Punti chiave

• Gli ospedali sono soggetti essenziali ai sensi dell'Allegato I della NIS2. Il supervisore può ispezionare proattivamente, anche senza un incidente.
• La sanzione amministrativa massima è di 10 milioni di euro o il 2% del fatturato annuo globale — il valore più alto. Si applica la responsabilità personale degli organi di gestione.
• La sanità è il secondo settore più attaccato nell'UE. Il ransomware contro gli ospedali causa interruzione dell'assistenza al paziente, non solo perdita di dati.
• L'Italia ha recepito la NIS2 con il D.Lgs. 138/2024, con ACN come autorità nazionale competente e CSIRT per il settore sanitario.
• Le misure dell'Articolo 21 devono essere implementate ed evidenziate oggi. La scadenza di recepimento di ottobre 2024 è passata; la piena applicazione è attiva.

A chi si rivolge questa guida

• CIO e CISO ospedalieri responsabili della conformità NIS2 e dei rapporti con il supervisore.
• DPO e responsabili compliance in organizzazioni sanitarie che mappano la NIS2 contro il regime GDPR.
• Produttori di dispositivi medici che valutano se rientrano nello status di soggetto essenziale o importante NIS2.
• Funzionari procurement delle autorità sanitarie che selezionano tooling di cybersicurezza per il servizio sanitario nazionale.

L'Allegato I della NIS2, Settore 5, cattura il settore sanitario a livello di soggetto essenziale. La direttiva utilizza una definizione deliberatamente ampia che copre ospedali pubblici e privati, laboratori, R&S e alcuni produttori di dispositivi medici. Sotto la soglia dimensionale, i soggetti possono comunque essere designati dallo Stato Membro come critici.

La sanità è costantemente tra i primi tre settori più attaccati in Europa. Il ransomware contro gli ospedali non è più raro e causa sempre più frequentemente interruzioni operative all'assistenza al paziente, non solo perdita di dati. Le cifre seguenti sono ordini di grandezza illustrativi tratti da rapporti pubblici di ENISA e ACN.

Le dieci misure di gestione del rischio cyber dell'Articolo 21 si applicano in tutti i settori NIS2, ma la loro implementazione pratica varia. L'elenco seguente descrive come ciascuna misura si applica tipicamente in un ospedale o grande provider sanitario.

I soggetti sanitari seguono la tempistica NIS2 standard di notifica 24h/72h/1 mese. Il trigger è lo stesso — un "incidente significativo" — ma la soglia dovrebbe includere esplicitamente l'impatto sulla sicurezza del paziente, non solo la riservatezza dei dati.

Il rischio di supply chain in sanità è acuto. L'ospedale tipico si affida a decine di fornitori di dispositivi medici, un fornitore EHR, molteplici applicazioni cliniche SaaS, un MSP per le operazioni IT e diversi laboratori specializzati. Molti di questi toccano sistemi critici per la sicurezza del paziente. Alcuni girano su sistemi operativi legacy che non possono essere patchati senza invalidare la certificazione del produttore.

L'Articolo 21(2)(d) della NIS2 richiede esplicitamente ai soggetti di tenere conto della sicurezza supply chain nei loro rapporti con fornitori diretti e prestatori di servizi. Per i soggetti sanitari questo significa una valutazione strutturata della postura di sicurezza di ciascun fornitore, clausole contrattuali che impongano la notifica di violazioni e una strategia documentata per il problema dei dispositivi legacy.

Concrete obligations

• Mantenere un inventario aggiornato di tutti i dispositivi medici, fornitori di software clinico e MSP con accesso ai sistemi clinici.
• Valutare la postura di cybersicurezza di ciascun fornitore prima della firma del contratto e con cadenza definita successivamente.
• Includere clausole di sicurezza nei contratti: tempistiche di notifica delle violazioni, obblighi di disclosure delle vulnerabilità, diritti di audit, impegni di end-of-support.
• Documentare una strategia di controlli compensativi per i dispositivi medici legacy che non possono essere patchati — tipicamente segmentazione di rete e rilevamento.
• Trattare la compromissione di un fornitore critico come incidente notificabile ai sensi della NIS2 quando viene superata la soglia di impatto.
• Coordinarsi con le iniziative di cybersicurezza sanitaria dello Stato Membro (Italia: ACN + Agenas; Spagna: CCN-CERT + Ministero della Salute).

La NIS2 è una direttiva, non un regolamento, il che significa che ogni Stato Membro la recepisce nel diritto nazionale. Italia e Spagna hanno costruito i loro quadri nazionali attorno alla direttiva aggiungendo guida specifica per il settore sanitario. Comprendere il livello nazionale è essenziale — è con loro che i CIO ospedalieri hanno a che fare quotidianamente.

Un approccio per fasi funziona meglio del tentativo di implementare tutto in una volta. Le fasi seguenti presumono che il soggetto parta da una baseline ospedaliera tipica — alcuni controlli in atto ma nessun programma NIS2 formale.

Orizon supporta già diversi sistemi ospedalieri italiani ed europei nel loro percorso NIS2. La piattaforma è sovrana per costruzione — i dati clinici e dei pazienti non lasciano mai l'UE — e il tooling mappa direttamente alle misure dell'Articolo 21.

Prossimi passi

1. Prenota una valutazione di scoping NIS2 per la sanità con il nostro team compliance.
2. Richiedi una scansione RECON gratuita della tua superficie di attacco esterna — portali pazienti inclusi.
3. Ottieni una copia del nostro template di playbook di risposta agli incidenti sanitari.