Risposta breve: ISO/IEC 27001 specifica un sistema di gestione della sicurezza delle informazioni (ISMS): come un'organizzazione identifica i propri rischi informativi, sceglie i controlli, li gestisce e li migliora, con un auditor che certifica il risultato. Il suo compagno ISO/IEC 27002 descrive i controlli stessi. ISO 27799 (informatica sanitaria: gestione della sicurezza delle informazioni in sanità utilizzando ISO/IEC 27002) prende questi controlli e spiega come applicarli alle informazioni sanitarie personali: requisiti minimi, rischi specifici per la sanità e controlli che un ospedale o un fornitore di software sanitario dovrebbe considerare obbligatori anziché opzionali. Ci si certifica secondo la 27001; si utilizza la 27799 per decidere cosa deve coprire il certificato quando i dati sono dati sanitari. Ospedali e programmi nazionali richiedono sempre più il certificato più la prova che le specificità sanitarie siano state considerate, o uno schema nazionale che le incorpori.
ISO/IEC 27001:2022 in un paragrafo
ISO/IEC 27001:2022 è lo standard internazionale certificabile per un sistema di gestione della sicurezza delle informazioni. Le clausole da 4 a 10 stabiliscono i requisiti per il contesto, la leadership, la pianificazione basata sul rischio, il supporto, l'operatività, la valutazione delle prestazioni e il miglioramento; l'Allegato A elenca 93 controlli in quattro temi, selezionati e giustificati in una Dichiarazione di Applicabilità. La certificazione prevede un audit in due fasi, sorveglianza annuale e ricertificazione ogni tre anni.
Lo standard ha dieci clausole; le clausole da 4 a 10 sono i requisiti: contesto e ambito, leadership, pianificazione (valutazione e trattamento dei rischi, obiettivi), supporto (risorse, competenza, documentazione), operatività, valutazione delle prestazioni (monitoraggio, audit interno, riesame della direzione) e miglioramento. L'Allegato A elenca 93 controlli in quattro temi (organizzativi, persone, fisici, tecnologici), riorganizzati nel 2022 rispetto ai 114 controlli dell'edizione 2013, con nuovi controlli per l'intelligence sulle minacce, i servizi cloud, la prontezza ICT per la continuità operativa, il mascheramento dei dati, la prevenzione delle fughe di dati, il monitoraggio, il filtraggio web e la codifica sicura. Non è necessario implementare ogni controllo; è necessario giustificare, in una Dichiarazione di Applicabilità, quali si applicano e perché gli altri non sono pertinenti. La certificazione è un audit di fase 1 e fase 2, seguito da sorveglianza annuale e ricertificazione ogni tre anni.
Cosa aggiunge ISO 27799
ISO 27799 aggiunge una guida specifica per la sanità ai controlli ISO/IEC 27002: per le informazioni sanitarie personali rende obbligatori diversi controlli, tra cui l'identificazione univoca dell'utente, il controllo degli accessi basato sul ruolo e sulla relazione di cura, la registrazione di audit di ogni accesso alle cartelle cliniche, la crittografia sui dispositivi mobili e in transito, lo smaltimento sicuro, la gestione degli incidenti e la continuità operativa, e descrive le minacce specifiche per le organizzazioni sanitarie.
27799 (edizione attuale 2016) esamina i controlli della 27002 e, per ciascuno, indica cosa dovrebbero fare le organizzazioni sanitarie. Eleva diversi controlli da "dovrebbe essere considerato" a "deve": una politica di sicurezza delle informazioni documentata specifica per le informazioni sanitarie; identificazione univoca dell'utente (nessun account condiviso nei sistemi clinici); controllo degli accessi basato sul ruolo e sulla relazione di cura; registrazione di audit di ogni accesso alle informazioni sanitarie personali, conservata e verificabile; crittografia delle informazioni sanitarie su dispositivi mobili e in transito; smaltimento sicuro; gestione degli incidenti che include violazioni della privacy; e continuità operativa perché un record non disponibile può danneggiare un paziente. Spiega anche minacce specifiche per la sanità: navigazione interna di record di persone conosciute, archiviazione errata tra pazienti, il punto debole degli estratti di ricerca e i lunghi periodi di conservazione che mantengono esposti dati vecchi.
