Vai al contenuto

Procurement cybersecurity in sanità: perché NIS2 sposta il rischio dentro i capitolati

Procurement cybersecurity in sanità: perché NIS2 sposta il rischio dentro i capitolati

La cybersecurity sanitaria non è più un tema da affrontare solo quando un sistema è già installato, connesso alla rete e integrato nei processi clinici. Il punto critico si sposta prima: nel momento in cui un ospedale, una ASL, una struttura privata accreditata o un fornitore della filiera sanitaria decide cosa acquistare, quali requisiti inserire in gara, quali evidenze chiedere e quali clausole rendere verificabili nel tempo.

Il 22 luglio 2026 ENISA ha pubblicato le nuove Procurement guidelines for the cybersecurity of hospitals and healthcare providers. Il documento aggiorna l’impostazione già avviata nel 2020 e la collega al quadro europeo più recente: NIS2, piano europeo per la cybersecurity degli ospedali, protezione dei dati sanitari, gestione della supply chain e continuità operativa. Il messaggio è molto concreto: se la sicurezza non entra nel procurement, rischia di arrivare troppo tardi.

Per il management sanitario e per chi lavora su IT, compliance, privacy e acquisti, questa è una indicazione importante. Non basta comprare tecnologia “sicura” in astratto. Bisogna comprare tecnologia governabile: inventariabile, aggiornabile, monitorabile, contrattualmente presidiata e coerente con i processi clinici.

Perché il procurement diventa un controllo di cybersecurity

In sanità ogni acquisto digitale porta con sé una parte di rischio operativo. Un software per cartelle cliniche, un servizio cloud, un sistema di prenotazione, una piattaforma di telemedicina, un dispositivo medico connesso o una soluzione di diagnostica non sono solo beni o servizi: diventano nodi di un ecosistema che tratta dati sensibili, supporta decisioni cliniche e può incidere sulla continuità dell’assistenza.

Le linee guida ENISA insistono proprio su questo punto: il procurement non va visto come una fase amministrativa separata dalla sicurezza, ma come una fase del ciclo di vita del rischio. Se i requisiti cyber vengono definiti male, l’organizzazione eredita vulnerabilità, dipendenze tecniche, contratti deboli e difficoltà di audit che poi diventano costose da correggere.

Il problema non riguarda solo il grande ospedale. Anche strutture più piccole acquistano servizi cloud, applicazioni verticali, sistemi IoT medicali, software di gestione documentale, fornitori di manutenzione e servizi esternalizzati. La complessità entra spesso dalla porta del fornitore, non solo dal perimetro interno.

Il collegamento con NIS2

La direttiva NIS2 include il settore sanitario tra quelli essenziali e rafforza gli obblighi di gestione del rischio cyber. Non chiede soltanto firewall o antivirus. Chiede misure organizzative e tecniche che includono gestione degli incidenti, continuità operativa, sicurezza della supply chain, politiche di controllo accessi, crittografia, valutazione dell’efficacia delle misure e responsabilità degli organi di gestione.

In Italia il recepimento con il d.lgs. 138/2024 ha reso ancora più evidente la dimensione organizzativa: chi rientra nel perimetro deve strutturare governance, ruoli, processi, evidenze e capacità di dimostrare l’adeguatezza delle misure. In sanità, il procurement è uno dei punti in cui questa responsabilità diventa operativa.

Tradotto in pratica, un capitolato dovrebbe contenere requisiti verificabili. Non basta chiedere al fornitore “conformità alla normativa vigente”. Serve specificare cosa deve essere dimostrato: gestione delle vulnerabilità, tempi di patching, logging, segregazione degli ambienti, backup, disaster recovery, autenticazione forte, tracciabilità degli accessi, gestione dei subfornitori, localizzazione e protezione dei dati, procedure di incident notification e supporto in caso di audit.

Dati sanitari, EHDS e GDPR: sicurezza e privacy non sono due binari separati

Il dato sanitario è una delle categorie più delicate del patrimonio informativo di un’organizzazione. GDPR, European Health Data Space e norme cyber spingono verso una stessa direzione: controllare non solo chi accede al dato, ma anche dove il dato circola, con quali garanzie, dentro quali ambienti e con quali limiti tecnici.

L’EHDS, entrato in vigore nel 2025, rafforza l’idea di ambienti sicuri per il trattamento e la condivisione dei dati sanitari. Questo non elimina gli obblighi privacy già esistenti: li rende ancora più intrecciati con l’architettura tecnica e con le scelte di fornitura.

