NIS2 pro zdravotnictví: koho se týká a co musí splnit
Nový zákon o kybernetické bezpečnosti (ZoKB, č. 264/2025 Sb.) dopadá i na zdravotnictví. Konkrétně na poskytovatele zdravotní péče, výrobce léčiv a výrobce zdravotnických prostředků – celkem devět služeb podle přílohy vyhlášky. Vytvořte si dokumentaci k ZoKB za jedno odpoledne.
30+ firem a obcí už vytvořilo dokumentaci s Compligenemjednorázově 29 900 Kč bez DPH
Spadáte, pokud platí obě podmínky zároveň
Poskytujete některou z těchto služeb
- Zdravotní péče (zákon č. 372/2011 Sb.) – nemocnice, polikliniky, sítě ambulancí, laboratoře, léčebny, lázně
- Zdravotnická záchranná služba – spadá vždy, a to do vyššího režimu
- Výzkum a vývoj humánních léčiv – zadavatelé klinických hodnocení
- Výroba humánních léčivých přípravků a léčivých látek – farmaceutičtí výrobci
- Výroba zdravotnických prostředků a in vitro diagnostiky – vždy nižší režim, i pro velký podnik
- Referenční laboratoře EU a výroba kriticky důležitých zdravotnických prostředků
Rozhoduje oprávnění a skutečně vykonávaná činnost podle zdravotnických předpisů – zákona o zdravotních službách, zákona o léčivech a evropských nařízení o zdravotnických prostředcích. Přesný výčet devíti služeb najdete níže na stránce.
Jste střední nebo velký podnik
Máte 50 a více zaměstnanců, nebo roční obrat i bilanční suma přesahují 10 milionů EUR (zhruba 250 mil. Kč).
Máte 30 lidí, ale patříte pod koncern? Velikost se počítá za celou skupinu, včetně mateřské a sesterských firem. Malá dcera velkého holdingu proto typicky spadá.
Platí obojí → spadáte.
Jste poskytovatelem regulované služby. Režim se liší podle služby a velikosti:
- Střední poskytovatel (50–249 zaměstnanců) – nižší režim
- Velký poskytovatel nebo záchranná služba – vyšší režim: pozor na vyšší režim, pokud máte 250 a více zaměstnanců
- Výrobci zdravotnických prostředků a in vitro diagnostiky – vždy nižší režim
Přesné rozdělení služeb najdete níže na stránce.
- Dokdy:
- 60 dní na ohlášení NÚKIBu, do roka opatření a dokumentace
- Co:
- sadu dokumentace a související procesy – celkem 13 povinností, detail ve FAQ
- Pokuta:
- až 175 mil. Kč
Jedna z podmínek neplatí → pod zdravotnictví nespadáte.
Pozor, pokud dodáváte nemocnici nebo jinému regulovanému poskytovateli. Ten po vás může chtít bezpečnostní dotazník nebo vlastní dokumentaci.
Nevíte si rady → ověřte si to.
- Pohybujete se kolem 250 zaměstnanců – hranice mezi nižším a vyšším režimem u zdravotní péče
- Síť ambulancí nebo skupina se společným vlastníkem – velikost se počítá za celek
- Lékárny – lékárenská péče se počítá mezi zdravotní péči, větší sítě proto mohou spadat
Orientační vyhodnocení. Závazně rozhoduje NÚKIB rozhodnutím o registraci.
Vzorová dokumentace k vyhlášce 410/2025 Sb. ZDARMA
Stáhněte si šablony dokumentace pro nižší režim ZoKB (NIS2). V balíčku je 20+ dokumentů včetně bezpečnostních politik a přehledu opatření. K tomu vzorový dotazník pro dodavatele. Můžete je používat a upravovat pro vlastní potřebu.
Upozorňujeme, že k řádnému vyplnění šablon potřebujete znalost vyhlášky 410/2025 Sb., zákona 264/2025 Sb. a násobně více času než s průvodcem Compligen.
