Da ottobre 2026 la NIS2 non è più un adempimento sulla carta. Chi è coinvolto, quali sono le scadenze e le otto aree su cui una struttura sanitaria deve lavorare.
Per migliaia di strutture sanitarie italiane ottobre 2026 è il mese in cui la NIS2 smette di essere un impegno dichiarato e diventa un obbligo verificabile. Chi è stato inserito nell’elenco ACN nel 2025 deve avere le misure di sicurezza di base attuate e funzionanti; da novembre l’Agenzia per la Cybersicurezza Nazionale passa dall’accompagnamento alle ispezioni.
La NIS2 non riguarda solo la sanità: si applica a tutti i settori considerati critici per il Paese, dall’energia ai trasporti, dalle banche alle infrastrutture digitali, fino alla pubblica amministrazione. Il Centro Studi SoftwareEngine lavora nel mondo sanitario, e per questo in questo articolo ci concentriamo sull’impatto che la norma ha su ospedali, RSA, laboratori e poliambulatori: chi è coinvolto, quali sono le date e che cosa va fatto davvero.
Cos’è la NIS2 e perché riguarda la sanità
La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024 (il “decreto NIS”), in vigore dal 16 ottobre 2024. Il decreto individua 18 settori e la sanità è tra quelli ad alta criticità.
Il motivo è semplice: un ospedale, un laboratorio o una RSA fermi per un attacco informatico non perdono solo dati, interrompono cure. Gli attacchi ransomware alla sanità italiana degli ultimi anni lo hanno dimostrato.
La norma impone tre cose:
- Misure di sicurezza tecniche e organizzative, definite dall’ACN.
- Notifica degli incidenti significativi al CSIRT Italia entro tempi stretti.
- Responsabilità diretta degli organi di amministrazione, che devono approvare le misure, formarsi e vigilare.
Chi è coinvolto
Rientrano nel perimetro i prestatori di assistenza sanitaria (ospedali, case di cura, laboratori, centri diagnostici, poliambulatori, RSA, centri di riabilitazione) che superano le soglie di media impresa: almeno 50 dipendenti oppure più di 10 milioni di euro di fatturato o di bilancio.
- Le strutture grandi (250+ dipendenti o 50+ milioni di fatturato) sono di norma soggetti essenziali: 43 misure, 116 requisiti, controlli anche preventivi.
- Le strutture medie sono soggetti importanti: 37 misure, 87 requisiti, controlli di norma dopo un incidente o una segnalazione.
L’inserimento nell’elenco viene comunicato da ACN via PEC. Le prime comunicazioni sono arrivate il 12-13 aprile 2025, le successive ad aprile 2026.
C’è poi un coinvolgimento indiretto, spesso sottovalutato. Dal 2026 i soggetti NIS devono comunicare ad ACN l’elenco dei propri fornitori rilevanti e inserire nei contratti clausole su sicurezza, notifica incidenti e diritto di audit. Una struttura piccola che lavora per ASL, ospedali o gruppi sanitari si vedrà quindi chiedere evidenze di sicurezza anche senza essere obbligata direttamente.
Le scadenze
I termini non sono uguali per tutti: decorrono dalla data della PEC di inserimento. L’ACN li ha fissati in 9 mesi per la notifica degli incidenti e 18 mesi per le misure di sicurezza di base.
| Scadenza | Chi riguarda | Adempimento |
|---|---|---|
| Ottobre 2026 (18 mesi dalla PEC) | Inseriti nel 2025 | Misure di sicurezza di base attuate e dimostrabili |
| Dal 1° novembre 2026 | Inseriti nel 2025 | Avvio verifiche e ispezioni ACN |
| 31 dicembre 2026 | Inseriti nel 2026 | Designazione del referente CSIRT |
| 1° gennaio 2027 | Inseriti nel 2026 | Avvio obbligo di notifica incidenti |
| 1° gennaio – 28 febbraio 2027 | Tutti | Registrazione o rinnovo annuale sul portale ACN |
| 15 aprile – 31 maggio 2027 | Tutti | Aggiornamento annuale delle informazioni e fornitori rilevanti |
| 1° maggio – 30 giugno 2027 | Tutti | Categorizzazione di attività e servizi |
| 31 luglio 2027 | Inseriti nel 2026 | Misure di sicurezza di base attuate |
Il 18 settembre 2026 l’ACN ha inoltre aperto la consultazione sulle misure di sicurezza rafforzate, che integreranno e sostituiranno quelle di base in funzione della categoria di rilevanza assegnata a ciascuna struttura. Non hanno ancora una data, ma indicano la direzione: le misure di base sono il primo gradino, non il traguardo.