Quando una struttura sanitaria acquista una piattaforma o un servizio, dovrebbe chiedersi almeno tre cose. Primo: il fornitore è in grado di dimostrare come protegge dati, log, backup e ambienti di test? Secondo: il contratto consente controlli, audit e gestione tempestiva degli incidenti? Terzo: l’architettura riduce davvero il rischio, oppure lo sposta fuori dall’organizzazione senza governarlo?

Le domande da inserire prima dell’acquisto

Una governance matura trasforma la sicurezza in domande semplici ma vincolanti:

  • quali asset, dati e processi clinici saranno coinvolti dal nuovo acquisto?
  • il fornitore può fornire una descrizione chiara dei componenti software, delle dipendenze e dei subfornitori?
  • sono definiti tempi massimi per patch, correzioni critiche e comunicazioni sulle vulnerabilità?
  • l’organizzazione può ricevere log utili per monitoraggio, audit e investigazione?
  • il contratto disciplina backup, ripristino, continuità operativa e uscita dal servizio?
  • esistono requisiti di sicurezza per configurazione, hardening, autenticazione e privilegi?
  • il fornitore deve notificare incidenti o vulnerabilità entro tempi compatibili con gli obblighi NIS2 e privacy?
  • sono previste prove, collaudi o evidenze prima del go-live?
  • le misure restano verificabili anche dopo l’aggiudicazione, durante manutenzione e rinnovi?

Queste domande non rallentano l’innovazione. La rendono sostenibile. Un acquisto rapido ma opaco può generare debito tecnico, esposizione contrattuale e rischio operativo. Un acquisto progettato bene permette invece di innovare con meno sorprese.

Supply chain sanitaria: il contratto non basta se manca l’evidenza

Uno degli errori più frequenti è confondere la clausola con il controllo. Scrivere che il fornitore deve garantire la sicurezza non significa avere una misura di sicurezza. Serve un sistema di evidenze: report, certificazioni quando pertinenti, risultati di test, piani di patching, procedure di vulnerability disclosure, descrizione dei subfornitori, inventario dei componenti, responsabilità in caso di incidente e punti di contatto operativi.

Questo è particolarmente importante per dispositivi e software che restano in esercizio per anni. Il rischio non si esaurisce al momento dell’acquisto. Cambiano le vulnerabilità, cambiano le dipendenze, cambiano le minacce, cambiano i fornitori coinvolti. Per questo il procurement deve includere l’intero ciclo di vita: pianificazione, gara, valutazione, contrattualizzazione, implementazione, esercizio, manutenzione e dismissione.

In una struttura sanitaria, anche la dismissione è sicurezza. Cosa succede ai dati? Come vengono cancellati o restituiti? Chi rimuove gli accessi? Come si migra verso un altro fornitore? Cosa resta nei backup? Sono dettagli che diventano critici quando non sono stati negoziati prima.

Una checklist operativa per direzioni, IT e compliance

Per trasformare le linee guida in azione, partirei da cinque attività:

  • mappare gli acquisti digitali critici, distinguendo sistemi clinici, amministrativi, cloud, dispositivi connessi e servizi gestiti;
  • creare requisiti cyber minimi da usare nei capitolati, con livelli diversi in base alla criticità del servizio;
  • coinvolgere acquisti, IT, privacy, legale, clinici e direzione prima della pubblicazione della gara;
  • chiedere evidenze misurabili, non dichiarazioni generiche di conformità;
  • prevedere controlli periodici durante il contratto, non solo verifiche iniziali.

Il risultato dovrebbe essere una matrice semplice: requisito, rischio coperto, evidenza richiesta, responsabile interno, frequenza di verifica, conseguenza contrattuale in caso di mancato rispetto. Non serve costruire un apparato burocratico enorme. Serve rendere visibile chi decide, cosa viene accettato e quali rischi restano.

La vera domanda: quanto rischio sto acquistando?

Le nuove linee guida ENISA aiutano a fare un passaggio culturale. La domanda non è più solo “quanto costa questa soluzione?” o “quante funzionalità offre?”. La domanda corretta diventa: “quanto rischio operativo, cyber e privacy sto acquistando insieme alla soluzione?”.

Per ospedali, fornitori sanitari, pubbliche amministrazioni e imprese che lavorano nella filiera health-tech, questo cambia il modo di impostare gare, contratti e progetti digitali. La sicurezza non è un allegato tecnico finale. È una condizione di acquisto, una responsabilità di governance e una tutela concreta della continuità del servizio.

Se stai rivedendo capitolati, contratti o forniture digitali in ambito sanitario, posso aiutarti a trasformare NIS2, GDPR ed evidenze cyber in requisiti pratici, verificabili e sostenibili nel tempo.

Fonti

Tag:

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *