NIS2 aneb Novinka v evropské legislativě

O této legislativní novince se moc nemluví, jelikož se přímo netýká většiny lékárníků, ačkoliv svým rozsahem a dopadem směle soupeří s GDPR. Nicméně je vysoce pravděpodobné, že se s implementací budou muset vypořádat managementy nemocnic a provozovatelů řetězců, kteří se mohou obracet na lékárníky nebo upravovat činnost lékárníků v digitálním světě při výkonu práce. Proto je dobré o této novince vědět.

O co jde?

NIS2 je Směrnice Evropského Parlamentu A Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148. Celé znění směrnice v češtině naleznete zde: (1url.cz/puYev)

Směrnice NIS2, nahradí současnou směrnici o bezpečnosti sítí a informačních systémů s účinností od října 2024 a bude v průběhu roku 2024 implementována do právního řádu ČR jako nový Zákon o kybernetické bezpečnosti.

Cílem původní směrnice NIS bylo zajistit kybernetickou odolnost mezi „provozovateli základních služeb“ a poskytovateli digitálních služeb, přičemž nová směrnice NIS2 rozšířila oblast působnosti tak, aby rozšířila spektrum odvětví a firem spadajících do její působnosti. Nová směrnice NIS2 již nerozlišuje mezi provozovateli základních služeb a poskytovateli digitálních služeb. Místo toho vymezuje rozsah své působnosti tím, že rozlišuje mezi tzv. „odvětvími s vysokou kritičností = subjekty zásadního významu“ a „jinými kritickými odvětvími = subjekty důležitého významu“. Příslušné režimy dohledu a sankcí jsou rovněž upraveny na základě dalšího rozlišení mezi subjekty považovanými za „zásadní“ nebo „důležité“, které úzce souvisí s rozlišením sektorů.

Podle směrnice NIS 2 všichni poskytovatelé zdravotní péče (včetně lékáren), kteří dosáhnou nebo překročí prahovou hodnotu pro kvalifikaci středního podniku (50 nebo více zaměstnanců a roční obrat/bilanční suma 10 milionů EUR nebo více), budou automaticky zařazeni do působnosti NIS2. Tato definice je zcela zásadní proto, zda se ve vlastní lékárně máte zajímat o další informace o NIS2. Firmy, které se ocitnou v působnosti směrnice, budou totiž muset plnit další povinnosti – např. provést podrobnou analýzu rizik, zavést efektivní systém ­řízení, prevence a detekce incidentů, nebo zabezpečit ­kontinuitu provozu a krizové řízení. Vybrané subjekty navíc budou mít nově oznamovací povinnost, v rámci které budou muset Národnímu úřadu pro kybernetickou a informační bezpečnost neprodleně oznámit každý závažnější kyberbezpečnostní incident. Přímá odpovědnost za zavedení těchto pravidel bude ležet na statutárních orgánech daných firem (např. jednatelé) – naště stí tedy nikoliv na zaměstnaných lékárnících.

Může se ale stát, že i subjekty nedosahující výše uvedených prahových hodnot spadnou do oblasti působnosti směrnice (tedy i menší lékárny). Ale to pouze tehdy, pokud (i) budou označeny jako „kritický subjekt“, nebo (ii) splní kritéria uvedená v čl. 2 odst. 2 směrnice NIS2 – například pokud by přerušení služeb dané lékárny mohlo mít „významný dopad na veřejnou bezpečnost nebo veřejné zdraví“, vyvolat „významné systémové riziko“ nebo pokud je postavení dané lékárny kritické vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní sektor nebo typ služby a příslušné orgány je označí za „zásadní subjekt“. To zřejmě v České republice nehrozí, i když…

Martin Kopecký
Zdroj obr.: https://nis2.tech/smernice-nis-2