Timeline: cosa succede da qui in avanti
Oltre alla tabella delle scadenze, ecco la sequenza operativa da ottobre 2026 in poi. Le finestre annuali (registrazione, aggiornamento, categorizzazione) si ripetono ogni anno; le misure rafforzate sono in consultazione e non hanno ancora una data di decorrenza.
Misure di sicurezza di base attuate e dimostrabili. Il termine legale decorre dalla PEC di inserimento: per chi l’ha ricevuta il 12–13 aprile 2025 cade a metà ottobre 2026.
Dopo la scadenza delle misure, ACN può esercitare verifiche documentali e ispezioni (in loco, a distanza, anche a campione). Per i soggetti essenziali anche ex ante; per i soggetti importanti solo in presenza di indizi di possibili violazioni (art. 36 del decreto NIS).
Designazione del referente CSIRT (e dei sostituti). La designazione può essere rinviata fino al 31 dicembre dell’anno di inserimento nell’elenco.
Notifica degli incidenti significativi di base al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per la coorte 2025 la decorrenza è a 9 mesi dalla PEC.
Se cambia un dato già comunicato ad ACN (contatti, IP, domini, organi, fornitori rilevanti…), va aggiornato tempestivamente e comunque entro 14 giorni, anche fuori dalla finestra annuale di aprile–maggio.
Consultazione sulle misure di sicurezza rafforzate. Integreranno e sostituiranno le misure di base in funzione della categoria di rilevanza. Data di adozione e decorrenza: non ancora pubblicate.
Decorrenza dell’obbligo di notifica degli incidenti significativi di base al CSIRT Italia (stessi termini 24 h / 72 h / 1 mese).
Registrazione o aggiornamento della registrazione sul portale ACN. Dichiarazioni oltre il 28 febbraio sono considerate tardive.
Comunicazione ACN di inserimento, permanenza o espunzione dall’elenco dei soggetti NIS.
Aggiornamento annuale delle informazioni: anagrafica, punto di contatto e sostituto, referente CSIRT, organi di amministrazione, IP pubblici statici, domini, accordi di condivisione e elenco dei fornitori rilevanti.
Elencazione e categorizzazione di attività e servizi (modello a dieci macro-aree; categorie di rilevanza: impatto minimo, basso, medio, alto). È il presupposto per obblighi di sicurezza proporzionati e, in prospettiva, per le misure rafforzate.
Termine per l’adozione delle misure di sicurezza di base. Superata la scadenza, questi soggetti rientrano pienamente nel regime di verifiche e ispezioni di cui agli articoli 35 e 36 del decreto NIS.
La Commissione europea revisiona il funzionamento della direttiva NIS2 e riferisce a Parlamento e Consiglio (art. 40). Può proporre modifiche a soglie dimensionali e settori. Revisioni successive ogni 36 mesi.
1° gennaio–28 febbraio: registrazione. Entro 14 aprile: comunicazione elenco. 15 aprile–31 maggio: aggiornamento informazioni e fornitori rilevanti. 1° maggio–30 giugno: categorizzazione. Restano sempre validi l’aggiornamento entro 14 giorni da ogni modifica e gli obblighi di notifica incidenti.
Adozione e decorrenza delle misure di sicurezza rafforzate. La consultazione settoriale è aperta dal 18 settembre 2026; finché non esce l’atto ufficiale restano in vigore le misure di base e le scadenze già assegnate.
Successive revisioni della direttiva NIS2 ai sensi dell’articolo 40: possono modificare settori, soglie e obblighi applicabili anche alla sanità.
Le sanzioni
Per le violazioni più gravi (misure di sicurezza, notifica incidenti, obblighi dell’organo amministrativo) il decreto prevede fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o l’1,4% per i soggetti importanti. In caso di diffida non rispettata si aggiunge l’incapacità temporanea dei dirigenti a svolgere funzioni direttive.
Anche la mancata registrazione o comunicazione dei dati è sanzionata, con massimali più bassi ma non trascurabili.
