NIS2 za zdravstvene in farmacevtske družbe v Sloveniji: kaj zahteva ZInfV-1

Ali zdravstvo in farmacija spadata v obseg slovenskega zakona?

Da. Zdravje je v Zakonu o informacijski varnosti (ZInfV-1, Uradni list RS št. 40/25) uvrščeno med visoko kritične sektorje iz Priloge 1 (sektor 5. Zdravje), kamor sodijo izvajalci zdravstvene dejavnosti, subjekti na področju zdravil in proizvajalci farmacevtskih surovin in preparatov. Del proizvajalcev medicinskih pripomočkov je zajet v Prilogi 2 (sektor 5. Proizvodnja).

Uvrstitev v prilogo še ne pomeni samodejno statusa bistvenega subjekta – ta je odvisen od velikostnih meril iz 7. člena.

Prvi korak za podjetje: primerjajte svojo dejansko dejavnost z besedilom vrst subjektov v Prilogi 1 oziroma Prilogi 2 in nato preverite število zaposlenih, letni promet in letno bilančno vsoto po 7. členu. Šele ta dva koraka skupaj pokažeta, ali ste bistveni ali pomembni subjekt in kateri režim obveznosti velja za vas.

Kako ZInfV-1 poimenuje zdravstveni in farmacevtski sektor

V Prilogi 1 ZInfV-1, sektor 5. Zdravje, so kot vrste subjektov navedeni:

• "izvajalci zdravstvene dejavnosti, kot so opredeljeni v 3. členu Zakona o zdravstveni dejavnosti" (ZZDej);
• "referenčni laboratoriji EU iz 15. člena Uredbe 2022/2371/EU";
• "subjekti, ki izvajajo raziskovalne in razvojne dejavnosti na področju zdravil, kot so opredeljena v 5. členu Zakona o zdravilih" (ZZdr-2);
• "subjekti, ki proizvajajo farmacevtske surovine in preparate";
• "subjekti, ki proizvajajo medicinske pripomočke, ki se štejejo za kritične v času izrednih razmer v javnem zdravju" v smislu 22. člena Uredbe 2022/123/EU;
• "subjekti, ki imajo dovoljenje za promet z zdravili na debelo iz 107. člena ZZdr-2".

V Prilogi 2, sektor 5. Proizvodnja, so pod točko (a) navedeni subjekti, ki proizvajajo medicinske pripomočke po Uredbi 2017/745/EU, in subjekti, ki proizvajajo in vitro diagnostične medicinske pripomočke po Uredbi 2017/746/EU – razen tistih, ki proizvajajo medicinske pripomočke iz pete alineje 5. točke Priloge 1.

Praktična posledica: bolnišnica, zdravstveni dom, koncesionar, veletrgovec z zdravili, razvojni farmacevtski oddelek in proizvajalec farmacevtskih surovin se presojajo po Prilogi 1, večina drugih proizvajalcev medicinskih pripomočkov pa po Prilogi 2.

Bistveni ali pomembni subjekt in velikostni pragovi

Zakon zavezance deli na bistvene subjekte in pomembne subjekte (7. člen, prvi odstavek).

Bistveni subjekti so med drugim (7. člen, drugi odstavek):

Za vrste subjektov iz Priloge 1 zadostuje izpolnjevanje enega od teh treh meril (1. točka drugega odstavka). Poleg tega so bistveni subjekti tudi subjekti, ki so določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo (6. točka drugega odstavka), in druge vrste subjektov iz Priloge 1, ki jih na predlog pristojnega nacionalnega organa določi vlada z odločbo (5. točka drugega odstavka).

Pomembni subjekti so vrste subjektov iz Priloge 2 ter "drugi subjekti ali organi iz prejšnjega člena, ki niso bistveni subjekti" (7. člen, tretji odstavek). Zdravstveni ali farmacevtski zavezanec iz Priloge 1, ki ne dosega nobenega od zgornjih pragov, tako po tej določbi ostane v obsegu zakona kot pomembni subjekt.

Zoper odločbe vlade iz 5. točke drugega odstavka ter prve in druge alineje tretjega odstavka 7. člena pritožba ni dovoljena, dovoljen pa je upravni spor (peti odstavek 7. člena).

