Jsme výrobce zdravotnických prostředků podle NIS 2?
Výrobci prostředků ze seznamu kriticky důležitých zdravotnických prostředků jsou v příloze I NIS 2, ostatní výrobci zdravotnických prostředků a diagnostiky in vitro v příloze II. V obou případech platí test velikosti. V Česku jsou ostatní výrobci v režimu nižších povinností; výrobce kriticky důležitých prostředků je ve vyšším režimu, je-li velkým podnikem. MDR a IVDR běží souběžně, výjimka lex specialis neexistuje.
Krátká verze
Výrobci zdravotnických prostředků jsou ve dvou přílohách NIS 2 současně. Příloha I, odvětví 5 (zdravotnictví), uvádí v páté odrážce subjekty vyrábějící zdravotnické prostředky považované za kriticky důležité v případě mimořádné situace v oblasti veřejného zdraví podle čl. 22 nařízení (EU) 2022/123. Velký výrobce z tohoto seznamu je základním subjektem, střední důležitým (čl. 3 NIS 2). V Česku je velký výrobce ve vyšším režimu, střední v nižším (vyhláška č. 408/2025 Sb., bod 18.9).
Příloha II, odvětví 5 (výroba), zachycuje zbytek oboru: výrobce zdravotnických prostředků ve smyslu čl. 2 bodu 1 nařízení (EU) 2017/745 (MDR) a výrobce diagnostických zdravotnických prostředků in vitro ve smyslu čl. 2 bodu 2 nařízení (EU) 2017/746 (IVDR). To jsou důležité subjekty. Test velikosti je stejný jako u všech: alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur. V Česku jsou střední i velcí výrobci v režimu nižších povinností (body 18.7 a 18.8).
MDR a IVDR běží souběžně a NIS 2 nenahrazují. MDR upravuje prostředek, NIS 2 firmu. Požadavky MDR na software a bezpečnost informací (příloha I, body 17.2 a 17.4) jsou na úrovni produktu. Povinnosti podle zákona č. 264/2025 Sb. jsou na úrovni firmy. Platí obojí. Zákon ustupuje jen odvětvovým předpisům EU se srovnatelným účinkem pro bezpečnostní opatření a hlášení incidentů (§ 70); MDR takovým předpisem pro firmu jako celek podle našeho čtení není.
Příloha I, odvětví 5, pátá odrážka směrnice NIS 2 (EU) 2022/2555
subjekty vyrábějící zdravotnické prostředky považované za kriticky důležité v případě mimořádné situace v oblasti veřejného zdraví (uvedené na „seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví“) ve smyslu článku 22 nařízení Evropského parlamentu a Rady (EU) 2022/123
Citováno z českého znění Úředního věstníku (Úř. věst. L 333, 27.12.2022), příloha I, odvětví 5, pátá odrážka. Seznam podle čl. 22 nařízení (EU) 2022/123 přijímá Řídící skupina pro nedostatek zdravotnických prostředků po uznání mimořádné situace v oblasti veřejného zdraví a Evropská agentura pro léčivé přípravky ho zveřejňuje na svém portálu. Horní hranice pokuty v Česku: ve vyšším režimu 250 mil. Kč nebo 2 % čistého celosvětového ročního obratu, v nižším 175 mil. Kč nebo 1,4 %, podle toho, která částka je vyšší (§ 59 odst. 4 zákona č. 264/2025 Sb.).
Příloha II, odvětví 5 směrnice NIS 2 (EU) 2022/2555
Výroba: a) výroba zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro: subjekty vyrábějící zdravotnické prostředky ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) 2017/745 a subjekty vyrábějící diagnostické zdravotnické prostředky in vitro ve smyslu čl. 2 bodu 2 nařízení Evropského parlamentu a Rady (EU) 2017/746, s výjimkou subjektů vyrábějících zdravotnické prostředky uvedených v příloze I bodu 5 páté odrážce této směrnice
Citováno z českého znění Úředního věstníku, příloha II, odvětví 5 písm. a). Dvě skupiny: výrobci zdravotnických prostředků podle MDR (kromě výrobců kriticky důležitých prostředků, kteří patří do přílohy I) a výrobci diagnostiky in vitro podle IVDR. Rozhoduje definice z MDR a IVDR, ne klasifikace CZ-NACE. Jde o důležité subjekty; v Česku režim nižších povinností s horní hranicí pokuty 175 mil. Kč nebo 1,4 % čistého celosvětového ročního obratu (§ 59 odst. 4 zákona č. 264/2025 Sb.).
Vyhláška č. 408/2025 Sb., body 18.7 až 18.9 (Česko)
18.7: Výrobce zdravotnických prostředků podle přímo použitelného předpisu Evropské unie je poskytovatelem regulované služby v režimu nižších povinností v případě, že je velkým podnikem, nebo středním podnikem. 18.8: Výrobce diagnostických zdravotnických prostředků in vitro podle přímo použitelného předpisu Evropské unie je poskytovatelem regulované služby v režimu nižších povinností v případě, že je velkým nebo středním podnikem. 18.9: Výrobce zdravotnických prostředků uvedených na seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví podle přímo použitelného předpisu Evropské unie je I. poskytovatelem regulované služby v režimu vyšších povinností v případě, že je velkým podnikem, nebo II. poskytovatelem regulované služby v režimu nižších povinností v případě, že je středním podnikem.
Test velikosti: alespoň 50 zaměstnanců, nebo obrat i bilanční suma nad 10 milionů eur (§ 4 odst. 1 písm. b) zákona č. 264/2025 Sb.). Pod touto hranicí zůstáváte mimo, pokud vás NÚKIB neurčí podle § 5. Na zdravotnické prostředky dohlíží v Česku Státní ústav pro kontrolu léčiv (§ 3 písm. b) a § 5 zákona č. 375/2022 Sb., o zdravotnických prostředcích), na kybernetickou bezpečnost firmy NÚKIB. Dva různé úřady, jedna firma.
Seznam kriticky důležitých zdravotnických prostředků
Je váš prostředek na seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví podle čl. 22 nařízení (EU) 2022/123? Seznam přijímá Řídící skupina pro nedostatek zdravotnických prostředků po uznání mimořádné situace a aktualizuje ho až do jejího ukončení; zveřejňuje ho Evropská agentura pro léčivé přípravky (čl. 22 odst. 3). Pokud ano, uplatní se příloha I a v Česku bod 18.9 vyhlášky č. 408/2025 Sb.: velký podnik ve vyšším režimu, střední v nižším.
Výrobce zdravotnických prostředků nebo diagnostiky in vitro
Vyrábíte zdravotnické prostředky ve smyslu čl. 2 bodu 1 MDR nebo diagnostické zdravotnické prostředky in vitro ve smyslu čl. 2 bodu 2 IVDR? Výrobcem je podle čl. 2 bodu 30 MDR ten, kdo prostředek vyrábí nebo zcela obnovuje, případně ho dává navrhnout, vyrobit či zcela obnovit, a uvádí ho na trh pod svým jménem nebo ochrannou známkou. Pokud ano a test 1 nesplňujete, uplatní se příloha II a v Česku body 18.7 a 18.8 vyhlášky č. 408/2025 Sb.: režim nižších povinností.
Test velikosti (čl. 2 odst. 1)
Máte alespoň 50 zaměstnanců, nebo obrat i bilanční sumu nad 10 milionů eur? Kterákoli z těchto podmínek vás dostane do působnosti. Pod oběma zůstáváte mimo, s úzkými výjimkami bez ohledu na velikost v čl. 2 odst. 2 až 4 NIS 2 (výhradní poskytovatelé, veřejná správa, služby vytvářející důvěru a několik dalších); v Česku je jejich obdobou určení NÚKIB podle § 5 zákona č. 264/2025 Sb.
Příloha I a příloha II se u výrobců vzájemně vylučují
Odvětví 5 přílohy II pokrývá výrobce podle MDR s výjimkou těch, kteří jsou už v páté odrážce odvětví 5 přílohy I. Firma tedy spadá buď do přílohy I (kriticky důležité prostředky), nebo do přílohy II (všichni ostatní). Stejný obor, dvě přílohy, jiný režim. V obou zároveň nejste. V Česku: kriticky důležité prostředky bod 18.9, ostatní body 18.7 a 18.8 vyhlášky č. 408/2025 Sb.
MDR a IVDR pokrývají prostředek, NIS 2 pokrývá společnost
MDR v příloze I bodě 17.2 žádá, aby software prostředku byl navržen a vyroben s ohledem na nejnovější vývoj a s přihlédnutím k zásadám životního cyklu vývoje softwaru, řízení rizik, včetně bezpečnosti informací, ověřování a validace; bod 17.4 žádá stanovit minimální požadavky na bezpečnost IT včetně ochrany proti neoprávněnému přístupu. To je úroveň produktu. Zákon č. 264/2025 Sb. stojí o vrstvu výš: vedení, řízení rizik, dodavatelé a zvládání incidentů na úrovni firmy. Platí obojí, žádné nepohlcuje druhé.
NÚKIB / zákon č. 264/2025 Sb. (kybernetický úřad)
NÚKIB je kybernetickým úřadem podle zákona č. 264/2025 Sb. Službu mu ohlašujete přes Portál NÚKIB do 60 dnů od splnění podmínek (§ 6 odst. 1). Bezpečnostní opatření stanoví § 14 zákona a vyhláška č. 410/2025 Sb. (nižší režim), u velkého výrobce kriticky důležitých prostředků vyhláška č. 409/2025 Sb.; hlášení incidentů upravují §§ 15 a 16. NÚKIB nereguluje samotný prostředek, jen kybernetickou bezpečnost firmy.
Státní ústav pro kontrolu léčiv / zákon č. 375/2022 Sb.
Státní ústav pro kontrolu léčiv vykonává působnost, kterou MDR a IVDR svěřují členskému státu nebo jeho příslušnému orgánu (§ 3 písm. b) a § 5 odst. 1 zákona č. 375/2022 Sb., o zdravotnických prostředcích). Dohlíží na samotný prostředek. Oznámené subjekty spadají pod Úřad pro technickou normalizaci, metrologii a státní zkušebnictví. Požadavky MDR na software a bezpečnost IT (příloha I, body 17.2 a 17.4) patří sem, odděleně od povinností vůči NÚKIB.
Přehled transpozice NIS 2 od ENISA
ENISA zveřejňuje stránku transpozice NIS 2 uvádějící vnitrostátní zákony a příslušné orgány za každý členský stát. Pro výrobce zdravotnických prostředků prodávajících po celé EU je to nejčistší jediný zdroj pro orgán kybernetické bezpečnosti v každé zemi. Prostředí oznámených subjektů podle MDR je samostatné a sleduje se prostřednictvím databáze EUDAMED.
MDR v příloze I bodě 17.2 už kybernetickou bezpečnost pokrývá, takže NIS 2 se navíc neuplatní.
Body 17.2 a 17.4 MDR se týkají kybernetické bezpečnosti prostředku. Zákon č. 264/2025 Sb. se týká kybernetické bezpečnosti výrobce jako firmy: vedení, řízení rizik, dodavatelé, zvládání incidentů, kontinuita činností. Dvě různé vrstvy. Zákon ustupuje jen odvětvovým předpisům EU se srovnatelným účinkem (§ 70) a MDR firmu jako celek neupravuje. Platí obojí v plném rozsahu.
Vyrábíme jen prostředky třídy I, takže jsme pod hranicí NIS 2.
Riziková třída podle MDR není testem NIS 2. Testem je příloha I nebo II a velikost podle čl. 2 odst. 1. Výrobce obvazů třídy I s 80 zaměstnanci je v příloze II, odvětví 5, jako důležitý subjekt a v Česku v režimu nižších povinností (vyhláška č. 408/2025 Sb., bod 18.7). Klinická riziková třída je pro působnost nepodstatná.
Jsme firma vyrábějící software jako zdravotnický prostředek, tohle je jen MDR.
Software může být sám zdravotnickým prostředkem: čl. 2 bod 1 MDR ho v definici uvádí výslovně. Jeho výrobce je tedy výrobcem zdravotnického prostředku a příloha II, odvětví 5, ho zachytí stejně. Překročíte-li práh velikosti, jste v Česku poskytovatelem regulované služby podle bodu 18.7 vyhlášky č. 408/2025 Sb. Software přílohu nemění.
Typický případ: výrobce ortopedických implantátů s 90 zaměstnanci a ročním obratem 25 milionů eur. Test 1 nesplní (prostředek není na seznamu kriticky důležitých prostředků). Test 2 splní (výrobce podle MDR). Test 3 splní (je středním podnikem). Výsledek: příloha II, odvětví 5, důležitý subjekt; v Česku bod 18.7 vyhlášky č. 408/2025 Sb., režim nižších povinností. Platí opatření podle vyhlášky č. 410/2025 Sb. a hlášení incidentů s významným dopadem Národnímu CERT. Posuzování shody podle MDR pokračuje u oznámeného subjektu beze změny.
Co praktici skutečně dělají: vedou podklady pro NIS 2 odděleně od technické dokumentace podle MDR. Dva úřady, dvě agendy. Doklady k bodu 17.2 MDR (modelování hrozeb, bezpečný životní cyklus vývoje, bezpečnost po uvedení na trh) podporují opatření pro akvizici, vývoj a údržbu podle čl. 21 odst. 2 písm. e) NIS 2 (v nižším režimu aplikační bezpečnost, § 14 odst. 2 písm. l) zákona č. 264/2025 Sb.), ale nenahrazují je. Posouzení působnosti schvaluje vedení a obě agendy mají stejnou auditní stopu.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I odvětví 5 pátá odrážka a příloha II odvětví 5: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022L2555
- Nařízení (EU) 2022/123 o posílené úloze Evropské agentury pro léčivé přípravky, čl. 22 (seznam kriticky důležitých zdravotnických prostředků): https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32022R0123
- Nařízení (EU) 2017/745 (MDR), čl. 2 body 1 a 30 a příloha I body 17.2 a 17.4: https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32017R0745
- Nařízení (EU) 2017/746 (IVDR), čl. 2 bod 2 (definice diagnostického zdravotnického prostředku in vitro): https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32017R0746
- Doporučení Komise 2003/361/ES, příloha, čl. 2 (definice středního podniku): https://eur-lex.europa.eu/legal-content/CS/TXT/?uri=CELEX:32003H0361
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 až 8, 59 a 70, a vyhláška č. 408/2025 Sb., body 18.7 až 18.9: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_4, https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Zákon č. 375/2022 Sb., o zdravotnických prostředcích, § 3 a § 5 (Státní ústav pro kontrolu léčiv): https://e-sbirka.gov.cz/sb/2022/375/2026-09-16#par_5
- ENISA, přehled transpozice NIS 2: https://www.enisa.europa.eu/topics/nis-directive
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Registrace a hlášení
Ohlásit službu NÚKIB
Vaše firma ohlásí regulovanou službu NÚKIB, ten pak rozhodne o registraci.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
