Într-o eră digitală marcată de o interconectare accelerată a sistemelor informatice, sectorul sănătății devine una dintre cele mai expuse componente ale infrastructurii critice naționale. Atacurile cibernetice asupra sistemelor medicale informatizate pot provoca întârzieri sau blocaje în furnizarea tratamentului, compromiterea datelor cu caracter sensibil și, în cele mai grave cazuri, pot pune în pericol viața pacienților. Spitalele, laboratoarele, unitățile de urgență și platformele informatice care gestionează dosarele electronice de sănătate (EHR) sunt ținte frecvente ale atacatorilor, în special în contextul creșterii atacurilor de tip ransomware și phishing la nivel global.
Pentru a contracara aceste amenințări, Directiva (UE) 2022/2555 (NIS 2) introduce un cadru armonizat de securitate cibernetică pentru entitățile esențiale din Uniunea Europeană. Această directivă impune obligații clare în ceea ce privește evaluarea riscurilor, implementarea de măsuri tehnice și organizatorice, raportarea incidentelor de securitate și asigurarea continuității operaționale. Sectorul sănătății este recunoscut în mod explicit ca infrastructură esențială în Anexa I a Directivei și, prin urmare, supus celor mai stricte cerințe.
Cadrul legal
La nivel european:
- Directiva (UE) 2022/2555 (NIS 2): Text oficial – EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690: Text oficial – EUR-Lex
La nivel național (România):
- OUG nr. 155/2024: MO nr. 1332/2024
- Legea nr. 124/2025: MO nr. 638/2025
- Ordin DNSC nr. 1/2025 privind notificarea entităților: MO nr. 776/2025
- Ordin privind criteriile de perturbare și evaluarea riscurilor: MO nr. 776/2025
Sectorul Sănătății – Domeniu critic de interes național
Subsectoare incluse:
- Spitale publice și private, clinici, centre de diagnostic și tratament
- Unități de primiri urgențe și servicii de ambulanță
- Laboratoare medicale de analiză și diagnostic
- Centre de transfuzie sanguină și bănci de țesuturi și celule
- Producători de medicamente esențiale și vaccinuri
- Producători și furnizori de echipamente medicale critice
- Platforme de gestionare a datelor de sănătate (EHR, HIS, PACS)
Conform legislației române, aceste entități sunt clasificate ca entități esențiale, iar nerespectarea obligațiilor prevăzute de NIS 2 poate atrage sancțiuni contravenționale și administrative, inclusiv amenzi de până la 10 milioane EUR sau 2% din cifra de afaceri globală anuală.
Amenințări cibernetice specifice sectorului medical
- Atacuri ransomware:
- Blochează accesul la fișierele pacienților și sistemele critice.
- Consecințe: întârzieri în diagnostic, operații amânate, risc pentru viața pacienților.
- Furtul sau compromiterea datelor medicale:
- Atacuri asupra bazelor de date EHR.
- Consecințe: încălcări ale GDPR, litigii, pierderea încrederii pacienților.
- Manipularea sau exploatarea vulnerabilităților din dispozitive medicale conectate:
- Exemplu: pompe de insulină, pacemakere, ventilatoare.
- Consecințe: disfuncționalități care pot pune viața pacienților în pericol.
- Atacuri asupra sistemelor informatice spitalicești:
- Sisteme de gestiune a pacienților (HIS), imagistică (PACS), programări și ERP.
- Consecințe: paralizarea activităților administrative și clinice.
Cerințe NIS 2 pentru sectorul sănătății
Obligații specifice pentru entități esențiale:
- Politici de securitate cibernetică:
- Elaborarea, adoptarea și actualizarea periodică a politicilor privind protecția infrastructurii informatice.
- Implicarea conducerii executive în aprobarea și susținerea politicilor.
- Evaluarea și tratarea riscurilor:
- Realizarea de analize de risc anuale.
- Clasificarea activelor IT și medicale în funcție de impactul operațional.
- Capacități de detecție și răspuns la incidente:
- Implementarea de sisteme SIEM, EDR și mecanisme de alertare.
- Definirea proceselor de răspuns și raportare în max. 24h către DNSC.
- Planuri de continuitate și recuperare (BCP/DRP):
- Scenarii testate pentru pene de curent, atacuri ransomware, defecte hardware.
- Back-up-uri verificate și stocate în locații redundante.
- Securitatea lanțului de aprovizionare:
- Evaluarea furnizorilor IT și medicali.
- Cerințe contractuale privind securitatea (SLA, audituri, notificări).
- Securitate în dezvoltare și întreținere software:
- Patch management, testare de penetrare, cod sigur.
- Interdicția utilizării de software neautorizat sau depășit.
- Audit și monitorizare continuă:
- Audituri interne și externe.
- KPI de securitate și revizuirea politicilor la fiecare incident major.
- Instruirea personalului:
- Programe de formare anuală pentru toate categoriile de angajați.
- Simulări de phishing și atacuri cibernetice.
- Măsuri criptografice:
- Criptarea datelor în tranzit și la stocare.
- Certificate digitale pentru comunicații inter-sistem.
- Controlul accesului și managementul identității (IAM):
- MFA obligatoriu pentru conturile privilegiate.
- Revocare automată a drepturilor după plecarea din instituție.
- Securitate fizică și de mediu:
- Control acces fizic în server room și secții critice.
- Sisteme de climatizare, incendiu, supraveghere video.
- Inventarierea activelor și protecția mediilor mobile:
- Inventar digitalizat și actualizat.
- Politici pentru utilizarea de USB, HDD externe și echipamente mobile.
Recomandări operaționale
- Notificare și actualizare date în Platforma NIS2@RO.
- Adoptarea unui ISMS (Information Security Management System) conform ISO/IEC 27001.
- Aplicarea ghidurilor ENISA privind sănătatea digitală.
- Cooperare activă cu CSIRT RO și DNSC în caz de incidente sau pentru bune practici.
- Efectuarea de teste de penetrare și exerciții de criză cibernetică cel puțin anual.
Într-un ecosistem medical în care fiecare minut contează, protecția cibernetică nu este opțională. Implementarea riguroasă a cerințelor NIS 2 în sectorul sănătății este o condiție esențială pentru a asigura siguranța pacienților, protejarea datelor sensibile și continuitatea actului medical. Conformarea cu Directiva NIS 2 nu este doar o obligație legală, ci o investiție strategică în reziliența instituției sanitare.
Celelalte sectoare din serie
Directiva NIS 2 acoperă unsprezece sectoare cu criticitate ridicată. Fiecare are propriile entități esențiale, amenințări specifice și măsuri obligatorii.