Questa guida è destinata ai produttori di dispositivi medici italiani classificati come entità importanti secondo il D.Lgs. 138/2024. Scoprirete gli obblighi specifici di cybersecurity in sinergia con il Regolamento MDR e le azioni concrete da implementare entro ottobre 2026.
Rientrano in questa categoria i produttori di dispositivi medici (anche in-vitro) che forniscono servizi critici essenziali o prodotti che supportano funzioni sanitarie critiche in Italia. Ciò include sia grandi produttori multinazionali sia piccole-medie imprese con software integrato nei dispositivi, indipendentemente dal numero di dipendenti, a condizione che operino nel mercato italiano e gestiscano dati sanitari sensibili.
Dovete documentare e mantenere aggiornato un SBOM completo (Software Bill of Materials) per ogni componente software integrato nei vostri dispositivi, incluse librerie open source e dipendenze di terze parti. Questo documento deve tracciare versioni, vulnerabilità note e licenze, ed essere disponibile alle autorità competenti. L'SBOM deve coprire sia i nuovi dispositivi sia quelli legacy ancora in commercio, seguendo formati standardizzati come SPDX o CycloneDX.
Implementate un programma formale di sorveglianza post-market specificamente dedicato alla cybersecurity che monitori vulnerabilità, attacchi e malfunzionamenti legati alla sicurezza informatica. Dovete disporre di un processo verificato e documentato per lo sviluppo, il testing e la distribuzione tempestiva di patch firmware e aggiornamenti software, con tracciamento della compatibilità con le versioni precedenti dei dispositivi.
Segnalate tempestivamente all'ACN (Autorità per la Cybersecurity Nazionale) e all'Istituto Superiore di Sanità (in qualità di notified body) qualsiasi vulnerabilità di cybersecurity che possa esporre i pazienti a rischi. La segnalazione deve avvenire entro 72 ore dalla scoperta; deve includere valutazione dell'impatto sulla sicurezza del paziente, dati tecnici della vulnerabilità e azioni di mitigazione intraprese.
Dovete effettuare una valutazione formalizzata della sicurezza informatica di tutti i fornitori di componenti hardware, software e servizi critici. Includete clausole contrattuali obbligatorie che impongano ai fornitori il rispetto degli standard NIS2, la comunicazione tempestiva di vulnerabilità e la conformità ai vostri processi di patch management. Documentate audit periodici (almeno annuali) presso i fornitori critici.
Integrate i requisiti NIS2 nel vostro sistema di gestione della qualità secondo MDR, affrontando la cybersecurity come aspetto della gestione del rischio del dispositivo. La documentazione tecnica e il fascicolo di conformità devono includere analisi delle minacce informatiche, strategie di difesa-in-depth, piani di risposta agli incidenti e prove della sorveglianza post-market sulla sicurezza informatica.
Sì. Il D.Lgs. 138/2024 si applica anche ai dispositivi legacy ancora in commercio. Dovete realizzare un SBOM retrospettivo, implementare la sorveglianza post-market per la cybersecurity e mettere in atto un processo di patch management, anche per versioni precedenti del vostro software, entro la scadenza del 19 ottobre 2026.
Il ritardo nella segnalazione costituisce violazione del D.Lgs. 138/2024 ed espone l'azienda a sanzioni amministrative dell'ACN (fino a 10.000.000 euro o il 2% del fatturato globale per violazioni gravi). Inoltre, la mancata comunicazione tempestiva può comportare reclami per negligenza verso i pazienti e conseguenze reputazionali gravi nel contesto sanitario italiano.
Create una sezione unica di 'Gestione della Cybersecurity' nel fascicolo tecnico MDR che soddisfi contemporaneamente sia l'Articolo 5(5) MDR che gli obblighi NIS2: analisi delle minacce, architettura di sicurezza, SBOM, piano di patch management e sorveglianza post-market. Questo approccio integrato riduce la duplicazione documentale e facilita la valutazione da parte dei notified body e dell'ACN.