美国《健康基础设施安全与问责法案》（HISAA）重新提出：医疗网络安全从自愿指南转为强制最低标准与年度CEO签署确认

法案给出的理由是一组数据：HISAA于2024年首次提出时，已有394起与黑客攻击相关的大规模泄露向HHS民权办公室报告，涉及约4300万美国人的受保护健康信息；两年后，两位参议员引用的年内数字增至426起攻击相关泄露、约7300万人受影响，暴露人数增幅约70%。参议员将这类攻击定性为医疗机构及其业务伙伴“松懈的网络安全实践”所导致、且“完全可以预防”的结果。

法案核心要求适用于受监管实体及其业务伙伴，覆盖面远超医院：由HHS建立、执行并至少每两年更新的强制最低网络安全标准，对“系统重要性”实体适用更高要求；针对技术故障与破坏性网络攻击的连续性与恢复计划，并通过压力测试证明关键功能确可恢复；年度风险分析，包括对通过业务伙伴传导的风险的专门评估；由CEO与首席信息安全官签署的年度书面确认；对安全措施的独立审计，以及HHS每年对至少20家受监管实体的审计。

处罚方面，法案将提高现行上限并设定逐级递增的最低处罚：从“不知情”情形500美元，到未整改的故意疏忽情形25万美元。为缓解中小与农村机构的压力，法案配套约13亿美元投入，其中8亿美元用于农村及服务不足地区医院采用基础目标，5亿美元用于采用增强目标。

从合规实务看，HISAA最具传导力的一点是把“业务伙伴风险”写成受监管实体自身的义务：诊所、小型执业机构同样属于受监管实体，其执业管理系统托管商、账单服务商、影像软件供应商均属业务伙伴。当法案要求机构评估供应商传导的风险时，外包方的安全失守即成为自身的合规问题。这一逻辑与近期美国44州与Labcorp就第三方催收商AMCA泄露达成的和解一致——工作可以委托，数据安全的法律义务无法外包。