La trasformazione digitale della sanità ha modificato profondamente la natura del rischio operativo di ospedali, laboratori, centrali di prenotazione, piattaforme territoriali e fornitori tecnologici.
Indice degli argomenti
La cybersecurity sanitaria come componente della sicurezza del paziente
Cartelle cliniche elettroniche, sistemi di diagnostica connessa, piattaforme di telemedicina, cloud sanitario, software di laboratorio, sistemi amministrativi e dispositivi medici interoperabili hanno progressivamente ampliato il perimetro digitale ben oltre il data center ospedaliero tradizionale.
Negli ultimi dieci anni l’ospedale è diventato, di fatto, una rete digitale distribuita: reparti clinici, diagnostica, laboratori, ambulatori territoriali, servizi di telemonitoraggio e sistemi regionali condividono flussi di dati in tempo reale. Il dato clinico non è più confinato in un sistema locale, ma circola tra molteplici piattaforme. In questo contesto, un incidente cyber non è più soltanto un problema tecnico circoscritto all’area IT.
Può rallentare o bloccare esami diagnostici, interrompere flussi di refertazione, impedire l’accesso ai dati clinici, compromettere la gestione delle agende operatorie, rinviare interventi chirurgici o creare discontinuità nei percorsi di cura. In altre parole, l’impatto di un attacco informatico non riguarda solo la riservatezza dei dati, ma la continuità stessa delle attività cliniche.
Per questo motivo la cybersecurity sanitaria deve essere interpretata come una componente strutturale della sicurezza del paziente. In un ecosistema sanitario digitalizzato, la protezione dei sistemi informativi diventa una condizione operativa per garantire accesso ai servizi, affidabilità delle informazioni cliniche e coordinamento tra ospedale e territorio.
La vera discontinuità strategica è proprio questa: gli ospedali digitalizzati stanno assumendo progressivamente le caratteristiche di infrastrutture critiche digitali, comparabili, per complessità e impatto sociale, ad altri settori essenziali come energia, trasporti o telecomunicazioni.
Questo richiede un cambio di paradigma nella gestione del rischio: non più approcci frammentati basati sulla sola difesa perimetrale, ma modelli di resilienza che integrino sicurezza informatica, continuità operativa e governance clinico-organizzativa.
In altre parole, nella sanità digitale la cybersecurity non è una funzione ancillare né un costo accessorio della trasformazione tecnologica: è una capacità operativa necessaria per garantire la stabilità degli ecosistemi di cura.
NIS2 e EHDS: la sicurezza diventa requisito di sistema
Il quadro normativo europeo sta rafforzando in modo significativo il ruolo della cybersicurezza nella sanità, trasformandola da tema tecnico a requisito strutturale per il funzionamento dei servizi essenziali.
La direttiva NIS2, recepita in Italia con il decreto legislativo n. 138 del 4 settembre 2024, estende gli obblighi di sicurezza ai settori critici, tra cui il sanitario, introducendo requisiti più stringenti su gestione del rischio, notifica degli incidenti, sicurezza della supply chain e responsabilità del management.
In Italia, l’Agenzia per la Cybersicurezza Nazionale (ACN) svolge il ruolo di autorità competente, coordinando attività di prevenzione, monitoraggio e risposta attraverso il CSIRT nazionale. Parallelamente, lo European Health Data Space (EHDS), entrato in vigore il 26 marzo 2025, costruisce una cornice comune per la circolazione dei dati sanitari in Europa, abilitando interoperabilità tra sistemi sanitari e riuso dei dati per ricerca e programmazione.
Tuttavia, proprio l’apertura dei flussi informativi rende evidente che interoperabilità e fiducia nel dato sanitario possono esistere solo se supportate da architetture di sicurezza robuste, sistemi di tracciabilità e governance dei dati lungo l’intero ciclo di vita. Il risultato è un cambio di paradigma: le organizzazioni sanitarie non sono più chiamate solo a dimostrare conformità normativa, ma a sviluppare capacità operative permanenti di gestione del rischio e resilienza digitale, in grado di proteggere dati, servizi clinici e infrastrutture sempre più interconnesse.
Perché gli ospedali sono bersagli privilegiati: il rischio colpisce le cure, non solo i dati
I dati europei confermano che il settore sanitario resta uno dei più esposti agli attacchi cyber. Secondo ENISA, nel 2024 circa il 45% degli incidenti sanitari analizzati ha riguardato ransomware, mentre il 28% ha coinvolto violazioni di dati. Inoltre, la sanità è risultata il settore più colpito tra gli incidenti NIS significativi segnalati dagli Stati membri per quattro anni consecutivi, dal 2020 al 2023. Le ragioni di questa esposizione sono strutturali.
Gli ospedali gestiscono dati altamente sensibili, operano con sistemi informativi spesso eterogenei e includono una grande varietà di dispositivi connessi – dai sistemi di imaging ai dispositivi medicali, fino alle piattaforme amministrative e territoriali. A ciò si aggiungono infrastrutture legacy difficili da aggiornare e una crescente dipendenza da fornitori tecnologici esterni. Il rischio, tuttavia, non riguarda solo la protezione dei dati ma la continuità delle cure.
