NIS2 in sanità: ospedali, cliniche, RSA e laboratori, chi rientra e cosa fare
Case di cura, poliambulatori, laboratori e RSA rientrano se prestano assistenza sanitaria e superano la piccola impresa. Da grandi sono soggetti essenziali.
La sanità è tra i settori che la NIS2 considera ad alta criticità: un attacco informatico a un ospedale o a un laboratorio non ferma soltanto un'azienda, fa saltare esami, referti e interventi. Il d.lgs. 138/2024 mette il settore sanitario nell'allegato I, punto 5, e le aziende sanitarie locali anche nell'allegato III, tra le pubbliche amministrazioni.
Questa guida è per chi dirige una struttura sanitaria, pubblica o privata: casa di cura, poliambulatorio, centro diagnostico, laboratorio di analisi, RSA, farmacia. Spiega quando si rientra, con quale status, chi vi segue e cosa cambia in reparto e negli uffici. La produzione di farmaci e dispositivi medici ha una guida a parte: farmaceutica e dispositivi medici.
La parola chiave: «prestatore di assistenza sanitaria»
Per chi cura i pazienti l'allegato I usa una sola tipologia, i prestatori di assistenza sanitaria definiti dalla direttiva 2011/24/UE sui diritti dei pazienti, recepita in Italia con il d.lgs. 38/2014. L'ACN ha spiegato la definizione nella FAQ A1.5.3. Siete prestatori di assistenza sanitaria se:
- offrite servizi per valutare, mantenere o ristabilire lo stato di salute dei pazienti, compresa la prescrizione, la somministrazione e la fornitura di medicinali e dispositivi medici;
- lo fate attraverso professionisti sanitari: medici, infermieri, odontoiatri, ostetriche, farmacisti e le altre professioni sanitarie regolamentate, qualunque sia il rapporto con voi, dipendenti, liberi professionisti o collaboratori;
- e superate la soglia della piccola impresa.
La forma giuridica non conta: società, fondazione, cooperativa o ente pubblico sono trattati allo stesso modo. Conta, come sempre per l'ACN, ciò che fate davvero, anche se è una parte piccola della vostra attività (FAQ AMB.GE.4 e AMB.GE.5).
Nello stesso punto dell'allegato I ci sono anche i laboratori di riferimento dell'Unione europea, designati dalla Commissione, la ricerca e sviluppo sui medicinali, la fabbricazione di farmaci e quella dei dispositivi medici critici. Un normale laboratorio di analisi non è un «laboratorio di riferimento dell'UE»: se rientra, è come prestatore di assistenza sanitaria.
Chi rientra: i casi chiariti dall'ACN
| Struttura | NIS2? | Riferimento |
|---|---|---|
| Ospedali e case di cura private, poliambulatori, centri diagnostici, laboratori di analisi cliniche | Sì, se superano la piccola impresa | All. I, punto 5; FAQ A1.5.1 e A1.5.3 |
| RSA | Sì, se prestano assistenza sanitaria anche solo in parte e superano la piccola impresa | FAQ A1.5.2 |
| Aziende pubbliche di servizi alla persona | Non come PA; sì come prestatori sanitari, alle stesse condizioni | FAQ A3.c.4.2 |
| Farmacie | Possono rientrare se prestano assistenza sanitaria; la sola qualifica di farmacista non basta | FAQ A1.5.4 |
| Stabilimenti termali | Sì se le cure hanno finalità terapeutiche; no se solo ricreative | FAQ A1.5.6 |
| Aziende ospedaliere e ospedaliero-universitarie | Sì, nel settore sanitario, separate dall'ASL | FAQ A3.c.4.3 e A3.c.4.4 |
| Aziende sanitarie locali | Sempre: come PA e come prestatori sanitari | FAQ A3.c.4.1 |
| Strutture veterinarie | No: non è assistenza sanitaria ai pazienti | FAQ A1.5.5 |
| Grossisti di farmaci | Non come fabbricanti; va valutato se prestano assistenza | FAQ A1.5.8 |
Tre casi meritano due parole in più.
