NIS2 per aziende farmaceutiche e produttori di dispositivi medici

Farmaci e dispositivi medici stanno in due punti diversi della NIS2, e la differenza non è solo formale. La fabbricazione di farmaci, la ricerca sui medicinali e i dispositivi medici critici sono nel settore sanitario dell'allegato I, tra i settori ad alta criticità; gli altri dispositivi medici e diagnostici in vitro sono nell'allegato II, tra la manifattura. Da questo dipende se una grande impresa è soggetto essenziale o importante.

Questa guida è per chi produce, sviluppa o studia farmaci e dispositivi medici: chi rientra, i casi chiariti dall'ACN, lo status, chi vi segue e cosa cambia in uno stabilimento dove i sistemi informatici sono già convalidati e sorvegliati per altre norme.

Due allegati, due status

In tutti i casi si entra dalla media impresa in su (art. 3, c. 2), sommando i dati del gruppo: da 50 dipendenti, oppure sotto i 50 con fatturato e totale di bilancio entrambi oltre 10 milioni di euro. Una media impresa è sempre soggetto importante; una grande è essenziale solo per le voci dell'allegato I (art. 6, c. 1, lett. a). Il calcolo è spiegato in a chi si applica la NIS2.

Farmaci: il codice NACE e i casi di confine

La fabbricazione di farmaci è una delle poche voci che il decreto definisce con un codice della classificazione NACE: la divisione 21 della sezione C, che in Italia corrisponde all'ATECO 21. Per queste voci l'ACN ritiene che l'ambito si possa determinare anche sulla base dei codici ATECO in visura, a prescindere da quanto l'attività sia svolta davvero (FAQ A1.5.4, che richiama la AMB.GE.3). Se in visura avete un codice 21 per un'attività che non svolgete più, conviene farlo correggere prima della prossima finestra di registrazione.

Le FAQ dell'ACN chiariscono alcuni casi:

• gas medicali: sono medicinali secondo la normativa italiana, quindi chi li produce rientra nella fabbricazione di prodotti farmaceutici; chi fabbrica gli impianti di distribuzione dei gas medicali, che sono dispositivi medici, rientra invece nell'allegato II (FAQ A1.5.7);
• distribuzione di farmaci: chi si limita a distribuire prodotti farmaceutici non è un fabbricante e non rientra in questa voce; l'ACN raccomanda però di valutare se l'attività rientri nella prestazione di assistenza sanitaria (FAQ A1.5.8);
• galenici: la preparazione di farmaci galenici nelle farmacie può ricondurre anche alla fabbricazione di prodotti farmaceutici (FAQ A1.5.4), un tema trattato nella guida sulla NIS2 in sanità.

La voce sulla ricerca e sviluppo relativi ai medicinali rinvia alla definizione di medicinale della direttiva 2001/83/CE: ogni sostanza o associazione di sostanze presentata come avente proprietà curative o profilattiche, o usata per una diagnosi o per ripristinare, correggere o modificare funzioni fisiologiche. Chi fa ricerca e sviluppo su questi prodotti, anche senza produrli, deve porsi la domanda. Gli organismi di ricerca che lavorano in altri campi sono invece nell'allegato II, come spiega la guida su università e ricerca.

Dispositivi medici: critici e non critici

Per i dispositivi medici l'allegato II rinvia alle definizioni dei regolamenti (UE) 2017/745 (dispositivi medici) e 2017/746 (diagnostici in vitro). Sono definizioni ampie, che l'ACN riporta per intero nella FAQ A2.5.a.1: comprendono strumenti, apparecchi, impianti, reagenti, materiali e anche il software destinato dal fabbricante a scopi medici come diagnosi, monitoraggio o trattamento di una malattia. Un'azienda che produce software classificato come dispositivo medico, se è almeno media impresa, è quindi soggetto NIS.

Qui non conta un codice NACE: conta l'attività di fabbricazione, anche se è una parte piccola di ciò che fate. Fanno eccezione i fabbricanti dei dispositivi inclusi nell'elenco dei dispositivi critici per l'emergenza di sanità pubblica previsto dall'articolo 22 del regolamento (UE) 2022/123: per quei dispositivi la voce è nell'allegato I, con lo status di essenziale per le grandi imprese. Gli altri produttori di dispositivi restano nell'allegato II e sono importanti anche se grandi.

Un chiarimento utile. Il Cyber Resilience Act, regolamento (UE) 2024/2847, non si applica ai prodotti già coperti dai regolamenti sui dispositivi medici e sui diagnostici in vitro, che hanno propri requisiti di sicurezza informatica. Per un produttore di dispositivi la sicurezza del prodotto segue quindi le regole dei dispositivi medici, mentre la NIS2 riguarda l'organizzazione dell'azienda e i suoi sistemi. Il confronto generale tra le due norme è in NIS2 e Cyber Resilience Act.

