Risposta breve: NIS2 (Direttiva (UE) 2022/2555) è la legge dell'UE sulla cybersecurity per i settori critici. La sanità è un settore di alta criticità (Allegato I): ospedali e altri fornitori di assistenza sanitaria, laboratori di riferimento dell'UE, produttori di prodotti farmaceutici di base e di dispositivi medici critici durante un'emergenza sanitaria, ed entità che svolgono ricerca e sviluppo di medicinali. Sono coperti anche i fornitori digitali da cui dipende la sanità: cloud computing, data center, servizi di sicurezza gestiti e piattaforme e marketplace online. Le entità al di sopra della soglia dimensionale (medie: 50 dipendenti o 10 milioni di euro di fatturato) sono essenziali o importanti a seconda del settore e delle dimensioni, e devono implementare dieci categorie di misure di sicurezza, segnalare incidenti significativi in 24 ore, 72 ore e un mese, e accettare che il management sia personalmente responsabile. Gli Stati membri dovevano recepire la direttiva entro il 17 ottobre 2024; diversi lo hanno fatto in ritardo, e sono le leggi nazionali, non la direttiva, ad applicarsi a voi.
Chi è interessato
La direttiva NIS2 copre il settore sanitario come settore di alta criticità: ospedali e altri fornitori di assistenza sanitaria, laboratori di riferimento UE, produttori di prodotti farmaceutici di base e di dispositivi medici critici in un'emergenza di sanità pubblica, ed entità di ricerca e sviluppo di medicinali, oltre ai fornitori di servizi cloud, data centre e gestiti su cui si basa la sanità. Le medie imprese sono generalmente importanti, le grandi essenziali.
| Entità | Allegato | Stato tipico |
|---|---|---|
| Ospedali, cliniche, reti di medici di base, laboratori, farmacie che forniscono assistenza (fornitori di assistenza sanitaria ai sensi della Direttiva 2011/24) | I, sanità | Essenziale se grandi (250+ dipendenti o 50 milioni di euro+), importante se medie |
| Laboratori di riferimento dell'UE | I, sanità | Essenziale |
| Produttori di prodotti e preparati farmaceutici di base | I, sanità | Essenziale o importante per dimensioni |
| Produttori di dispositivi medici considerati critici durante un'emergenza sanitaria (elenco del Regolamento 2022/123) | I, sanità | Essenziale o importante per dimensioni |
| Entità che svolgono attività di R&S di medicinali | I, sanità | Essenziale o importante per dimensioni |
| Fornitori di servizi di cloud computing, fornitori di data center, reti di distribuzione di contenuti, fornitori di servizi di sicurezza gestiti, registri DNS, TLD | I, infrastrutture digitali e gestione dei servizi ICT | Essenziale indipendentemente dalle dimensioni per alcuni (DNS, TLD, servizi fiduciari); altrimenti per dimensioni |
| Marketplace online, motori di ricerca, social network | II, fornitori digitali | Importante per dimensioni |
| Produttori di altri dispositivi medici e di computer, elettronica, macchinari | II, produzione | Importante per dimensioni |
Un fornitore SaaS health-tech non è un fornitore di assistenza sanitaria, ma potrebbe essere interessato in quanto fornitore di servizi di cloud computing (se offre servizi cloud come attività principale) o essere coinvolto attraverso i propri clienti: l'articolo 21, paragrafo 2, lettera d) richiede alle entità essenziali e importanti di gestire la sicurezza della catena di approvvigionamento, quindi gli ospedali trasferiscono i requisiti di livello NIS2 nei contratti con i propri fornitori di software. Le micro e piccole imprese sono generalmente escluse, a meno che uno Stato membro non le designi (ad esempio, come unici fornitori di un servizio critico).
Le dieci misure, Articolo 21
L'articolo 21 della NIS2 richiede a ogni entità interessata di adottare misure proporzionate in dieci aree: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, acquisizione e sviluppo sicuri, inclusa la gestione delle vulnerabilità, valutazione dell'efficacia, igiene informatica e formazione, crittografia e cifratura, sicurezza delle risorse umane e controllo degli accessi, e autenticazione a più fattori con comunicazioni sicure.
