NIS2 na saúde: quem está abrangido, da clínica à tecnologia médica
Estão abrangidos os prestadores de cuidados de saúde, como hospitais e consultórios, as empresas farmacêuticas e os fabricantes de dispositivos médicos, a partir do momento em que tenham pelo menos 50 trabalhadores ou um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada (§ 28 BSIG). A saúde consta do Anexo 1 da BSIG, a tecnologia médica do Anexo 2. As empresas abrangidas registam-se no BSI, tomam medidas de segurança e notificam incidentes significativos.
Quem na saúde está abrangido
Estes tipos de entidade são referidos na BSIG. Uma empresa está abrangida se, além disso, tiver dimensão suficiente.
§ 28 BSIG · Anexos 1 e 2
| Quem | Onde na BSIG |
|---|---|
| Hospitais, consultórios, farmácias e outros prestadores de cuidados de saúde | Anexo 1 n.º 4.1.1 |
| Laboratórios de referência da UE | Anexo 1 n.º 4.1.2 |
| Empresas que fazem investigação e desenvolvimento de medicamentos | Anexo 1 n.º 4.1.3 |
| Fabricantes de produtos farmacêuticos | Anexo 1 n.º 4.1.4 |
| Fabricantes de dispositivos médicos considerados críticos durante uma emergência de saúde pública | Anexo 1 n.º 4.1.5 |
| Todos os outros fabricantes de dispositivos médicos e de dispositivos médicos para diagnóstico in vitro | Anexo 2 n.º 5.1.1 |
Uma empresa destas é uma entidade importante a partir de 50 trabalhadores, ou com um volume de negócios anual e um balanço total superiores a 10 milhões de EUR cada.
Só as empresas que constam do Anexo 1 podem ser entidades essenciais: a partir de 250 trabalhadores, ou com mais de 50 milhões de EUR de volume de negócios e mais de 43 milhões de EUR de balanço total, ou como operadoras de uma instalação crítica.
Tecnologia médica: Anexo 1 ou Anexo 2
Os fabricantes de dispositivos médicos ao abrigo do MDR e de dispositivos médicos para diagnóstico in vitro ao abrigo do IVDR constam do Anexo 2. São entidades importantes a partir de 50 trabalhadores, mesmo que sejam muito grandes.
Se um produto constar da lista de dispositivos médicos críticos para emergências de saúde pública nos termos do Art. 22 do Regulamento (UE) 2022/123, o fabricante fica abrangido pelo Anexo 1. A partir de 250 trabalhadores é então uma entidade essencial.
A NIS2 diz respeito às TI do fabricante: desenvolvimento, produção, vendas, administração. A segurança dos próprios produtos é regulada pelo MDR e pelo IVDR.
Anexo 1 n.º 4.1.5 · Anexo 2 n.º 5.1.1 BSIG
O que a saúde tem de particular
Muitos dispositivos médicos ligados em rede não podem ser atualizados pelo operador. Registe na lista dos seus ativos quais os dispositivos em causa e como os protege, por exemplo num segmento de rede separado.
Os dados de saúde são uma categoria especial de dados pessoais (Art. 9 RGPD). Por isso, um incidente pode dar origem a uma notificação ao BSI e a outra à autoridade de proteção de dados.
Aos hospitais autorizados, o BSI pode ordenar a apresentação de provas a partir de 6 de dezembro de 2030, no mínimo, dois anos mais tarde do que às outras entidades essenciais.
Certas obrigações da BSIG não se aplicam à gematik nem aos operadores de serviços da infraestrutura telemática, no que respeita aos serviços aí referidos.
§ 28(6) n.º 2 · § 61(3) BSIG · Art. 9 e 33 RGPD
O que isto significa para uma empresa com 50 a 150 trabalhadores
Uma clínica especializada, um grande centro de cuidados médicos ou um fabricante de tecnologia médica desta dimensão é normalmente uma entidade importante.
Um consultório com menos de 50 trabalhadores não está abrangido, a menos que o volume de negócios e o balanço total sejam ambos superiores a 10 milhões de EUR. As empresas associadas também contam.
