NIS2 e sanità privata: si applica a poliambulatori e studi medici?
Quando si parla di NIS2 e cybersecurity in sanità, la prima domanda di un titolare di poliambulatorio è semplice: riguarda anche me? E non è una domanda con una risposta uguale per tutti: la NIS2 non guarda solo al settore, guarda soprattutto alle dimensioni della struttura — ed è un confine dove è facile sbagliare in tutti e due i sensi, allarmandosi per un obbligo che non c’è o ignorandone uno che c’è. Vediamo con precisione chi rientra, chi resta fuori e cosa devono fare i soggetti effettivamente coinvolti, senza allarmismi.
La NIS2 si applica agli studi medici e ai poliambulatori?
Non a tutti. La NIS2 è la direttiva europea sulla sicurezza informatica (Direttiva UE 2022/2555), recepita in Italia dal Decreto Legislativo 4 settembre 2024, n. 138. La sanità è tra i settori considerati «ad alta criticità», ma la direttiva non si applica per settore da solo: si applica per settore più dimensione. Sotto una certa soglia di dipendenti e di fatturato una struttura sanitaria privata resta fuori dagli obblighi. È il motivo per cui la maggior parte degli studi medici e dei poliambulatori di piccole e medie dimensioni non è tenuta ad adempiere alla NIS2.
Quali strutture sanitarie rientrano nella NIS2 (e quali no)
Il criterio dimensionale distingue tre situazioni. Nel settore sanitario, che rientra tra i settori ad alta criticità, valgono queste fasce (i dati vanno letti sul proprio bilancio e sull’ultima verifica ufficiale ACN):
- Soggetti essenziali — le imprese grandi ai sensi della raccomandazione UE 2003/361/CE: almeno 250 dipendenti, oppure più di 50 milioni di euro di fatturato, oppure un totale di bilancio annuo superiore a 43 milioni di euro. Qui rientrano cliniche private importanti, case di cura, grandi gruppi sanitari.
- Soggetti importanti — le imprese medie: quelle che superano le soglie della piccola impresa (almeno 50 dipendenti, oppure oltre 10 milioni di euro di fatturato o di totale di bilancio) senza raggiungere quelle della grande. Qui possono rientrare i poliambulatori più strutturati e i centri con più sedi.
- Sotto soglia (di norma esclusi) — le micro e piccole imprese: meno di 50 dipendenti e non oltre 10 milioni di euro di fatturato e di totale di bilancio. È la fascia in cui ricade la gran parte degli studi medici e dei poliambulatori. La NIS2 riguarda i soggetti almeno medi, quindi queste strutture restano fuori dagli obblighi, salvo che l’Agenzia per la Cybersicurezza Nazionale non le identifichi in modo specifico (per esempio come unico fornitore di un servizio essenziale su un territorio).
La differenza tra essenziale e importante non cambia solo l’etichetta: incide sul regime di vigilanza e sul tetto delle sanzioni. Ma il punto per un titolare è a monte: prima verifica se rientri, contando dipendenti e fatturato — includendo, secondo i criteri UE 2003/361/CE, anche le eventuali imprese associate e collegate — e solo dopo ragiona sugli adempimenti. Nel dubbio sulla soglia, la valutazione va fatta con il proprio consulente sulla base dei dati aggiornati e delle indicazioni dell’ACN.
Cosa devono fare le strutture sanitarie che rientrano
Se la struttura supera la soglia, gli obblighi principali sono tre e si muovono su tempi diversi.
- Registrazione all’ACN. I soggetti nel perimetro si registrano sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale in una finestra annuale, dal 1° gennaio al 28 febbraio. Chi si era già registrato l’anno precedente conferma o aggiorna i dati; chi entra per la prima volta nel perimetro effettua la prima registrazione. La finestra del 2026 si è chiusa il 28 febbraio: i nuovi soggetti si registrano nella finestra successiva.
- Notifica degli incidenti significativi. Il regime di notifica al CSIRT Italia è operativo dal gennaio 2026. In caso di incidente rilevante è prevista una pre-notifica entro 24 ore dalla scoperta e una notifica entro 72 ore; l’articolo 25 del D.Lgs. 138/2024 richiede inoltre una relazione finale entro un mese dalla notifica (con relazioni intermedie sui progressi, se l’incidente è ancora in corso).
- Misure di sicurezza tecniche e organizzative. Gestione del rischio, controllo degli accessi, backup e continuità operativa, cifratura, piano di risposta agli incidenti, formazione del personale. Non sono solo scelte di software: riguardano l’organizzazione interna e vanno adottate entro i termini fissati dalle determinazioni dell’ACN.
