卫生部关于印发《卫生行业信息安全等级保护工作的指导意见》的通知
卫生部
卫生部关于印发《卫生行业信息安全等级保护工作的指导意见》的通知
卫办发〔2011〕85号
各省、自治区、直辖市卫生厅局，新疆生产建设兵团及计划单列市卫生局，部直属各单位，部机关各司局：
为贯彻落实国家信息安全等级保护制度，规范和指导全国卫生行业信息安全等级保护工作，按照公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安〔2009〕1429号）要求，我部结合卫生行业实际，研究制定了《卫生行业信息安全等级保护工作的指导意见》。现印发给你们，请遵照执行。
二〇一一年十一月二十九日
卫生行业信息安全等级保护工作的指导意见
卫生信息安全工作是我国卫生事业发展的重要组成部分。做好信息安全等级保护工作，对于促进卫生信息化健康发展，保障医药卫生体制改革，维护公共利益、社会秩序和国家安全具有重要意义。为贯彻落实国家信息安全等级保护制度，规范和指导全国卫生行业信息安全等级保护工作，制定本指导意见。
一、工作目标
依据国家信息安全等级保护制度，遵循相关标准规范，在卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，明确信息安全保障重点，落实信息安全责任，建立信息安全等级保护工作长效机制，切实提高卫生行业信息安全防护能力、隐患发现能力、应急处置能力，为卫生信息化健康发展提供可靠保障，全面维护公共利益、社会秩序和国家安全。
二、 工作原则
（一）遵循标准，重点保护。遵循国家信息安全等级保护相关标准规范，结合卫生行业信息系统特点，优先保护重要卫生信息系统，优先满足重点信息安全需求。
（二）行业指导，属地管理。卫生行业信息安全等级保护工作实行行业指导、属地管理。地方各级卫生行政部门要按照国家信息安全等级保护制度有关要求，做好本地区卫生信息系统安全等级保护的指导和管理工作。卫生行业各单位要按照“谁主管、谁负责，谁运营、谁负责”的要求，落实信息安全责任。
（三）同步建设，动态完善。在信息系统规划设计与建设过程中，同步开展信息安全等级保护工作。因信息和信息系统的业务类型、应用范围等条件改变导致安全需求发生变化时，应当重新调整信息系统安全保护等级，及时完善安全保障措施。
三、工作机制
地方各级卫生行政部门承担本地卫生信息安全责任，信息化工作领导小组统筹组织本地卫生信息安全等级保护工作。卫生部信息化工作领导小组负责对全国卫生行业信息安全等级保护工作的组织协调、监督指导，并组织开展部机关信息安全等级保护工作。省级、地市级卫生行政部门信息化工作领导小组负责对本地区卫生行业信息安全等级保护工作的组织协调、监督指导，并组织开展本单位信息安全等级保护工作。
卫生部建立信息安全等级保护工作联络员机制，各省级卫生行政部门应当设置信息安全等级保护工作联络员。联络员职责是落实国家信息安全等级保护工作的有关政策和技术标准，掌握本地区信息安全等级保护工作动态和总体情况，代表本地区与卫生部及同级信息安全等级保护管理部门进行日常联系和交流，协调落实本地区信息安全等级保护工作。
卫生部和各省级卫生行政部门应当分别建立信息安全技术专家委员会，参与信息系统定级指导、备案审查、方案论证、安全咨询、安全检查等技术工作。信息安全技术专家委员会应当包含卫生行业、公安机关及信息安全技术等专家。
四、工作任务
（一）定级备案。
1．卫生行业各单位应当对本单位建设与运营的卫生信息系统进行自查，对未定级、定级不准的信息系统,应当按照《信息安全技术信息系统安全等级保护定级指南》开展定级工作。