- Le RSA. Molte residenze offrono soprattutto assistenza socio-assistenziale, ma basta una parte di assistenza sanitaria, per esempio infermieristica o medica, perché per l'ACN si rientri, se la struttura supera la soglia della piccola impresa.
- Le farmacie. L'ACN guarda ai servizi davvero offerti: se la farmacia presta assistenza sanitaria come previsto dall'ordinamento italiano, e non solo con test o telemedicina, può essere un prestatore. La preparazione di farmaci galenici, inoltre, può ricondurre anche alla fabbricazione di prodotti farmaceutici (NACE C21), un'altra voce dell'allegato I (FAQ A1.5.4). Molte farmacie restano comunque sotto la soglia della piccola impresa; se però appartengono a una società con più punti vendita o a un gruppo, conta la dimensione complessiva.
- Le ASL. Sono nell'allegato III e quindi dentro a prescindere dalla dimensione. Se in registrazione un'ASL si dichiara solo come prestatore sanitario con numeri da piccola impresa, la piattaforma restituisce «fuori ambito»: per l'ACN è un esito sbagliato (FAQ A3.c.4.5).
Dimensione e status: essenziali da grandi
Il settore sanitario è nell'allegato I, quindi la dimensione decide anche lo status (art. 6). Si entra dalla media impresa, cioè da 50 dipendenti oppure, sotto i 50, con fatturato e totale di bilancio entrambi oltre 10 milioni di euro, sommando i dati delle imprese collegate e la quota delle associate. Il calcolo è spiegato in a chi si applica la NIS2.
| Struttura media | Struttura grande | |
|---|---|---|
| Status | Soggetto importante | Soggetto essenziale (art. 6, c. 1, lett. a) |
| Misure di base ACN | 37 misure, 87 requisiti | 43 misure, 116 requisiti, con vulnerability assessment e test di ripristino dei backup |
| Tipi di incidente da notificare | IS-1, IS-2, IS-3 | IS-1, IS-2, IS-3 e IS-4 |
| Vigilanza | Solo con elementi che fanno pensare a una violazione | Anche senza indizi, con ispezioni e audit |
| Sanzioni massime | 7 milioni di euro o 1,4% del fatturato mondiale | 10 milioni di euro o 2% del fatturato mondiale |
Un gruppo ospedaliero privato con alcune centinaia di dipendenti, quindi, è di regola un soggetto essenziale. Le ASL sono importanti come pubbliche amministrazioni, ma come prestatori sanitari di grandi dimensioni sono essenziali, e si registrano per entrambe le voci (FAQ A3.c.4.1): lo status lo attribuisce comunque l'ACN.
La proposta europea di modifica della NIS2, COM(2026) 13, vorrebbe chiarire l'ambito dei prestatori di assistenza sanitaria. Non è stata adottata: oggi valgono le regole descritte qui.
Chi vi segue: ACN e Ministero della salute
Registrazione, vigilanza e sanzioni spettano all'Agenzia per la cybersicurezza nazionale. L'autorità di settore per la sanità è il Ministero della salute (art. 11, c. 2, lett. i), che verifica l'elenco dei soggetti e collabora con l'ACN. Per i soggetti di carattere regionale, o che operano solo nel territorio di una regione, il decreto rinvia a un accordo in Conferenza Stato-Regioni sulla collaborazione tra autorità di settore e Regione (art. 11, c. 5).
Il calendario è quello di tutti: registrazione dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni dal 15 aprile al 31 maggio, categorizzazione di attività e servizi dal 1° maggio al 30 giugno. I passi sono in registrazione e punto di contatto.
Cosa cambia in una struttura sanitaria
I sistemi da proteggere sono quelli che reggono la cura: cartella clinica, prenotazioni e CUP, sistemi di laboratorio e di diagnostica per immagini, farmacia interna, collegamenti con il fascicolo sanitario elettronico e con i sistemi regionali, e le apparecchiature elettromedicali collegate in rete. Le misure di base dell'ACN si fanno sentire soprattutto qui:
- L'inventario comprende le apparecchiature. La misura ID.AM-01 chiede l'inventario degli apparati, «ivi inclusi i dispositivi IT, IoT, OT e mobili»: ecografi, analizzatori e pompe collegate alla rete vanno censiti come i server.
