This scientific article provides a comprehensive and detailed analysis of the Russian regulatory and legal framework governing the operation and security of modern healthcare information environments. The structure and core components of a clinic's digital contour, including medical information systems, electronic document management, and telemedicine services, are examined. The provisions of Federal Law No. 323-FZ «On the Basics of Health Protection of Citizens in the Russian Federation» regulating the Unified State Information System in Healthcare (EGISZ) and personalized data accounting are thoroughly studied. Subordinate regulatory acts of the Ministry of Health defining the procedure for establishing the legal validity of electronic medical records via enhanced qualified electronic signatures are analyzed. The requirements of Personal Data Protection Law No. 152-FZ and the security categorization criteria established by Government Decree No. 1119 are evaluated. The regulatory specifics of critical information infrastructure (CII) in healthcare under Federal Law No. 187-FZ and FSTEC of Russia orders are characterized. Applied conclusions and actionable guidelines for ensuring regulatory compliance and mitigating legal risks for medical organizations are formulated.

Keywords: information environment, medical organization, medical information system, EGISZ, personal data protection, medical confidentiality, critical information infrastructure, electronic health records.

Введение

Масштабная цифровая трансформация отечественной системы здравоохранения, реализуемая в рамках национального проекта «Здравоохранение» и федерального проекта «Создание единого цифрового контура в здравоохранении на основе единой государственной информационной системы в сфере здравоохранения (ЕГИСЗ)», коренным образом меняет парадигму оказания медицинской помощи. Информационная среда современной медицинской организации трансформировалась из вспомогательной аппаратно-программной инфраструктуры в критически важный технологический компонент лечебно-диагностического процесса. Повсеместный переход на электронный медицинский документооборот (ЭМДО), внедрение медицинских информационных систем (МИС), интеграция лабораторных комплексов (ЛИС) и систем передачи диагностических изображений (PACS), а также широкое использование телемедицинских консультаций выдвигают качественно новые, сверхжесткие требования к нормативно-правовому обеспечению указанных процессов.

Специфика информатизации здравоохранения заключается в остром диалектическом противоречии между двумя фундаментальными задачами. С одной стороны, эффективная организация медицинской помощи требует беспрепятственного, оперативного и трансграничного информационного обмена между разнородными клиниками, территориальными фондами ОМС и органами управления здравоохранением для обеспечения непрерывности ведения пациента. С другой стороны, сведения о факте обращения за медицинской помощью, диагнозе, состоянии здоровья и генетических данных гражданина составляют охраняемую законом врачебную тайну и относятся к специальной категории персональных данных наивысшего уровня конфиденциальности.

Несанкционированный доступ, утечка, компрометация или искажение медицинских данных способны не только нанести непоправимый моральный и физический вред пациенту, но и привести к уголовной ответственности руководства клиники и парализации деятельности учреждения. В связи с этим возникает острая необходимость в системном исследовании, структурировании и прикладном анализе многоуровневой законодательной базы Российской Федерации, регламентирующей процессы создания, безопасной эксплуатации и модернизации информационной среды медицинских организаций, а также в формировании четких инженерно-правовых требований к медицинским учреждениям как к операторам критически важных информационных систем.

Основная часть

Информационная среда медицинской организации представляет собой территориально и логически распределенный комплекс программно-аппаратных средств, баз данных, защищенных каналов связи и организационно-распорядительных регламентов, обеспечивающих сквозную автоматизацию клинической, административной и финансово-экономической деятельности учреждения [1, С. 64]. Архитектурно данная среда разделяется на внутренний защищенный сегмент (локальные МИС отделений, архивы медицинских изображений, кадровые и аптечные модули), демилитаризованную зону интеграционных шлюзов и внешний контур защищенного взаимодействия с региональными и федеральными компонентами ЕГИСЗ [2].

