Ez az oldal a 50+ alkalmazottú fogorvosi és orvosi klinikaláncok vezetőit és IT-felelőseit célozza meg, akik az SZTFH felügyelete alá tartozó fontos entitások. Megismeri a betegnyilvántartó rendszerek, képalkotó diagnosztikai eszközök (röntgen, CT, DICOM) és szállítói lánc biztonságára vonatkozó konkrét előírásokat.
Az Ön szervezete NIS2-alapú felügyelet alá tartozik, ha fogorvosi vagy orvosi specialista klinikákat működtet Magyarországon, legalább 50 alkalmazottal rendelkezik, és digitális betegnyilvántartási vagy képalkotó diagnosztikai rendszereket használ. Az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) ezeket az intézményeket a 2023. évi XXIII. törvény alapján fontos entitásként osztályozza, amely fokozott biztonsági megfelelésre kötelezi őket.
A fogorvosi és orvosi klinikákat az összes betegnyilvántartás, röntgen- és CT-felvétel (DICOM-formátum) biztonságáért a 2023. évi XXIII. törvény értelmében felelősség terheli. Ezen rendszerekre kiterjedő hozzáférés-vezérlést, titkosítást és rendszeres szegmentációt kell biztosítani, hogy izoláltan működjenek az irodai Wi-Fi-től és az internetcsatlakozástól. Ezek az adatok személyes egészségügyi információkat tartalmaznak, amelyek GDPR- és NIS2-osztályú védelemre jogosultak.
Amennyiben a betegnyilvántartási rendszer vagy képalkotó szerver feltörésre kerül, vagy adatcsere leáll, azt az SZTFH felé az incidens felderítésétől számított 72 órán belül be kell jelenteni, ha az betegek ütemezésére vagy rekordaccessre hat. Ez a kötelezettség a 2023. évi XXIII. törvénynek megfelelően a GDPR-val összecsatolva érvényes, illetve a klinikai dokumentáció jogosulatlan módosítása vagy törlése incidensmagyarázatot vált ki.
A fogorvosi és orvosi klinikálánc minden külső szoftverszállítóját (betegnyilvántartó, ütemezéskezelő, számlázási rendszer) biztonsági kérdőív és szerződéses kötelezettségek alá kell helyezni. Az SZTFH elvárja, hogy a szállítók legalább ugyanolyan NIS2-szintű biztonsági intézkedéseket alkalmazzanak, és azok incidensről és frissítésekről 24 órán belül értesítsenek. Különösen a felhőalapú betegnyilvántartó megoldásoknak és az API-csatlakozásoknak megfelelőségi nyilatkozatot kell biztosítaniuk.
Minden 50+ alkalmazottú fogorvosi és orvosi klinikánc számára kötelező az írott, tesztelni és évente frissíteni kell. A terv tartalmaznia kell a betegnyilvántartási rendszer biztonsági mentésének és helyreállításának eljárásait, az incidensmagyarázat felelőseit, valamint az SZTFH-vel való kommunikációs protokollt. Legalább évente végezzen helyreállítási gyakorlatot, hogy biztosítsa, hogy 24 órán belül helyreállítható a kritikus betegadatok és ütemezési szolgáltatás.
A betegnyilvántartó és röntgen-képalkotó szoftverekhez egyéni, jelszóval védett bejelentkezési fiók kötelezően előírt minden felhasználónak, a recepciós munkatárstól az orvosig. A közös vagy "közös" bejelentkezési fiók (például egyetlen recepciós jelszó több személy számára) NIS2-megsértés, amely az SZTFH felügyelete alá tartozik, és szankcióval jár. Kétfaktoros hitelesítés (2FA) vagy többtényezős hitelesítés (MFA) minden privilegizált fióknak (adminisztrátorok, IT-felelősök) kötelezően előírt.
A 2023. évi XXIII. törvény szerint az összes fontos entitás (beleértve az 50+ alkalmazottú fogorvosi és orvosi klinikákat) a 2024. október végéig ki kell töltse a kezdeti NIS2-megfelelőségi felmérést és az SZTFH előtti be kell nyújtsa a biztonsági tervet. A teljes megfelelésre a 2026-os év végéig van határidő, de az alapvető intézkedések (incidensmagyarázat, szállítói lánc-biztonság) azonnal kötelezőek.
A "fontos entitás" (Annex II) státusza azt jelenti, hogy az SZTFH közvetlenül felügyeli az Ön szervezetét, és szigorúbb biztonsági, incidenskezelési és szállítói ügyeleti előírások vonatkoznak rá. Az Ön betegnyilvántartó és képalkotó rendszerei kritikus infrastruktúraként kezelendők, és az incidensmagyarázat, biztonsági mentés-tesztelés és kétfaktoros hitelesítés kötelezően előírtak.
Fontos entitás számára az SZTFH szankcióinak felső határa 7 millió euró vagy az éves forgalom 1,4%-a, attól függően, melyik nagyobb. Ez a büntetés vonatkozhat az incidensmagyarázat elmulasztására, a szállítói lánc-biztonság hiányára vagy a hozzáférés-kezelési előírások megsértésére (például közös bejelentkezési fiókok használatára). Az SZTFH 2024-ben megkezdte az ellenőrzéseket, ezért az azonnali megfelelésre való felkészülés ajánlott.