Ogni entità interessata deve adottare misure tecniche, operative e organizzative appropriate e proporzionate che coprano almeno:
- politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
- gestione degli incidenti;
- continuità operativa (backup, ripristino di emergenza) e gestione delle crisi;
- sicurezza della catena di approvvigionamento, inclusa la sicurezza delle relazioni con i fornitori diretti;
- sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, inclusa la gestione e divulgazione delle vulnerabilità;
- politiche per valutare l'efficacia delle misure;
- pratiche di base di igiene informatica e formazione;
- politiche sulla crittografia e, ove opportuno, sulla cifratura;
- sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
- autenticazione a più fattori o continua, comunicazioni sicure e comunicazioni di emergenza sicure.
Un regolamento di esecuzione dell'ottobre 2024 (2024/2690) specifica questi dettagli per i fornitori di infrastrutture digitali e ICT, e le autorità nazionali pubblicano i propri cataloghi per la sanità. L'elenco corrisponde strettamente all'Allegato A della norma ISO/IEC 27001; un'organizzazione con un ISMS certificato esteso ai sistemi pertinenti è a buon punto. Vedere ISO 27001 vs ISO 27799.
L'orologio degli incidenti, Articolo 23
Ai sensi dell'articolo 23 della NIS2, un incidente significativo deve essere segnalato al CSIRT nazionale o all'autorità competente in tre fasi: un allarme preliminare entro 24 ore dalla presa di conoscenza, una notifica dell'incidente entro 72 ore con una valutazione iniziale, e una relazione finale entro un mese che copra la causa principale e le misure di mitigazione, con una relazione intermedia su richiesta.
Un incidente significativo (uno che causa o è in grado di causare una grave interruzione operativa o perdite finanziarie, o che colpisce altri con danni considerevoli) deve essere segnalato al CSIRT nazionale o all'autorità competente:
- allarme preliminare entro 24 ore dalla presa di conoscenza, indicando se si sospetta un'azione malevola e se vi è un impatto transfrontaliero;
- notifica dell'incidente entro 72 ore, con una valutazione iniziale della gravità e dell'impatto e indicatori di compromissione;
- un rapporto intermedio su richiesta;
- un rapporto finale entro un mese, con causa principale, mitigazione e impatto transfrontaliero.
Dove sono coinvolti dati personali, la notifica di 72 ore al garante della protezione dei dati ai sensi del GDPR decorre in parallelo; un attacco ransomware a un ospedale attiva entrambi. I destinatari dei servizi devono essere informati quando l'incidente può interessarli.
Governance, responsabilità, sanzioni
La NIS2 rende il management personalmente responsabile: gli organi di gestione devono approvare le misure di cybersecurity, supervisionarne l'attuazione e seguire la formazione, e possono essere ritenuti responsabili per le violazioni; per le entità essenziali, le autorità possono sospendere temporaneamente i dirigenti. Le multe raggiungono i 10 milioni di euro o il 2% del fatturato mondiale per le entità essenziali e i 7 milioni di euro o l'1,4% per le entità importanti.
Le autorità possono effettuare audit, richiedere prove e, in alcuni stati membri, la registrazione delle entità è essa stessa un obbligo.
Stato del recepimento
La NIS2 doveva essere recepita nel diritto nazionale entro il 17 ottobre 2024. Entro metà 2025 circa la metà degli stati membri aveva leggi in vigore, la Commissione aveva avviato procedure di infrazione contro quelli in ritardo, e l'atto di attuazione della Germania è entrato in vigore alla fine del 2025. La legge nazionale, non la direttiva, stabilisce la scadenza per la registrazione, l'autorità competente e qualsiasi catalogo del settore sanitario.