Varnostni ukrepi in odgovornost vodstva

ZInfV-1 za zdravstvo in farmacijo ne določa posebnih sektorskih varnostnih ukrepov – 22. člen velja enako za vse bistvene in pomembne subjekte.

Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe za celovitost, avtentičnost, zaupnost in razpoložljivost omrežnih in informacijskih sistemov (prvi odstavek 22. člena). Ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti in obsegati najmanj (drugi odstavek 22. člena):

• podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela;
• zagotavljanje integritete kadrov pred zaposlitvijo, med njo in ob prenehanju (23. člen);
• osnovne prakse kibernetske higiene in usposabljanje;
• preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
• izvajanje in upravljanje varnostnih kopij podatkov;
• dnevniške zapise o delovanju sistemov (24. člen);
• politike glede kriptografije in po potrebi šifriranja;
• varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje;
• fizično in tehnično varovanje prostorov s ključnimi deli sistemov;
• upravljanje in preprečevanje izrab tehničnih ranljivosti ter zaščito pred zlonamerno programsko kodo;
• večfaktorsko avtentikacijo, kadar je to potrebno zaradi obvladovanja tveganj;
• politike in postopke glede uporabe oblačnih storitev.

Ukrepi morajo biti sorazmerni s stopnjo izpostavljenosti tveganjem, velikostjo subjekta, verjetnostjo incidentov in njihovo resnostjo (tretji odstavek 22. člena). Izpolnjevanje ukrepov je treba preverjati najmanj enkrat letno in ob zaznanih ranljivostih, ob ugotovljenih pomanjkljivostih pa nemudoma sprejeti popravne ukrepe (peti odstavek 22. člena). Ukrepi morajo biti tudi preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi (13. točka trinajstega odstavka 22. člena).

Za obveznosti glede registracije zavezancev preverite objavljene smernice pristojnega nacionalnega organa – Urad Vlade Republike Slovenije za informacijsko varnost (URSIV, uradni vir).

Priglasitev incidentov in roki

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen), ki prek Inšpekcije za informacijsko varnost opravlja tudi naloge inšpekcijskega nadzora.

Bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT po naslednjem zaporedju (prvi odstavek 30. člena):

1. zgodnje sporočilo – nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta; iz njega je po potrebi razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv; 2. priglasitev incidenta – nemudoma, najpozneje pa v 72 urah po zaznavi; posodobi prejšnje informacije in navede začetno oceno incidenta, vključno z resnostjo in vplivom ter, kadar so na voljo, kazalniki ogroženosti; 3. vmesno poročilo – na zahtevo skupine CSIRT; 4. končno poročilo – najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka, izvedenimi blažilnimi ukrepi in po potrebi čezmejnim vplivom; 5. če incident ob predložitvi končnega poročila še poteka, subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Pristojna skupina CSIRT po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori subjektu z začetnimi povratnimi informacijami in na zahtevo z usmeritvami glede blažilnih ukrepov (tretji odstavek 30. člena). Točen elektronski kanal za priglasitev preverite v objavljenih smernicah URSIV (uradni vir).

Globe za neizpolnjevanje obveznosti

Sankcije so ločene glede na razred subjekta.

Bistveni subjekti (52. člen): globa od 0,5 odstotka do 2 odstotkov skupnega letnega prometa pravne osebe v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji – med drugim za neizpolnjevanje obveznosti iz 22. člena ter iz prvega ali drugega odstavka 30. člena. Samostojni podjetnik posameznik se kaznuje z globo od 5.000 do 25.000 eurov, odgovorna oseba pravne osebe pa od 1.000 do 10.000 eurov.

Pomembni subjekti (53. člen): globa od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji. Samostojni podjetnik posameznik: od 3.000 do 20.000 eurov; odgovorna oseba: od 1.000 do 7.000 eurov.

Za lažje kršitve (npr. obveznosti iz 20., 25., 26., 28., 32. ali 49. člena) sta predvideni nižji razponi: od 3.000 do 15.000 eurov za bistvene subjekte in od 1.000 do 10.000 eurov za pomembne subjekte.