Cybersecurity in sanità: NIS2, GDPR e DPIA per ospedali, case di cura e poliambulatori

Perché la sanità è un bersaglio

Il rapporto dell’ENISA (European Union Agency for Cybersecurity, l’Agenzia dell’Unione europea per la cibersicurezza) sul settore sanitario, pubblicato nel luglio 2023, ha analizzato 215 incidenti resi pubblici in due anni nell’Unione e nei Paesi vicini. Il 54% delle minacce era legato al ransomware. I prestatori di assistenza sanitaria erano coinvolti nel 53% dei casi, gli ospedali da soli nel 42%. Quasi metà degli incidenti (46%) mirava a sottrarre o diffondere dati. Le cartelle cliniche elettroniche erano l’obiettivo più frequente.

Il costo spiega l’interesse degli attaccanti. Secondo il rapporto IBM Cost of a Data Breach 2025, la sanità è da quattordici anni il settore con le violazioni più costose, con una media di 7,42 milioni di dollari. In sanità servono in media 279 giorni per individuare e contenere una violazione, cinque settimane più della media generale. Le ragioni sono note a chi lavora in una struttura sanitaria. Molti dispositivi medici collegati alla rete usano sistemi operativi non più aggiornabili e restano in servizio per anni. I sistemi clinici non possono essere fermati per applicare una patch nel mezzo di un turno. Il personale lavora sotto pressione e l’email di phishing arriva in mezzo a decine di comunicazioni urgenti.

Il caso Change Healthcare

Change Healthcare, società del gruppo UnitedHealth, gestisce per una larga parte della sanità statunitense la trasmissione delle richieste di rimborso, i pagamenti e la verifica delle prescrizioni. Il 12 febbraio 2024 un gruppo criminale collegato ad ALPHV, noto anche come BlackCat, è entrato nei suoi sistemi attraverso un portale di accesso remoto Citrix, usando credenziali rubate. Il portale non aveva l’autenticazione a più fattori. Nove giorni dopo, il 21 febbraio, gli attaccanti hanno avviato il ransomware.

L’amministratore delegato del gruppo, Andrew Witty, ha confermato questi fatti nella testimonianza scritta presentata al Congresso degli Stati Uniti per l’audizione del 1° maggio 2024, ammettendo anche il pagamento di un riscatto di 22 milioni di dollari. Nel 2025 Change Healthcare ha indicato in 192,7 milioni le persone coinvolte. UnitedHealth ha stimato i costi dell’attacco per il solo 2024 in 2,87 miliardi di dollari.

Per una struttura italiana il punto è preciso. L’autenticazione a più fattori sugli accessi remoti è una delle misure che l’art. 24 del d.lgs. n. 138/2024 elenca espressamente. Un solo accesso remoto non protetto ha bloccato per settimane servizi da cui dipendevano ospedali, farmacie e studi medici.

Chi rientra nella NIS2

La direttiva (UE) 2022/2555, nota come NIS2, è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L’Allegato I della direttiva, dedicato ai settori altamente critici, comprende nel settore sanitario i prestatori di assistenza sanitaria come definiti dall’art. 3, lett. g), della direttiva 2011/24/UE. La definizione comprende qualunque persona fisica o giuridica che presti legalmente assistenza sanitaria, senza distinguere fra pubblico e privato. Nello stesso settore rientrano i soggetti che svolgono ricerca e sviluppo sui medicinali, i fabbricanti di prodotti farmaceutici di base e i fabbricanti di dispositivi medici considerati critici durante un’emergenza di sanità pubblica.

La distinzione fra soggetti essenziali e importanti segue la dimensione. Secondo l’art. 6, sono essenziali i soggetti dell’Allegato I che superano i massimali della media impresa: 250 dipendenti, oppure fatturato superiore a 50 milioni di euro e totale di bilancio superiore a 43 milioni. Gli altri soggetti nell’ambito di applicazione sono importanti. Un grande gruppo ospedaliero privato è quindi di regola essenziale, un poliambulatorio con 80 dipendenti è importante. Nel calcolo delle soglie si sommano i dati delle imprese associate e collegate, salvo che il risultato sia sproporzionato rispetto all’indipendenza dei sistemi e dei servizi della struttura (art. 3, comma 4).

Le aziende sanitarie locali sono inoltre soggette alla legge 28 giugno 2024, n. 90. L’art. 1 impone loro di segnalare all’ACN (Agenzia per la cybersicurezza nazionale) gli incidenti elencati nella tassonomia dell’Agenzia entro 24 ore da quando ne sono venute a conoscenza e di completare la notifica entro 72 ore.

Obblighi e calendario

I soggetti NIS si registrano o aggiornano la registrazione ogni anno sulla piattaforma dell’ACN, dal 1° gennaio al 28 febbraio (art. 7). L’Agenzia comunica poi l’inserimento nell’elenco nazionale. Da quella comunicazione decorrono i termini fissati dalla determinazione ACN n. 379907/2025: nove mesi per iniziare a notificare gli incidenti significativi e diciotto mesi per adottare le misure di sicurezza di base. Per chi è stato inserito nel 2025 l’obbligo di notifica è scattato a gennaio 2026. Il termine per le misure scade a ottobre 2026.