- Gli apparecchi che non si possono aggiornare. PR.PS-02 chiede software con aggiornamenti di sicurezza disponibili, «fatte salve motivate e documentate ragioni normative o tecniche». Un'apparecchiatura certificata con un sistema operativo datato non si butta: si scrive perché resta, la si isola e si accetta il rischio residuo.
- Gli accessi da remoto dei fornitori. Produttori di apparecchiature e software clinici spesso intervengono da remoto. Va tenuto l'elenco dei sistemi raggiungibili da fuori, con le modalità di accesso (PR.IR-01), e gli accessi da remoto vanno registrati (PR.PS-04), con l'autenticazione a più fattori sui sistemi rilevanti (PR.AA-03).
- Lavorare quando i sistemi sono fermi. La misura ID.IM-04 chiede piani di continuità operativa, di ripristino e di gestione delle crisi, approvati dai vertici e riesaminati almeno ogni due anni. In sanità significa anche procedure di lavoro su carta, già provate, per pronto soccorso, reparti e laboratorio.
- Backup e formazione. Backup dei dati e delle configurazioni con copie offline per i sistemi rilevanti (PR.DS-11), e un piano di formazione che arrivi a tutto il personale, turnisti compresi, e ai vertici (PR.AT-01).
I fornitori sono spesso la parte più impegnativa: software in cloud, manutentori, laboratori esterni. Vanno elencati, valutati e vincolati nei contratti con requisiti di sicurezza (GV.SC-05 e GV.SC-07): come fare è in NIS2 e fornitori.
Un incidente concreto: il laboratorio fermo
Un venerdì sera un ransomware cifra il server del laboratorio e il sistema delle prenotazioni di un gruppo diagnostico privato di grandi dimensioni, quindi soggetto essenziale. I campioni si accumulano, i referti non escono, il CUP non accetta prenotazioni. Il lunedì gli attaccanti pubblicano una parte dei dati dei pazienti. Gli attaccanti erano entrati con l'utenza di assistenza di un fornitore.
- IS-3: il fermo supera i livelli di servizio che la struttura ha scritto per laboratorio e prenotazioni (DE.CM-01);
- IS-1: dati sanitari di cui la struttura ha il controllo sono usciti verso l'esterno;
- IS-4, solo per gli essenziali: accesso non autorizzato, o con abuso dei privilegi concessi, a dati della struttura.
La pre-notifica al CSIRT Italia va fatta entro 24 ore da quando ne siete venuti a conoscenza, la notifica entro 72 ore e la relazione finale entro un mese. La notifica al CSIRT non sostituisce quella al Garante privacy, entro 72 ore, né la comunicazione ai pazienti quando la violazione dei dati presenta un rischio elevato per loro (artt. 33 e 34 del GDPR). Tempi e contenuti sono in la notifica degli incidenti.
Da dove partire
- Verificate di essere prestatori di assistenza sanitaria: quali servizi offrite e con quali professionisti, anche in forma residuale.
- Controllate le altre voci: galenici, ricerca sui medicinali, attività di altre società del gruppo.
- Calcolate la dimensione con l'ultimo esercizio chiuso, gruppo compreso, e capite se sareste importanti o essenziali.
- Fate l'inventario di sistemi e apparecchiature, con l'elenco degli accessi da remoto dei fornitori.
- Scrivete i livelli di servizio e le procedure di lavoro in emergenza, e provatele.
La verifica gratuita vi dice in pochi minuti se siete dentro e perché. Pilot vi accompagna poi in otto tappe e tiene in uno scadenzario i documenti da rinnovare, con i fornitori che caricano i loro report da un link personale: iniziate gratis. Se preferite essere seguiti da un ingegnere, c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis
