Здравствене установе и Закон о информационој безбедности — зашто је ово сада приоритет

Према новом Закону о информационој безбедности („Сл. гласник РС“, бр. 91/2025, на снази од 31. октобра 2025), здравство се сврстава у ред приоритетних сектора (члан 5) — уз енергетику, банкарство, саобраћај и дигиталну инфраструктуру. То значи да ће здравствене установе бити под најстрожим обавезама које закон прописује.

За нас у БДБ-у ово не представља изненађење. До сада смо спровели анализу ризика и израдили Акт о безбедности ИКТ система за 13 болница широм Србије, и то искуство нам јасно показује зашто је здравствени сектор посебан случај.

Зашто су болнице специфичан изазов

• Осетљивост података — медицински подаци пацијената спадају у посебно осетљиве личне податке, са додатним захтевима заштите у односу на обичне пословне податке;
• Непрекидност рада — за разлику од већине фирми, застој ИКТ система у болници директно угрожава здравље и безбедност пацијената, не само пословање;
• Велики број корисника система — болнице имају велики број запослених са приступом информационим системима, уз честу флуктуацију особља, што отежава контролу приступа и повећава ризик од људске грешке;
• Застарела опрема и системи — здравствене установе често раде са опремом и софтвером који се дуго користе и теже се ажурирају, што их чини рањивијим на познате безбедносне пропусте.

Шта смо научили радећи са болницама

Анализа ризика у здравственој установи мора да узме у обзир не само ИТ инфраструктуру, већ и медицинску опрему повезану на мрежу, процедуре у хитним случајевима када системи нису доступни, и обуку медицинског и немедицинског особља које често нема техничко предзнање. Акт о безбедности ИКТ система за болницу зато изгледа другачије од Акта за, рецимо, производну фирму — фокус је подједнако на континуитету рада колико и на заштити података.

Шта здравствене установе треба да ураде сада

С обзиром на то да здравство улази у приоритетну категорију, саветујемо здравственим установама које још увек нису спровеле анализу ризика и израдиле Акт о безбедности да то учине на време, пре него што нови закон ступи на снагу 2027. године. Исто тако, обука запослених из области информационе безбедности је кључна мера која се често потцењује, а управо је особље најчешће прва линија одбране од сајбер напада (нпр. „phishing“ напада путем е-маила).