Devět regulovaných služeb ve zdravotnictví
Příloha vyhlášky č. 408/2025 Sb. vymezuje zdravotnictví devíti službami. U většiny z nich velikost podniku zároveň rozhoduje o režimu.
- Koho se týká
- poskytovatelé zdravotních služeb dle zák. č. 372/2011 Sb. – nemocnice, polikliniky, ambulance, laboratoře
- Režim
- nižší pro střední · vyšší pro velký podnik; organizační složka státu s oprávněním vždy vyšší
- Koho se týká
- poskytovatelé ZZS dle zák. č. 374/2011 Sb.
- Režim
- vždy vyšší
- Koho se týká
- laboratoře v síti EU pro veřejné zdraví
- Režim
- nižší pro střední · vyšší pro velký podnik
- Koho se týká
- zadavatelé klinických hodnocení
- Režim
- nižší pro střední · vyšší pro velký podnik
- Koho se týká
- držitelé povolení k výrobě dle zák. č. 378/2007 Sb.
- Režim
- nižší pro střední · vyšší pro velký podnik
- Koho se týká
- výrobci léčivých látek dle zák. č. 378/2007 Sb.
- Režim
- nižší pro střední · vyšší pro velký podnik
- Koho se týká
- výrobci dle nařízení (EU) 2017/745
- Režim
- vždy nižší
- Koho se týká
- výrobci dle nařízení (EU) 2017/746
- Režim
- vždy nižší
- Koho se týká
- výrobci ze seznamu pro mimořádné situace
- Režim
- nižší pro střední · vyšší pro velký podnik
Vyšší režim hrozí, když jste velký podnik – 250 a více zaměstnanců, nebo obrat nad 50 mil. EUR spolu s bilanční sumou nad 43 mil. EUR – a poskytujete zdravotní péči, vyrábíte léčiva nebo patříte k dalším službám děleným podle velikosti. Zdravotnická záchranná služba je ve vyšším režimu vždy. Vyšší režim znamená širší sadu povinností a přísnější sankční strop, až do výše 250 000 000 Kč nebo 2 % obratu. Pozor na vyšší režim, pokud máte 250 a více zaměstnanců
Soukromá poliklinika ve středně velkém městě, s.r.o. se 130 zaměstnanci – ambulance, laboratoř, rehabilitace. Poskytovatel zdravotní péče podle zákona o zdravotních službách a střední podnik: regulovaná služba v nižším režimu, do 60 dnů se ohlásí NÚKIBu a po registraci má rok na zavedení 13 opatření a přípravu dokumentace. Provoz stojí na informačním systému plném pacientských dat, o IT se stará externí firma. Dokumentaci zatím nepsal nikdo.
Fiktivní příklad, žádná reálná firma.
Časté otázky ze zdravotnictví
Spadá poliklinika se 130 zaměstnanci pod NIS2?
Velmi pravděpodobně ano. Poskytování zdravotní péče je regulovaná služba. A poliklinika se 130 zaměstnanci je střední podnik, tedy nižší režim. Od splnění obou podmínek běží 60 dní na ohlášení NÚKIBu.
Jsme nemocnice s 300 zaměstnanci. Platí pro nás nižší režim?
Ne. Velký podnik – 250 a více zaměstnanců – spadá u zdravotní péče do režimu vyšších povinností: širší sada povinností a přísnější sankce. Compligen připravuje dokumentaci pro nižší režim. Pro vyšší režim počítejte s odbornou pomocí.
Jsme ambulance s 10 zaměstnanci. Musíme něco řešit?
Samostatná malá praxe podmínku velikosti nesplní, takže pod zákon nespadá. Pozor ale na dvě věci: pokud patříte do sítě nebo skupiny se společným vlastníkem, velikost se počítá za celek, a zaměstnanci jako přepočtené úvazky, ne hlavy. A regulovaný odběratel – třeba nemocnice, které dodáváte služby – po vás může chtít bezpečnostní dotazník.
Vyrábíme zdravotnické prostředky a rosteme přes 250 zaměstnanců. Změní se nám režim?