A profundidade de cada medida depende do risco, da dimensão e do custo.
§ 28(2) e (4) · § 30(1), segunda frase, BSIG
Um exemplo
Uma empresa fictícia: um fabricante de aparelhos de diagnóstico laboratorial (diagnóstico in vitro) com 120 trabalhadores.
Os dispositivos médicos para diagnóstico in vitro constam do Anexo 2 da BSIG. Com 120 trabalhadores, a empresa é uma entidade importante.
Regista-se no BSI com o certificado de organização do ELSTER que já usa para os impostos.
Escreve aquilo com que trabalha: desenvolvimento, produção, gestão da qualidade com a documentação exigida pelo IVDR, ERP, email e os fornecedores de componentes e de TI.
As medidas decorrem daí, por exemplo cópias de segurança testadas para a documentação e um segundo fator para o acesso remoto.
O gerente participa numa formação e aprova os documentos.
Como o percurso guiado faz isto
No percurso guiado em nisd2.eu, o trabalho começa pela lista daquilo com que a sua empresa trabalha.
Um passo pergunta pelos processos, software, equipamentos, salas e redes, e por quem os fornece. Daí resulta a lista dos seus ativos.
Um passo regista o seu registo no BSI.
As suas respostas dão origem ao seu plano de resposta a incidentes. Este diz também quando notifica, além disso, a autoridade de proteção de dados.
No fim, a direção aprova os documentos na aplicação, com sessão iniciada na sua própria conta.
Perguntas frequentes
A tecnologia médica está abrangida pela NIS2?
Sim. Os fabricantes de dispositivos médicos e de dispositivos médicos para diagnóstico in vitro constam do Anexo 2 da BSIG, os fabricantes de dispositivos médicos críticos do Anexo 1. Estão abrangidos a partir de 50 trabalhadores ou com mais de 10 milhões de EUR de volume de negócios e de balanço total cada.
A NIS2 aplica-se aos consultórios médicos?
Aos consultórios com dimensão suficiente: a partir de 50 trabalhadores ou com mais de 10 milhões de EUR de volume de negócios e de balanço total cada. Os consultórios mais pequenos não estão abrangidos.
A NIS2 aplica-se aos lares?
O Anexo 1 remete para a Diretiva 2011/24/UE. Essa diretiva não se aplica aos serviços de cuidados de longa duração (Art. 1(3)(a)). Por isso, se um lar ou um serviço de cuidados está abrangido deve ser analisado caso a caso.
A partir de quando pode o BSI inspecionar um hospital?
O BSI pode ordenar aos hospitais autorizados a apresentação de provas a partir de 6 de dezembro de 2030, no mínimo (§ 61(3) BSIG). As outras obrigações aplicam-se desde 6 de dezembro de 2025.
Fontes
- Lei do BSI (BSIG), §§ 28, 30, 61, Anexos 1 e 2, gesetze-im-internet.de/bsig_2025
- Diretiva 2011/24/UE, Art. 1(3) e Art. 3, EUR-Lex
- Regulamento (UE) 2022/123, Art. 22; Regulamentos (UE) 2017/745 (MDR) e 2017/746 (IVDR), EUR-Lex
- Regulamento (UE) 2016/679 (RGPD), Art. 9 e 33
Na prática
Onde isto aparece no percurso guiado
O percurso guiado transforma isto em passos que preenche, com a lei explicada ao lado de cada um. Abra um passo para ver o seu ecrã, preenchido para uma empresa fictícia.
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Quanto custa o percurso guiado
€ 4.800 sem IVA por ano, mais IVA
30 dias para reembolsoPor fatura, com vencimento a 30 dias. Cancelamento nos primeiros 30 dias: fatura anulada ou reembolso.
Implementação guiada da NIS 2, passo a passo
Um histórico de alterações e aprovações para mostrar à sua autoridade de supervisão
Prazos e lembretes para cada requisito
Questionário de segurança para os seus fornecedores
Exportação para PDF ou CSV a qualquer momento
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
