„Pre jednotlivú ambulanciu to nie je uskutočniteľné: hovoríme o najmenej 117 opatreniach.“ To povedal v roku 2023 bezpečnostný pracovník amsterdamskej regionálnej organizácie praktických lekárov (ROHA) v časopise De Dokter holandskej asociácie praktických lekárov LHV o starej NEN 7510. Verzia z roku 2024 ich má 101 (93 všeobecných a 8 špecifických pre zdravotníctvo), ale podstata platí ďalej: ako malá prax musíte voliť uvážlivo, spolupracovať, kde sa dá, a zvyšok nechať na dodávateľov. Táto stránka ukazuje, čo je skutočne povinné, koľko to stojí a ako to zvládnuť za rok.
Je NEN 7510 pre ambulanciu praktického lekára povinná?
Dodržiavať: áno. Certifikovať: nie. Čl. 3 ods. 2 Besluit elektronische gegevensverwerking door zorgaanbieders (holandské nariadenie o elektronickom spracúvaní údajov poskytovateľmi zdravotnej starostlivosti) hovorí, že poskytovateľ zdravotnej starostlivosti zabezpečuje bezpečné a starostlivé používanie zdravotníckeho informačného systému (u vás: HIS) a systému na výmenu, ku ktorému je pripojený, „v súlade s NEN 7510 a NEN 7512“. Článok 5 dopĺňa, že logovanie týchto systémov musí spĺňať NEN 7513. Podľa článku 7 vždy platí najnovšie vydanie normy; minister oznamuje nové vydanie a dátum jeho účinnosti v Staatscourant.
Dôvodová správa k Cyberbeveiligingsregeling voor de zorg (august 2026) to pre malých poskytovateľov potvrdzuje: patria mimo Cbw, ale „malí poskytovatelia zdravotnej starostlivosti sú však už podľa Wabvpz povinní dodržiavať NEN 7510“. Certifikát je preto jedným zo spôsobov, ako ukázať, že normu dodržiavate, nie zákonnou požiadavkou.
Prečo teda niektoré ambulancie certifikáciu napriek tomu volia? Pretože ju regionálna organizácia praktických lekárov ponúka ako spoločný program (ako ROHA s niekoľkými priekopníckymi ambulanciami), pretože ju požaduje partner v starostlivosti alebo klient, alebo pretože uľahčuje skladanie účtov voči IGJ (inšpekcii zdravotníctva a starostlivosti o mládež) a pacientom. Skontrolujte, čo hovoria vaše vlastné zmluvy; požiadavky sa líšia podľa strany.
A Cyberbeveiligingswet?
Zdravotníctvo je uvedené v prílohe 1 Cbw, holandského zákona vykonávajúceho NIS2, ale zákon platí až od 50 prepočítaných úväzkov, alebo s menej ako 50 úväzkami, ak ročný obrat aj bilančná suma presahujú 10 miliónov €. Započítavajú sa aj partnerské a prepojené podniky. Ambulancia s jedným alebo dvoma lekármi je hlboko pod tým. Lekárska pohotovostná služba (organizácia, ktorá pokrýva večery, noci a víkendy) alebo organizácia s niekoľkými zdravotnými strediskami môže byť nad prahom; potom platí Cbw, s IGJ ako orgánom dohľadu a Z-CERT ako CSIRT. V prípade pochybností použite kontrolu pôsobnosti NIS2.
