NIS2 ve zdravotnictví: koho se týká, od kliniky po zdravotnickou techniku
Týká se poskytovatelů zdravotní péče, jako jsou nemocnice a ordinace, výrobců léčiv a výrobců zdravotnických prostředků, jakmile jsou středním nebo velkým podnikem: mají alespoň 50 zaměstnanců, nebo roční obrat a bilanční sumu vždy přes 10 milionů EUR (§ 4 odst. 1 zákona č. 264/2025 Sb.). Služby ve zdravotnictví uvádí vyhláška č. 408/2025 Sb. v bodě 18. Dotčené firmy ohlásí službu NÚKIB, zavedou bezpečnostní opatření a hlásí incidenty.
Koho ve zdravotnictví se to týká
Tyto služby uvádí vyhláška č. 408/2025 Sb. v bodě 18. Firma je dotčená, pokud je navíc středním nebo velkým podnikem.
§ 4 a § 8 zákona č. 264/2025 Sb. · vyhláška č. 408/2025 Sb., příloha, bod 18
| Kdo | Kde ve vyhlášce č. 408/2025 Sb. |
|---|---|
| Nemocnice, ordinace, lékárny a další poskytovatelé zdravotní péče | Bod 18.1 |
| Referenční laboratoře EU | Bod 18.3 |
| Zadavatelé klinických hodnocení (výzkum a vývoj humánních léčivých přípravků) | Bod 18.4 |
| Držitelé povolení k výrobě léčivých přípravků a výrobci léčivých látek | Body 18.5 a 18.6 |
| Výrobci zdravotnických prostředků ze seznamu kriticky důležitých prostředků pro mimořádnou situaci v oblasti veřejného zdraví | Bod 18.9 |
| Všichni ostatní výrobci zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro | Body 18.7 a 18.8 |
U služeb 18.1, 18.3 až 18.6 a 18.9 je střední podnik (od 50 zaměstnanců, nebo s ročním obratem i bilanční sumou vždy přes 10 milionů EUR) v režimu nižších povinností. Velký podnik (od 250 zaměstnanců, nebo s obratem přes 50 milionů EUR a bilanční sumou přes 43 milionů EUR) je v režimu vyšších povinností.
Zdravotnická záchranná služba je v režimu vyšších povinností vždy (bod 18.2). Výrobci zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro (body 18.7 a 18.8) jsou v režimu nižších povinností i jako velké podniky.
Zdravotnická technika: bod 18.7, 18.8, nebo 18.9
Výrobci zdravotnických prostředků podle MDR (bod 18.7) a diagnostických zdravotnických prostředků in vitro podle IVDR (bod 18.8) jsou od 50 zaměstnanců v režimu nižších povinností, i když jsou velmi velcí.
Je-li výrobek na seznamu kriticky důležitých zdravotnických prostředků pro mimořádnou situaci v oblasti veřejného zdraví podle čl. 22 nařízení (EU) 2022/123, spadá výrobce pod bod 18.9. Jako velký podnik je pak v režimu vyšších povinností, jako střední v režimu nižších.
NIS2 se týká IT výrobce: vývoje, výroby, prodeje, administrativy. Bezpečnost samotných výrobků upravují MDR a IVDR.
Co je ve zdravotnictví zvláštní
Mnoho síťových zdravotnických prostředků provozovatel nemůže aktualizovat. Zaznamenejte v seznamu svých aktiv, kterých přístrojů se to týká a jak je chráníte, například v odděleném segmentu sítě.
Zdravotní údaje jsou zvláštní kategorií osobních údajů (čl. 9 GDPR). Incident proto může vyvolat jedno hlášení podle zákona o kybernetické bezpečnosti (NÚKIB, v režimu nižších povinností Národnímu CERT) a další Úřadu pro ochranu osobních údajů (čl. 33 GDPR).
Zvláštní pozdější lhůtu pro nemocnice český zákon nemá. Bezpečnostní opatření a hlášení incidentů začínáte plnit nejpozději do 1 roku od doručení rozhodnutí o registraci, stejně jako ostatní poskytovatelé.
Výzkum a vývoj léčiv váže vyhláška na zadavatele klinických hodnocení podle nařízení (EU) č. 536/2014 (bod 18.4), ne na každou firmu, která léčiva vyvíjí.
Co to znamená pro firmu s 50 až 150 zaměstnanci
Specializovaná klinika, velké zdravotnické zařízení nebo výrobce zdravotnické techniky této velikosti je obvykle středním podnikem, tedy v režimu nižších povinností.
Ordinace s méně než 50 zaměstnanci dotčená není, ledaže její obrat i bilanční suma přesahují 10 milionů EUR. Započítávají se i partnerské a propojené podniky, kromě těch, jejichž technická aktiva jsou od vašich zcela oddělena.
Opatření zavádíte „v míře nezbytné pro zajištění kybernetické bezpečnosti regulované služby“. V režimu nižších povinností uvedete v přehledu bezpečnostních opatření i ta, která jste nezavedli, s odůvodněním.
