NIS2 nel settore sanitario

La NIS2 nel settore sanitario

La sanità è nell’Allegato I del D.Lgs. 138/2024, tra i settori ad alta criticità. Il perimetro si applica a soggetti pubblici e privati che superano le soglie di media impresa: almeno 50 dipendenti, oppure fatturato o bilancio oltre 10 milioni di euro, calcolati anche sulle imprese collegate.

Di norma le grandi strutture dell’Allegato I sono soggetti essenziali, con vigilanza anche ex ante (ispezioni e audit) e un set più ampio di misure di base ACN; le medie strutture sono di norma soggetti importanti. Gruppi di cliniche, poliambulatori e laboratori collegati vanno valutati insieme. La categoria va confermata con una verifica del perimetro e con le comunicazioni ACN.

Se produci dispositivi medici, invece, rientri nella fabbricazione dell’Allegato II: vedi la pagina sul settore manifatturiero.

I rischi tipici

• Blocco dei sistemi clinici: cartella clinica, CUP, sistemi di laboratorio e di diagnostica per immagini non disponibili, con ritorno alla carta e ritardi su esami e dimissioni.
• Dispositivi medici in rete: apparecchiature diagnostiche e di monitoraggio con software datato, aggiornabili solo dal produttore.
• Dati sanitari: referti e immagini esfiltrati, con violazione dei dati personali da gestire anche ai sensi del GDPR.
• Postazioni condivise: PC di reparto con utenze generiche, password scritte sul monitor, sessioni aperte tra un turno e l’altro.
• Fornitori ICT con accesso remoto: software house del gestionale, assistenza sulle apparecchiature, servizi esternalizzati.
• Accessi fisici: reparti aperti al pubblico, sale server e locali tecnici raggiungibili da corridoi frequentati.

Cosa chiede la norma in pratica

Le misure dell’art. 24 chiedono analisi dei rischi, gestione degli incidenti, continuità operativa, controllo degli accessi, autenticazione a più fattori, crittografia, gestione degli asset e sicurezza dei fornitori. In una struttura sanitaria significa, ad esempio:

• un inventario che includa PC e apparecchiature collegate alla rete;
• utenze nominative e autenticazione a più fattori per gli accessi remoti e amministrativi;
• procedure di continuità che dicano come lavorano accettazione e reparti se i sistemi sono fermi;
• contratti con i fornitori ICT che prevedano sicurezza, gestione delle vulnerabilità e obbligo di segnalare gli incidenti.

Un incidente significativo va pre-notificato al CSIRT Italia entro 24 ore, notificato entro 72 ore e chiuso con relazione finale entro un mese. Se coinvolge dati dei pazienti c’è anche il data breach GDPR: conviene un’unica procedura che gestisca entrambe le notifiche. La direzione approva le misure, segue una formazione specifica e ne risponde.

Sicurezza fisica e AI nel settore

L’approccio multirischio porta nell’analisi furti, incendi, allagamenti, interruzioni di corrente e accessi non autorizzati. In sanità contano i varchi tra aree pubbliche e aree tecniche, la protezione delle sale server, l’alimentazione di continuità dei sistemi clinici, la gestione delle chiavi e dei badge del personale esterno. Vedi sicurezza fisica.

Per l’AI in sanità la Legge 132/2025 stabilisce che l’intelligenza artificiale supporta ma non sostituisce la decisione del medico, e detta regole sul trattamento dei dati per la ricerca. L’alfabetizzazione AI è obbligatoria dal 2 febbraio 2025, e l’uso di assistenti generativi con dati dei pazienti va regolato da una policy. Approfondisci in AI Act e Legge 132/2025.

Pronto soccorso e reparti di degenza non chiudono mai: la sicurezza fisica deve reggere di notte e nei festivi, quando il presidio è ridotto. Conta chi può entrare nei locali tecnici, chi ha le chiavi degli armadi di rete ai piani, come si identificano i tecnici esterni che arrivano per un intervento urgente su un’apparecchiatura.

Sull’AI guarda anche gli usi amministrativi: assistenti per scrivere lettere di dimissione, trascrizioni, chatbot per le prenotazioni. Il chatbot ha obblighi di trasparenza verso il paziente. Inserire dati sanitari in un servizio generativo esterno è anche una questione GDPR: base giuridica, informative, DPIA. Una policy di utilizzo dell’AI fissa le regole per medici, infermieri e amministrativi.

Uno scenario tipico

1. 01
   Notte, ore 2

   Il medico di guardia non riesce ad aprire la cartella clinica; poco dopo anche il sistema di laboratorio smette di rispondere. L’accesso è avvenuto con l’utenza di un fornitore, rimasta attiva con una password debole.

2. 02
   Ore 3

   Il reperibile IT conferma l’attacco. I reparti passano alla carta, ma i moduli non sono aggiornati e nessuno sa dove siano le copie stampate.

3. 03
   Entro 24 ore

   Servizi clinici degradati e possibile accesso ai dati dei pazienti: va valutata la significatività e, se ricorre, inviata la pre-notifica al CSIRT Italia. In parallelo parte la valutazione del data breach ai sensi del GDPR.

4. 04
   Entro 72 ore

   Notifica con valutazione iniziale, gravità, impatto e indicatori di compromissione. La direzione va informata e coinvolta nelle decisioni.

5. 05
   Entro un mese

   Relazione finale, oppure relazione mensile se l’incidente è ancora in corso.

Cosa avrebbe ridotto l’impatto: revoca periodica delle utenze dei fornitori non più necessarie, autenticazione a più fattori sugli accessi remoti, procedure cartacee pronte e provate con i reparti, un unico processo per le due notifiche.

Fornitori e terze parti tipiche

Una struttura sanitaria dipende da molti soggetti esterni con accesso ai sistemi o ai dati. I più comuni:

• software house di cartella clinica, CUP, sistemi di laboratorio e di diagnostica per immagini;
• produttori e assistenza tecnica delle apparecchiature elettromedicali, spesso collegati da remoto;
• servizi esternalizzati: refertazione, laboratori di analisi, archiviazione delle immagini, call center;
• manutentori di impianti, imprese di pulizia e vigilanza che entrano nei locali tecnici;
• fornitori di servizi cloud e di posta elettronica.

Per ciascuno servono una valutazione proporzionata al rischio, clausole su sicurezza e segnalazione degli incidenti e, per chi tratta dati dei pazienti, il corretto inquadramento GDPR. Dal 2026 l’elenco dei fornitori rilevanti va comunicato all’ACN. Vedi sicurezza della supply chain.

Da dove partire

1. 01
   Perimetro e categoria

   Struttura singola o gruppo, soglie, registrazione sul portale ACN.

2. 02
   Inventario clinico e tecnico

   Sistemi clinici, apparecchiature in rete, fornitori con accesso remoto.

3. 03
   Gap analysis integrata

   Misure di base ACN e GDPR valutate insieme, con registri e DPIA allineati.

4. 04
   Continuità delle cure

   Procedure di lavoro in modalità degradata, provate con i reparti.

5. 05
   Formazione

   Direzione e personale sanitario, con attenzione a credenziali e postazioni condivise.

Domande frequenti