NIS2 krok za krokom: zdravotníctvo na Slovensku

1. Kedy sa zákon vzťahuje na subjekt v zdravotníctve

Príloha č. 1 zaraďuje sektor Zdravotníctvo medzi sektory s vysokou úrovňou kritickosti a ako typ subjektu uvádza poskytovateľa zdravotnej starostlivosti, teda osobu alebo iný subjekt, ktorý legálne poskytuje zdravotnú starostlivosť; ústredným orgánom pre tento sektor je Ministerstvo zdravotníctva Slovenskej republiky. Podľa § 17 ods. 1 písm. e) sa do registra prevádzkovateľov základnej služby zapisuje osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2. Ak činnosť v sektore podľa prílohy č. 1 vykonáva osoba prekračujúca limity veľkosti určené pre stredný podnik, ide podľa § 18 ods. 1 písm. b) o kritickú základnú službu a taký subjekt je prevádzkovateľom kritickej základnej služby. Ten, kto takúto činnosť začne vykonávať, to podľa § 17 ods. 2 oznamuje úradu do 60 dní odo dňa začatia jej výkonu.

NACE 86NACE 21NACE 32.50

Pozrite si aj stránku sektora: Zdravotníctvo · Kategórie subjektov NIS2 — Slovensko

Spustiť bezplatné posúdenie pôsobnosti

2. Zodpovednosť štatutárneho orgánu a vzdelávanie

Smernica (EÚ) 2022/2555 v čl. 20 ods. 1 vychádza z toho, že riadiace orgány subjektov schvaľujú opatrenia na riadenie kybernetických rizík, dozerajú na ich zavedenie a možno voči nim vyvodiť zodpovednosť za porušenia. Vnútroštátne § 20 ods. 4 písm. h) vyžaduje určiť konkrétne osoby, ktoré zodpovedajú za schvaľovanie bezpečnostných opatrení, za dohľad, kontrolu a audit, za primeranosť zdrojov na riadenie kybernetickej bezpečnosti aj za vzdelávanie. Podľa § 20 ods. 4 písm. i) je súčasťou opatrení vzdelávanie a budovanie bezpečnostného povedomia a podľa § 19 ods. 6 písm. h) sa zavádza mechanizmus včasného informovania štatutárneho orgánu a zodpovedných vedúcich zamestnancov o hrozbách, zraniteľnostiach a incidentoch. Ak prevádzkovateľ kritickej základnej služby nesplní uložené opatrenia ani v dodatočnej lehote, úrad môže podľa § 29j ods. 4 dočasne zakázať výkon funkcie štatutárnemu orgánu alebo jeho členovi.

Povinnosť školenia riadiacich orgánov podľa NIS2 podľa krajín

3. Analýza rizík ako základ opatrení

Podľa § 20 ods. 5 sa bezpečnostné opatrenia prijímajú a realizujú na základe analýzy rizík kybernetickej bezpečnosti, ktorá určuje pravdepodobnosť vzniku škodlivej udalosti. Súčasťou tejto analýzy je aj posúdenie politického rizika tretej strany, pričom § 20 ods. 5 vymenúva okolnosti, ktoré sa pritom zohľadňujú, napríklad vlastnícku a riadiacu štruktúru tretej strany. Rozsah prijatých opatrení sa podľa § 19 ods. 1 odvíja od vykonanej analýzy rizík. Analýza rizík sa podľa § 19 ods. 2 vykonáva aj pri uzatváraní zmluvy s treťou stranou, ktorá vykonáva činnosť priamo súvisiacu s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov.

Platforma tento dokument generuje automaticky — je súčasťou balíka dokumentov. Služby

4. Katalóg bezpečnostných opatrení

Ustanovenie § 20 ods. 2 vymedzuje oblasti, pre ktoré sa opatrenia prijímajú, od organizácie a riadenia bezpečnosti, správy zraniteľností a aktív, riadenia incidentov a kontinuity činností cez kryptografiu, správu identít a prístupov až po dodávateľský reťazec a obstarávanie certifikovaných produktov IKT. Podľa § 20 ods. 4 opatrenia zahŕňajú najmenej určenie manažéra kybernetickej bezpečnosti, ktorý je nezávislý od riadenia prevádzky a vývoja služieb informačných technológií, detekciu, evidenciu a riešenie incidentov, určenie kontaktnej osoby pre hlásenia a pripojenie do komunikačného systému pre hlásenie incidentov. Tento katalóg je v § 20 formulovaný rovnako pre všetky subjekty v pôsobnosti zákona a osobitný zoznam len pre zdravotníctvo v ňom uvedený nie je; § 32 ods. 2 však splnomocňuje ústredný orgán, teda pre tento sektor Ministerstvo zdravotníctva Slovenskej republiky, ustanoviť všeobecne záväzným právnym predpisom sektorové bezpečnostné opatrenia. Podľa § 19 ods. 1 sa všeobecné bezpečnostné opatrenia najmenej v rozsahu podľa § 20 prijímajú, dodržiavajú a vykonávajú do 12 mesiacov odo dňa zápisu do registra prevádzkovateľov základnej služby.

