NIS2 2026: gli obblighi di cybersecurity per poliambulatori
Il D.Lgs. 138/2024 ha recepito in Italia la direttiva europea NIS2 (Network and Information Security), estendendo gli obblighi di sicurezza informatica al settore sanitario privato. Poliambulatori, centri medici specialistici e strutture private di dimensione media che gestiscono dati sanitari digitali rientrano nell’ambito di applicazione. Le scadenze operative partono già dal 2026.
Cosa prevede la direttiva NIS2
La direttiva europea 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, introduce obblighi strutturati di gestione del rischio informatico per le organizzazioni che operano in settori considerati critici o importanti per il funzionamento del Paese. La sanità è esplicitamente inclusa tra questi settori.
L’impianto della NIS2 si basa su due pilastri:
- Misure di sicurezza tecniche e organizzative, che coprono crittografia, controllo degli accessi, backup, risposta agli incidenti, sicurezza della supply chain IT.
- Obbligo di notifica degli incidenti significativi all’autorità nazionale competente (il CSIRT Italia, gestito dall’ACN — Agenzia per la Cybersicurezza Nazionale), entro 24 ore dalla rilevazione di un incidente grave.
Chi è coinvolto nel settore sanitario privato
La NIS2 non riguarda il singolo medico in libera professione né il piccolo studio monoprofessionale. I soggetti coinvolti sono le organizzazioni che superano determinate soglie dimensionali:
- Soggetti importanti: strutture con 50-249 dipendenti o fatturato tra 10 e 50 milioni di euro annui
- Soggetti essenziali: strutture con 250 o più dipendenti o fatturato superiore a 50 milioni di euro annui
Nella pratica, poliambulatori multi-specialistici strutturati, centri diagnostici privati, gruppi medici associati con più sedi e strutture private accreditate con il SSN che operano su larga scala rientrano frequentemente nella prima categoria. Le strutture più grandi (ospedali privati, grandi cliniche) nella seconda.
Chi non supera queste soglie non è soggetto direttamente agli obblighi NIS2, ma rimane comunque tenuto al rispetto del GDPR per la protezione dei dati sanitari.
Le scadenze del 2026
Registrazione ACN (già scaduta il 28 febbraio 2026): i soggetti già identificati come rientranti nella NIS2 dovevano confermare o aggiornare la loro registrazione sulla piattaforma ACN entro il 28 febbraio 2026. I soggetti di nuova identificazione che ancora non si sono registrati devono procedere il prima possibile.
Notifica degli incidenti (operativa dal 15 gennaio 2026): dal 15 gennaio 2026 è pienamente operativo il regime obbligatorio di notifica al CSIRT Italia degli incidenti informatici significativi, entro 24 ore dalla rilevazione.
Implementazione misure di sicurezza: gli obblighi tecnici e organizzativi devono essere assolti entro 18 mesi dalla notifica ufficiale di inserimento nell’elenco dei soggetti NIS da parte di ACN.
Cosa fare in pratica
Le strutture sanitarie private che rientrano nell’ambito NIS2 devono affrontare un percorso di adeguamento articolato:
- Verificare se si rientra nell’ambito. Il primo passo è una valutazione interna basata su numero di dipendenti e fatturato annuo. Se si supera una delle due soglie per la categoria “soggetti importanti”, la struttura è soggetta alla NIS2.
- Completare la registrazione ACN. La piattaforma di registrazione dell’Agenzia per la Cybersicurezza Nazionale è il punto di ingresso formale nel regime NIS2. Le strutture già identificate che non hanno ancora completato il rinnovo 2026 devono farlo urgentemente.
- Effettuare una gap analysis. Confrontare lo stato attuale della sicurezza informatica della struttura con i requisiti NIS2: crittografia dei dati a riposo e in transito, autenticazione multi-fattore, segregazione degli accessi, backup e test di ripristino, procedure di incident response.
- Adeguare i sistemi e i processi. Gli interventi tipici includono: aggiornamento delle politiche di accesso ai sistemi informativi, implementazione di sistemi di monitoraggio degli eventi di sicurezza, formalizzazione dei piani di continuità operativa e disaster recovery, verifica dei fornitori IT (supply chain security).
- Formare il personale. La NIS2 include tra le misure obbligatorie la formazione sulla cybersecurity per chi ha accesso a sistemi critici, incluso il personale amministrativo che gestisce dati di pazienti.
Perché il settore sanitario è un obiettivo privilegiato
I dati sanitari sono tra le informazioni più sensibili e preziose sul mercato criminale. Una cartella clinica contiene dati anagrafici, condizioni di salute, terapie, dati di pagamento — un profilo completo della persona che vale molto di più di un semplice numero di carta di credito. Le strutture sanitarie, spesso sotto pressione operativa e con sistemi IT non aggiornati, sono un bersaglio frequente di ransomware e data breach.
Adeguarsi alla NIS2 non è solo un obbligo normativo: è una risposta concreta a un rischio reale che, in caso di incidente, può comportare l’interruzione dell’operatività clinica, sanzioni amministrative fino all’1,4% del fatturato annuo globale (per soggetti importanti), e un grave danno reputazionale verso i pazienti.
Come DBMedica contribuisce alla sicurezza dei dati sanitari
Un gestionale medico è uno dei sistemi più critici nella catena di protezione dei dati sanitari: aggrega le informazioni cliniche di tutti i pazienti, gestisce gli accessi di operatori con ruoli diversi e produce i documenti che alimentano il FSE. DBMedica è stato progettato tenendo conto di questo ruolo:
Crittografia dei dati clinici a riposo
Le cartelle cliniche digitali in DBMedica sono crittografate a riposo. I dati delle cartelle non sono accessibili in chiaro nemmeno a chi avesse accesso diretto al database, un requisito fondamentale per qualsiasi struttura che debba dimostrare conformità agli obblighi di protezione dei dati.
Sistema di permessi granulare
DBMedica implementa un sistema di controllo degli accessi con oltre 55 permessi configurabili e ruoli personalizzabili. Ogni utente del sistema — medico, segretario, responsabile amministrativo, operatore di cassa — vede e può fare solo ciò che la struttura ha esplicitamente autorizzato. Questo riduce drasticamente la superficie di esposizione: un operatore di segreteria non può accedere alle cartelle cliniche se non abilitato, e un medico non può esportare i dati contabili se non autorizzato.
Gestione multi-sede con configurazione separata
Per le strutture multi-sede che rientrano nella NIS2, DBMedica gestisce ogni sede come un’entità con configurazione indipendente: utenti, permessi, listini e dati sono separati per sede. Questo favorisce una corretta segmentazione dei dati e degli accessi, principio cardine della sicurezza NIS2.
L’adeguamento è un investimento, non solo un costo
Le strutture che si adeguano alla NIS2 non lo fanno solo per evitare sanzioni: costruiscono un’infrastruttura più resiliente, riducono il rischio di interruzioni operative causate da attacchi informatici e rafforzano la fiducia dei pazienti nella gestione dei propri dati. Richiedi una demo gratuita di DBMedica per scoprire come il gestionale contribuisce alla sicurezza e alla conformità della tua struttura sanitaria.
