医院各系统等保定几级：HIS、PACS 逐个看
医院做等保，信息科最常问的一句话是"我们这套系统该定几级"。但真正容易出错的地方不在等级本身，而在定级对象怎么拆——拆错了，后面填表、评审、备案、测评全要推倒重来。
下面按医院里最常见的几套系统逐一说清楚等级判断的思路，也把医疗行业比通用要求更严的几个时间点列出来。
先拆对象：医院里到底有几个定级对象
定级的第一步不是选等级，是数清楚"有几个系统"。不少单位习惯按科室数、按机房数、按服务器数，这几种数法都不对。
正确的拆法看两条线：业务信息是否独立、系统服务是否独立。业务数据和运行自成一体、中断影响范围能单独描述的，可作独立对象；共用同一数据库、同一入口、停机影响完全重合的，硬拆成两个反而会被要求合并。
医院里常见的拆分结果大致是这样：
- 医院信息系统（HIS）：门诊、住院、收费、医嘱通常是一体的，算一个对象；
- 检验信息系统（LIS）：与检验设备直连、报告回传临床，通常单独成对象；
- 影像系统（PACS）：存储 CT、MRI 原始影像，数据量大、调阅路径独立，单独成对象；
- 电子病历（EMR）：如果与 HIS 是同一套数据库，可并入 HIS；独立部署则单独定级；
- 互联网医院平台：面向公网、独立入口，必须单独成对象；
- 门户网站、办公 OA、HRP：各自独立。
拆完对象再谈等级，顺序不能倒。判断逻辑与通用的等保定级方法一致，只是医疗数据更敏感，容易往高里压。
定级的两个要素：客体和侵害程度
按 GB/T 22240-2020 的定级方法，等级由两个要素决定：系统受到破坏后侵害的客体（公民法人和其他组织的合法权益、社会秩序和公共利益、国家安全），以及对该客体的侵害程度（一般、严重、特别严重）。
同时还要分两条线各自判断，再取较高者：
- 业务信息安全：数据被泄露、篡改、伪造后的影响——医院里主要是患者身份信息、病历、检验影像结果；
- 系统服务安全：服务中断后的影响——门诊挂号停摆、医嘱无法下达、手术排程失效。
医院大部分核心系统落在"社会秩序和公共利益"这一档：一家三甲医院的门诊系统停两小时，影响的是当天几千人的就医秩序。医疗行业定级整体偏高，根源在这里。
常见系统的等级对照
下面这张对照表是行业内的普遍做法，不是法定结论，最终等级仍以本单位定级报告和主管部门审核结果为准。
- HIS：三级医院核心业务系统普遍定三级；部分二级医院、业务量小的机构定二级。
- LIS：与检验设备直连、结果直接用于诊断，普遍定三级。
- PACS：影像原始数据敏感且体量大，普遍定三级。
- 电子病历（EMR）：含完整诊疗记录，普遍定三级。
- 互联网医院平台：按《互联网医院管理办法（试行）》，承载互联网医院的平台应实施第三级等级保护，这是硬要求，没有降级空间。
- 与区域健康平台、医保接口双向交换的系统：数据流出本机构、进入区域平台，普遍按三级处理。
- 门户网站：只发布公开信息、不与患者数据交互的，一级或二级；挂了预约挂号、报告查询的，按承载个人信息量上调。
- 办公 OA、HRP：不接触核心诊疗数据，多为二级。
还有一条容易被忽略的线：多地卫健部门明确，辖区医疗卫生机构运行的信息系统定级原则上不低于二级；开办互联网医院的核心业务系统、承载百万级患者诊疗信息的平台、与其他三级系统双向交换数据的系统，应当定为三级。地方口径差异较大，落笔前须向属地卫健部门和公安网安确认，以属地要求为准。
医疗行业比通用要求更严的两个时间点
这是很多医院容易踩空的地方——通用规定和行业专项规定不一致时，行业规定优先。
备案时限。通用的《信息安全等级保护管理办法》口径是等级确定后 30 日内到公安机关备案；而《医疗卫生机构网络安全管理办法》（国卫规划发〔2022〕29 号）把这个窗口压缩到 10 个工作日，并要求同步报上级卫生健康行政部门。新建网络在规划和申报阶段就要确定等级，不能等上线后再补。
测评周期。三级及以上网络每年至少开展一次等级测评，这条与通用要求一致；二级网络的差别在医疗行业被写得更细——涉及 10 万人以上个人信息的，至少三年一次；其余二级网络至少五年一次。此外，新建网络上线运行前应先做安全性测试，这一条常被忽略。
备案材料可对照等保备案材料清单逐项核，齐不齐直接影响受理速度。
定级报告写完，还要过哪几关
定级报告写完不等于定级完成，后面还有三道关：
- 专家评审：二级以上系统通常要组织专家论证定级合理性，评审意见要留档；
- 主管部门审核：医疗机构需报上级卫生健康行政部门审核同意；
- 公安备案：审核通过后到属地公安机关备案，拿到备案证明才算落地。
被退回最常见的理由是"定级理由太笼统"——只写"该系统重要"，没写清客体是什么、侵害程度为何判为严重。这部分要能对上具体数据：覆盖多少患者、多少条记录、中断影响多少科室。
三个常见误区
一是把"等级高"当成"更安全"。等级是保护要求的起点，不是安全水平的结果。定成三级但按二级建，测评时一样通不过；定成二级而实际业务该定三级，会被要求重新定级。
二是按医院等级直接套系统等级。三级医院不等于所有系统都是三级，二级医院也不等于全部二级。判断依据始终是系统本身的业务影响。
三是漏掉新建系统。上线的子系统、临时搭建的科研数据平台、第三方托管的随访系统，只要处理患者数据都要纳入梳理范围。这类系统多是在检查时才被发现，补做成本更高。
定级定准了，后面的整改实施和测评才有靶心。拿不准的系统，建议填表前把对象清单和等级理由做成一页说明，先找属地网安对一遍，比自己写完再退回来改省事。