NIS2 in sanità: quando un server obsoleto diventa un problema di conformità
Un server fuori supporto che smette di inviare gli OTP ai pazienti non è un semplice inconveniente informatico. Con l’entrata a regime della direttiva NIS2, quello stesso guasto diventa la prova documentale di una gestione del rischio inadeguata, con conseguenze che ricadono direttamente sugli organi di amministrazione. Il settore sanitario è tra i più esposti, ma il ragionamento vale per qualsiasi PMI italiana che lavori nella filiera: fornitori di software gestionali, laboratori di analisi, cooperative di servizi, aziende di dispositivi medici.
La direttiva NIS2 sanità non chiede alle organizzazioni di essere perfette. Chiede di dimostrare che i rischi sono stati identificati, valutati e trattati con misure proporzionate. Un gateway di autenticazione che gira su un sistema operativo dismesso da anni racconta l’esatto contrario: nessuno ha valutato quel rischio, oppure lo ha valutato e ha scelto di ignorarlo.
Perché gli OTP bloccati sono un segnale di allarme, non un disservizio
Quando un ospedale o un poliambulatorio non riesce più a inviare i codici OTP per l’accesso al fascicolo sanitario o alla prenotazione online, la reazione istintiva è trattare il problema come un ticket di assistenza. Si riavvia il servizio, si apre una segnalazione al fornitore, si aspetta. Nella logica NIS2 questo approccio non regge più.
Il motivo è semplice: l’autenticazione a due fattori è una misura di sicurezza. Se smette di funzionare, il servizio o si blocca (e allora è un problema di continuità operativa) oppure viene aggirato con un ripiego, magari abilitando temporaneamente l’accesso con la sola password. In entrambi i casi si è verificato un evento rilevante ai fini della direttiva.
L’articolo 21 della NIS2 elenca esplicitamente tra le misure minime la gestione degli incidenti, la continuità operativa e l’uso di soluzioni di autenticazione a più fattori. Non sono raccomandazioni: sono obblighi per i soggetti essenziali e importanti. E la sanità, pubblica e privata, rientra tra i settori ad alta criticità dell’Allegato I.
La catena che porta dal server al verbale ispettivo
Il percorso è più corto di quanto sembri. Un gateway SMS fuori supporto non riceve più patch di sicurezza. Un componente non aggiornato smette di dialogare con i provider di telefonia che hanno nel frattempo dismesso i protocolli obsoleti. Gli OTP non partono. Il servizio si degrada.
A questo punto, se l’incidente ha un impatto significativo, scatta l’obbligo di notifica: preallarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese. In Italia il riferimento è l’ACN, l’Agenzia per la Cybersicurezza Nazionale, attraverso la piattaforma di notifica dedicata.
E nella notifica bisogna spiegare la causa. Scrivere “hardware obsoleto non più supportato dal produttore” equivale ad ammettere che la vulnerabilità era nota, prevedibile e non gestita. È la differenza tra un incidente e una negligenza documentata.
Adeguamento NIS2 aziende sanitarie: cosa cambia davvero per le PMI
Molti imprenditori del settore healthcare sono convinti che la NIS2 riguardi solo le grandi strutture ospedaliere. È un equivoco costoso. Il decreto legislativo 138/2024, che ha recepito la direttiva in Italia, ha portato la platea dei soggetti coinvolti a numeri ben superiori rispetto alla vecchia NIS: le organizzazioni registrate presso l’ACN nel primo ciclo di censimento hanno superato quota 20.000.
Ma il punto più rilevante è un altro. Anche chi non rientra direttamente negli obblighi viene coinvolto attraverso la sicurezza della supply chain, prevista dall’articolo 21 comma 2 lettera d. Un’azienda essenziale deve valutare la sicurezza dei propri fornitori diretti. Tradotto: se fornite software, manutenzione o servizi IT a un’ASL o a una clinica privata, riceverete questionari, richieste contrattuali e clausole di audit.
Le tre domande a cui dovete saper rispondere
Prima di investire in tecnologia, conviene fare un esercizio di onestà interna. Sono tre domande, e la risposta va messa per iscritto.
Quali sistemi sono fuori supporto oggi? Non solo i server: firewall, switch, apparati di telefonia, dispositivi medici connessi, sistemi di videosorveglianza. In molte strutture sanitarie italiane convivono apparecchiature diagnostiche con software certificato che non può essere aggiornato senza invalidare la marcatura CE. Non è un alibi, ma è una realtà che va gestita con misure compensative documentate: segmentazione di rete, monitoraggio dedicato, accessi limitati.
Quanto tempo serve per ripristinare un servizio critico? Se non avete un RTO e un RPO definiti per il gestionale, il sistema di prenotazione e i backup, la continuità operativa NIS2 resta un’affermazione senza prove. Un piano di continuità che nessuno ha mai testato vale quanto un estintore scarico.
Chi decide e chi firma? La NIS2 introduce la responsabilità diretta degli organi direttivi, che devono approvare le misure di gestione del rischio e seguire formazione specifica. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni o all’1,4% per quelli importanti.
Se state costruendo ora il vostro percorso, la nostra guida al percorso di adeguamento NIS2 affronta nel dettaglio la sequenza di attività e le priorità di intervento.
Server obsoleti: rischi concreti e costi nascosti
L’obsolescenza tecnologica in sanità ha una radice economica comprensibile. I budget IT delle strutture sanitarie italiane si collocano storicamente sotto la media europea, e la spesa viene assorbita in larga parte dal mantenimento dell’esistente. Sostituire un server che “funziona ancora” sembra uno spreco.
Il calcolo però è sbagliato, perché ignora tre voci di costo.
La prima è il costo dell’incidente. I dati sanitari sono i più remunerativi sul mercato nero perché contengono anagrafica completa, codice fiscale, storico clinico e spesso dati di pagamento. Un ransomware su una struttura sanitaria non produce solo un fermo tecnico: blocca le prenotazioni, sospende i referti, costringe a rimandare gli interventi programmati.
La seconda è il costo del disallineamento contrattuale. Perdere una gara pubblica o un rinnovo perché non si superano i requisiti di sicurezza richiesti dal committente è un danno che non compare in nessun bilancio come voce dedicata, ma si sente.
La terza è il costo operativo del “tenere in piedi” sistemi vecchi: interventi manuali ricorrenti, workaround, personale tecnico impegnato a spegnere incendi invece che a migliorare i processi. Un servizio di help desk strutturato con procedure di escalation chiare riduce questo sommerso e, soprattutto, produce lo storico dei ticket che in sede di audit dimostra come gli incidenti vengono effettivamente gestiti.
Cosa fare nei prossimi novanta giorni
Non serve un piano triennale per iniziare. Servono quattro passi concreti.
Il primo è l’inventario degli asset: senza sapere cosa avete, non potete proteggerlo né dichiararlo. Va incluso tutto ciò che ha un indirizzo IP, comprese le apparecchiature biomedicali.
Il secondo è la classificazione dei servizi critici, distinguendo ciò che se si ferma blocca l’assistenza da ciò che genera solo fastidio. La NIS2 ragiona per impatto sui servizi, non per criticità tecnica dei sistemi.
Il terzo è la mappatura delle scadenze di supporto (end of life e end of support) di sistemi operativi, apparati e applicativi, con un piano di sostituzione datato. Anche un piano triennale scritto e approvato vale, in sede ispettiva, molto più di una sostituzione fatta in emergenza.
Il quarto è il test del ripristino. Un backup mai verificato non è un backup: è una speranza. Il test va documentato, con data, esito e tempi rilevati.
Il perimetro si allarga: sanità, PA e filiera
Il caso sanitario è emblematico perché unisce alta criticità dei servizi, dati particolarmente sensibili e un parco tecnologico spesso stratificato negli anni. Le stesse dinamiche però attraversano tutto il perimetro dei soggetti NIS2, dalla pubblica amministrazione ai trasporti, dall’energia alla gestione dei rifiuti.
Le strutture che lavorano a contatto con enti pubblici si trovano nella posizione più delicata, perché sommano i requisiti NIS2 a quelli dell’AgID e alle regole del Codice degli appalti in materia di sicurezza. Chi opera in questo contesto trova utile un approccio integrato alla sicurezza per la pubblica amministrazione, che riconcilia i diversi obblighi invece di trattarli come adempimenti separati.
Per le organizzazioni del settore healthcare, il percorso passa da una valutazione tecnica dell’infrastruttura esistente e da un piano di rientro sostenibile: le nostre soluzioni per il settore sanitario partono esattamente da qui, dall’assessment dello stato attuale prima di qualsiasi proposta tecnologica.
Il messaggio di fondo
La NIS2 non premia chi compra più tecnologia. Premia chi dimostra di governare il proprio rischio con criterio, tracciabilità e proporzionalità. Un server obsoleto non è un peccato originale: diventa un problema quando nessuno lo ha censito, nessuno ne ha valutato l’impatto e nessuno ha previsto quando e come sostituirlo.
Gli OTP che non partono sono solo il sintomo visibile. Sotto c’è la domanda che ogni imprenditore dovrebbe porsi prima di un’ispezione: se mi chiedessero oggi la documentazione delle mie misure di sicurezza, cosa potrei mostrare?