青海医院注意：五部委医疗数据安全新规落地，这三件事必须马上做

一、新规说了什么？

2026年2月，国家卫健委、公安部、国家网信办、国家中医药局、国家疾控局联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6号），自印发之日起施行。七章四十条，核心要求如下：

1. 数据分类分级：核心/重要/一般

医疗卫生机构数据分三级。不同级别混处理且难分别保护时，按最高级别保护。

• 重要数据：三级及以上等保
• 核心数据（非关基）：四级等保
• 核心数据（关基）：等保基础上落实关基保护

2. 核心数据五个"优先"

处理核心数据时，在重要数据要求之上：

• 优先使用商用密码进行保护（这是商密增量市场的制度锚点）
• 优先使用安全可信产品和服务
• 优先委托第三方评估机构做风险评估
• 核心数据安全事件处置、溯源相关日志不少于三年
• 关键岗位人员提交公安、国安做国家安全背景审查

3. 重要数据年评

处理重要数据的机构，每年度对处理活动开展风险评估，向省级及以上卫生健康行政部门报送。这与2026年8月20日施行的《网络数据安全风险评估办法》同向。

4. 责任钉死到一把手

县级以上机构成立网络安全和信息化工作领导小组，主要负责人任组长；每年至少开一次数据安全和个人信息保护会议；主要负责人是第一责任人，分管负责人是直接责任人。

这不是"信息科单独扛锅"的文件——业务科室越权看病历、科研乱导出、运维无监管远程，都在责任地图里。

二、为什么说医疗是"第三大增量市场"？

行业里常说：金融、政务之后，医疗是商用密码与数据安全的第三大增量市场。这句话成立，不是因为口号，而是因为条文把"核心/重要数据→等保级别→商密优先→日志与背景审查"写成了可检查的链条。

商密增量市场的制度锚点，就在这里。不是"鼓励加密"，而是核心数据保护清单里的第一项优先项，并与密评、等保四级、背景审查绑在一起。

三、青海医院必须马上做的三件事

第一件：启动数据资产盘点（30天内）

青海医院必须立即摸清自己的数据家底：

• 临床数据（电子病历、检验检查、影像等）
• 科研数据（临床试验、学术研究等）
• 运营管理数据（财务、人事、物资等）
• 医疗设备数据（IoT设备、远程运维等）
• 互联网医院数据（在线问诊、处方流转等）

紧急止血：叫号屏/报告单去标识；禁微信传含身份信息的检查单；关停无监管远程运维账号。

第二件：等保升级+商密评估（90天内）

根据数据分类分级结果，确定等保级别：

• 重要数据系统：至少三级等保
• 核心数据系统：四级等保+商用密码评估

关键动作：联系有CCRC资质的安全服务商，进行等保测评和商密评估。惠康电子具备CCRC信息安全服务资质（风险评估、应急处理、安全运维、安全集成），可为青海医院提供一站式合规服务。

第三件：建立持续运营机制（12个月内）

新规要求的不是"一次性过等保"，而是持续运营：

• 重要数据年评（每年度）
• 数据安全风险评估（重大变更时）
• 应急预案演练（定期）
• 权限治理（持续）
• 日志留存（重要数据≥1年，核心数据≥3年）

四、惠康电子如何帮助青海医院？

作为青海本地的网络安全服务商，惠康电子具备以下能力：

免费服务：惠康电子为青海医院提供免费合规差距评估，帮助医院快速了解自身与新规要求的差距，制定整改路线图。