Opatrenia NIS2 na riadenie rizík verzus ISO 27001, DORA a GDPR

5. Hlásenie závažných incidentov a lehoty

Podľa § 24 ods. 1 sa hlási každý závažný kybernetický bezpečnostný incident a hlásenie sa podľa § 24 ods. 3 vykonáva prostredníctvom jednotného informačného systému kybernetickej bezpečnosti, ktorý spravuje úrad. Prvým stupňom je včasné varovanie, ktoré sa hlási bez zbytočného odkladu, najneskôr do 24 hodín od zistenia incidentu, a uvádza sa v ňom najmä možná súvislosť s protiprávnym konaním alebo možný cezhraničný vplyv. Druhým stupňom je oznámenie o závažnom incidente, ktoré sa hlási bez zbytočného odkladu, najneskôr do 72 hodín od zistenia, a dopĺňa údaje z včasného varovania. Tretím stupňom je záverečná správa, ktorá sa hlási najneskôr jeden mesiac po nahlásení oznámenia a obsahuje najmä podrobný opis incidentu, jeho závažnosť a následky, hlavnú príčinu, prijaté opatrenia a prípadný cezhraničný vplyv; podľa § 19 ods. 6 písm. b) sa závažný incident hlási bezodkladne.

Lehoty na hlásenie incidentov podľa NIS2 v krajinách EÚ · Platforma tento dokument generuje automaticky — je súčasťou balíka dokumentov. Služby

6. Bezpečnostná dokumentácia a overovanie

Podľa § 20 ods. 3 sa bezpečnostné opatrenia prijímajú a realizujú na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. Obsah opatrení, ako aj obsah a štruktúru tejto dokumentácie ustanovuje úrad všeobecne záväzným právnym predpisom podľa § 32 ods. 1 písm. b). Neprijatie bezpečnostnej dokumentácie podľa § 20 ods. 3 je v § 31 ods. 2 písm. b) uvedené ako správny delikt. Účinnosť prijatých opatrení sa podľa § 29 preveruje auditom kybernetickej bezpečnosti do dvoch rokov odo dňa zaradenia do registra, pričom prevádzkovateľ základnej služby, ktorý neprevádzkuje kritickú základnú službu, môže využiť samohodnotenie, a záverečná správa o výsledkoch auditu sa podľa § 29 ods. 5 predkladá úradu do 30 dní od jeho ukončenia.

Balík obsahuje:

• Politika riadenia rizík kybernetickej bezpečnosti
• Plán riešenia incidentov
• Plán kontinuity činností
• Politika bezpečnosti dodávateľského reťazca
• Vyhlásenie o zodpovednosti vedenia a plán školení
• Sprievodca vyplnením v portáli

Údržba (mesačne) — re-sign dokumentov podľa platného práva — 290 EUR/mesiac — Služby

7. Pokuty za správne delikty

Podľa § 31 ods. 2 môže úrad uložiť prevádzkovateľovi základnej služby pokutu od 300 eur do 7 000 000 eur alebo do výšky 1,4 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie, podľa toho, ktorá suma je vyššia. Podľa § 31 ods. 3 je pre prevádzkovateľa kritickej základnej služby rozpätie od 500 eur do 10 000 000 eur alebo do výšky 2 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie, podľa toho, ktorá suma je vyššia. Pri určovaní výšky pokuty úrad podľa § 31 ods. 12 prihliada na závažnosť správneho deliktu, najmä na spôsob spáchania, trvanie, následky a okolnosti. Za priestupok fyzickej osoby podľa § 30 môže úrad uložiť pokutu od 100 eur do 5 000 eur a pokuty sú príjmom štátneho rozpočtu.

Správne pokuty podľa NIS2 podľa krajín