Le misure riprendono l’elenco dell’art. 24, comma 2, del decreto, che segue un approccio multi-rischio e comprende almeno:

L’art. 23 coinvolge direttamente i vertici. La norma stabilisce che gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure, ne sovrintendono l’attuazione e “sono responsabili delle violazioni di cui al presente decreto”. Devono inoltre seguire una formazione in materia di sicurezza informatica e promuoverla per i dipendenti. In una casa di cura questo significa che il consiglio di amministrazione deve deliberare sulle misure e conservarne traccia.

Le sanzioni sono graduate dall’art. 38. Per le violazioni degli obblighi degli organi di amministrazione, di gestione del rischio e di notifica il massimo è di 10 milioni di euro o del 2% del fatturato mondiale annuo, se superiore, per i soggetti essenziali. Per i soggetti importanti è di 7 milioni di euro o dell’1,4%. Le pubbliche amministrazioni sono escluse da questi importi.

Un incidente, due notifiche

Un attacco ransomware alla cartella clinica elettronica di un soggetto NIS fa scattare di regola due obblighi distinti, verso due destinatari diversi e con presupposti diversi.

La notifica NIS riguarda gli incidenti significativi, cioè quelli che hanno causato o possono causare gravi perturbazioni dei servizi o perdite finanziarie, oppure danni rilevanti ad altre persone. Il riferimento sono gli incidenti elencati negli allegati della determinazione ACN. L’art. 25, comma 3, precisa che la notifica non espone il soggetto a una responsabilità maggiore di quella che deriva dall’incidente.

La notifica al Garante per la protezione dei dati personali segue l’art. 33 GDPR. Riguarda le violazioni di dati personali, va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, l’art. 34 richiede anche la comunicazione ai pazienti. La cifratura dell’intero sistema da parte di un ransomware è una violazione di dati personali anche quando non c’è prova di esfiltrazione, perché compromette la disponibilità dei dati.

Le due procedure hanno moduli, termini e soglie diversi. Conviene prevederle in un unico piano di risposta agli incidenti, con una persona incaricata di ciascuna notifica e un canale di coordinamento fra IT, direzione sanitaria e DPO.

GDPR: sicurezza del trattamento e DPIA

L’art. 32 vale per tutte le strutture sanitarie, anche per quelle escluse dalla NIS2. Non indica misure precise e rimette al titolare la valutazione di adeguatezza. A mio avviso le misure di base dell’ACN sono un riferimento utile anche per un poliambulatorio sotto soglia: descrivono ciò che l’autorità nazionale considera il livello minimo per un soggetto del settore e aiutano a motivare le scelte fatte.

La DPIA dell’art. 35 GDPR è obbligatoria in tre casi tipici elencati dal par. 3: valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato da cui derivano decisioni con effetti giuridici o analoghi, trattamento su larga scala di categorie particolari di dati, sorveglianza sistematica su larga scala di una zona accessibile al pubblico. La cartella clinica di un ospedale ricade nel secondo caso. Le linee guida del Gruppo di lavoro Articolo 29 sul DPO (WP243 rev.01) indicano il trattamento dei dati dei pazienti da parte di un ospedale come esempio di larga scala e quello del singolo medico come esempio contrario. Per le strutture intermedie la valutazione va fatta caso per caso. Le linee guida WP248 rev.01 considerano di norma necessaria la DPIA quando ricorrono almeno due criteri di rischio. I dati sanitari sono uno di questi criteri.

Una DPIA utile descrive i sistemi reali della struttura, compresi i dispositivi medici collegati alla rete e i fornitori che vi accedono da remoto. Un documento che elenca rischi generici del settore non serve a dimostrare nulla.

Le misure tecniche che contano in sanità

Il ruolo del DPO

Il DPO designato ai sensi dell’art. 37 GDPR non è il responsabile della sicurezza informatica e non deve diventarlo. Le linee guida WP243 rev.01 escludono che il DPO ricopra ruoli che determinano finalità o mezzi del trattamento, come la direzione dei sistemi informativi, perché si creerebbe un conflitto di interessi (art. 38, par. 6). Il suo compito resta quello dell’art. 39: sorvegliare l’osservanza del GDPR, fornire pareri sulla DPIA, fare da punto di contatto con il Garante.

In una struttura soggetta alla NIS2 il DPO va comunque coinvolto nel piano di risposta agli incidenti, nella scelta dei fornitori che trattano dati sanitari e nella valutazione dei trasferimenti verso Paesi terzi. La notifica al Garante e quella al CSIRT Italia riguardano spesso lo stesso evento. Le informazioni date alle due autorità devono essere coerenti.

Conclusioni