Cibersicurezza degli ospedali in Europa: le prime misure attuative del piano d’azione europeo

Il settore sanitario figura tra i settori ad alta criticità dell’allegato I della direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, nota come direttiva NIS2. Il 22 luglio 2026 l’Agenzia dell’Unione europea per la cibersicurezza (ENISA) ha reso operative le prime misure attuative del piano d’azione europeo del 2025 per la cibersicurezza di ospedali e strutture sanitarie, con un accordo di contributo con la Commissione europea e una nuova edizione delle linee guida sugli appalti.

Il piano d’azione europeo del 2025

Nel gennaio 2025 la Commissione europea ha varato un piano d’azione dedicato alla cibersicurezza di ospedali e strutture sanitarie nell’Unione europea, motivato dalla crescente esposizione dei sistemi sanitari ad attacchi informatici e a campagne di ransomware. Il piano è organizzato in quattro pilastri: prevenzione, rilevamento, risposta e ripristino, deterrenza. Il pilastro della prevenzione riguarda le capacità di gestione e valutazione del rischio e la formazione del personale sanitario. Il rilevamento prevede strumenti più efficaci, tra cui un servizio di allerta precoce su abbonamento rivolto al settore sanitario dell’intera Unione, la cui realizzazione è indicata entro il 2026. La risposta e il ripristino si appoggiano alla riserva di cibersicurezza dell’Unione europea, ai servizi di risposta agli incidenti e alle esercitazioni nazionali. La deterrenza fa leva, tra gli altri strumenti, sullo strumentario della diplomazia informatica.

Il piano non introduce obblighi immediati a carico delle strutture sanitarie e prevede un’attuazione progressiva nel corso del 2025 e del 2026, in collaborazione con gli erogatori di assistenza, gli Stati membri e la comunità della cibersicurezza. Tra le misure annunciate figurano l’istituzione di un Centro europeo di sostegno alla cibersicurezza per ospedali e strutture sanitarie all’interno dell’ENISA e l’invito agli Stati membri a valutare l’introduzione di buoni per la cibersicurezza destinati alle strutture di micro, piccole e medie dimensioni.

L’accordo di contributo e il meccanismo di sostegno

Il 22 luglio 2026 l’ENISA ha comunicato la firma di un accordo di contributo con la Commissione europea per un valore di 6 milioni di euro e una durata di tre anni, finalizzato all’istituzione del meccanismo di sostegno previsto dal piano d’azione. L’obiettivo principale dell’accordo è l’attuazione di un catalogo di servizi per il settore sanitario, che raccoglie le azioni in quattro categorie: preparazione, rilevamento, risposta e governance.

L’impostazione dichiarata dall’Agenzia prevede la riorganizzazione e l’ampliamento dell’offerta di servizi già esistente, la costruzione di approcci armonizzati, il riutilizzo di metodologie, strumenti e strategie di appalto sperimentati nell’ambito della precedente azione di sostegno alla cibersicurezza dell’ENISA, misure di rafforzamento delle capacità degli Stati membri e delle entità sanitarie, e la definizione dell’offerta in consultazione con i gruppi di portatori di interesse.

Le linee guida sugli appalti del luglio 2026

Nella stessa data l’ENISA ha pubblicato una nuova edizione delle linee guida sugli appalti per la cibersicurezza di ospedali e strutture sanitarie, elaborata con il supporto del gruppo di cooperazione NIS, dell’EU Health ISAC (EH-ISAC), il centro di condivisione e analisi delle informazioni del settore sanitario europeo, e della Commissione europea. Il documento copre tutte le fasi del ciclo di vita dell’appalto, fissa requisiti di cibersicurezza per i fornitori, indica le informazioni che questi devono mettere a disposizione e individua le categorie di servizi e prodotti per le quali le considerazioni di sicurezza risultano più rilevanti. È inclusa una lista di controllo di misure calibrate sugli acquisti del settore sanitario, ciascuna collegata a minacce specifiche per i diversi tipi di appalto.

Le linee guida sono allineate ai quadri normativi europei di riferimento: la direttiva NIS2, i regolamenti sui dispositivi medici, il regolamento generale sulla protezione dei dati e il regolamento sullo spazio europeo dei dati sanitari. I destinatari indicati vanno dai profili tecnici di vertice delle organizzazioni sanitarie ai gruppi informatici che gestiscono operativamente le forniture.

La posizione del settore nella misurazione NIS360

Il 28 maggio 2026 l’ENISA ha pubblicato la terza edizione del rapporto NIS360, strumento annuale di valutazione della maturità e della criticità dei settori ad alta criticità individuati dall’allegato I della direttiva NIS2. La maturità di un settore è determinata da quattro componenti: la legislazione e la sua efficacia, la preparazione delle organizzazioni, la capacità istituzionale delle autorità e l’efficacia delle strutture dell’ecosistema settoriale. La criticità è valutata considerando rilevanza sistemica, esposizione e impatto di un’interruzione.

