In breve
La sanità è uno dei settori ad alta criticità della NIS2. Ospedali, aziende sanitarie, strutture private e laboratori che superano le soglie dimensionali devono adottare misure di sicurezza, notificare gli incidenti al CSIRT Italia e rispondere a organi di amministrazione responsabili in prima persona. A questo si sommano la resilienza dei soggetti critici, il GDPR per i dati sanitari e, per i dispositivi medici, gli obblighi dei fabbricanti che l’ospedale deve saper chiedere.
Chi rientra nella NIS2
Il D.Lgs. 138/2024 inserisce nel settore sanità, tra i settori ad alta criticità (Allegato I):
- i prestatori di assistenza sanitaria, cioè chiunque presti legalmente assistenza sanitaria: ospedali, aziende sanitarie, case di cura, strutture private e laboratori;
- i laboratori di riferimento dell’Unione europea;
- chi svolge attività di ricerca e sviluppo sui medicinali;
- chi fabbrica prodotti farmaceutici di base e preparati farmaceutici;
- chi fabbrica dispositivi medici considerati critici durante un’emergenza di sanità pubblica.
Gli altri fabbricanti di dispositivi medici e di dispositivi medico-diagnostici in vitro sono tra gli altri settori critici (Allegato II). Le soglie dimensionali valgono di norma dalle medie imprese in su; le aziende sanitarie locali compaiono anche nell’elenco delle amministrazioni pubbliche del decreto.
Per chi entra nell’elenco NIS nel 2026 il calendario è quello fissato dall’ACN: referente CSIRT entro il 31 dicembre, notifica degli incidenti dal 1° gennaio 2027, misure di base entro il 31 luglio 2027. Lo abbiamo descritto nell’articolo sui soggetti inseriti nel 2026.
Soggetti critici
Il D.Lgs. 134/2024, che recepisce la direttiva CER sulla resilienza dei soggetti critici, comprende anche la sanità. Chi viene individuato come soggetto critico deve valutare i rischi anche non informatici, come eventi naturali, guasti e sabotaggi, adottare misure di resilienza e notificare entro 24 ore gli incidenti che perturbano in modo significativo il servizio essenziale.
Dispositivi medici: cosa chiedere al fabbricante
Il Regolamento (UE) 2017/745 chiede ai fabbricanti di sviluppare il software dei dispositivi secondo lo stato dell’arte, sicurezza delle informazioni compresa, e di indicare i requisiti minimi di hardware, di rete e di sicurezza informatica, inclusa la protezione dagli accessi non autorizzati (Allegato I, punti 17.2 e 17.4). Le linee guida MDCG 2019-16 spiegano come.
Per l’ospedale questo significa due cose. In gara si possono chiedere quelle informazioni e il piano di aggiornamento per tutta la vita del dispositivo. In reparto vanno usate: inventario dei dispositivi collegati, reti separate, accessi dei tecnici del fabbricante solo quando servono e tracciati.
Dati sanitari
I dati sanitari sono categorie particolari di dati personali (art. 9 GDPR). Una violazione va notificata al Garante entro 72 ore se presenta un rischio per le persone, e comunicata agli interessati se il rischio è elevato. Dopo un ransomware la domanda decisiva è quasi sempre la stessa: i dati sono stati solo cifrati o anche portati via?
Il Regolamento (UE) 2025/327, pubblicato nella Gazzetta ufficiale dell’Unione nel marzo 2025, istituisce lo Spazio europeo dei dati sanitari e porterà nei prossimi anni requisiti anche per i sistemi di cartella clinica elettronica.
Il quadro in una tabella
| Norma | A chi si applica | Cosa chiede |
|---|---|---|
| NIS2 (D.Lgs. 138/2024) | Prestatori di assistenza sanitaria, laboratori, farmaceutico, fabbricanti di dispositivi medici, almeno medie imprese; aziende sanitarie locali | Misure di sicurezza, notifica degli incidenti al CSIRT Italia, responsabilità degli organi di amministrazione |
| Soggetti critici (D.Lgs. 134/2024) | Strutture individuate dall’autorità di settore | Valutazione del rischio, misure di resilienza, notifica entro 24 ore |
| GDPR | Chiunque tratti dati sanitari | Misure adeguate, valutazioni d’impatto, notifica delle violazioni entro 72 ore |
| Regolamento (UE) 2017/745 | Fabbricanti di dispositivi medici | Software secondo lo stato dell’arte e requisiti minimi di sicurezza informatica per l’uso |
Non è teoria: quattro casi, due italiani
- Maggio 2021, servizio sanitario irlandese (HSE). Il ransomware Conti costrinse a spegnere i sistemi informativi: radiologia, laboratori e radioterapia rallentati o fermi, appuntamenti cancellati, personale al lavoro su carta. La Corte dei conti irlandese ha contato circa 51 milioni di euro di costi sostenuti dall’HSE solo nel 2021.
- Agosto 2021, Regione Lazio. Un attacco ransomware al centro elaborazione dati regionale rese irraggiungibile il portale di prenotazione dei vaccini anti-Covid; le prenotazioni furono sospese e le vaccinazioni proseguirono con procedure manuali.
- Maggio 2023, ASL 1 Abruzzo. Il gruppo Monti cifrò i sistemi: per circa due settimane solo urgenze e prenotazioni su carta. Poi pubblicò centinaia di gigabyte di referti e cartelle cliniche.
- Giugno 2024, Synnovis. L’attacco al laboratorio di analisi di diversi ospedali londinesi costrinse due grandi ospedali londinesi a rinviare, in meno di quattro mesi, oltre 10.000 visite ambulatoriali e oltre 1.700 interventi programmati.
Il filo comune: in sanità l’impatto si misura sui pazienti, e i tempi di ripristino sono lunghi anche per organizzazioni grandi e strutturate.
Da dove cominciare
- Verificare se la struttura rientra nella NIS2, con quale classificazione, e se è stata individuata come soggetto critico.
- Elencare i processi clinici essenziali e i sistemi da cui dipendono: accettazione, pronto soccorso, laboratorio, diagnostica, terapie.
- Preparare e provare le procedure di lavoro senza sistemi: moduli cartacei, priorità di ripristino, deviazione delle ambulanze.
- Fare l’inventario dei dispositivi medici collegati in rete e separarli dal resto della rete.
- Inserire i requisiti di sicurezza nei capitolati di apparecchiature, software clinico e servizi in cloud.
- Allenare direzione sanitaria e direzione strategica con un’esercitazione su un incidente realistico.
Come possiamo aiutarvi
Seguiamo ospedali, strutture sanitarie e industria farmaceutica nell’adeguamento NIS2, nella sicurezza dei dispositivi medici e nella continuità dei reparti, con l’incarico di DPO quando serve.
Il servizio per la sanità →Fonti
D.Lgs. 138/2024, Allegati I, II e III; Determinazioni ACN n. 127434 e n. 127437 del 13/04/2026; D.Lgs. 134/2024; Regolamento (UE) 2016/679, artt. 9, 33 e 34; Regolamento (UE) 2017/745, Allegato I, punti 17.2 e 17.4; MDCG 2019-16; Regolamento (UE) 2025/327. Casi: AGI sull’attacco alla Regione Lazio (agosto 2021); Comptroller and Auditor General irlandese, relazione 2022 sull’attacco all’HSE; Cybersecurity360 sull’attacco alla ASL 1 Abruzzo (maggio 2023); NHS England sull’attacco a Synnovis (aggiornamento del 26 settembre 2024).