I due insieme, e i vicini
ISO/IEC 27001 e ISO 27799 lavorano insieme: 27001 è il sistema di gestione certificabile e 27799 la guida per il settore sanitario su quali controlli includere. Standard e schemi vicini coprono le esigenze: ISO 27701 per la privacy, ISO 27017 e 27018 per il cloud, SOC 2 e HITRUST per i clienti statunitensi, HDS (Francia), C5 (Germania), NHS DSPT (Inghilterra) e ENS (Spagna) per gli appalti nazionali.
| Standard o schema | Tipo | Usalo per |
|---|---|---|
| ISO/IEC 27001:2022 | Requisiti ISMS certificabili | Il certificato richiesto da ospedali e gare d'appalto |
| ISO/IEC 27002:2022 | Guida ai controlli | Implementazione dei controlli dell'Allegato A |
| ISO 27799:2016 | Guida per il settore sanitario | Definizione dell'ambito e giustificazione dei controlli per i dati sanitari; prova nella due diligence |
| ISO/IEC 27701:2019 | Estensione della privacy a 27001/27002 | Dimostrazione della gestione della privacy conforme al GDPR come titolare e responsabile del trattamento |
| ISO/IEC 27017 e 27018 | Guida alla sicurezza cloud e alla privacy cloud | Fornitori di servizi cloud e SaaS che gestiscono dati personali |
| SOC 2 (AICPA) | Report di attestazione USA (Tipo I o II) sui criteri di fiducia | Clienti e investitori USA; non un certificato |
| HITRUST CSF | Framework e certificazione sanitaria USA | Sistemi sanitari e assicuratori USA che lo richiedono |
| HDS (Francia) | Certificazione obbligatoria per l'hosting di dati sanitari in Francia | Qualsiasi fornitore che ospita dati sanitari francesi; basato su 27001 |
| C5 (Germania) | Attestazione cloud BSI | Appalti pubblici e ospedalieri tedeschi |
| NHS DSPT (Inghilterra) | Toolkit di autovalutazione annuale | Qualsiasi fornitore per l'NHS |
| ENS (Spagna) | Framework nazionale di sicurezza | Sistemi del settore pubblico spagnolo |
| IEC 81001-5-1 | Ciclo di vita sicuro del prodotto per software sanitario | Cybersecurity del software dei dispositivi medici, insieme a IEC 62304 |
La maggior parte di questi si sovrappone ampiamente al set di controlli della 27001; le organizzazioni mappano una volta e riutilizzano le prove. Diversi schemi nazionali (HDS, C5, ENS) sono basati sulla 27001 e aggiungono requisiti settoriali o nazionali, motivo per cui la 27001 è il primo certificato sensato per un'azienda health-tech che vende in Europa.
Cosa certificare e quando
Per un'azienda health-tech che vende in Europa, l'ordine usuale è certificare prima ISO/IEC 27001, con ambito sulla piattaforma e sui team che la gestiscono, dopo aver implementato i controlli sanitari da ISO 27799 (log di accesso per cartella, accesso basato sulla relazione, crittografia, nessun account condiviso, ripristini testati), quindi aggiungere ISO 27701, HDS, C5 o SOC 2 quando un mercato li richiede.
- Ambito ristretto e onesto: la piattaforma e i team che la gestiscono, non i laptop dell'intera azienda, a meno che non tocchino i dati. Gli ospedali leggono la dichiarazione di ambito.
- Eseguire le specificità sanitarie anche prima della certificazione: log di accesso per record paziente, accesso basato su ruolo e relazione, crittografia ovunque, nessun account condiviso, ripristini testati. Il questionario di sicurezza di un ospedale chiede queste cose; 27799 è la checklist.
- Certificare prima la 27001, aggiungere la 27701 se si elaborano dati come titolare e responsabile del trattamento per molti clienti, aggiungere HDS o C5 quando un mercato lo richiede, SOC 2 quando lo richiedono i clienti USA.