国家信息安全等级保护制度将信息安全保护等级分为五级：第一级为自主保护级，第二级为指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级。以下重要卫生信息系统安全保护等级原则上不低于第三级：
（1）卫生统计网络直报系统、传染性疾病报告系统、卫生监督信息报告系统、突发公共卫生事件应急指挥信息系统等跨省全国联网运行的信息系统；
（2）国家、省、地市三级卫生信息平台，新农合、卫生监督、妇幼保健等国家级数据中心；
（3）三级甲等医院的核心业务信息系统；
（4）卫生部网站系统；
（5）其他经过信息安全技术专家委员会评定为第三级以上（含第三级）的信息系统。
2.拟定为第三级以上（含第三级）的卫生信息系统，应当经信息安全技术专家委员会论证、评审。
3.卫生行业各单位在确定信息系统安全保护等级后，对第二级以上（含第二级）信息系统，应当报属地公安机关及卫生行政部门备案。跨省全国联网运行并由卫生部定级的信息系统，由卫生部报公安部备案；在各地运行、应用的分支系统，应当报属地公安机关备案。
（二） 建设与整改。
1.对已确定安全保护等级的第二级以上（含第二级）卫生信息系统，应当按照国家信息安全等级保护工作规范和《信息安全技术信息系统安全等级保护基本要求》等国家标准，开展安全保护现状分析，查找安全隐患及与国家信息安全等级保护标准之间的差距，确定安全需求。
2.根据信息系统安全保护现状分析结果，按照《信息安全技术信息系统安全等级保护基本要求》、《信息安全技术信息系统等级保护安全设计技术要求》等国家标准，制订信息系统安全等级保护建设整改方案。第三级以上（含第三级）卫生信息系统安全建设整改方案应当经信息安全技术专家委员会论证。
3.卫生行业各单位应当按照信息系统安全建设整改方案，完善安全保护设施，建立安全管理制度，落实安全管理措施，形成信息安全技术防护体系和信息安全管理体系，有效保障卫生信息系统安全。
（三）等级测评。
1.系统建设整改工作完成后，应当按照《信息安全等级保护管理办法》要求，从全国信息安全等级保护测评机构推荐目录中选择等级测评机构，对第三级以上（含第三级）卫生信息系统进行等级测评。
2.测评合格后，应当将测评报告报属地公安机关及卫生行政部门备案。
3.应当每年对第三级以上（含第三级）卫生信息系统进行等级测评。对于重要部门的第二级信息系统，可参照上述要求进行等级测评。
（四）宣传培训。
1.各级卫生行政部门信息化工作领导小组应当对本地区各级各类医疗卫生机构开展等级保护政策和标准规范培训，提高各单位信息安全管理人员的技术能力和管理水平。
2.卫生行业各单位应当开展内部信息安全培训，提升全员信息安全意识，规范信息安全操作行为，提高信息安全保障能力。
（五）监督检查。
1.卫生部信息化工作领导小组负责督导检查各地医疗卫生机构信息安全等级保护工作落实情况，并督促部机关重要信息系统责任单位开展信息安全等级保护工作。
2.省级卫生行政部门信息化工作领导小组负责督导检查本地区卫生行业各单位信息安全等级保护工作落实情况，并督促本单位开展信息安全等级保护工作。
3.省级卫生行政部门信息化工作领导小组应当于每年年底，向卫生部信息化工作领导小组报送本地区信息系统定级备案、建设整改、等级测评和自查等工作开展情况。
五、 工作要求
（一）高度重视，加强领导。卫生行业各单位要高度重视，充分认识信息安全等级保护工作对保护居民健康信息安全、医疗卫生机构正常运转和社会稳定的重要意义。各单位主要负责同志要负总责，分管负责同志要具体抓，明确职责与任务，突出重点，将信息安全等级保护工作列入重要议事日程和工作绩效考核指标，一级抓一级，层层抓落实。
（二）保障经费，加强监管。卫生行业各单位要建立经费投入机制，将信息安全等级保护建设整改、等级测评、信息安全服务、技术培训等费用纳入信息化建设预算，并加强对资金使用的监管。
（三）加强沟通，密切合作。各级卫生行政部门应当加强与本地信息安全等级保护管理部门的沟通交流，建立协作机制，在信息安全等级保护工作中的定级备案、建设整改、等级测评、监督检查等环节密切合作，共同推进信息安全等级保护工作。
甘肃省实施《医疗机构管理条例》办法
甘肃省人民政府
甘肃省人民政府令第21号
《甘肃省实施〈医疗机构管理条例〉办法》已经１９９６年１１月５日省人民政府第３９次常务会议审议通过，现予发布施行。
代省长 孙英
一九九六年十二月十日
甘肃省实施《医疗机构管理条例》办法
第一章 总 则
第一条 为加强医疗机构的管理，促进卫生事业发展，保障公民健康，根据国务院发布的《医疗机构管理条例》（以下简称条例）和卫生部发布的《医疗机构管理条例实施细则》（以下简称细则）的有关规定，结合我省实际，制定本办法。
第二条 本办法适用于本省辖区范围内从事疾病诊断、治疗及相关医疗活动的各级各类医疗机构。
计划生育技术服务、法医技术鉴定及其他相关机构在本机构业务范围之外开展诊疗活动；血液中心、中心血站、单采血浆站；药物依赖治疗院（站、所）及其他诊疗机构必须依据本办法，申请设置相应类别的医疗机构。
第三条 中国人民解放军和中国人民武装警察驻甘部队编制外的医疗机构，由所在地县以上人民政府卫生行政部门按照《条例》、《细则》和本办法管理；编制内的医疗机构向社会开放，必须经所在地县以上人民政府卫生行政部门批准备案。
第二章 设置审批
第四条 县级以上卫生行政部门依据《医疗机构设置规划指导原则》，制定本行政区域《医疗机构设置规划》，经上一级卫生行政部门审核，报同级人民政府批准，在本行政区域内发布实施。
《医疗机构设置规划》每5年修订一次。
第五条 县级以上卫生行政部门应当对《医疗机构设置规划》，实施情况定期评价，并将评价结果按年度向上一级卫生行政部门和同级人民政府报告。
第六条 县级以上人民政府卫生行政部门是审批医疗机构设置的主管机关，其它单位和个人无权审批医疗机构设置。
第七条 医疗机构设置审批权限划分如下：
一、省卫生行政部门负责审批的医疗机构：
（一）床位在100张以上的综合医院和床位在60张以上的中医医院、中西医结合医院、民族医医院、疗养院、康复医院、妇幼保健院、急救站；
（二）各种专科疾病防治机构；
（三）省属医疗机构；
（四）中央在甘和省直各部门、省直各企业事业单位创办的设置床位的医疗机构；
（五）药物依赖治疗院、所、站；
（六）血液中心、中心血站、单采血浆站；
（七）中国人民解放军和中国人民武装警察部队驻甘编制外设置床位的医疗机构。
二、地、州、市卫生行政部门负责审批的医疗机构：
（一）床位在100张以下（不含100张）的综合医院和床位在60张以下（不含60张）的中医医院、民族医医院、康复医院、妇幼保健院；
（二）护理院；
（三）中心卫生院、街道卫生院；
（四）各县（市、区）所在城（镇）市（城）区范围内的综合门诊部、专科门诊部、中医门诊部、中西医结合门诊部、民族医门诊部；诊所、中医诊所、民族医诊所、卫生所、卫生保健所、卫生站；
（五）中央在甘和省各部门、省直各企业事业单位创办的不设床位的医疗机构；
（六）中国人民解放军和中国人民武装警察部队驻甘编制外不设置床位的医疗机构；
（七）省级卫生行政部门审批（不含省级卫生行政部门直属和中央在甘企事业单位创办）的医疗机构的初审。