La scadenza per il recepimento era il 17 ottobre 2024. A metà 2025 circa la metà degli Stati membri aveva leggi in vigore (tra i primi Belgio, Croazia, Ungheria, Italia, Lettonia, Lituania, Romania, Slovacchia), e la Commissione ha avviato procedure d'infrazione contro quelli in ritardo; la legge di attuazione tedesca NIS2 è entrata in vigore alla fine del 2025. Verificare la legge nazionale per la scadenza di registrazione, l'autorità (spesso l'agenzia nazionale per la cybersecurity per la sanità, a volte un regolatore del settore sanitario) e i cataloghi specifici per settore. Al di fuori dell'UE, il Regno Unito sta seguendo con il Cyber Security and Resilience Bill.
Per un fornitore di tecnologia sanitaria, in pratica
Per un fornitore di tecnologia sanitaria, la NIS2 arriva principalmente attraverso i contratti ospedalieri: i clienti interessati devono gestire la sicurezza della catena di approvvigionamento, quindi richiedono la notifica degli incidenti entro poche ore, prove delle dieci misure dell'articolo 21, divulgazione delle vulnerabilità, elenchi dei subappaltatori e piani di uscita e continuità. Un sistema di gestione della sicurezza delle informazioni con questi elementi documentati una volta è il modo più economico per rispondere.
Anpheros pubblica la sua pratica di sicurezza sul sito per sviluppatori (security, reliability) e gestisce la risposta agli incidenti con gli orologi NIS2 e GDPR nello stesso runbook.
Questa pagina spiega la normativa per i team di prodotto e ingegneria. Non costituisce consulenza legale; i testi collegati sotto Fonti fanno fede, e il vostro responsabile della protezione dei dati, organismo notificato o consulente decide per il vostro caso. Ultima revisione: Ottobre 2026.
Pagine correlate
- ISO 27001 vs ISO 27799
- Articolo 9 del GDPR per i dati sanitari
- Mappa della normativa sui dati sanitari
- DPIA per un'app sanitaria
- Sicurezza della piattaforma (sito per sviluppatori)
Fonti
- Direttiva (UE) 2022/2555 (NIS2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690 (Requisiti tecnici NIS2 per i fornitori digitali), EUR-Lex
- Commissione Europea: Panoramica della Direttiva NIS2
- Regolamento (UE) 2022/123 (Ruolo rafforzato dell'EMA; elenco dei dispositivi medici critici), EUR-Lex
Domande frequenti
La mia azienda di software sanitario con 30 dipendenti è interessata?
Di solito no direttamente, a meno che la vostra legge nazionale non vi designi o non forniate un servizio elencato nell'Allegato I indipendentemente dalle dimensioni. Sarete comunque interessati da NIS2 attraverso gli obblighi di catena di approvvigionamento dei vostri clienti ospedalieri, che si riflettono nei contratti.
Cos'è un incidente significativo?
Uno che causa o può causare una grave interruzione operativa o perdite finanziarie per l'entità, o che colpisce altre persone o organizzazioni con danni materiali o immateriali considerevoli. Un attacco ransomware a un ospedale è il caso tipico; un breve interruzione senza impatto sui dati di solito non lo è.
NIS2 sostituisce la notifica di violazione del GDPR?
No. Operano in parallelo con destinatari diversi (il CSIRT o l'autorità di cybersecurity rispetto all'autorità di protezione dei dati), trigger diversi (interruzione del servizio rispetto a violazione dei dati personali) e scadenze sovrapposte.
La certificazione ISO 27001 è una prova di conformità NIS2?
Non formalmente, ma diversi Stati membri e l'ENISA considerano un ISMS certificato sull'ambito pertinente come una forte prova, e alcuni schemi nazionali lo accettano come presunzione per la maggior parte delle misure. Gli obblighi di segnalazione degli incidenti e di formazione del management devono ancora essere dimostrati separatamente.
Provalo gratis nella sandbox
La tua prima chiamata FHIR in 5 minuti. Un'API HL7 FHIR R4 con il consenso del paziente integrato: provala nella sandbox, poi collega la tua app o il sistema della tua clinica.
Gratis · 30 pazienti sintetici · senza carta
Anpheros sviluppa una cartella clinica che il paziente controlla e può condividere con qualsiasi studio medico, su una piattaforma HL7 FHIR R4, con sede in UE. Queste guide ti aiutano a comprendere e organizzare la tua salute; non sostituiscono il tuo medico.
Chi siamo →