Lühidalt
NIS2 kohaldub tervishoiusektori üliolulistele ja olulistele asutustele. Täpne kohaldumine sõltub tegevusest, suurusest ja rollist. Praktiline fookus: patsiendiohutus, ligipääs, meditsiiniseadmed, varundus, tarneahel ja intsidenditeavitamine.
Mida tervishoius kontrollida
- Ligipääs: rollid, MFA, jagatud kontod ja kaugligipääs.
- Meditsiiniseadmed: inventuur, tugi, uuendused ja võrgu segmentimine.
- Kriitilised süsteemid: vastuvõtt, ravimite haldus, pildid, labor ja varundus.
- Tarneahel: IT- ja seadmetarnijad, hoolduspartnerid ja allhankijad.
- Intsidendid: patsiendiohutuse mõju, teavitamine ja õppimine.
Tõendid, mida audit küsib
| Valdkond | Tõend |
|---|---|
| Risk | Riskiregister kliiniliste süsteemide ja seadmetega |
| Ligipääs | Rollide ülevaatus, MFA ja jagatud kontode kord |
| Varundus | Taastetesti tulemus ja kliinilise töö alternatiiv |
| Tarneahel | Seadme-/IT-tarnijate nimekiri ja lepingud |
| Intsident | Logi, teavitused ja patsiendiohutuse hinnang |
Intsidendist teatamine
Olulise mõjuga intsidendi korral: esmateade 24 tunni, vahearuanne 72 tunni ja lõpparuanne ühe kuu jooksul. Isikuandmete leke võib nõuda ka GDPR-i teavitust — kontrolli mõlemat kohustust. Vaata teatamise juhendit.
Kui vajad tõendite ülevaatust, alusta NIS2 auditi juhendist või tabletop-koolitusest.
Küsimused tervishoiu kohta
Kas NIS2 kohaldub haiglale?
NIS2 kohaldub tervishoiusektori üliolulistele ja olulistele asutustele. Täpne kohaldumine sõltub tegevusest, suurusest ja rollist; kontrolli KüTS-i ja RIA juhist.
Kuidas käsitleda meditsiiniseadmeid?
Meditsiiniseadmed võivad olla osa teenuse tarneahelast ja patsiendiohutusest. NIS2 ei asenda seadme enda regulatsiooni, kuid riskijuhtimine peab katma seadme tugi-, uuendus- ja intsidendiküsimused.
Kas patsiendiandmete leke tuleb teatada?
Olulise mõjuga intsidendi korral kehtib NIS2 teavitamine; isikuandmete leke võib nõuda ka GDPR-i teavitust. Kontrolli mõlemat kohustust ja nende tähtaegu.