) 2016/679 (GDPR), Art. 9 și 33
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Cât costă parcursul ghidat
4.800 EUR net pe an, plus TVA
Banii înapoi în 30 de zilePe bază de factură, scadentă în 30 de zile. Anulare în primele 30 de zile: factura se anulează sau banii se returnează.
Implementare NIS 2 ghidată, pas cu pas
Un istoric al modificărilor și aprobărilor, pe care să îl puteți arăta autorității de supraveghere
Termene și mementouri pentru fiecare cerință
Chestionar de securitate pentru furnizorii dumneavoastră
Export în PDF sau CSV oricând
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