Chi vi segue: ACN e Ministero della salute

Registrazione, vigilanza e sanzioni sono dell'Agenzia per la cybersicurezza nazionale. Per tutte le voci di questa guida l'autorità di settore è il Ministero della salute, sia per il settore sanitario sia per la fabbricazione di dispositivi medici e diagnostici in vitro (art. 11, c. 2, lett. i).

Lo status cambia gli obblighi in modo concreto. Un soggetto essenziale applica 43 misure e 116 requisiti di base, con vulnerability assessment periodici e test di ripristino dei backup, notifica anche gli accessi non autorizzati o con abuso di privilegi (IS-4) e può essere ispezionato anche senza indizi di violazione. Un soggetto importante applica 37 misure e 87 requisiti e ha una vigilanza solo «ex post». I dettagli sono in le misure di sicurezza di base e in le sanzioni.

Cosa cambia in produzione e in laboratorio

Un'azienda farmaceutica o di dispositivi medici ha già sistemi controllati: le norme di buona fabbricazione e i sistemi di qualità chiedono di convalidare i sistemi informatizzati, tracciare le modifiche e proteggere l'integrità dei dati. È una buona base, ma la NIS2 guarda anche altro.

• L'inventario comprende il reparto. La misura ID.AM-01 chiede l'inventario degli apparati, compresi i dispositivi OT e IoT: sistemi di esecuzione della produzione, controllo delle camere bianche, strumenti di laboratorio collegati in rete.
• I sistemi convalidati che non si aggiornano. Un computer di uno strumento convalidato con un sistema operativo datato può restare, ma la ragione va documentata (PR.PS-02), il sistema va isolato e il rischio residuo accettato nel piano di trattamento. Per gli essenziali gli aggiornamenti del software critico vanno anche provati in un ambiente di test prima dell'uso (PR.PS-02, punto 4).
• Backup che servono davvero. PR.DS-11 parla di backup «dei dati e delle configurazioni», con copie offline per i sistemi rilevanti: ricette, parametri delle linee, dati di lotto, documentazione tecnica dei dispositivi.
• Fornitori e terzisti. Produttori conto terzi, laboratori esterni, piattaforme di qualità in cloud e assistenza remota dei costruttori delle macchine vanno elencati, valutati e vincolati nei contratti (GV.SC-05 e GV.SC-07), con l'elenco dei sistemi raggiungibili da remoto (PR.IR-01). Il punto di vista del cliente è in NIS2 e fornitori.

Un incidente concreto: il reparto fermo

Un produttore di farmaci di grandi dimensioni, quindi soggetto essenziale, scopre un ransomware sui sistemi di produzione e di laboratorio: le linee si fermano per cinque giorni. L'analisi mostra che gli attaccanti erano entrati settimane prima con l'utenza di un consulente esterno e avevano copiato i dati di alcuni studi clinici.

• Il fermo supera i livelli di servizio scritti per la produzione (DE.CM-01): IS-3.
• I dati degli studi sono usciti verso l'esterno: IS-1.
• C'è stato un accesso non autorizzato a dati dell'azienda: IS-4, che per gli essenziali è un incidente da notificare.

Pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72, relazione finale entro un mese. La notifica non sostituisce gli altri obblighi: gestione delle deviazioni e degli eventuali ritiri secondo le norme farmaceutiche, notifica al Garante privacy se i dati degli studi sono personali. Per un produttore di dispositivi, allo stesso modo, la vigilanza sui dispositivi prevista dal regolamento 2017/745 resta un canale separato. Il piano di risposta deve tenere insieme tutti i canali: i tempi NIS sono in la notifica degli incidenti.

Da dove partire

1. Controllate i codici ATECO in visura, a cominciare dal 21, e le attività di ricerca e sviluppo sui medicinali.
2. Per i dispositivi, verificate se compaiono nell'elenco dei dispositivi critici: decide tra allegato I e allegato II.
3. Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso, e capite se sareste importanti o essenziali.
4. Se siete dentro, preparate la registrazione e partite da inventario, accessi da remoto e backup di reparto.

La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi guida poi in otto tappe e tiene in uno scadenzario i documenti da rinnovare, con terzisti e fornitori che caricano i loro report da un link personale: iniziate gratis. Per essere seguiti da un ingegnere c'è la consulenza NIS2 dello Studio.

Domande frequenti