Regulace kybernetické bezpečnosti ve zdravotnictví II

V minulém čísle Zpravodaje jsme popsali, jak digitalizace mění zdravotnictví i jeho bezpečnostní rizika a jak se mezi sebou liší CSA, CRA a nový zákon o kybernetické bezpečnosti. Nyní je namístě podívat se na jejich praktické dopady: jaké konkrétní povinnosti ukládají výrobcům zdravotnických prostředků, dodavatelům navazujících digitálních výrobků a poskytovatelům zdravotních služeb, a jaká práva či nároky mohou naopak zdravotnická zařízení vůči výrobcům a dodavatelům uplatňovat. Právě tato praktická rovina rozhodne, zda nová pravidla zůstanou jen administrativou, nebo skutečně posílí odolnost péče, dat i technologií v praxi.

Ačkoliv ZP a IVD regulované nařízeními MDR a IVDR nepodléhají povinnostem plynoucím z CRA, výrobce jakožto podnik mimo kybernetickobezpečnostní regulaci nestojí. Podle českého zákona může být poskytovatelem regulované služby, zpravidla v nižším režimu; u výrobců kriticky důležitých prostředků při mimořádné situaci může jít ale podle velikosti i o režim vyšší. Pokud splní zákonná kritéria, musí ohlásit službu NÚKIB, hlásit změny údajů, řídit aktiva a rizika, zavést opatření, řešit incidenty a promítnout požadavky do smluv s dodavateli.

Samotné ohlašování se v praxi ukázalo jako slabé místo. NÚKIB očekával přibližně 6 000 regulovaných organizací, k 8. únoru 2026 se však ohlásilo celkem 4 825 subjektů. V roce 2026 proto sám vytipovává organizace, jichž by se povinnost mohla týkat, a vyzývá je k prověření podmínek ohlášení. Postup zatím působí spíše metodicky než sankčně. Neohlášení je však přestupkem a sankce může dosáhnout až 250 milionů Kč nebo 2 % obratu.

Další pravidla platí pro digitální produkty používané ve zdravotnictví, které samy nejsou zdravotnickým prostředkem podle MDR či IVDR – například běžný software, aplikace, síťové prvky, integrační rozhraní nebo vzdálené datové moduly. Pokud spadají pod CRA, musí jejich výrobce zajistit bezpečnost od návrhu, posoudit rizika, vést technickou dokumentaci, vydat EU prohlášení o shodě, opatřit produkt CE označením, stanovit dobu podpory a poskytovat bezpečnostní aktualizace. Musí také zřídit kontaktní místo, dodat pokyny k bezpečné instalaci a provozu a informovat o konci podpory. Od 11. září 2026 bude navíc hlásit aktivně zneužívané zranitelnosti a závažné incidenty v řádu desítek hodin. Dobrovolná certifikace výrobce podle CSA pak posiluje důvěryhodnost produktu a obchodní pozici.

Poskytovatelé zdravotních služeb

Poskytovatelé mají dvojí roli. Jako možní poskytovatelé regulované služby plní povinnosti podle zákona o kybernetické bezpečnosti, mimo již uvedené povinnosti sem patří i školení pracovníků a prověřování dodavatelů. Současně jsou uživateli technologií, mohou proto požadovat doložení souladu s bezpečnostními požadavky, délku podpory, aktualizační politiku, kontaktní místo, postup řešení zranitelností a smluvní garanci reakce na incidenty.

Autor: Markéta Hrubá