Odpovídá: Mgr. Petr Kostelka, vedoucí Útvaru bezpečnosti a krizové připravenosti VFN
Implementace nového zákona č. 266/2025 Sb., o kritické infrastruktuře, představuje pro VFN poměrně zásadní posun. Nejde jen o další administrativní povinnost, ale o změnu způsobu řízení bezpečnosti, kontinuity provozu, bezpečnosti pracovníků a dodavatelů i reakcí na incidenty.
Pro VFN je důležité, že nařízení vlády č. 127/2026 Sb. výslovně zahrnuje mezi základní služby poskytování akutní lůžkové péče. Kritéria významnosti stanoví například podle typu urgentního příjmu, počtu pacientů, počtu akutních lůžek nebo počtu obyvatel dotčených výpadkem služby.
VFN musíme vnímat jako jeden funkční organismus, ve kterém omezení jedné části může ohrozit poskytování základních služeb i chod celé nemocnice. K jednotlivým oblastem řízení je proto zapotřebí přistupovat komplexně. Změnu přístupu ilustruje následující přehled:
| Oblast | Dřívější přístup | Nový přístup |
| Bezpečnost | Jednotlivé bezpečnostní oblasti | Integrovaný systém odolnosti nemocnice |
| Rizika | Rizika jednotlivých útvarů | Pravidelné celkové posouzení rizik |
| Provoz | Běžný provoz a krizový plán | Systematické zajišťování kontinuity základní služby |
| IT | Především kybernetická bezpečnost | Propojení kybernetické, fyzické, personální a dodavatelské bezpečnosti |
| Zaměstnanci | Obecná odpovědnost zaměstnance | Identifikace kritických pracovníků a řízení jejich bezpečnostních rizik |
| Dodavatelé | Smluvní kontrola | Systematické řízení bezpečnosti dodavatelského řetězce |
| Incidenty | Řešení podle typu události | Formalizované rozpoznání, hlášení, reakce a obnova |
| Vedení | Bezpečnost rozdělena mezi útvary | Jasná odpovědnost za odolnost nemocnice |
Zákon výslovně požaduje opatření v šesti oblastech: řízení rizik, kontinuita činností, reakce na incidenty, fyzická bezpečnost, bezpečnost pracovníků a bezpečnost dodavatelského řetězce.
Pro zaměstnance je podstatné, že ne každý se automaticky stane „kritickým pracovníkem“. Nemocnice musí určit pracovní pozice nezbytné pro poskytování základní služby. Vyhláška č. 122/2026 Sb. požaduje, aby při identifikaci kritických pracovníků zohledňovala zejména jejich funkci, přístup k citlivým informacím, přístup ke kritické infrastruktuře a požadavky na odbornou přípravu a kvalifikaci.
V praxi tak může vzniknout rozdíl mezi běžným zaměstnancem, který dodržuje bezpečnostní pravidla nemocnice, a kritickým pracovníkem, jehož nepřítomnost, selhání nebo zneužití oprávnění by mohlo ohrozit poskytování základní služby.
V souvislosti s implementací zákona bude nezbytné kompletně revidovat a aktualizovat vnitřní předpisy VFN. Zaměstnanci mohou očekávat změny zejména v následujících oblastech.
Přísnější pravidla pro přístup. Přístup do informačních systémů, k technologiím nebo do vybraných prostor, například serveroven, bude více navázán na skutečnou pracovní potřebu. Základní princip je jednoduchý: mít přístup pouze k tomu, co potřebuji pro výkon své práce.
Větší důraz na identitu pracovníků. Zákon umožňuje ověřovat totožnost a bezúhonnost pracovníků podílejících se na poskytování základní služby i osob s přímým či vzdáleným přístupem k prostorám, informacím nebo kontrolním systémům. Za určitých podmínek se to může týkat nejen zaměstnanců VFN, ale také pracovníků dodavatelů, studentů, stážistů či externích pracovníků.
Důraz na bezpečnostní školení a přípravu. U kritických pracovníků musí nemocnice řešit potřebnou odbornou přípravu a kvalifikaci. Školení se může týkat například reakce na kybernetický incident, výpadku elektřiny nebo informačních systémů, zneužití uživatelského účtu, fyzického narušení bezpečnosti nemocnice, evakuace, nedostupnosti kritického dodavatele či zachování provozu při krizové situaci.
Konkrétnější pravidla pro oznamování incidentů. Nefunkční informační systém, zneužití účtu, vstup neoprávněné osoby do zabezpečeného prostoru, nedostupnost kritického materiálu nebo výpadek zdravotnické technologie nemusí být pouze technickým či provozním problémem konkrétního oddělení. Může jít o bezpečnostní incident, který musí nemocnice umět rozpoznat, předat na odpovídající úroveň řízení a řešit.
Za jednu z nejpodstatnějších změn považuji skutečnost, že bezpečnost není jen věcí ostrahy či informačních technologií. Nový systém pracuje s odolností celé organizace. Propojuje proto informační technologie, kybernetickou a fyzickou bezpečnost, zdravotnické technologie, energetiku, krizové řízení, personalistiku, oblast dodržování právních a vnitřních předpisů, ochranu osobních údajů, obchod, dodavatele i jednotlivá klinická pracoviště.
Výpadek nemocničního informačního systému tak není pouze problémem IT oddělení. Může zasáhnout řadu dalších oblastí a vést k omezení poskytování základní služby. Právě těmto souvislostem musíme při zajišťování bezpečnosti a provozu nemocnice věnovat pozornost.