Čo malá prax skutočne potrebuje
NEN 7510 je založená na riziku: rozhodujete, ktoré opatrenia sú potrebné, a zaznamenáte to vo vyhlásení o aplikovateľnosti. Pri typickej ambulancii s cloudovým HIS, niekoľkými pracovnými stanicami a výmenou údajov cez národný prepojovací bod (LSP) dochádzame k tomuto jadru:
| Téma | Čo zabezpečujete | Kto to robí |
|---|---|---|
| Zodpovednosť | Jedna osoba, ktorá koordinuje bezpečnosť informácií (často vedúci ambulancie), a krátka politika prijatá vlastníkmi praxe | Prax |
| Analýza rizík | Každoročne: čo sa môže pokaziť s HIS, e-mailom, telefóniou, pracovnými stanicami a papierom? Čo s tým urobíte? | Prax, prípadne s regionálnou organizáciou |
| Dodávatelia | Prehľad dodávateľa HIS, poskytovateľa spravovaných IT služieb, telefónie a e-mailu; zmluvy o spracúvaní; ich certifikát alebo vyhlásenie (NEN 7510 alebo ISO 27001) | Prax žiada, dodávateľ dodáva |
| Prístup | Osobné účty, dvojfaktorové overenie, oprávnenia podľa roly, okamžité zrušenie účtov pri odchode, pravidelné preskúmanie | Prax a poskytovateľ IT |
| Logovanie | Kto otvoril ktorý záznam (NEN 7513); pravidelné náhodné kontroly | Dodávateľ HIS zabezpečuje, prax kontroluje |
| Pracovné stanice | Automatické aktualizácie, antivírus, zámok obrazovky, žiadne údaje pacientov na osobných zariadeniach, čistý stôl a čistá obrazovka na recepcii | Poskytovateľ IT |
| Zálohy a kontinuita | Vedieť, čo dodávateľ HIS zálohuje; mať plán pre výpadok HIS alebo telefónie; raz ročne ho otestovať | Dodávateľ a prax |
| Povedomie | Krátke každoročné školenie o phishingu, podvodných telefonátoch a chybne adresovaných e-mailoch | Prax |
| Incidenty a porušenia ochrany údajov | Postup a evidencia; vedieť, kedy do 72 hodín oznámiť porušenie Autoriteit Persoonsgegevens | Prax |
| Fyzická bezpečnosť | Zamknutá miestnosť pre sieťové zariadenia, žiadni návštevníci bez dozoru pri pracovných staniciach | Prax |
V roku 2023 vydala LHV spolu s InEen a holandskou spoločnosťou praktických lekárov (NHG) tri ľahko použiteľné skeny, pre súkromie, integritu a dostupnosť, ktoré dávajú prvú predstavu o tom, kde vaša ambulancia stojí. To je dobrý východiskový bod pre analýzu rizík.
Dve úskalia, ktoré často vidíme: analýza rizík, ktorá pokrýva len HIS (pričom najväčšie riziká sú v e-maile a telefónii), a dodávatelia, ktorí tvrdia, že sú „v súlade s NEN 7510“, bez toho, aby ste poznali rozsah ich certifikátu.
Koľko to stojí?
Sumy sa medzi ambulanciami, regiónmi a dodávateľmi veľmi líšia, preto orientačné ceny neuvádzame. Toto sú nákladové položky:
- Vlastný čas: najväčšia položka. V prvom roku počítajte s jedným pevným dopoludním mesačne pre vedúceho ambulancie, potom menej.
- Technické opatrenia: dvojfaktorové overenie, správca hesiel, zálohovanie, správa záplat. Veľa z toho často už je vo vašej IT zmluve.
- Školenie: online školenie povedomia pre tím.
- Externá podpora (voliteľné): poradca na východiskové posúdenie a prípravu dokumentov.
- Certifikácia (voliteľné): počiatočný audit a každoročné dozorové audity certifikačným orgánom. Cena závisí od rozsahu a veľkosti; vyžiadajte si ponuky.
Dotácie: v rámci holandského programu Mijn Cyberweerbare Zaak môžu malé podniky s až 50 zamestnancami a obratom do 10 miliónov € získať späť 50 % nákladov na určité opatrenia, až 1 250 €. Kategórie zahŕňajú MFA, správcu hesiel, nastavenie a testovanie záloh, správu záplat, antivírus a školenie povedomia. Podľa NCSC možno žiadosti podávať od 7. septembra do 30. novembra 2026, podľa poradia. Na RVO (holandskej podnikateľskej agentúre) si overte, či vaša ambulancia spĺňa podmienky.
