NIS2 nella sanità: chi è coinvolto e da dove partire

La risposta breve: sì, la sanità rientra nella NIS2, ed è collocata tra i settori ad alta criticità dell'Allegato I. Ne fanno parte le strutture che erogano assistenza, buona parte della filiera farmaceutica e alcuni ambiti di ricerca e di dispositivi medici. Le grandi organizzazioni sanitarie sono di norma soggetti essenziali, le medie soggetti importanti. E c'è una particolarità del settore: qui la sicurezza informatica non riguarda solo i dati, ma la continuità delle cure.

Per il contesto normativo generale: la NIS2 è la Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l'ACN come autorità nazionale di riferimento. Se vuoi il quadro completo su obblighi, categorie e scadenze, parti dalla guida completa alla NIS2 e poi torna qui per il taglio sul comparto sanitario.

La sanità è un settore ad alta criticità (Allegato I)

La NIS2 divide i settori tra Allegato I ("ad alta criticità") e Allegato II ("altri settori critici"). La sanità sta nel primo gruppo, quello con il grado di attenzione più alto. In concreto, rientrano nel perimetro sanitario:

• Prestatori di assistenza sanitaria, per esempio ospedali e strutture di cura.
• Laboratori di riferimento dell'UE.
• Soggetti che svolgono attività di ricerca e sviluppo di medicinali.
• Fabbricazione di prodotti farmaceutici di base.
• Fabbricazione di dispositivi medici considerati critici in caso di emergenza sanitaria.

Vale la pena notare che la filiera sanitaria attraversa più elenchi. La fabbricazione generale di dispositivi medici e di dispositivi medico-diagnostici in vitro, per esempio, è collocata tra le produzioni dell'Allegato II: se sei un produttore di dispositivi, conviene verificare in quale categoria ricadi, perché cambia il regime.

Essenziale o importante? Conta la dimensione

Stabilito che il settore rientra, la categoria del soggetto dipende dalla dimensione dell'organizzazione. La regola pratica per la sanità è lineare: le grandi organizzazioni sono soggetti essenziali, le medie sono soggetti importanti. La soglia della media impresa è indicativamente da 50 addetti oppure oltre 10 milioni di euro di fatturato o di totale di bilancio.

La distinzione non è formale. Gli essenziali sono sottoposti a una vigilanza più intensa, con controlli anche preventivi; gli importanti a una vigilanza prevalentemente ex post. Esistono inoltre casi in cui un soggetto rientra a prescindere dalla dimensione, per il ruolo critico che svolge. Il criterio completo, con le eccezioni, è spiegato in a chi si applica la NIS2.

Esempi concreti per capire la categoria

Qualche caso pratico aiuta a orientarsi:

• Ospedale o azienda ospedaliera di grandi dimensioni. Prestatore di assistenza sanitaria, grande organizzazione: soggetto essenziale, con la vigilanza più intensa.
• Casa di cura o poliambulatorio di medie dimensioni, oltre 50 addetti. Prestatore di assistenza sanitaria, media impresa: soggetto importante.
• Azienda che produce principi attivi farmaceutici, grande. Fabbricazione di prodotti farmaceutici di base: rientra, come soggetto essenziale.
• Piccolo laboratorio di analisi, meno di 50 addetti e sotto i 10 milioni. Sotto la soglia dimensionale: di norma non è soggetto diretto, ma può essere coinvolto come fornitore di una struttura soggetta.
• Società di ricerca e sviluppo di medicinali. Attività di R&S di medicinali: rientra nel perimetro dell'Allegato I, con categoria stabilita in base alla dimensione.

Come sempre nella NIS2, la sequenza è settore, poi dimensione, poi eventuali eccezioni legate al ruolo critico. Anche qui vale la pena valutare le imprese collegate, se la struttura fa parte di un gruppo.

Il doppio fronte: NIS2 e GDPR insieme

Nella sanità c'è un elemento che rende tutto più delicato: i dati trattati sono categorie particolari di dati personali, cioè informazioni sulla salute, tra le più sensibili in assoluto. Questo mette la sicurezza sanitaria all'incrocio tra due normative diverse, che non si sostituiscono ma si sommano.

• Il GDPR tutela i dati personali e disciplina la violazione dei dati (data breach).
• La NIS2 riguarda la sicurezza dei sistemi informativi e la continuità dei servizi.

Un attacco a un ospedale, quindi, fa scattare due piani insieme: da un lato la gestione dell'eventuale violazione dei dati sanitari, dall'altro la notifica dell'incidente significativo prevista dalla NIS2. Le due catene di notifica hanno tempi e destinatari propri, e vanno coordinate a monte, non improvvisate durante l'emergenza. Chi imposta bene questo coordinamento riduce moltissimo il caos del "giorno dopo".

Vale la pena ricordare che le due normative rispondono a logiche diverse e non intercambiabili: si può avere un incidente NIS2 significativo senza violazione di dati personali, per esempio il blocco di un macchinario che non espone informazioni, così come una violazione di dati che non configura un incidente rilevante per la continuità del servizio. Trattarle come un unico adempimento è un errore che si paga proprio nel momento della notifica, quando i tempi sono stretti e gli interlocutori sono diversi.

