Dyrektywa (UE) 2022/2555 (NIS2), wdrażana w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, obejmuje podmioty sektora ochrony zdrowia. Kluczowe zasady:

• art. 20 – organy zarządzające zatwierdzają środki zarządzania ryzykiem, nadzorują ich wdrożenie, ponoszą za nie odpowiedzialność i są zobowiązane do udziału w szkoleniach;
• art. 21 – środki obejmują m.in. analizę ryzyka, obsługę incydentów, ciągłość działania i zarządzanie kryzysowe, bezpieczeństwo łańcucha dostaw, higienę cyfrową i szkolenia;
• art. 23 – zgłaszanie poważnych incydentów etapowo: wczesne ostrzeżenie w ciągu 24 h, zgłoszenie w ciągu 72 h, sprawozdanie końcowe w ciągu miesiąca.

Wniosek dla dyrekcji: cyberbezpieczeństwo musi mieć właściciela na poziomie zarządu, budżet, plan i mierzalne wskaźniki.