- Mantenere visibile il collegamento al GDPR: l'articolo 32 richiede una sicurezza appropriata al rischio, e un certificato 27001 con un ambito informato dalla 27799 è il modo più riconosciuto per dimostrarlo. La sezione misure della DPIA e il piano di trattamento dei rischi dell'ISMS dovrebbero essere lo stesso elenco. Vedere DPIA per un'app sanitaria.
- NIS2 (per le entità in ambito) e la proposta di aggiornamento della HIPAA Security Rule assomigliano entrambe alla 27001 Allegato A con autenticazione a più fattori obbligatoria e segnalazione degli incidenti; un unico ISMS risponde a tutti e tre. Vedere NIS2 per ospedali e fornitori.
In Anpheros
Anpheros gestisce il suo programma di sicurezza seguendo la struttura della ISO 27001 con i controlli sanitari che la 27799 considera obbligatori: log di accesso per record per persona leggibile, accesso limitato da consenso e tempo, crittografia a riposo e in transito, hosting UE, nessun account condiviso, backup testati e un processo di incidenti con l'orologio GDPR di 72 ore. Il sito per sviluppatori documenta la sicurezza della piattaforma e l'audit si trova nella revisione di sicurezza dell'ottobre 2026.
Questa pagina spiega la regolamentazione per i team di prodotto e ingegneria. Non costituisce consulenza legale; i testi collegati sotto Fonti sono l'autorità, e il tuo responsabile della protezione dei dati, l'organismo notificato o il consulente decide per il tuo caso. Ultima revisione: Ottobre 2026.
Pagine correlate
- NIS2 per ospedali e fornitori di health-tech
- DPIA per un'app sanitaria
- HIPAA vs GDPR
- Chi ha visualizzato la mia cartella clinica?
- Mappa della regolamentazione dei dati sanitari
- Sicurezza della piattaforma (sito per sviluppatori)
Fonti
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Informatica sanitaria: gestione della sicurezza delle informazioni in sanità utilizzando ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Francia): Certificazione HDS
- BSI (Germania): Catalogo dei criteri C5
- NHS England: Data Security and Protection Toolkit
Domande frequenti
Posso ottenere la certificazione ISO 27799?
No. La 27799 è una guida; gli organismi di certificazione certificano la ISO/IEC 27001. È possibile fare riferimento alla 27799 nell'ambito e nella Dichiarazione di Applicabilità della 27001 in modo che il certificato copra dimostrabilmente i controlli specifici per la sanità.
SOC 2 è equivalente a ISO 27001?
Si sovrappongono ma differiscono nel tipo: SOC 2 è un report di un revisore sui controlli durante un periodo rispetto a criteri di fiducia, comune negli Stati Uniti; 27001 è un sistema di gestione certificato, comune in Europa e a livello internazionale. Molte aziende health-tech possiedono entrambi.
Ho bisogno di HDS per servire le cliniche francesi?
Se ospitate dati sanitari per fornitori di assistenza francesi, sì: la certificazione HDS è un requisito legale ai sensi del codice sanitario pubblico francese, e la maggior parte dei clienti francesi non firmerà senza di essa. Si basa sulla 27001, quindi inizi da lì.
Quanto tempo ci vuole per la ISO 27001?
Per un ambito mirato con un team impegnato, da sei a dodici mesi dall'inizio alla certificazione, la maggior parte del tempo è dedicata a rendere effettivi i controlli e a raccogliere prove. L'audit in sé dura pochi giorni.
Provalo gratis nella sandbox
La tua prima chiamata FHIR in 5 minuti. Un'API HL7 FHIR R4 con il consenso del paziente integrato: provala nella sandbox, poi collega la tua app o il sistema della tua clinica.
Gratis · 30 pazienti sintetici · senza carta
Anpheros sviluppa una cartella clinica che il paziente controlla e può condividere con qualsiasi studio medico, su una piattaforma HL7 FHIR R4, con sede in UE. Queste guide ti aiutano a comprendere e organizzare la tua salute; non sostituiscono il tuo medico.
Chi siamo →