NIS 2: Nová pravidla kybernetické bezpečnosti a jejich dopad na instituce a organizace

Evropská směrnice NIS 2 (Network and Information Systems Directive), která vstoupila v platnost jako nástupce původní směrnice NIS, přináší zásadní změny v oblasti kybernetické bezpečnosti. Cílem této směrnice je zvýšit odolnost kritické infrastruktury a digitálních služeb vůči rostoucím kybernetickým hrozbám, což zahrnuje nejen velké průmyslové hráče, ale také menší organizace, které poskytují klíčové služby. Směrnice zároveň rozšiřuje okruh sektorů, na které se vztahuje, a stanovuje přísnější pravidla, která mají zajistit jednotný přístup k ochraně dat a systémů v celé Evropské unii.

NIS 2: Nová pravidla kybernetické bezpečnosti a jejich dopad na instituce a organizace

Evropská směrnice NIS 2 (Network and Information Systems Directive), která vstoupila v platnost jako nástupce původní směrnice NIS, přináší zásadní změny v oblasti kybernetické bezpečnosti. Cílem této směrnice je zvýšit odolnost kritické infrastruktury a digitálních služeb vůči rostoucím kybernetickým hrozbám, což zahrnuje nejen velké průmyslové hráče, ale také menší organizace, které poskytují klíčové služby. Směrnice zároveň rozšiřuje okruh sektorů, na které se vztahuje, a stanovuje přísnější pravidla, která mají zajistit jednotný přístup k ochraně dat a systémů v celé Evropské unii.

---

Instituce a zařízení spadající pod NIS 2

Směrnice NIS 2 rozděluje organizace do dvou kategorií: základní subjekty a důležité subjekty. Mezi základní subjekty patří například nemocnice, vodohospodářské podniky, energetické společnosti nebo dopravní infrastruktura. Tyto organizace jsou zásadní pro fungování společnosti a ekonomiky, a proto na ně směrnice klade nejpřísnější požadavky.

Do kategorie důležitých subjektů spadají menší, ale stále významné sektory, jako je vzdělávání, výzkum, chemický průmysl, digitální služby nebo zdravotnická zařízení, která nespadají do základní kategorie. Zde se požadavky liší podle velikosti organizace a jejího významu pro společnost. Typickým příkladem může být například větší zubní klinika, která spravuje citlivá data pacientů a poskytuje specializované služby.

Zubní ordinace a jejich povinnosti podle NIS 2

Směrnice NIS 2 zahrnuje zdravotnictví jako jeden z klíčových sektorů, což znamená, že i zubní ordinace mohou spadat pod tuto regulaci, pokud splňují určité podmínky. Větší kliniky nebo specializované ordinace, které zpracovávají velké objemy citlivých dat nebo jsou propojené s kritickými systémy (např. nemocnicemi), budou muset splnit konkrétní bezpečnostní opatření.

Typická zubní ordinace, která by byla regulována podle NIS 2, musí zavést opatření pro ochranu dat pacientů, zabezpečení IT systémů a zajištění kontinuity poskytování služeb. To zahrnuje technické i organizační kroky. Například šifrování dat pacientů je nutné, aby se předešlo jejich zneužití při případném kybernetickém útoku. Zároveň musí být data pravidelně zálohována na oddělené a bezpečné úložiště.

Ordinace bude také povinna zavést systém pro monitorování kybernetických hrozeb. Každý incident, který by mohl ohrozit provoz ordinace nebo data pacientů, musí být hlášen Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Zaměstnanci ordinace, včetně zubních lékařů a administrativy, budou muset být proškoleni v oblasti kybernetické bezpečnosti, například v tom, jak rozeznat phishingové e-maily nebo jak bezpečně pracovat s citlivými informacemi.

Představme si konkrétní příklad. Ordinace, která má několik stomatologů, zubní hygienistky a administrativní tým, používá digitální systém pro správu pacientů a rezervaci termínů. Tento systém obsahuje citlivá data o léčbě pacientů, jejich osobní údaje a kontaktní informace. Podle požadavků NIS 2 by tato ordinace musela zavést následující opatření:

1. Zabezpečení systému: Nasadit firewall, pravidelně aktualizovat software a používat šifrování dat. Síť Wi-Fi pro zaměstnance musí být oddělená od sítě dostupné pro pacienty.
2. Pravidelné zálohy: Data pacientů by měla být zálohována denně na externí šifrované úložiště, které je oddělené od hlavního systému.
3. Řízení přístupu: Každý zaměstnanec by měl mít vlastní přístupové údaje s omezenými právy podle své role. Přístupová práva by měla být pravidelně kontrolována a aktualizována.
4. Školení zaměstnanců: Personál by měl být pravidelně vzděláván v rozpoznávání kybernetických hrozeb, jako jsou podvodné e-maily nebo podezřelé aktivity.
5. Plán obnovy provozu: Ordinace by měla mít připravený plán pro obnovu provozu v případě kybernetického incidentu, jako je například výpadek systému nebo ransomware útok.

Význam NIS 2

Ačkoliv se na první pohled může zdát, že tato opatření znamenají vyšší administrativní a finanční náklady, jejich zavedení pomáhá minimalizovat riziko kybernetických útoků a ochránit citlivá data pacientů. Směrnice NIS 2 reflektuje potřebu adaptovat se na rostoucí počet kybernetických hrozeb, které mohou mít ničivé dopady na provoz zdravotnických zařízení i důvěru pacientů.

Pro zubní ordinace a další menší zdravotnické subjekty to znamená nejen povinnost splnit zákonné požadavky, ale také příležitost ukázat odpovědný přístup k bezpečnosti dat. Kybernetická bezpečnost se tak stává nedílnou součástí moderního zdravotnictví, kde důvěra pacientů a ochrana citlivých informací hrají klíčovou roli.