Perché la sanità è nel mirino

La collocazione tra i settori ad alta criticità non è casuale. Le strutture sanitarie sono un bersaglio privilegiato per un motivo semplice: la posta in gioco. Quando un sistema si ferma, non si perde solo produttività, si rischia di non poter erogare cure. Questa pressione rende le organizzazioni sanitarie particolarmente esposte al ransomware, un fenomeno in forte crescita proprio contro il comparto della salute.

La superficie esposta è ampia e peculiare: accanto ai gestionali e alle cartelle cliniche elettroniche ci sono i dispositivi medici connessi e i macchinari biomedicali, spesso basati su sistemi datati e difficili da aggiornare senza fermare l'attività clinica. Per un quadro dei fenomeni di attacco che colpiscono le organizzazioni in Italia, è utile questo approfondimento sugli attacchi cyber in Italia.

C'è poi un aspetto che aggrava il quadro: una struttura sanitaria non può "spegnere e riavviare" con la stessa disinvoltura di un ufficio. Un reparto non si ferma senza conseguenze, e questa rigidità mette le organizzazioni sotto pressione quando qualcuno chiede un riscatto per rimettere in funzione i sistemi. La posta in gioco non è qualche ora di disagio, ma la possibilità concreta di dover dirottare pazienti, rinviare interventi o tornare temporaneamente alle procedure su carta. È per questo che, in sanità, la prevenzione è un tema che riguarda la qualità delle cure, non solo l'informatica.

Le priorità operative per una struttura sanitaria

Tradurre la NIS2 in pratica, in un ambiente sanitario, significa dare un ordine alle misure. Le priorità che emergono più spesso sono:

1. Rilevamento e risposta continui. Accorgersi in fretta di un incidente è la premessa di tutto: senza capacità di detection, l'obbligo di notifica entro le ore previste è di fatto inapplicabile.
2. Backup e ripristino testati. È la misura che decide se un ransomware si traduce in qualche ora di disagio o nella paralisi di un reparto. I ripristini vanno provati davvero, non solo pianificati.
3. Sicurezza dei dispositivi medici connessi. Censimento, segmentazione di rete e controllo degli accessi per apparati che non possono essere spenti o aggiornati liberamente.
4. Sicurezza della catena di fornitura. Fornitori clinici, manutentori con accesso remoto e software gestionali sono parte del rischio e vanno valutati.
5. Formazione del personale. Il fattore umano, dal phishing alla gestione delle credenziali, resta una delle vie d'ingresso più frequenti in ambito sanitario.

Gli obblighi NIS2 per il comparto sanitario

Per una struttura che rientra, gli adempimenti sono quelli comuni a tutti i soggetti NIS2:

• Registrazione sulla piattaforma dell'ACN, nei tempi previsti.
• Misure di gestione del rischio, dall'analisi del rischio alla continuità operativa, dalla gestione degli incidenti alla sicurezza della catena di fornitura.
• Notifica degli incidenti significativi: preallarme entro 24 ore e notifica entro 72 ore.
• Responsabilità degli organi di amministrazione: nella sanità significa coinvolgere direzioni generali e sanitarie, che approvano le misure, ne rispondono e seguono una formazione dedicata.

La sequenza operativa per arrivarci in ordine, dal gap assessment alla documentazione per il vertice, è descritta in adeguamento NIS2, la roadmap pratica.

Da dove parte una struttura sanitaria

Il punto di partenza non è l'acquisto di tecnologia, ma tre domande in sequenza. Rientro nel perimetro e in quale categoria (essenziale o importante)? Quali sono i miei gap rispetto alle misure richieste, a partire da detection, backup e dispositivi connessi? Come coordino gli obblighi NIS2 con quelli del GDPR, che nella sanità viaggiano insieme?

Rispondere in quest'ordine mette a fuoco dove concentrare tempo e risorse, evitando di disperdere il budget in acquisti scollegati dai rischi reali della struttura.

Un elemento organizzativo spesso sottovalutato: in sanità la governance della sicurezza coinvolge più figure, dalla direzione sanitaria ai sistemi informativi fino al responsabile della protezione dei dati, che devono parlarsi davvero. La NIS2 chiede che gli organi di vertice approvino le misure e ne rispondano, quindi il coordinamento tra questi ruoli non è un dettaglio formale, ma la condizione perché l'intero percorso regga a un controllo esterno.

AmagisTech affianca il mid-market sanitario italiano su tutto il percorso: verifica del perimetro, gap assessment sulle misure, presidio di rilevamento e risposta gestito e documentazione pronta per direzioni e organi di gestione, con attenzione all'incrocio tra sicurezza dei sistemi e tutela dei dati sanitari. Un buon primo passo è inquadrare la propria posizione con a chi si applica la NIS2 e poi seguire la roadmap di adeguamento.

In sintesi: nella sanità la NIS2 non è un adempimento burocratico tra i tanti, perché qui la sicurezza informatica tocca direttamente la continuità delle cure. Il settore è ad alta criticità, gli obblighi si sommano a quelli del GDPR e il ransomware rende il tema urgente. Chi parte dal perimetro e dà priorità a detection, backup e dispositivi connessi affronta il percorso nell'ordine giusto.