Cybersecurity sanità: obblighi NIS 2 e rischi reali

Le strutture sanitarie sono fra i bersagli più colpiti dagli attacchi informatici, e la ragione non è ideologica. È che un ospedale non può fermarsi. Quando i sistemi si bloccano, la pressione a tornare operativi in fretta è più forte che in qualsiasi altro settore, e chi attacca lo sa.

Da ottobre 2026 a questo si aggiunge un obbligo di legge. La direttiva NIS 2 colloca la sanità fra i settori altamente critici, quindi ospedali, laboratori, cliniche e produttori di dispositivi medici rientrano nel perimetro con il regime di vigilanza più stringente previsto.

Vediamo che cosa rende questo settore diverso dagli altri, quali sono i rischi che ci troviamo davanti nei test, e cosa la normativa chiede di dimostrare.

1. La sanità nel perimetro NIS 2
2. Perché i dati sanitari valgono più degli altri
3. I dispositivi medici che non si possono aggiornare
4. Chi accede ai dati, e da dove
5. Il ricatto in un contesto dove non si può aspettare
6. Cosa serve dimostrare

La sanità nel perimetro NIS 2

Nell’Allegato I della direttiva NIS 2 la sanità compare fra i settori altamente critici, insieme a energia, trasporti e infrastrutture digitali. Ci rientrano le strutture sanitarie, i laboratori di analisi, i produttori di dispositivi medici e quelli di prodotti farmaceutici.

La collocazione nell’Allegato I ha una conseguenza precisa: le grandi organizzazioni del settore sono classificate come soggetti essenziali, cioè sottoposte al regime di vigilanza più severo e alle sanzioni più alte. Le strutture di dimensione media rientrano fra i soggetti importanti, con obblighi di sicurezza sostanzialmente uguali.

Le scadenze sono le stesse degli altri settori. Da gennaio 2026 vale l’obbligo di notificare gli incidenti significativi al CSIRT Italia entro finestre rigide. Entro il 31 ottobre 2026 le misure di sicurezza di base devono essere operative e dimostrabili con evidenze, perché da quel momento l’ACN passa alla fase ispettiva.

C’è un aspetto che nella sanità pesa più che altrove: la responsabilità ricade sugli organi di direzione. In una struttura pubblica questo significa la direzione generale e la direzione sanitaria, non il reparto informatico.

Perché i dati sanitari valgono più degli altri

Un numero di carta di credito rubato ha una vita breve. Viene bloccato, sostituito, e il suo valore sul mercato illecito scende a pochi centesimi entro qualche settimana.

Una cartella clinica non si può revocare. Contiene dati anagrafici, diagnosi, terapie, esami, e in molti casi informazioni sui familiari. Quei dati restano validi per tutta la vita della persona, e alimentano frodi che non si limitano al furto di denaro: false richieste di rimborso, ricette contraffatte, ricatti basati su informazioni che nessuno vuole rendere pubbliche.

Il fascicolo sanitario elettronico ha reso questo patrimonio raggiungibile da più punti. È una scelta corretta dal lato clinico, perché un medico che accede alla storia completa cura meglio. Ma ogni punto di accesso in più è un punto da proteggere.

C’è poi un rischio di cui si parla meno e che nel settore sanitario è il più grave di tutti. Non è il furto dei dati: è la loro **alterazione**. Un attaccante che modifica un valore di laboratorio o un dosaggio in una prescrizione produce un danno che nessun ripristino da backup corregge, perché il decisore clinico ha già agito su un’informazione falsa.

I dispositivi medici che non si possono aggiornare

Questo è il problema tecnico che rende la sanità diversa da qualsiasi altro settore, e nei nostri rilievi è quello che compare con più regolarità.

Un macchinario diagnostico costa centinaia di migliaia di euro e resta in servizio per dieci o quindici anni. Il software che lo governa è stato certificato insieme all’hardware, e in molti casi aggiornarlo richiede l’intervento del produttore, perché una modifica non autorizzata può invalidare la certificazione o la garanzia.

Il risultato è un apparato collegato alla rete ospedaliera che gira su un sistema operativo non più supportato da anni, con vulnerabilità note e pubbliche, e che nessuno può aggiornare senza un vincolo contrattuale da sciogliere prima.

Non è negligenza: è un conflitto fra due regimi normativi diversi. E rientra nella categoria più larga delle vulnerabilità che non si possono correggere, dove l’unica strada praticabile è il contenimento: segmentare la rete, limitare cosa quel dispositivo può raggiungere, documentare la scelta.

Per farlo però serve saperlo. E il primo passo è censire cosa c’è effettivamente collegato, perché la lista dei dispositivi in servizio raramente coincide con quella nell’inventario.

Chi accede ai dati, e da dove

In un’azienda ordinaria i permessi seguono l’organigramma. In una struttura sanitaria seguono la clinica, che è un’altra cosa.

Al fascicolo di un paziente accedono medici di reparti diversi, infermieri su tre turni, personale di laboratorio, amministrativi per la fatturazione, consulenti esterni, specializzandi che ruotano ogni pochi mesi. Ogni accesso ha una ragione legittima nel momento in cui viene concesso.

Il problema nasce dopo: i permessi si accumulano e non si toglono mai. Lo specializzando che ha finito il tirocinio due anni fa ha ancora l’accesso attivo. Il consulente che ha lavorato su un progetto concluso può ancora entrare. Nei test è il rilievo più frequente, e non richiede nessuna tecnica sofisticata per essere sfruttato: basta una di quelle credenziali.

A questo si aggiunge la pressione del contesto. Un medico che deve accedere a un dato durante un’emergenza non si ferma a valutare se la richiesta che ha davanti è legittima. È la condizione ideale per le tecniche che puntano sulla persona invece che sul sistema, dal phishing alle telefonate di finta assistenza tecnica.

Il ricatto in un contesto dove non si può aspettare

Il ransomware colpisce la sanità più che altri settori per una ragione che non ha niente a che vedere con la tecnica: qui l’interruzione ha un costo che non si misura in fatturato.

Quando i sistemi si fermano, le conseguenze sono immediate e visibili. Interventi rinviati, pronto soccorso che dirotta i pazienti, esami che tornano alla carta, cartelle cliniche non consultabili. Ogni ora conta in modo diverso rispetto a un’azienda che perde ordini.

Questo squilibrio è esattamente ciò su cui l’attaccante conta. Non serve chiedere una cifra enorme: serve chiedere una cifra che sembri più bassa del costo di restare fermi.

Va detto che pagare non risolve. Non c’è nessuna garanzia sul ripristino, il pagamento finanzia il gruppo che ha attaccato e non impedisce la pubblicazione dei dati già esfiltrati, e nelle campagne recenti l’esfiltrazione precede sempre la cifratura. L’unica leva che funziona è quella che agisce prima: ridurre le vie d’ingresso, sapere cosa è raggiungibile e da dove.

Cosa serve dimostrare

Le misure di sicurezza di base che l’ACN verificherà valgono per tutti i settori, ma nella sanità alcune hanno un peso specifico maggiore.

L’ultima colonna della tabella è la parte che cambia il lavoro. Tutte queste misure sono note da anni e molte strutture le applicano già in qualche forma. Quello che la NIS 2 aggiunge è l’obbligo di dimostrarlo con documenti che riportino una data, un perimetro e un esito.

Per le strutture sanitarie abbiamo un percorso dedicato: cybersecurity per la sanità, con vulnerability assessment e penetration test calibrati su dispositivi medici, cartelle cliniche e reti ospedaliere.