Non dedurre l’obbligo dal solo settore
La direttiva NIS2 include il settore sanitario tra i settori ad alta criticità e richiama, tra gli altri, prestatori di assistenza sanitaria. L’inquadramento concreto dipende dalle definizioni, dalle dimensioni e dalle regole nazionali di recepimento, oltre alle eventuali individuazioni dell’autorità competente. Un ospedale, una clinica, un laboratorio, un professionista e un fornitore digitale non hanno automaticamente lo stesso perimetro.
In Italia la direttiva è stata recepita con il decreto legislativo 138/2024. La verifica va svolta sul testo nazionale vigente e sulle comunicazioni e determinazioni dell’ACN, considerando attività effettive, sede, dimensione, eventuali eccezioni e notifiche ricevute. Un articolo divulgativo non può sostituire la verifica individuale del soggetto.
Distinguere obblighi diretti e aspettative di filiera
Un fornitore può non ricadere direttamente tra i soggetti NIS2 e tuttavia essere essenziale per un’organizzazione che vi rientra. La direttiva richiede agli enti nel proprio campo di applicazione misure di gestione del rischio che includono la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori. Ciò rende utile valutare dipendenze da cloud, software clinici, assistenza remota, connettività, laboratori e servizi gestiti.
Le richieste contrattuali, le prove di sicurezza e i piani di continuità dipendono dal ruolo e dal rischio del servizio. Non trasformano da sole ogni fornitore in soggetto direttamente assoggettato alla direttiva. La distinzione evita sia rassicurazioni infondate sia l’uso indiscriminato dell’etichetta “NIS2 obbligatoria per tutti”.
Mappare dipendenze e scenari
Una mappa pratica collega servizio sanitario, sistema informativo, fornitore, dati o funzioni supportate, alternative disponibili e tempo di ripristino atteso. Per un sistema di laboratorio, ad esempio, si può verificare come continuano accettazione, elaborazione e refertazione in caso di indisponibilità, chi informa le unità cliniche e come si riconciliano i dati dopo il ripristino.
La valutazione deve includere accessi del fornitore, subfornitori rilevanti, aggiornamenti, gestione vulnerabilità e incidenti, backup e uscita dal servizio. Gli acquisti e la funzione tecnica possono condividere una due diligence proporzionata al servizio, con evidenze aggiornate e azioni correttive assegnate.
Preparare governance e risposta
La direzione deve sapere chi verifica l’inquadramento, chi mantiene i contatti con ACN e chi coordina sicurezza, legale, privacy, continuità e comunicazioni operative. Le misure NIS2 includono responsabilità degli organi di gestione e gestione del rischio, ma i dettagli applicabili dipendono dalla disciplina vigente per il soggetto. L’organizzazione può intanto tenere aggiornati inventario degli asset, fornitori critici, procedure di incidente e decisioni di rischio, verificando gli obblighi formali sui canali ufficiali ACN.