Ne. Výroba zdravotnických prostředků a in vitro diagnostiky je v nižším režimu vždy, pro střední i velký podnik. U zbytku zdravotnictví velikost režim dělí. Tady růst přes 250 zaměstnanců nic nemění. Jediná výjimka: prostředky zařazené na evropský seznam kriticky důležitých pro mimořádné situace. Tam velký podnik spadá do vyššího režimu. Běžné výroby se to netýká.
Kdo má u nás dělat manažera kyberbezpečnosti?
Vedení za bezpečnost odpovídá a určí pověřenou osobu. Tak zní jedno z 13 opatření. V praxi menších poskytovatelů to bývá správce IT nebo provozní ředitel po zaškolení. Dokumentaci k opatřením přitom nemusí psát. Tu připraví průvodce.
Spadají lékárny a distributoři léčiv?
Čistí distributoři léčiv a zdravotnických prostředků mezi vyjmenovanými službami nefigurují. Příloha jmenuje výrobu, ne distribuci. Lékárny jsou zvláštní případ: lékárenská péče se počítá mezi zdravotní péči, větší lékárenské sítě proto mohou spadat jako poskytovatelé zdravotní péče. Pokud si u své činnosti nejste jistí, ověřte si to testem výše.
Jaké lhůty musíme stihnout?
Pro poskytovatele zdravotní péče v nižším režimu jsou lhůty tři. Službu ohlásíte NÚKIBu do 60 dnů ode dne, kdy splníte obě podmínky (§ 6 odst. 1 zákona č. 264/2025 Sb.). Do 30 dnů od doručení rozhodnutí o registraci nahlásíte kontaktní a doplňující údaje (§ 11 odst. 1), pozdější změny hlásíte do 14 dnů. Do 1 roku od doručení rozhodnutí o registraci začnete plnit bezpečnostní opatření, včetně připravené dokumentace (§ 13 odst. 4).
Co všechno musíme zavést?
Pro polikliniku i výrobce zdravotnických prostředků platí stejný rámec. Nižší režim znamená 13 bezpečnostních opatření (§ 14 odst. 2 zákona č. 264/2025 Sb.) a dokumentaci k nim, od bezpečnostní politiky přes řízení přístupů, zálohy a školení zaměstnanců až po řešení incidentů. Praktický popis všech třinácti najdete na blogu.
Co riskuje jednatel, když povinnosti nesplníme?
I pro soukromou polikliniku nebo laboratoř platí plný sankční strop. Za nesplnění povinností hrozí v nižším režimu pokuta až do výše 175 000 000 Kč, nebo až 1,4 % čistého celosvětového ročního obratu, podle toho, která částka je vyšší (§ 59 odst. 4 písm. b) zákona č. 264/2025 Sb.). Za plnění zákona odpovídá přímo vedení v režimu péče řádného hospodáře. Dokumentaci, kterou zákon vyžaduje, přitom vytvoříte za jedno odpoledne.
Kolik stojí dokumentace s Compligenem?
Kompletní dokumentace vás vyjde jednorázově na 29 900 Kč bez DPH. Žádné předplatné ani měsíční poplatky. Zaplatíte jednou a dokumenty jsou vaše. Příprava NIS2 dokumentace s konzultantem vyjde obvykle na 80–200 tisíc Kč. Když se později změní legislativa, aktualizaci pro vás připravíme od 9 900 Kč.
Uzná dokumentaci NÚKIB?
Dokumentace je strukturovaná podle vyhlášky 410/2025 Sb. a vychází z metodik NÚKIB. Compligen není auditní služba ani garance souladu. Vygenerované dokumenty si vždy ověřujte sami nebo s odborníkem. Formální posouzení shody zůstává na regulátorovi.
Dokumentaci za vás připraví Compligen. Za jedno odpoledne.
Odpovídáte na otázky o své firmě, Compligen vytvoří kompletní dokumentaci za vás. Jak to celé funguje, najdete na hlavní stránce.
Dokumentace podle zákona o kybernetické bezpečnosti.
Všech 13 opatření pro zdravotnictví v nižším režimu.
Platíte, až když víte, za co. 29 900 Kč bez DPH, jednorázově.