三、县（市、区）卫生行政部门负责审批的医疗机构：
（一）乡（镇）卫生院、综合门诊部、专科门诊部、中医门诊部、中西医结合门诊部、民族医门诊部；
（二）诊所、中医诊所、民族医诊所、卫生所、医务室、卫生保健所、卫生站、护理站；
（三）上述第七条除第二款第七项外有关医疗机构设置审批的初审；
（四）其他医疗机构。
第八条 有《细则》第十二条列举的和下列情形之一的，不得申请设置医疗机构：
（一）各级各类医疗机构在职人员、因病退职退休人员；停薪留职的人员（在乡、镇以下地区设置医疗机构者除外）；
（二）被医疗机构开除公职6年内，留院察看期满后2年内，受到降级、降职以上处分未满2年以及擅自离职未满5年的医务人员；
（三）患传染病未愈或其他健康原因不适合执业行医的个人。
第九条 在城市（包括县级建制镇）设置门诊部、诊所、卫生所（室）的个人，必须具备下列条件：
（一）经医师执业技术考核合格，取得《医师执业证书》；
（二）取得《医师执业证书》或者医师职称，在二级以上医疗机构从事同一专业临床工作5年以上；
（三）有所在城镇常住户籍和身份证。
在一般乡镇和乡村设置诊所、门诊部、卫生所（室）的个人的条件：
（一）取得医师证书、医师职称或经省人民政府卫生行政部门技术考核合格，取得《医师（士）合格证书》；
（二）取得《医师执业证书》或取得医师职称，在一级以上医疗机构从事同一专业临床工作3年以上；取得《医士执业证书》或取得医士职称，在一年以上医疗机构从事同一专业临床工作5年以上；
（三）有所在县（市、区）常住户籍和身份证；
第十条 国家机关、企业事业组织、社会团体和公民个人在《条例》颁布前已设置的各类医疗机构（已向社会开放），凡不符合本《办法》规定的，按本《办法》予以规范。
第十一条 申请设置门诊部、诊所、卫生所、医务室、卫生保健所、卫生站、村卫生室（所）、护理站等医疗机构，向有批准权限的卫生行政部门提交可行性研究报告，必须有《细则》第十五条中第（一）、（二）、（五）、（六）、（七）、（八）、（九）、（十二）、（十三）款
规定的内容。
第十二条 《设置医疗机构批准书》的有效期：
（一）省人民政府卫生行政部门审批的医疗机构为2年；
（二）地、州、市卫生行政部门审批的医疗机构为1年；
（三）县（市、区）人民政府卫生行政部门批准的医疗机构为6个月。
逾期仍未实施建设的，《设置医疗机构批准书》自动失效。
第三章 登记与校验
第十三条 医疗机构执业，必须向县级以上人民政府卫生行政部门申请登记，取得《医疗机构执业许可证》。
《医疗机构执业许可证》有效时限：由省人民政府卫生行政部门登记为5年，由地、市、州卫生行政部门登记的为4年，由县、市、区人民政府卫生行政部门登记的为3年。
第十四条 在《条例》实施前已执业并符合现行《医疗机构设置规划》的各级各类医疗机构，应在本办法发布后6个月内，向有批准权限的卫生行政部门申请办理登记手续。
第十五条 医疗机构另设的分院、门诊部，应作为新设置的医疗机构申请设置许可和执业登记。必须经登记机关批准。
第十六条 各级各类医疗机构达到《医疗机构基本标准》的，由审批机关发给《医疗机构执业许可证》。
第十七条 各级各类医疗机构，有下列情形之一的应暂缓登记：
（一）经审核未达到基本标准；
（二）登记前1年内发生严重的院内感染事故；
（三）登记前1年内发生一级医疗责任事故或其它重大责任事故未得到妥善处理；
（四）有严重医德医风问题，社会反响较大，未及时得到纠正。
暂缓登记时间不超过6个月，逾期不具备条件的，停止执业。
第十八条 医疗机构出现《细则》第三十七条列举的和下列情形之一的，登记机关将给予1至6个月的暂缓校验期：