L’incrocio tra le due dimensioni definisce una zona di rischio, che raccoglie i settori con maturità inferiore alla media e criticità superiore alla propria maturità. Nell’edizione 2026 la zona di rischio comprende sanità, ferrovie, trasporto marittimo, gestione dei servizi TIC, spazio, pubbliche amministrazioni, acqua potabile e acque reflue. Nello stesso rapporto la sanità risulta tra i quattro settori che hanno rafforzato la propria maturità all’interno della fascia intermedia, insieme a gas, trasporto stradale e trasporto marittimo. L’Agenzia osserva che il miglioramento complessivo resta disomogeneo tra i settori e al loro interno, per effetto di carenza di competenze, caratteristiche settoriali e dimensione delle organizzazioni.

Gli incidenti documentati e i costi

Il quadro settoriale pubblicato dall’ENISA resta il primo panorama delle minacce dedicato alla sanità, diffuso il 5 luglio 2023 e basato su 215 incidenti segnalati pubblicamente nell’Unione europea e nei Paesi vicini in un periodo di poco superiore a due anni. Secondo quel documento il ransomware rappresentava il 54% delle minacce rilevate; gli erogatori di assistenza sanitaria concentravano il 53% degli incidenti e i soli ospedali il 42%. I dati dei pazienti, comprese le cartelle cliniche elettroniche, costituivano il bene più colpito con il 30%, mentre il 46% degli incidenti mirava a sottrarre o divulgare dati delle organizzazioni sanitarie. Solo il 27% delle organizzazioni interpellate disponeva di un programma dedicato alla difesa dal ransomware.

Le conseguenze registrate consistevano soprattutto in violazioni o furti di dati (43%), interruzioni dei servizi sanitari (22%) e interruzioni di servizi non sanitari (26%). Il costo mediano di un incidente di sicurezza rilevante nel settore sanitario era stimato in 300.000 euro sulla base dello studio ENISA sugli investimenti NIS del 2022. Nello stesso periodo il gruppo di cooperazione NIS aveva pubblicato una prima valutazione delle misure di gestione del rischio in essere nel settore.

Prospettive

Il piano d’azione europeo colloca entro il 2026 la realizzazione del servizio di allerta precoce per il settore sanitario, mentre l’accordo di contributo firmato dall’ENISA copre un triennio e prevede l’attuazione progressiva del catalogo dei servizi del meccanismo di sostegno. La prossima edizione del rapporto NIS360 si baserà su un’indagine rivolta alle autorità nazionali e alle entità ad alta criticità, aperta fino al 30 ottobre 2026. Il piano d’azione, le linee guida riviste sugli appalti e la cibersicurezza dei dispositivi medici sono all’ordine del giorno dell’undicesima Conferenza ENISA sulla sicurezza della sanità digitale, in programma a Nicosia il 7 ottobre 2026. Restano da definire l’assetto operativo definitivo del Centro europeo di sostegno alla cibersicurezza per il settore sanitario e l’eventuale adozione, da parte dei singoli Stati membri, dei buoni per la cibersicurezza destinati alle strutture di minori dimensioni.

In dialogo con l’Agenda 2030

Obiettivo 3 (Salute e benessere). Le interruzioni dei servizi sanitari causate da incidenti informatici incidono su triage, cure e continuità dell’assistenza, con effetti diretti sulla sicurezza dei pazienti.
Obiettivo 9 (Imprese, innovazione e infrastrutture). Ospedali, dispositivi medici e catene di fornitura sanitarie sono infrastrutture critiche la cui resilienza dipende da requisiti tecnici, appalti e capacità di rilevamento.
Obiettivo 10 (Ridurre le disuguaglianze). La maturità disomogenea tra Paesi e tra organizzazioni di dimensioni diverse produce livelli di protezione differenziati per i pazienti, questione alla quale rispondono i buoni per la cibersicurezza rivolti alle strutture minori.
Obiettivo 16 (Pace, giustizia e istituzioni solide). Il piano d’azione affronta la deterrenza degli attacchi contro i sistemi sanitari e la capacità istituzionale delle autorità di vigilanza previste dalla direttiva NIS2.
Obiettivo 17 (Partnership per gli obiettivi). Le linee guida e il meccanismo di sostegno nascono dalla collaborazione tra Agenzia, Commissione, gruppo di cooperazione NIS e centro di condivisione delle informazioni del settore sanitario.