NIS2 korak za korakom: zdravstvo v Sloveniji
Sedem korakov povzema, kaj od zdravstvenih izvajalcev zahteva Zakon o informacijski varnosti (ZInfV-1, Uradni list RS št. 40/25). Zakon zavezance deli na bistvene in pomembne subjekte, pristojni nacionalni organ pa je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). Zdravje je uvrščeno med sektorje iz Priloge 1.
Brezplačno preverjanje uporabnosti traja približno tri minute. Celoten paket dokumentov NIS2 je običajno pripravljen v eni uri po plačilu — ne v dnevih ali tednih.
Ta vodnik opisuje zahteve zakona na splošni ravni in ni pravni nasvet. Uporabnost je odvisna od profila podjetja (sektor, velikost, storitve) — brezplačno preverjanje uporabnosti pokaže, ali in v kolikšni meri zakon velja za vaše podjetje.
1. Ali zakon velja za zdravstvenega izvajalca
Priloga 1 ZInfV-1 med visoko kritične sektorje uvršča zdravje, v okviru katerega so navedeni izvajalci zdravstvene dejavnosti, kot jih opredeljuje 3. člen Zakona o zdravstveni dejavnosti. Po 7. členu se vrsta subjekta iz Priloge 1 uvrsti med bistvene subjekte, kadar zaposluje vsaj 250 oseb. Enak učinek ima podatek, da letni promet doseže vsaj 50 milijonov eurov oziroma da bilančna vsota znaša vsaj 43 milijonov eurov. Preostali zavezanci, ki teh vrednosti ne dosegajo, se po tretjem odstavku 7. člena štejejo za pomembne subjekte, subjekti, določeni kot kritični po zakonu, ki ureja kritično infrastrukturo, pa so v 7. členu opredeljeni kot bistveni subjekti.
SKD 21.100 — Proizvodnja farmacevtskih surovinSKD 21.200 — Proizvodnja farmacevtskih preparatovSKD 86.100 — Bolnišnična zdravstvena dejavnostSKD 86.210 — Splošna zunajbolnišnična zdravstvena dejavnostSKD 86.220 — Specializirana zdravstvena dejavnostSKD 86.230 — Zobozdravstvena dejavnost
Glejte tudi stran sektorja: Zdravstvo · Kategorije subjektov NIS2 — Slovenija
2. Vloga vodstva in usposabljanje
Zakon med obvezne varnostne ukrepe iz 22. člena kot prvo točko uvršča podporo vodstva subjekta na področju informacijske in kibernetske varnosti ter umestitev tega področja v letni načrt poslovanja ali letni program dela. Ista določba zahteva tudi osnovne prakse kibernetske higiene ter usposabljanje zaposlenih s področja informacijske in kibernetske varnosti. Direktiva (EU) 2022/2555 v 20. členu izhaja iz tega, da upravljalni organi bistvenih in pomembnih subjektov potrdijo ukrepe za obvladovanje tveganj, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve. V slovenskem prekrškovnem okviru je odgovornost odgovorne osebe pravne osebe urejena v tretjem odstavku 52. člena.
Obveznost usposabljanja upravljalnih organov po NIS2 po državah
3. Obvladovanje tveganj kot podlaga
Prvi odstavek 22. člena zavezuje bistvene in pomembne subjekte, da sprejmejo tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov, ki jih uporabljajo pri svojem delovanju in pri opravljanju storitev. Tretji odstavek istega člena določa, da mora raven varnosti ustrezati obstoječim ali prepoznanim tveganjem, pri presoji sorazmernosti pa se upoštevajo izpostavljenost tveganjem, velikost subjekta, verjetnost incidentov in resnost njihovih posledic. Peti odstavek 22. člena predpisuje preverjanje izpolnjevanja ukrepov najmanj enkrat letno oziroma v obdobjih, opredeljenih v lastni politiki presojanja učinkovitosti, in ob zaznanih ranljivostih. Ob ugotovljenem pomanjkljivem izvajanju zakon zahteva takojšnje popravne ukrepe.
Platforma ta dokument ustvari samodejno — vključen je v paket dokumentov. Storitve
4. Katalog varnostnih ukrepov
Drugi odstavek 22. člena našteva sedemnajst skupin obveznih varnostnih ukrepov, ki izhajajo iz pristopa upoštevanja vseh nevarnosti. Mednje sodijo kadrovska integriteta in varnost človeških virov, upravljanje dostopov, varnostne kopije, dnevniški zapisi po 24. členu, kriptografija in šifriranje, upravljanje prometa in komunikacij, varnost dobavne verige, fizično varovanje prostorov, varnost aplikacij ter obravnava ranljivosti, zaščita pred zlonamerno kodo, večfaktorska avtentikacija in politike glede uporabe oblačnih storitev. Zakon tega kataloga za zdravstveni sektor ne razlikuje: 22. člen enako naslavlja bistvene in pomembne subjekte, razlike pa izhajajo iz sorazmernosti glede na tveganja in velikost. Sedmi odstavek 22. člena določa, da subjekti pri sprejemanju ukrepov upoštevajo izvedbene akte Evropske komisije s tehničnimi, metodološkimi in sektorskimi zahtevami.
