La crescente digitalizzazione dei processi sanitari ha ampliato il numero di sistemi e informazioni che partecipano quotidianamente all'erogazione delle cure. Cartelle cliniche elettroniche, piattaforme diagnostiche, patient portal, servizi di telemedicina e applicazioni amministrative costituiscono un ecosistema interconnesso nel quale la sicurezza informatica incide direttamente sulla continuità operativa.
La Direttiva NIS2 rafforza questo principio introducendo un quadro comune europeo per la gestione del rischio cyber. Per le strutture sanitarie private interessate dalla normativa, la cybersecurity assume quindi una dimensione organizzativa: coinvolge sistemi informativi, processi, fornitori tecnologici e organi di amministrazione e direzione.
Comprendere gli obblighi introdotti dal recepimento italiano consente di impostare un percorso strutturato di adeguamento e, allo stesso tempo, rafforzare la governance dei dati clinici e la resilienza dei servizi sanitari digitali.
In Italia, il recepimento della Direttiva NIS2 è avvenuto con il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024. La normativa introduce obblighi di gestione del rischio informatico, sicurezza delle reti e notifica degli incidenti per i soggetti essenziali e importanti che rientrano nel suo perimetro.
La sanità rientra tra i settori ad alta criticità individuati dalla normativa europea. Il legislatore italiano ha inoltre designato il Ministero della Salute come autorità di settore NIS per l'ambito sanitario, mentre l'Agenzia per la Cybersicurezza Nazionale (ACN) opera come Autorità nazionale competente NIS. Nel 2025 è stato istituito anche un tavolo settoriale dedicato all'attuazione della NIS2 in sanità.
La rilevanza per il settore deriva dalla natura stessa dei processi sanitari. Un'interruzione dei sistemi può interessare prenotazioni, refertazione, laboratorio, radiologia, accesso alla documentazione clinica e numerosi altri servizi necessari alla continuità assistenziale.
L'evoluzione verso modelli digitali e phygital aumenta inoltre il numero di punti di interconnessione. Alla rete interna si aggiungono servizi cloud, applicazioni mobili, portali dedicati ai pazienti, API e piattaforme di terze parti. La gestione dei dati e la sicurezza delle reti diventano quindi componenti della resilienza operativa.
Le principali tappe del percorso normativo possono essere sintetizzate così:
La conformità va quindi letta come un percorso progressivo, verificando le scadenze applicabili attraverso le comunicazioni e le determinazioni dell'ACN.
Per comprendere a chi si applica la Direttiva NIS2 occorre considerare contemporaneamente settore di attività, dimensione dell'organizzazione e criteri specifici previsti dal decreto.
Il settore sanitario è incluso nell'Allegato I della Direttiva europea tra quelli ad alta criticità. Il perimetro comprende i prestatori di assistenza sanitaria come definiti dalla normativa europea, mentre il D.Lgs. 138/2024 disciplina l'identificazione dei soggetti sottoposti agli obblighi NIS in Italia.
In termini generali, la disciplina riguarda le organizzazioni che raggiungono almeno la dimensione di media impresa nei settori interessati: il riferimento europeo considera, tra gli altri parametri, soglie di almeno 50 occupati e valori economici superiori a 10 milioni di euro. La classificazione definitiva richiede però l'applicazione delle regole previste dal decreto e delle eventuali specificità del singolo soggetto.
|
Aspetto |
Soggetti essenziali |
Soggetti importanti |
|
Settore sanitario |
Può comprendere soggetti del settore salute rientranti nei criteri previsti per questa categoria |
Può comprendere altri soggetti sanitari ricompresi nel perimetro NIS |
|
Dimensione |
Generalmente associata ai soggetti di maggiori dimensioni nei settori dell'Allegato I, oltre ai casi specificamente previsti |
Generalmente associata alle medie imprese ricomprese negli Allegati I e II |
|
Obblighi di sicurezza |
Misure di gestione del rischio e obblighi di notifica |
Misure di gestione del rischio e obblighi di notifica |
|
Vigilanza |
Regime di vigilanza previsto per i soggetti essenziali |
Regime di vigilanza previsto per i soggetti importanti |
|
Classificazione |
Determinata secondo D.Lgs. 138/2024 e processo ACN |
Determinata secondo D.Lgs. 138/2024 e processo ACN |
La tabella rappresenta quindi una sintesi orientativa: fatturato e numero di dipendenti, presi isolatamente, non determinano sempre la classificazione finale.
Per ospedali privati, cliniche, IRCCS privati, laboratori e altre strutture sanitarie è quindi opportuno verificare puntualmente il proprio perimetro di conformità.
Un passaggio centrale è la registrazione attraverso la piattaforma predisposta dall'Agenzia per la Cybersicurezza Nazionale. Il processo permette all'ACN di censire e identificare i soggetti interessati dalla disciplina nazionale.
Operativamente, la governance deve quindi:
Capire cosa prevede la Direttiva NIS2 significa tradurre il quadro normativo in misure tecniche, operative e organizzative. La direttiva europea richiede ai soggetti essenziali e importanti misure appropriate e proporzionate per gestire i rischi che interessano reti e sistemi informativi e per limitare l'impatto degli incidenti.
Per la cybersecurity nella sanità privata, quattro aree assumono particolare rilevanza.
La prima attività consiste nell'identificazione dei sistemi critici e delle relative dipendenze. In una struttura sanitaria il perimetro può comprendere HIS, LIS, RIS, PACS, cartella clinica elettronica, patient portal, sistemi amministrativi, dispositivi connessi e infrastrutture cloud.
