Questa guida è destinata ai produttori di dispositivi medici classificati come entità importante secondo il D.Lgs. 138/2024. Scoprirai gli obblighi specifici di cybersecurity, le scadenze di registrazione presso l'ACN e come allineare la conformità NIS2 con i requisiti del Regolamento sui dispositivi medici (MDR).
I produttori di dispositivi medici soggetti al Regolamento (UE) 2017/745 (MDR) che forniscono servizi o prodotti digitali critici sono classificati come entità importante ai sensi dell'Allegato II del D.Lgs. 138/2024. Rientrano in questa categoria le aziende che sviluppano dispositivi con software integrato, connessione di rete o funzionalità che incidono sulla continuità operativa dei servizi sanitari. La classificazione è obbligatoria indipendentemente dalle dimensioni aziendali se il dispositivo presenta caratteristiche rilevanti per la sicurezza pubblica.
È necessario compilare e aggiornare una SBOM completa per ogni dispositivo medico che contiene software, includendo tutte le dipendenze, librerie e componenti open source utilizzati. La SBOM deve essere documentata secondo standard riconosciuti (CycloneDX o SPDX) e mantenuta aggiornata durante tutto il ciclo di vita del dispositivo, in conformità a MDR Articolo 5(5). Questa documentazione deve essere disponibile per l'ACN in caso di ispezioni o segnalazioni di incidenti di sicurezza.
Dopo l'immissione in commercio, è obbligatorio instaurare un programma strutturato di monitoraggio delle vulnerabilità che riguardano il dispositivo, inclusi i dati telemetrici e le segnalazioni di ricercatori di sicurezza. Tale programma deve includere procedure verificate per il testing delle patch, la valutazione del rischio clinico di ogni vulnerabilità e la pianificazione di aggiornamenti firmware con tempistica definita. La gestione delle vulnerabilità deve documentare chiaramente quale software è affetto e quale no, evitando applicazioni di patch generiche non verificate.
Gli incidenti di cybersecurity che interessano la disponibilità, integrità o riservatezza dei dispositivi medici devono essere segnalati all'ACN entro 24 ore dalla scoperta, qualora soddisfino i criteri di gravità definiti dal D.Lgs. 138/2024. Per vulnerabilità critiche che impattano la funzionalità clinica o la sicurezza dei pazienti, è necessario un rapporto tecnico dettagliato entro 72 ore che descriva il vettore di attacco, i sistemi affetti, le contromisure applicate e il piano di remediation. La mancata segnalazione nei termini esposti comporta sanzioni fino a 7 milioni di euro.
Tutti i fornitori di componenti hardware e software critici (inclusi i microcontrollori, i moduli di comunicazione e le librerie middleware) devono essere sottoposti a valutazione della sicurezza e inclusi in una mappa documentata della supply chain. È obbligatorio richiedere ai fornitori certificazioni di sicurezza, risultati di audit di codice, e l'impegno a fornire tempestive notifiche di vulnerabilità scoperte. Devono inoltre essere definiti accordi contrattuali che vincolino i fornitori al supporto di patch e alla cooperazione in caso di incident response.
Tutti i produttori classificati come entità importante devono registrarsi sulla piattaforma ACN entro il 28 febbraio di ogni anno, comunicando la categoria di dispositivi, il numero di prodotti in commercio, le strutture coinvolte e il responsabile della cybersecurity. La registrazione deve includere informazioni aggiornate su contatti di emergenza, la documentazione del programma di vigilanza post-commercializzazione, e l'evidenza di conformità ai requisiti MDR per la cybersecurity. La mancata registrazione espone a multa fino al 1,4% del fatturato annuale.
Sì. Tutti i dispositivi medici ancora in commercio dopo il 16 ottobre 2024 devono avere una SBOM documentata e aggiornata, indipendentemente dalla data di sviluppo iniziale. Il produttore deve retroattivamente documentare il software e i componenti per consentire la gestione delle vulnerabilità scoperte in futuro, in conformità a MDR Articolo 5(5) e ai requisiti NIS2.
La registrazione deve includere: denominazione del produttore, elenco dei dispositivi medici in commercio, numero approssimativo di pazienti interessati, strutture sanitarie clienti principali, nominativo e contatti del responsabile della cybersecurity, e compendio del programma di vigilanza post-commercializzazione. Deve essere inoltre allegata la dichiarazione di conformità ai requisiti di cybersecurity dell'MDR e la mappatura dei rischi cyber identificati.
La segnalazione iniziale all'ACN deve avvenire entro 24 ore dalla scoperta dell'incidente di cybersecurity. Entro 72 ore deve essere fornito un rapporto tecnico completo che descriva la vulnerabilità, i dispositivi affetti, i pazienti potenzialmente impattati, e il piano di remediation. Il mancato rispetto di questi termini comporta sanzioni fino a 7 milioni di euro o il 1,4% del fatturato annuale per le entità importanti.