Ukrepi za obvladovanje tveganj po NIS2 v primerjavi z ISO 27001, DORA in GDPR
5. Priglasitev pomembnih incidentov
Po 30. členu bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT, pristojni nacionalni organ pa je po 10. členu Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). Zgodnje sporočilo se predloži nemudoma, najpozneje v 24 urah po zaznavi pomembnega incidenta. Priglasitev incidenta z začetno oceno resnosti in vpliva sledi nemudoma, najpozneje v 72 urah po zaznavi. Vmesno poročilo se predloži na zahtevo skupine CSIRT, končno poročilo pa najpozneje v enem mesecu po predložitvi priglasitve incidenta, pri incidentu, ki še poteka, pa se ob poročilu o napredku končno poročilo predloži najpozneje en mesec po rešitvi incidenta.
Roki za priglasitev incidentov po NIS2 po državah EU · Platforma ta dokument ustvari samodejno — vključen je v paket dokumentov. Storitve
6. Dokazila in dokumentacija
Trinajsti odstavek 22. člena med lastnosti varnostnih ukrepov uvršča preverljivost, tako da je mogoče na zahtevo pristojnega organa predložiti dokazila o njihovi izvedbi. Peti odstavek istega člena predpostavlja obstoj politike in postopkov za presojo učinkovitosti ukrepov za obvladovanje tveganj, ki opredeljujejo tudi obdobja preverjanja. Drugi odstavek 22. člena izrecno govori o politikah in postopkih glede kriptografije in glede uporabe oblačnih storitev ter o zagotavljanju in ohranjanju dnevniških zapisov v skladu s 24. členom. Nadzor po tem zakonu prek Inšpekcije za informacijsko varnost izvaja pristojni nacionalni organ, kar izhaja iz 10. člena.
Paket vključuje:
- Politika obvladovanja tveganj kibernetske varnosti
- Načrt obravnave incidentov
- Načrt neprekinjenega poslovanja
- Politika varnosti dobavne verige
- Izjava o odgovornosti vodstva in načrt usposabljanja
- Čarovnik za izpolnjevanje v portalu
Vzdrževanje (mesečno) — re-sign dokumentov po veljavnem pravu — 290 EUR/mesec — Storitve
7. Razponi glob
Za bistvene subjekte 52. člen določa globo v razponu od 0,5 do 2 odstotkov skupnega letnega prometa pravne osebe iz preteklega poslovnega leta, pri čemer znesek ni nižji od 10.000 eurov in ne presega 10.000.000 eurov, uporabi pa se višji od obeh zneskov. Za pomembne subjekte 53. člen predvideva razpon od 0,3 do 1,4 odstotka skupnega letnega prometa pravne osebe iz preteklega poslovnega leta, z najnižjim zneskom 7.000 eurov in najvišjim 7.000.000 eurov. Oba člena se med drugim nanašata na neizpolnjevanje obveznosti iz 22. člena ter na priglasitev incidentov po 30. členu. Tretji odstavek 52. člena za odgovorno osebo pravne osebe določa globo od 1.000 eurov do 10.000 eurov.
Pogosta vprašanja
Kdaj je zdravstveni izvajalec bistveni in kdaj pomembni subjekt?
Zdravje je sektor iz Priloge 1 ZInfV-1. Po 7. členu se subjekt iz te priloge šteje za bistveni subjekt, kadar zaposluje vsaj 250 oseb ali kadar letni promet doseže vsaj 50 milijonov eurov oziroma bilančna vsota vsaj 43 milijonov eurov. Zavezanci, ki niso bistveni subjekti, se po tretjem odstavku 7. člena uvrščajo med pomembne subjekte.
Komu se priglasi pomemben incident in v kakšnih rokih?
Po 30. členu se priglasitev opravi pri pristojni skupini CSIRT. Zgodnje sporočilo se predloži nemudoma, najpozneje v 24 urah po zaznavi pomembnega incidenta, priglasitev incidenta pa najpozneje v 72 urah. Končno poročilo se predloži najpozneje v enem mesecu po predložitvi priglasitve incidenta. Točen elektronski kanal za priglasitev se preveri po objavljenih smernicah pristojnega nadzornega organa.
Ali zakon za zdravstvo predpisuje posebne varnostne ukrepe?
Katalog varnostnih ukrepov iz drugega odstavka 22. člena velja enako za bistvene in pomembne subjekte, brez posebnega seznama ukrepov le za zdravstveni sektor. Obseg izvedbe se po tretjem odstavku 22. člena presoja sorazmerno glede na izpostavljenost tveganjem, velikost subjekta ter verjetnost in resnost incidentov.
Vsebina temelji na različici zakona ZInfV-1, veljavni od 2025-06-04 (kontrolna vsota 128ea10f4d33).