NIS2 per le PMI che lavorano con la sanità: obblighi e primi passi

Dal 2026 la direttiva NIS2 è entrata nella fase operativa anche in Italia. Ospedali, ASL e molte strutture sanitarie sono soggetti NIS e devono controllare la sicurezza dei propri fornitori. Così anche una PMI che non rientra direttamente nella norma si trova a ricevere questionari, clausole contrattuali e richieste di evidenze. Ecco cosa prevede il decreto, quali scadenze contano e da dove partire.

Chi è obbligato e chi è coinvolto indirettamente

Il D.Lgs. 138/2024, che recepisce la direttiva europea NIS2, si applica ai soggetti essenziali e importanti dei settori elencati negli allegati del decreto, tra cui la sanità. In generale riguarda le medie e grandi imprese e le pubbliche amministrazioni dei settori indicati.

Le piccole imprese che forniscono software, servizi IT, dispositivi o manutenzione a questi soggetti spesso non sono obbligate in prima persona. Però l’articolo 24 chiede ai soggetti NIS di gestire la sicurezza della catena di approvvigionamento: mappare i fornitori, valutarne il rischio e inserire requisiti di sicurezza nei contratti. Le richieste, quindi, arrivano comunque ai fornitori.

Le scadenze che contano

• Da gennaio 2026: per i soggetti NIS è in vigore l’obbligo di notificare al CSIRT Italia gli incidenti significativi. È prevista una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.
• Ogni anno: attraverso la piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN), i soggetti NIS aggiornano i propri dati e comunicano i fornitori rilevanti (Determinazione ACN 127437/2026).
• Entro il 31 ottobre 2026: i soggetti inseriti nell’elenco NIS nel 2025 devono adottare le misure di sicurezza di base definite dall’ACN (Determinazione 379907/2025): 87 requisiti per i soggetti importanti, 116 per quelli essenziali.

Le sanzioni sono rilevanti: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, con responsabilità diretta degli organi di amministrazione.

Cosa chiedono i clienti ai fornitori

Le misure di base toccano aree che riguardano da vicino chi fornisce tecnologia a una struttura sanitaria. Nei questionari di valutazione dei fornitori ricorrono soprattutto queste domande:

• Analisi dei rischi: esiste un’analisi aggiornata dei rischi sui servizi forniti?
• Controllo degli accessi: gli accessi ai sistemi del cliente sono nominativi, tracciati e protetti con autenticazione a più fattori?
• Gestione delle vulnerabilità: come vengono applicati aggiornamenti e patch, e con quali tempi?
• Continuità operativa: esistono backup, piano di continuità e disaster recovery provati?
• Gestione degli incidenti: in quanto tempo il fornitore avvisa il cliente in caso di incidente?
• Formazione: il personale riceve formazione periodica sulla sicurezza?
• Subfornitori: quali terze parti trattano i dati o accedono ai sistemi?

Cinque primi passi per una PMI fornitrice

1. Fare l’inventario di sistemi, dati e servizi che toccano i clienti sanitari: cosa gestite, dove si trova, chi vi accede.
2. Proteggere gli accessi: autenticazione a più fattori ovunque, account nominativi, revoca rapida per chi cambia ruolo o lascia l’azienda.
3. Scrivere le procedure essenziali: gestione degli incidenti con tempi di comunicazione al cliente, aggiornamenti, backup. Poche pagine chiare valgono più di un manuale mai usato.
4. Raccogliere le evidenze: certificazioni, report dei test di ripristino, registri della formazione. Sono le prove che i questionari chiedono.
5. Allineare i contratti: preparare clausole standard su sicurezza, notifica degli incidenti e subfornitori, così da rispondere in modo coerente a tutti i clienti.

Le certificazioni non sostituiscono la NIS2, ma aiutano molto. Una certificazione ISO/IEC 27001 copre gran parte delle misure richieste e dimostra che i controlli sono applicati e verificati da un ente terzo.

Come lavora LORAN

LORAN sviluppa software e gestisce servizi IT per strutture sanitarie pubbliche e private. È certificata ISO/IEC 27001 ed è presente nel registro CSA STAR; la sua piattaforma MediHome è presente nel Marketplace cloud dell’ACN. Con il servizio di IT e cybersecurity aiuta le aziende a impostare un percorso di adeguamento proporzionato alle proprie dimensioni: analisi dei rischi, protezione degli accessi, backup e continuità, formazione del personale.

Come si parte: un primo incontro con il referente dell’area IT per capire quali clienti e quali richieste avete; un’analisi della situazione attuale rispetto alle misure richieste; una proposta di interventi in ordine di priorità, con tempi e costi chiari. Trovi anche le nostre certificazioni.

Richiedi un incontro sull’adeguamento NIS2 →
Oppure chiamaci allo 080 542 7032 o scrivi a commerciale@loransrl.net.

Fonti: D.Lgs. 138/2024; determinazioni ACN 379907/2025 e 127437/2026. Le scadenze possono cambiare con nuove determinazioni dell’ACN: verificale sul sito dell’Agenzia.