Questa guida è destinata alle catene farmaceutiche, ai produttori e ai distributori di farmaci con 50 o più dipendenti in Italia. Scoprirai gli obblighi specifici imposti dal D.Lgs. 138/2024, le scadenze cruciali per la registrazione presso l'ACN e le strategie concrete per evitare sanzioni fino a €7 milioni.
Rientrano nell'ambito di applicazione della normativa NIS2 le catene di farmacie, i produttori e i distributori di farmaci con un numero di dipendenti pari o superiore a 50 unità, nonché i fornitori di servizi essenziali nel settore farmaceutico. Sono soggetti agli obblighi rafforzati previsti per le entità importanti dalla direttiva NIS2, come recepita dal D.Lgs. 138/2024 in vigore dal 16 ottobre 2024.
È obbligatorio implementare controlli di sicurezza nei sistemi di gestione degli ordini e della ricezione dei farmaci, verificando l'autenticità dei fornitori tramite certificati digitali e canali di comunicazione crittografati. Ogni transazione di approvvigionamento deve essere tracciata e autenticata, con registri di audit accessibili in caso di ispezione ACN. Questa misura previene l'introduzione di farmaci contraffatti e garantisce la continuità della supply chain.
Tutte le piattaforme che gestiscono prescrizioni digitali e ricette devono prevedere autenticazione multi-fattore obbligatoria per il personale farmaceutico e amministrativo. L'accesso deve essere limitato su base del principio del minimo privilegio: i farmacisti vedono solo le ricette di competenza, i magazzinieri accedono unicamente ai moduli di inventario. I sistemi legacy senza funzionalità di controllo granulare degli accessi devono essere aggiornati o sostituiti entro il 28 febbraio 2025.
In caso di attacco informatico, malfunzionamento del sistema informativo o compromissione che incida sulla disponibilità di farmaci o prescrizioni, è obbligatorio notificare all'ACN entro 24 ore dal rilevamento dell'incidente (o 72 ore per incidenti minori). La notifica deve descrivere l'impatto sulla catena di distribuzione, i farmaci interessati e le misure di mitigazione immediate. La mancata segnalazione è soggetta a sanzioni amministrative fino a €7 milioni.
Le farmacie devono conformarsi simultaneamente ai requisiti NIS2 e al GDPR per la protezione dei dati personali e sanitari. Ciò comporta la crittografia dei database di prescrizioni, il controllo degli accessi con log di audit completi e la gestione rigorosa dei diritti di cancellazione e portabilità. I dati dei pazienti devono essere archiviati su server situati in Italia o nell'UE, con backup criptati regolari e test di ripristino documentati.
Le entità importanti nel settore farmaceutico devono registrarsi presso l'ACN tra il 1º gennaio e il 28 febbraio di ogni anno, fornendo una dichiarazione di conformità alle misure di sicurezza NIS2 e un report sugli incidenti gestiti nell'anno precedente. La registrazione è un prerequisito obbligatorio per la continuazione operativa; la mancata registrazione entro i termini scadenziali comporta sanzioni immediate. È consigliato iniziare il processo di preparazione della documentazione a novembre dell'anno precedente.
La registrazione presso l'ACN deve avvenire tra il 1º gennaio e il 28 febbraio di ogni anno. Il primo anno di obbligo è il 2025. Inoltre, tutti i sistemi legacy senza autenticazione multi-fattore devono essere aggiornati o sostituiti entro il 28 febbraio 2025. La segnalazione di incidenti informatici deve avvenire entro 24 ore dal rilevamento.
Le entità importanti che non si registrano entro il 28 febbraio sono soggette a sanzioni amministrative pecuniarie fino a €7 milioni o fino al 1,4% del fatturato annuale (si applica l'importo maggiore). Oltre alla sanzione, l'assenza di registrazione può comportare il divieto di operare come distributore autorizzato e il sequestro dei sistemi informativi non conformi.
L'incidente deve essere segnalato all'ACN entro 24 ore dal rilevamento, anche se avvenuto fuori orario. La notifica deve descrivere se la continuità della fornitura di farmaci è stata compromessa e quali pazienti sono stati potenzialmente interessati. Contemporaneamente, deve essere contattata l'autorità di polizia giudiziaria (Carabinieri Nucleo Cibercrimini) e deve essere avviato il piano di incident response documentato, con isolamento dei sistemi infetti e attivazione dei backup criptati.