Svojpomocne, alebo s poradcom?
| Svojpomocne (so svojím regiónom) | S poradcom | |
|---|---|---|
| Vhodné pre | Ambulancie s vedúcim, ktorý na to dostane čas, a regionálnou organizáciou, ktorá poskytuje šablóny a spoločnú analýzu rizík | Ambulancie, ktoré sa chcú certifikovať, majú málo času alebo po incidente potrebujú rýchlo zmeniť kurz |
| Výhoda | Znalosti zostávajú v ambulancii; lacnejšie | Rýchlejšie, menšia šanca, že niečo prehliadnete; skúsenosť s auditmi |
| Riziko | Zaseknutie po prvých mesiacoch; papierová politika, ktorú nikto nepozná | Všeobecné dokumenty, ktoré na vašu ambulanciu nesedia; závislosť |
| Tip | Zablokujte si v kalendári pevné termíny a používajte softvér s opakovanými úlohami | Požiadajte o odovzdanie: potom to musíte zvládať udržiavať sami |
Často funguje najlepšie stredná cesta: robte to sami, s niekoľkými poldňami externého poradenstva na východiskové posúdenie a interným auditom na konci roka. V amsterdamskom príklade z De Dokter zabezpečilo družstvo centrálne veci ako analýzu rizík, riadenie dodávateľov a záznamy o spracúvaní a ambulancie zvyšok urobili samy.
Praktický plán na 12 mesiacov
- 1. mesiac, začiatok: vymenujte koordinátora, nechajte vlastníkov praxe prijať krátku politiku, urobte skeny LHV. Ak spĺňate podmienky, požiadajte o dotáciu.
- 2. mesiac, inventúra: zoznam systémov (HIS, e-mail, telefónia, web, pracovné stanice), dodávateľov a zmlúv o spracúvaní.
- 3. mesiac, analýza rizík: pri každom systéme: čo sa pokazí, aké je to závažné, čo s tým urobíte. Rozhodnutia zaznamenajte do prvého vyhlásenia o aplikovateľnosti.
- 4. mesiac, prístup: dvojfaktorové overenie všade, kde je to možné, osobné účty, postup pri odchode zamestnancov.
- 5. mesiac, dodávatelia: vyžiadajte si certifikáty alebo vyhlásenia a skontrolujte rozsah; dohodnite sa na oznamovaní incidentov.
- 6. mesiac, porušenia ochrany údajov a incidenty: postup, evidencia a cvičenie s chybne odoslaným odporúčaním.
- 7. mesiac, kontinuita: čo urobíte, keď HIS na deň vypadne? Pripravte núdzový postup (papierový priebeh, dostupnosť) a otestujte ho.
- 8. mesiac, pracovné stanice: aktualizácie, zámok obrazovky, šifrovanie notebookov, čistý stôl a čistá obrazovka.
- 9. mesiac, povedomie: školenie pre celý tím, vrátane zástupov a dočasných pracovníkov.
- 10. mesiac, logovanie: prvá náhodná kontrola logovania podľa NEN 7513 v HIS; zaznamenajte zistenia.
- 11. mesiac, interné preskúmanie: prejdite všetko (sami, so spriatelenou ambulanciou alebo s poradcom) a zostavte zoznam zlepšení.
- 12. mesiac, preskúmanie: preberte výsledok s vlastníkmi praxe, prijmite analýzu rizík a plány na ďalší rok. Rozhodnite, či sa chcete certifikovať.
Zdroje
- Besluit elektronische gegevensverwerking door zorgaanbieders, Staatsblad 2017, 446
- Cyberbeveiligingsregeling voor de zorg, Staatscourant 2026, 28763
- LHV, De Dokter 7/2023: Informatiebeveiliging, houd de aandacht vast (pdf, v holandčine)
- Kiwa, Herziene NEN 7510 gepubliceerd (v holandčine)
- Kiwa, Wat betekent de nieuwe NEN 7510:2024 voor certificaathouders? (v holandčine)
- NCSC, Subsidie Mijn Cyberweerbare Zaak (v holandčine)
- NCSC, Valt mijn organisatie onder de Cyberbeveiligingswet? (v holandčine)
- Nariadenie (EÚ) 2016/679 (GDPR), EUR-Lex
- Autoriteit Persoonsgegevens (ohlasovacie miesto pre porušenia)
Stav k 1. októbru 2026. Táto stránka poskytuje všeobecné informácie, nie právne poradenstvo. Zákony, predpisy a odvetvové pravidlá sa môžu meniť; vždy si overte aktuálny zdroj.