Le otto aree su cui lavorare
Un punto che l’ACN ha chiarito: le misure di base vanno applicate tutte. L’analisi del rischio ne modula la profondità, non consente di saltarne qualcuna. Ecco le aree di intervento, con le frequenze che la prassi di settore considera adeguate.
1. Governance
Delibera dell’organo amministrativo, formazione dei vertici con registro delle presenze, nomina del punto di contatto NIS e del referente CSIRT, politiche di sicurezza approvate e riesaminate ogni anno.
2. Analisi e verifica
Gap analysis rispetto alle misure ACN, analisi del rischio annuale, vulnerability assessment trimestrale sui sistemi esposti, penetration test almeno annuale, verifica semestrale di siti web e portali pazienti, controllo dei dispositivi medicali in rete.
3. Infrastruttura
Inventario completo degli asset, patch applicate in tempi definiti, firewall con licenze attive e regole riviste, segmentazione della rete, EDR su tutte le postazioni, autenticazione a più fattori, controllo degli accessi e cifratura dei dati.
4. Backup e continuità operativa
Backup con regola 3-2-1 e una copia immutabile, test di ripristino trimestrale, piano di continuità e disaster recovery con RTO/RPO definiti e testato ogni anno, NAS mai esposti direttamente su internet.
5. Gestione degli incidenti
Procedura scritta e provata con un’esercitazione annuale, capacità di notificare al CSIRT Italia nei tempi previsti (pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese), registro degli incidenti e conservazione dei log.
6. Fornitori
Censimento dei fornitori con accesso ai sistemi, clausole contrattuali NIS2, comunicazione annuale dei fornitori rilevanti, verifica che i fornitori di software clinico siano a loro volta conformi.
7. Persone
Formazione del personale all’ingresso e almeno una volta l’anno, test di phishing simulato, procedure di sicurezza per assunzione, cambio ruolo e cessazione.
8. Evidenze
Ogni misura deve lasciare una traccia: report, verbali, registri, contratti. In ispezione l’ACN chiede la prova, non la dichiarazione. Una policy scritta ma non attuata non vale.
Il ruolo del software gestionale
Un aspetto spesso trascurato: il software clinico e gestionale è esso stesso un fornitore rilevante e una componente critica della sicurezza. Una struttura può avere firewall e backup perfetti, ma se la piattaforma che gestisce cartelle, referti e fatturazione non è sviluppata e manutenuta in modo sicuro, il rischio resta.
Per questo, nella gap analysis, conviene chiedere a ogni fornitore di software clinico se è a sua volta soggetto NIS, quali misure applica e quale documentazione può fornire da allegare alle proprie evidenze.
Da dove partire
Se la struttura è entrata in elenco nel 2025, il termine è arrivato: la priorità è chiudere le non conformità note, documentarne la chiusura e provare le procedure di incidente. Se è entrata nel 2026 ha tempo fino a luglio 2027, ma il lavoro richiede mesi e gli obblighi di notifica partono dal 1° gennaio 2027.
In entrambi i casi il primo passo è lo stesso: capire a che punto si è, partendo da una verifica di applicabilità e da una gap analysis rispetto alle misure ACN.
Fonti
- Vademecum NIS dell’Agenzia per la Cybersicurezza Nazionale (settembre 2026).
- Determinazione ACN 379907/2025 (specifiche di base: misure di sicurezza e incidenti significativi).
- Determinazione ACN 127434/2026 (termini per i soggetti inseriti nel 2026).
- Determinazione ACN 127437/2026 (piattaforma ACN, aggiornamento informazioni, fornitori rilevanti, categorizzazione procedurale).
- Determinazione ACN 155238/2026 (modello di elencazione e categorizzazione delle attività e dei servizi).
- D.Lgs. 4 settembre 2024, n. 138 (decreto NIS), artt. 7, 23–25, 30, 35–38, 42.
- Direttiva (UE) 2022/2555 (NIS2), art. 40 (revisione entro il 17 ottobre 2027 e ogni 36 mesi).
- Regolamento di esecuzione (UE) 2024/2690 (criteri per gli incidenti significativi nei settori digitali).
- Notizie ACN: 13 aprile 2026 (determine sui nuovi soggetti); 24 aprile 2026 (categorizzazione); 18 settembre 2026 (consultazione misure rafforzate).
- FAQ ACN: Misure e notifiche di base (MSB / ISB); Monitoraggio, vigilanza ed esecuzione (MVE); Categorizzazione; Aggiornamento delle informazioni.