Come DBMedica ti aiuta a proteggere i dati dei pazienti
La NIS2 riguarda l’organizzazione nel suo complesso, non un singolo programma: nessun gestionale, da solo, rende una struttura «conforme alla NIS2». Detto questo, il modo in cui custodisci i dati dei pazienti è una parte concreta del quadro, e vale a prescindere dall’obbligo NIS2 — perché la protezione dei dati sanitari è già richiesta dal GDPR. DBMedica è un software gestionale medico in cloud per studi e centri medici, che tiene insieme agenda, cartella clinica e fatturazione con i dati custoditi in cloud. Su questo fronte offre alcune basi utili.
- Dati in cloud con backup. Le informazioni cliniche e amministrative non vivono sul singolo computer dello studio: sono conservate in cloud, con copie di sicurezza gestite dall’infrastruttura.
- Accessi controllati per ruolo. Ogni collaboratore vede e fa solo ciò che gli compete: medico, segreteria e amministrazione hanno livelli di accesso distinti, e nelle strutture con più sedi i dati restano separati per sede.
- Trasmissioni cifrate. Il traffico tra il tuo browser e il gestionale è cifrato: è un controllo tecnico che aiuta a proteggere i dati in transito.
Sono tasselli che alleggeriscono la parte «tecnica» della sicurezza, non un bollino di conformità: le procedure organizzative, la valutazione del rischio e gli adempimenti verso l’ACN restano responsabilità della struttura.
In sintesi: prima verifica se rientri
La NIS2 non è un obbligo per tutta la sanità privata: conta la dimensione della struttura, e la maggior parte degli studi e dei poliambulatori resta fuori. Il primo passo non è comprare tecnologia, è contare dipendenti e fatturato per capire se sei nel perimetro; se lo sei, il percorso passa da registrazione ACN, notifica degli incidenti e misure organizzative. In ogni caso, proteggere i dati dei pazienti è già un dovere: se vuoi un gestionale che tenga le informazioni in cloud con backup e accessi controllati, guarda il gestionale per poliambulatorio di DBMedica e richiedi una demo gratuita.
Domande Frequenti
La NIS2 si applica al mio studio medico?
Di norma no, se lo studio ha meno di 50 dipendenti e non supera i 10 milioni di euro di fatturato o di totale di bilancio: in quel caso è una micro o piccola impresa, resta sotto la soglia dimensionale e non rientra negli obblighi NIS2. La direttiva si applica ai soggetti almeno medi — le strutture sanitarie medie e grandi — non ai piccoli studi. Resta possibile, in via di eccezione, che l’ACN individui in modo specifico anche un soggetto sotto soglia (per esempio come unico fornitore di un servizio essenziale su un territorio): in quel caso rientra negli obblighi e nelle relative sanzioni.
Quali poliambulatori devono registrarsi all'ACN?
Quelli almeno di medie dimensioni secondo i criteri della raccomandazione UE 2003/361/CE. Una PMI ha meno di 250 dipendenti e resta entro una soglia finanziaria (fatturato fino a 50 milioni oppure totale di bilancio fino a 43 milioni): fatturato e totale di bilancio sono alternativi tra loro, ma superare da solo il tetto dei 250 dipendenti basta a uscire dalla categoria PMI. L’obbligo di registrazione parte dalle imprese medie (dai ~50 dipendenti e oltre i 10 milioni di fatturato o di bilancio); i soggetti essenziali sono le imprese grandi (dai 250 dipendenti, oppure oltre 50 milioni di fatturato o 43 di totale di bilancio). La classificazione esatta va verificata col proprio consulente e sulle indicazioni dell’ACN. Un poliambulatorio micro o piccolo, sotto quelle soglie, di norma non è tenuto a registrarsi, salvo un’identificazione specifica da parte dell’ACN.
Un gestionale medico basta per essere conformi alla NIS2?
No. La NIS2 richiede misure organizzative, valutazione del rischio, procedure di notifica e adempimenti verso l’ACN: un software, per quanto sicuro, ne copre solo la parte tecnica. Custodire i dati in cloud con backup, accessi per ruolo e trasmissioni cifrate aiuta, ma non sostituisce il percorso di conformità della struttura.
Quali sono le sanzioni previste dalla NIS2?
Per i soggetti essenziali si arriva fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per i soggetti importanti fino a 7 milioni di euro o all’1,4%. In entrambi i casi, come previsto dall’articolo 38, comma 9, del D.Lgs. 138/2024, si applica l’importo più elevato tra i due. Le sanzioni riguardano però solo chi rientra effettivamente nel perimetro: una struttura sotto soglia di norma non è esposta, salvo che l’ACN non l’abbia individuata specificamente.
