Ta stran je namenjena vodstvom bolnišnic, njihovih omrežij, zasebnih klinik in centrov za specialistično obravnavo z 50 ali več zaposlenimi. Spoznajte ključne obveznosti, tehnične zahteve in postopke za zagotavljanje skladnosti s pravilnikom do konca leta 2026.
Bolnišnice, omrežja bolnišnic, zasebne klinike in centri za specialistično obravnavo, ki imajo vsaj 50 zaposlenih ali služijo prebivalcem posameznega regijskega območja, morajo izpolniti zahteve ZInfV-1 kot ključni subjekti. To vključuje javne in zasebne zdravstvene zavode, ki zagotavljajo kritične storitve in bi njihov napad ali motnja ogrožala javno zdravje.
Bolnišnice morajo o vseh kibernetskih varnostnih dogodkih, ki vplivajo na kritične storitve, poročati nacionalnemu CSIRT-u (SI-CERT) v obeh fazah: zgodnjo opozorilo v 24 urah in popolno poročilo v 72 urah. To vključuje napade na sisteme za zdravstveno dokumentacijo, medicinske naprave in infrastrukturo, tudi če do motnje storitev še ni prišlo. Vzpostavite jasno proceduro s kontaktnimi podatki za oba roka in določite odgovorne osebe.
Medicinske naprave (SCADA, monitoring, laboratorijski sistemi) morajo biti v ločenih omrežnih segmentih in zaščiteni sFireWall-oma pred dostopom iz pisarniške mreže ter interneta. Ustvarite DMZ za zunanje dostope in zagotovite, da lahko klinični sistemi delujejo tudi med prekinitvijo povezave s pisarniško IT. Redna avtomatizirana skeniranja (npr. Secfix) pomagajo pri odkrivanju nepooblaščenih dostopov med segmenti.
Vsi dostopi zunanjih dobaviteljev (ponudnikov medicinske opreme, IT vzdrževanja, izvajalcev облака) morajo biti formalno dogovorjeni v sporazumih z jasnimi varnostnimi zahtevami in rednim preverjanjem. Bolnišnice morajo dokumentirati vse dostope, jih spremljati ter letno ali ob vsaki spremembi presoditi varnostne ukrepe. Uporabite orodja za upravljanje identitet (ISMS.online) za centralizirano kontrolo pravic.
Vzpostavite načrte za neprekinjeno delovanje (BCP) in obnovo po nesrečah (DRP) z jasnimi cilji časa obnovitve (RTO in RPO) za sisteme, ki podpirajo zdravstveno obravnavo. Vključite redne teste v realnih pogojih (vsaj letno) ter dokumentirajte rezultate in popravljalna dejanja. Zagotovite, da je varnostna kopiranja dostopna tudi v primeru vdora in da je usposobljenost osebja dejansko preverjena.
Vso klinično in upravno osebje ter dobavitelji, ki imajo dostop do klinične mreže, morajo prejeti vsaj letno izobraževanje o kibernetski varnosti, prepoznavanju fišinga in protokolih za poročanje sumljive dejavnosti. Bolnišnice morajo spremljati udeleženost in dokumentirati dokazila usposabljanja. Periodično testiranje z napredovanimi fišingom in socialnim inženirstvom pokaže, ali je osebje res osveščeno.
Imamo dve fazi: prvo zgodno opozorilo (early warning) je treba poslati SI-CERT-u v 24 urah, drugo pa popolno poročilo z vsemi podrobnostmi v 72 urah. Časovnica se začne z odkritjem varnostnega dogodka, ne s potrditvijo, zato je ključno imeti preprost postopek za hitro prijavo osebja.
Ne. Čeprav je oprema nepovezana, ZInfV-1 zahteva tudi zaščito pred lokalnim dostopom na fizičnih medijih in pred vdori preko pomožnih vhodnih točk (USB, serijski vmesniki). Starejše sisteme brez popravkov moramo zaščititi z dodatnimi tehnično-organizacijskimi ukrepi (ločitev omrežij, nadzor dostopa) in jih dokončno zamenjati v dogovorjenih rokih.
Za ključne subjekte (bolnišnice) so kazni do 10 milijonov evrov ali do 2 % prihodkov podjetja. Kazni vključujejo zamude pri poročanju, pomanjkljive varnostne ukrepe in neuspešnost pri usposabljanju osebja. URSIV redno nadzira skladnost, zato je kontinuirani monitoring in dokumentiranje ukrep nujno.