La valutazione deve considerare vulnerabilità, probabilità e impatto delle minacce, affiancando misure per gestione delle crisi, continuità operativa, backup, disaster recovery, controllo degli accessi e protezione delle comunicazioni. La Direttiva NIS2 include esplicitamente tra le misure di gestione del rischio anche continuità operativa, gestione delle vulnerabilità, sicurezza della supply chain, crittografia e autenticazione.
Un incidente significativo richiede un processo strutturato di escalation e comunicazione. La NIS2 adotta un modello progressivo che prevede un early warning entro 24 ore dalla conoscenza dell'incidente significativo, una notifica entro 72 ore e, in linea generale, una relazione finale entro un mese dalla notifica.
Per una struttura sanitaria questo implica la capacità di rilevare tempestivamente anomalie e incidenti, raccogliere le informazioni necessarie e attivare rapidamente i responsabili interni coinvolti.
La sicurezza comprende anche fornitori e partner tecnologici. Software clinici, servizi cloud, piattaforme diagnostiche e servizi gestiti possono avere accesso a sistemi e informazioni critiche.
La supply chain security richiede quindi criteri strutturati di selezione e valutazione dei fornitori, considerando vulnerabilità, pratiche di sviluppo e manutenzione, gestione degli aggiornamenti, modalità di accesso ai sistemi e capacità di risposta agli incidenti.
Per le strutture sanitarie, la conformità software diventa parte della gestione complessiva del rischio tecnologico.
La NIS2 attribuisce un ruolo preciso agli organi di amministrazione e direzione. La cybersecurity supera così il perimetro della sola funzione IT e diventa un tema di governance.
I vertici sono chiamati ad approvare le misure di gestione del rischio, sovrintendere alla loro attuazione e acquisire una preparazione adeguata a comprendere e valutare i rischi cyber. La responsabilità organizzativa richiede quindi un dialogo continuativo tra direzione, CIO, IT, compliance, DPO e funzioni coinvolte nei processi sanitari.
L'applicazione del D.Lgs. 138/2024 in sanità può essere integrata con i processi di sicurezza e compliance già presenti nella struttura. GDPR, sistemi di gestione della sicurezza delle informazioni, procedure di business continuity e risk management costituiscono basi utili sulle quali costruire un modello coerente con i nuovi requisiti.
NIS2 e GDPR mantengono finalità differenti. Il GDPR tutela i dati personali e disciplina il loro trattamento; la NIS2 concentra l'attenzione sulla resilienza e sulla sicurezza dei sistemi informativi e di rete. Nella sanità digitale, le due dimensioni convergono frequentemente sugli stessi processi e sulle stesse infrastrutture.
Un patient portal, per esempio, richiede protezione del dato personale e clinico, ma anche disponibilità del servizio, gestione sicura degli accessi, monitoraggio e capacità di risposta agli incidenti.
Lo stesso principio riguarda l'interoperabilità dei dati sanitari. Lo scambio tra laboratorio, radiologia, sistemi clinici e piattaforme di analytics deve essere progettato considerando sicurezza delle interfacce, autenticazione, autorizzazioni e tracciabilità.
Una roadmap operativa può quindi comprendere:
In questa prospettiva, la scelta di piattaforme progettate per integrare sicurezza, interoperabilità e gestione strutturata delle informazioni contribuisce alla resilienza dell'intero ecosistema digitale.
Le soluzioni Maps Healthcare dedicate alla data-driven governance, alla diagnostica e alla patient experience — come CLINIKA®, ALCHYMIA®, SISRIS® e ZEROCODA® — si inseriscono in una strategia orientata all'integrazione dei processi e alla valorizzazione sicura dei dati sanitari. La verifica della conformità NIS2 resta parte della responsabilità della singola organizzazione e della sua governance.
Per valutare l'impatto della NIS2 sull'architettura applicativa e sui flussi informativi della struttura sanitaria, Maps Healthcare può supportare un percorso di approfondimento sulle soluzioni digitali e sui requisiti di interoperabilità, sicurezza e governance dei dati.
La Direttiva NIS2 comprende il settore sanitario tra quelli ad alta criticità. Per stabilire se una specifica struttura privata rientra nel perimetro occorre valutare tipologia di attività, dimensione e criteri stabiliti dal D.Lgs. 138/2024. La classificazione come soggetto essenziale o importante deve quindi essere verificata sulla situazione concreta dell'organizzazione e nell'ambito del processo previsto dall'ACN.
Il quadro NIS2 rafforza l'accountability degli organi di amministrazione e direzione, che devono approvare e sovrintendere alle misure di gestione del rischio cyber. Il D.Lgs. 138/2024 prevede un sistema di vigilanza e sanzioni amministrative differenziato in funzione della categoria e delle violazioni. La valutazione delle conseguenze applicabili richiede quindi il riferimento alla specifica fattispecie prevista dal decreto.
La sicurezza della supply chain rientra tra le misure di gestione del rischio previste dalla NIS2. Per una struttura sanitaria ciò richiede di considerare la sicurezza dei software e dei servizi utilizzati, le modalità di gestione delle vulnerabilità e degli aggiornamenti, la protezione degli accessi e le procedure di risposta agli incidenti dei fornitori.
Il processo previsto dalla NIS2 comprende un early warning entro 24 ore dalla conoscenza dell'incidente significativo, una notifica entro 72 ore e, generalmente, una relazione finale entro un mese dalla notifica. Le procedure operative devono essere allineate alle disposizioni nazionali e alle indicazioni dell'ACN.