（一）发生二级及二级以上医疗责任事故或其他重大责任事故尚未妥善处理；
（二）医德医风综合评价不合格；
（三）发生严重的院内感染事故。
第四章 名 称
第十九条 医疗机构名称中含有“甘肃”、“甘”、“陇”、“全省”的必须由省级卫生行政部门核准。
第二十条 各级各类医疗机构的名称必须符合《细则》和本办法的规定，不符合规定的应改换或重新申请名称，并经登记机关核准。核准登记的新名称，在领取《医疗机构执业许可证》后方可使用，在核准机关辖区范围内享有专用权。
第五章 执业管理
第二十一条 任何单位或个人，未取得《医疗机构执业许可证》，不得开展诊疗及相应的业务活动。
《医疗机构执业许可证》不得出租、借用、转让、涂改、伪造。
第二十二条 医疗机构执业使用的各种印章及病历、诊疗手册、处方、证明等医疗文书样件应当报登记机关核准备案；
标有医疗机构标识的票据和病历本册以及处方笺、各种检查申请单、报告单、证明文书（单）、药品分装袋、制剂标签等不得买卖、出借和转让。
第二十三条 医疗机构应当按照分级管理的有关规定、加强医疗质量管理，实施医疗质量保证方案，确保医疗安全和服务质量，不断提高服务水平。
第二十四条 医疗机构不准使用非卫生技术人员从事医疗卫生技术工作；聘用社会医务人员，必须向登记机关办理资格审查等有关手续。
第二十五条 医疗机构只限于向本医疗机构就诊的病人提供药品，提供药品应当以本医疗机构的处方笺为据。
医疗机构用药以处方制度规定的剂量为限，必须以本机构的处方为据，不得以盈利为目的的出售药品、器械或其他商品。
为内部职工服务的医疗机构除急诊、急救外，未经许可和变更登记不得向社会开放。
第六章 监督管理
第二十六条 县及县以上人民政府卫生行政部门应设立医疗监督管理机构，履行《细则》第六十九条规定的监督管理职责。
第二十七条 县以上各级人民政府卫生行政部门应建立医疗机构监督制度。医疗机构监督员由同级卫生行政部门考核聘任，按照国家有关规定行使职权。
第二十八条 各级卫生行政部门对医疗机构的执业活动应按《细则》第七十二条规定和下列各项内容进行检查和指导：
（一）医疗服务工作效率情况；
（二）医院经济收入和成本效益分析；
（三）医院内感染监控和感染发生情况；
（四）医疗差错、事故发生及登记、报告、处理情况；
（五）卫生行政部门下达的各项任务完成情况。
第二十九条 全省实行医疗机构评审制度，对医疗机构的基本标准、执业活动、医疗质量、技术及管理水平等进行综合评价。县级以上卫生行政部门负责医疗机构评审的组织和管理；各级医疗机构评审委员会负责医疗机构评审的具体实施。
医疗机构分级管理评审按省人民政府卫生行政部门颁发的有关规定进行。
第七章 处 罚
第三十条 违反本办法有关规定的，由县级以上各级人民政府卫生行政部门依据《条例》、《细则》和国家有关规定予以处罚。
第三十一条 当事人对行政处罚决定不服的，可依法申请行政复议或者提起行政诉讼。
逾期不申请复议、不起诉又不履行行政处罚决定的，由作出决定的卫生行政部门，向人民法院申请强制执行。
第八章 附 则
第三十二条 本办法未涉及的按《条例》、《细则》的规定处理。
第三十三条 本办法所称的技术规范，系指《细则》第八十八条规定的内容和省卫生行政部门制定或者认可的与诊疗活动有关的技术标准、操作规程和管理规范性文件。
第三十四条 外国人员及香港、澳门、台湾居民在甘肃境内设置医疗机构或短期行医的管理，按国务院卫生行政部门有关规定执行。
第三十五条 本办法实施中的具体应用问题，由省卫生行政部门负责解释。
第三十六条 本办法自发布之日起施行。
1996年12月10日
