Questa guida è rivolta a responsabili IT, direttori sanitari e governance cliniche di strutture sanitarie con almeno 50 dipendenti o che servono popolazioni regionali. Scoprirai gli obblighi specifici del D.Lgs. 138/2024, le scadenze critiche, le lacune di conformità più comuni e come implementare un programma di cybersicurezza efficace per proteggere i dati dei pazienti e la continuità operativa.
Rientrano nell'obbligo di conformità NIS2 tutti gli ospedali pubblici e privati, le reti ospedaliere, i centri di cure specialistiche e le cliniche con almeno 50 dipendenti, oppure che forniscono servizi sanitari critici a livello regionale. Sono incluse le strutture di degenza, gli ambulatori specialistici, i centri diagnostici con servizi di imaging avanzato e le unità di terapia intensiva che utilizzano sistemi informatici per la gestione clinica e amministrativa.
Ogni struttura sanitaria deve segnalare gli incidenti di sicurezza informatica al CSIRT nazionale entro 24 ore (notifica precoce) e entro 72 ore dalla rilevazione (rapporto completo). Gli incidenti critici includono compromissioni di sistemi di imaging diagnostici, interruzioni di accesso ai dati dei pazienti, infezioni da ransomware su reti cliniche e accessi non autorizzati a cartelle cliniche elettroniche. La registrazione sulla piattaforma ACN è obbligatoria tra il 1° gennaio e il 28 febbraio di ogni anno.
È obbligatorio implementare una netta separazione tra le reti cliniche (contenenti dispositivi medici, monitor pazienti, ventilatori) e le reti amministrative (posta, gestionale, Wi-Fi aziendale). I sistemi SCADA, i ventilatori ICU e gli infusori devono operare su segmenti di rete dedicati con firewall e controlli di accesso ristretti. Questa segmentazione impedisce che malware diffuso tramite la rete amministrativa contamini i dispositivi di supporto vitale.
Occorre formalizzare contratti di sicurezza con tutti i fornitori di software clinico, sistemi EHR, software di imaging e produttori di dispositivi medici connessi. Verificare che i fornitori applichino patching regolare, implementino crittografia in transito e a riposo, e forniscano notifiche di vulnerabilità critiche entro SLA definiti. Eseguire audit annuali della conformità dei fornitori e mantenere un registro degli accessi remoti dei vendor ai sistemi clinici.
Ogni struttura deve disporre di un piano di continuità documentato che garantisca il ripristino entro 4 ore di sistemi critici quali cartelle cliniche elettroniche, sistemi di monitoraggio intensivo, infusomeria automatizzata e sistemi PACS di imaging. Deve essere testato almeno semestralmente con esercitazioni simulate. I backup dei dati clinici devono essere conservati off-site, crittografati e verificati per l'integrità almeno mensilmente.
Tutto il personale ospedaliero (medici, infermieri, tecnici, amministrativi) deve ricevere almeno 8 ore annuali di formazione in cybersicurezza, inclusa consapevolezza su phishing, uso di password sicure, igiene digitale e segnalazione di comportamenti sospetti. Le strutture devono documentare la frequenza e tenere registro dei partecipanti. La formazione deve includere scenari specifici del settore sanitario (e.g. attacchi mirati a ospedali durante emergenze).
La registrazione sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale è obbligatoria tra il 1° gennaio e il 28 febbraio di ogni anno. È necessario fornire i dettagli della struttura, i referenti per la sicurezza informatica, l'elenco dei sistemi critici, i contatti per la segnalazione di incidenti e una dichiarazione di conformità preliminare agli obblighi NIS2.
Devi notificare il CSIRT nazionale dell'ACN entro 24 ore dalla rilevazione dell'incidente (notifica precoce con informazioni essenziali). Entro 72 ore, devi trasmettere un rapporto completo includendo timeline dell'attacco, sistemi interessati, dati potenzialmente compromessi e misure di contenimento adottate. Parallela mente, isola i segmenti di rete colpiti, avvia il ripristino da backup e comunica con il tuo referente NIS2 interno.
Per soggetti essenziali come ospedali, le sanzioni amministrative possono raggiungere fino a €10 milioni o il 2% del fatturato annuale complessivo (applicato il maggiore). Per violazioni di obblighi specifici (es. mancata segnalazione di incidente entro 72 ore), la sanzione può arrivare fino a €7 milioni o 1,4% del fatturato. L'ACN applica sanzioni graduali a seconda della gravità, della durata della violazione e della dimensione della struttura.