§ 7 písm. c) a § 13 odst. 2 zákona č. 264/2025 Sb. · vyhláška č. 410/2025 Sb., § 3 odst. 2
Příklad
Smyšlená firma: výrobce laboratorních diagnostických přístrojů (diagnostika in vitro) se 120 zaměstnanci.
Výrobci diagnostických zdravotnických prostředků in vitro jsou v bodě 18.8 vyhlášky č. 408/2025 Sb. Se 120 zaměstnanci je firma středním podnikem, tedy v režimu nižších povinností.
Ohlásí službu NÚKIB na Portálu NÚKIB; jednatel se přihlásí svou identitou přes NIA, například BankID.
Sepíše, s čím pracuje: vývoj, výroba, řízení kvality s dokumentací podle IVDR, ERP, e-mail a dodavatelé komponent a IT.
Z toho vyplývají opatření, například vyzkoušené zálohy dokumentace a druhý faktor pro vzdálený přístup.
Jednatel absolvuje školení, seznámí se se stavem plnění opatření a schválí dokumenty.
Jak to probíhá v průvodci
V průvodci na nisd2.eu začíná práce seznamem toho, s čím vaše firma pracuje.
Jeden krok se ptá na procesy, software, zařízení, prostory a sítě a na to, kdo je dodává. Z toho vznikne seznam vašich aktiv.
Jeden krok zaznamená ohlášení vaší služby NÚKIB.
Z vašich odpovědí vznikne váš plán reakce na incidenty. Uvádí také, kdy navíc hlásíte Úřadu pro ochranu osobních údajů.
Na konci vedení schválí dokumenty v aplikaci pod vlastním účtem.
Časté otázky
Týká se zákon zdravotnické techniky?
Ano. Výrobci zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro jsou v bodech 18.7 a 18.8 vyhlášky č. 408/2025 Sb., výrobci kriticky důležitých zdravotnických prostředků v bodě 18.9. Dotčeni jsou jako střední nebo velký podnik: od 50 zaměstnanců, nebo s obratem a bilanční sumou vždy přes 10 milionů EUR.
Platí zákon pro lékařské ordinace?
Pro ordinace, které jsou dost velké: od 50 zaměstnanců, nebo s obratem a bilanční sumou vždy přes 10 milionů EUR (bod 18.1 vyhlášky č. 408/2025 Sb.). Menší ordinace dotčené nejsou.
Platí zákon pro pečovatelská zařízení?
Domovy pro seniory a jiné sociální služby vyhláška č. 408/2025 Sb. mezi regulovanými službami neuvádí. Rozhoduje, zda zařízení poskytuje zdravotní péči jako poskytovatel zdravotních služeb podle zákona o zdravotních službách (bod 18.1). Posuďte to proto případ od případu.
Od kdy může NÚKIB kontrolovat nemocnici?
Kontrolu provádí NÚKIB podle § 55 zákona č. 264/2025 Sb. a kontrolního řádu (zákon č. 255/2012 Sb.); zvláštní pozdější termín pro nemocnice český zákon nemá. Bezpečnostní opatření a hlášení incidentů začíná nemocnice plnit nejpozději do 1 roku od doručení rozhodnutí o registraci (§ 13 odst. 4 a § 15 odst. 4). Velká nemocnice je v režimu vyšších povinností a provádí audit kybernetické bezpečnosti alespoň jednou za 2 roky (vyhláška č. 409/2025 Sb., § 16 odst. 4).
Zdroje
- Zákon č. 264/2025 Sb., o kybernetické bezpečnosti, §§ 4 až 8, 13, 15 a 55: https://e-sbirka.gov.cz/sb/2025/264/2025-11-01#par_4
- Vyhláška č. 408/2025 Sb., o regulovaných službách, příloha, bod 18: https://e-sbirka.gov.cz/sb/2025/408/2025-11-01
- Nařízení (EU) 2022/123, čl. 22; nařízení (EU) 2017/745 (MDR) a 2017/746 (IVDR), EUR-Lex
- Nařízení (EU) 2016/679 (GDPR), čl. 9 a 33, EUR-Lex
V praxi
Kde se to objevuje v průvodci
Průvodce z toho udělá kroky, které vyplníte, a u každého vysvětlí zákon. Otevřete krok a uvidíte jeho obrazovku vyplněnou pro smyšlenou firmu.
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Kolik průvodce stojí
4 800 € bez DPH ročně, plus DPH
30 dní na vrácení penězNa fakturu, splatnost 30 dní. Zrušení do 30 dnů od první objednávky: faktura se stornuje nebo se peníze vrátí.
Řízené zavedení NIS 2 krok za krokem
Historie změn a schválení, kterou můžete ukázat úřadu
Termíny a upozornění ke každému požadavku
Bezpečnostní dotazník pro vaše dodavatele
Export do PDF nebo CSV kdykoli
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