Il caso Synnovis nel Regno Unito, nel giugno 2024, ha mostrato come un attacco informatico a un fornitore di servizi di laboratorio possa propagarsi rapidamente su più ospedali, causando cancellazioni di interventi chirurgici, ritardi diagnostici e disservizi su larga scala.
La lezione manageriale è chiara: nella sanità digitale il perimetro da proteggere non coincide con l’ospedale, ma con l’intera filiera di erogazione del servizio sanitario. Laboratori esternalizzati, piattaforme cloud, fornitori di software clinico, dispositivi medicali connessi e reti territoriali diventano parte integrante della superficie di rischio. Proteggere l’ecosistema sanitario significa quindi gestire la sicurezza lungo tutta la catena digitale della cura, non solo all’interno delle infrastrutture informatiche ospedaliere.
Dalla difesa perimetrale alla resilienza clinico-digitale: il nuovo modello operativo
Per questo motivo il modello di sicurezza più efficace in sanità non è quello basato su singoli strumenti tecnologici, ma quello fondato su architetture, processi e responsabilità organizzative integrate. L’obiettivo non è solo prevenire gli attacchi, ma garantire la continuità dei servizi clinici anche quando un incidente si verifica.
Governance e architettura tecnologica
Il primo livello riguarda la governance. La gestione del rischio cyber non può restare confinata all’area IT, ma deve entrare nel perimetro decisionale della direzione generale, della direzione sanitaria, del risk management e degli uffici acquisti. La sicurezza digitale diventa infatti parte della continuità operativa dei servizi sanitari e della sicurezza del paziente, e deve essere monitorata con indicatori comprensibili anche dal punto di vista clinico e organizzativo.
Il secondo livello riguarda l’architettura tecnologica. La protezione delle infrastrutture sanitarie richiede segmentazione delle reti, gestione rigorosa delle identità e degli accessi, inventario aggiornato degli asset clinici e tecnici, monitoraggio continuo dei sistemi e capacità di ripristino rapido. Backup realmente testati, piani di disaster recovery e procedure di business continuity devono essere progettati tenendo conto dei processi clinici critici, come pronto soccorso, laboratorio, diagnostica e gestione delle sale operatorie.
Supply chain digitale e preparazione organizzativa
Un terzo elemento riguarda la supply chain digitale, oggi sempre più determinante. Molti servizi sanitari dipendono da fornitori esterni, piattaforme cloud, software clinici e dispositivi medici connessi.
La sicurezza deve quindi essere considerata anche nella qualificazione dei fornitori, includendo requisiti su aggiornamenti software, gestione delle vulnerabilità, logging, supporto agli incidenti e capacità di ripristino. Infine, la resilienza richiede preparazione organizzativa. Formazione mirata del personale, esercitazioni cyber, simulazioni di indisponibilità dei sistemi e procedure di escalation condivise tra clinici e tecnici diventano strumenti essenziali per ridurre i tempi di risposta e limitare l’impatto operativo degli incidenti.
Questa impostazione è coerente con il piano d’azione europeo sulla cybersecurity di ospedali e healthcare providers, presentato dalla Commissione europea nel gennaio 2025, che struttura la protezione del settore sanitario attorno a quattro pilastri operativi: prevenzione, rilevazione, risposta e recupero. La novità non è soltanto l’enfasi sulla difesa dei sistemi, ma il riconoscimento che la sanità necessita di capacità settoriali dedicate – servizi di allerta precoce, linee guida per il procurement e strumenti comuni di valutazione della maturità cyber.
Governance e procurement: dove si decide la sicurezza della sanità digitale
Il punto meno visibile ma spesso più decisivo riguarda il procurement tecnologico. Molte vulnerabilità non derivano da errori operativi o da singoli incidenti, ma da scelte d’acquisto che storicamente hanno privilegiato funzionalità, tempi di consegna e prezzo senza incorporare requisiti robusti di sicurezza, aggiornabilità, interoperabilità e supporto nel ciclo di vita dei sistemi.
In una sanità sempre più software-defined, acquistare una piattaforma clinica, un dispositivo connesso o un servizio cloud significa di fatto acquisire anche un profilo di rischio. Sistemi difficili da aggiornare, dispositivi medicali con firmware non manutenibile o piattaforme prive di adeguati sistemi di logging e monitoraggio possono diventare nel tempo punti di vulnerabilità strutturale.
Per questo la maturità del sistema dipenderà sempre più dalla capacità delle stazioni appaltanti e delle centrali di acquisto di introdurre capitolati che includano requisiti verificabili di sicurezza: architetture aggiornabili, gestione delle vulnerabilità, continuità operativa, responsabilità contrattuali sui tempi di remediation, portabilità dei dati e integrazione con i sistemi di identity e monitoring delle strutture sanitarie.
In questo senso, la fase di investimenti legata al PNRR, all’evoluzione del Fascicolo Sanitario Elettronico e alla riorganizzazione dell’assistenza territoriale rappresenta un’occasione importante per superare una logica di progetti digitali isolati e introdurre modelli cyber-by-design, con standard minimi di settore e governance coordinata tra livello nazionale, regionale e aziendale.
La cybersecurity sanitaria, in definitiva, non è un costo accessorio della trasformazione digitale. È la condizione organizzativa e infrastrutturale che rende affidabili gli ecosistemi di cura digitali che l’Europa e l’Italia stanno costruendo.