Фундаментальным нормативно-правовым актом, определяющим основы цифровизации отрасли, выступает Федеральный закон от 21 ноября 2011 года № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации» [7, С. 48]. Статьи 91, 91.1 и 92 данного закона закрепляют правовой статус информационных систем в здравоохранении и регламентируют принципы ведения персонифицированного учета. В соответствии со статьей 91 информационное обеспечение отрасли строится на иерархическом взаимодействии федеральных систем, систем Федерального фонда ОМС, государственных систем субъектов РФ и локальных МИС медицинских организаций всех форм собственности [7, С. 54].

Ключевым звеном государственной инфраструктуры выступает Единая государственная информационная система в сфере здравоохранения (ЕГИСЗ), правовые основы которой детализированы в статье 91.1 закона № 323-ФЗ и утверждены Постановлением Правительства РФ от 9 февраля 2022 года № 140 [3, С. 15]. Положение о ЕГИСЗ возлагает на медицинские организации прямую юридическую обязанность по передаче широкого спектра структурированных медицинских сведений в федеральные регистры и реестры. К базовым подсистемам ЕГИСЗ, с которыми МИС клиники обязана осуществлять непрерывное информационное взаимодействие, относятся: Федеральный регистр медицинских работников (ФРМР), Федеральный реестр медицинских организаций (ФРМО), Федеральная электронная регистратура (ФЭР) и Федеральная интегрированная электронная медицинская карта (ИЭМК). Несоблюдение регламентов передачи данных в ЕГИСЗ квалифицируется как грубое нарушение лицензионных требований к медицинской деятельности.

Важнейшим подзаконным актом, регламентирующим практический отказ от бумажных носителей, является Приказ Министерства здравоохранения РФ от 7 сентября 2020 года № 947н «Об утверждении Порядка организации системы документооборота в сфере охраны здоровья в части ведения медицинской документации в форме электронных документов» [1, С. 98]. Данный приказ установил право клиник на полный переход к безбумажному ведению историй болезни, протоколов операций и амбулаторных карт. Однако юридическая сила электронного медицинского документа признается исключительно при условии его подписания усиленной квалифицированной электронной подписью (УКЭП) лечащего врача, а в установленных случаях — дополнительного заверения УКЭП руководителя медицинской организации.

Второй фундаментальный блок законодательства формируют нормы в области защиты информации и персональных данных. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» в статье 10 классифицирует сведения о состоянии здоровья как специальную категорию персональных данных, обработка которых допускается в строго ограниченных случаях — преимущественно в медико-профилактических целях при соблюдении врачебной тайны [6, С. 28]. Требования к технической и криптографической защите таких сведений регламентируются Постановлением Правительства РФ от 1 ноября 2012 года № 1119 [4, С. 8].

В соответствии с Постановлением № 1119 большинство медицинских информационных систем клиник подпадают под классификацию информационных систем персональных данных (ИСПДн) 1-го или 2-го уровня защищенности (УЗ-1, УЗ-2) [4, С. 14]. Это обусловлено тем, что в МИС одновременно обрабатываются специальные категории данных более чем 100 000 субъектов (пациентов), при наличии актуальных угроз 2-го или 3-го типа. Присвоение статуса УЗ-1 обязывает медицинскую организацию реализовать исчерпывающий комплекс технических мер: применение сертифицированных средств защиты информации от несанкционированного доступа (СЗИ НСД), средств межсетевого экранирования (МСЭ), систем обнаружения вторжений (СОВ), а также обеспечение криптографической защиты каналов передачи данных (VPN-шлюзы ГОСТ) при передаче сведений по открытым сетям [1, С. 145].

Особое место в правовом регулировании занимает Федеральный закон от 26 июля 2017 года № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [5, С. 18]. Здравоохранение законодательно отнесено к сферам функционирования критической информационной инфраструктуры (КИИ). Медицинские организации обязаны провести процедуру категорирования своих информационных систем и автоматизированных систем управления. В случае присвоения объекту КИИ одной из трех категорий значимости, учреждение обязано внедрить систему безопасности, строго соответствующую Приказам ФСТЭК России № 239 и № 17, а также организовать непрерывное взаимодействие с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

Общесистемное регулирование информационных процессов обеспечивается Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» [5, С. 22]. Закон закрепляет правовой режим электронных сообщений, презумпцию достоверности информации, порядок блокировки недостоверных сведений, а также возлагает на оператора информационной системы бремя доказывания выполнения всех организационно-технических мер в случае утечки конфиденциальных сведений. В таблице 1 представлена систематизация нормативных требований по ключевым уровням информационной среды медицинской организации.

Организационные меры защиты требуют издания в клинике обширного комплекта локальных нормативных актов: политики обработки персональных данных, регламентов разграничения прав доступа к МИС, инструкций ответственного за информационную безопасность, планов действий при возникновении инцидентов и актов классификации ИСПДн. Руководство клиники несет прямую дисциплинарную, административную (статья 13.11 КоАП РФ с многомиллионными штрафами) и уголовную ответственность (статьи 137, 272, 274.1 УК РФ) за нарушение требований законодательства об информационной безопасности.

Выводы

Проведенный глубокий комплексный анализ показал, что законодательная база, регулирующая информационную среду медицинской организации в Российской Федерации, представляет собой сложнейшую многоуровневую систему взаимно дополняющих норм. Фундаментом цифрового здравоохранения выступает отраслевой Федеральный закон № 323-ФЗ, поддержанный детальными подзаконными актами Минздрава РФ (включая Постановление № 140 о ЕГИСЗ и Приказ № 947н об электронном документообороте), которые гарантируют юридическую легитимность цифровых медицинских документов при обязательном применении УКЭП медперсонала. С другой стороны, законодательство в области защиты персональных данных (№ 152-ФЗ, Постановление № 1119) и безопасности критической информационной инфраструктуры (№ 187-ФЗ, Приказы ФСТЭК России) накладывает на клинику строгие обязательства по нейтрализации актуальных киберугроз и аттестации систем по уровням защищенности УЗ-1/УЗ-2. Успешное и безопасное развитие единого цифрового контура здравоохранения возможно исключительно на основе гармоничного сочетания технических мер защиты информации и непрерывного мониторинга законодательных изменений.

Литература:

1. Баранова, Е. К. Информационная безопасность и защита информации: учебное пособие / Е. К. Баранова, А. В. Бабаш. — 4-е изд. — Москва: РИОР, 2024. — 322 с.
2. Единая государственная информационная система в сфере здравоохранения (ЕГИСЗ): официальный сайт / Министерство здравоохранения РФ. — Москва, 2026. — URL: https://egisz.rosminzdrav.ru (дата обращения: 15.09.2026).
3. Об утверждении Положения о Единой государственной информационной системе в сфере здравоохранения: Постановление Правительства РФ № 140 от 09.02.2022 г. // Собрание законодательства РФ. — 2022. — № 8. — Ст. 1168.
4. Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных: Постановление Правительства РФ № 1119 от 01.11.2012 г. // Собрание законодательства РФ. — 2012. — № 45. — Ст. 6257.
5. Российская Федерация. Законы. Об информации, информационных технологиях и о защите информации: Федеральный закон № 149-ФЗ: [принят Государственной Думой 8 июля 2006 г.: одобрен Советом Федерации 14 июля 2006 г.]. — Москва: Проспект, 2024. — 32 с.
6. Российская Федерация. Законы. О персональных данных: Федеральный закон № 152-ФЗ: [принят Государственной Думой 8 июля 2006 г.: одобрен Советом Федерации 14 июля 2006 г.]. — Москва: Проспект, 2024. — 48 с.
7. Российская Федерация. Законы. Об основах охраны здоровья граждан в Российской Федерации: Федеральный закон № 323-ФЗ: [принят Государственной Думой 11 ноября 2011 г.: одобрен Советом Федерации 16 ноября 2011 г.]. — Москва: Проспект, 2024. — 128 с.