Ospedali più sicuri: le misure Ue contro le minacce informatiche

In risposta alla crescente minaccia di cyberattacchi che mettono a rischio la sicurezza dei pazienti e la funzionalità dei sistemi sanitari, la Commissione Europea ha pubblicato la Comunicazione sulla cybersecurity degli ospedali e dei fornitori di assistenza sanitaria.

Questa iniziativa, che mira a rafforzare la prevenzione, la preparazione, la risposta e la deterrenza contro le minacce cibernetiche in un settore sempre più digitalizzato e cruciale per il modello sociale europeo, è oggi sottoposta a consultazione degli stakeholder aperta il 7 aprile fino al 30 giugno.

Vediamo allora da dove nasce questo Piano di Azione e quali sono i contenuti specifici.

Le sfide della cybersecurity ospedaliera nel contesto europeo

Il Piano d’Azione per la Cybersecurity degli Ospedali nasce nell’alveo della Strategia di Cybersecurity dell’UE del 2020 con l’obiettivo di proteggere le infrastrutture critiche e garantire la resilienza digitale nei settori essenziali.

Il piano d’azione mette in luce una serie di sfide complesse e articolate che il settore sanitario europeo deve affrontare in ambito di cybersecurity.

 Innanzitutto, il panorama delle minacce è in costante evoluzione: gli attacchi diventano sempre più sofisticati, con un aumento significativo dei ransomware, delle vulnerabilità sia a livello software che hardware, e degli attacchi DDoS.

Il contesto è reso poi ancor più delicato dalla crescente digitalizzazione del settore sanitario, che da un lato porta benefici nella gestione e nell’accesso ai dati, ma dall’altro amplia la superficie esposta agli attacchi informatici. I dati sanitari elettronici, in particolare, sono diventati bersagli particolarmente appetibili.

Una delle difficoltà principali risiede poi nella frammentazione del panorama sanitario a livello europeo: le strutture presentano livelli molto diversi di digitalizzazione e di preparazione in ambito di sicurezza informatica: inoltre, ci sono carenze significative in ambiti cruciali, come le risorse umane qualificate, la conoscenza delle catene di fornitura ICT e l’adozione di misure di sicurezza aggiornate.

Anche le pratiche fondamentali di “igiene digitale”, come le valutazioni dei rischi, risultano spesso carenti o difficili da implementare correttamente. La situazione si complica ulteriormente quando si considerano le differenze tra tecnologie IT (Information Technology) e OT (Operational Technology) che rispondono a logiche e priorità diverse in termini di sicurezza.

Un altro aspetto critico sono i diversi livelli consapevolezza del personale (specie nei livelli direzionali) su quanto la sicurezza informatica sia oggi fondamentale. A questo si aggiungono i rischi legati all’esternalizzazione dei servizi IT e OT e alla crescente migrazione verso soluzioni cloud, che introducono nuove vulnerabilità.

La mancanza di fondi dedicati alla cybersecurity rappresenta un ulteriore ostacolo, così come la presenza, ancora diffusa, di tecnologie obsolete e sistemi legacy difficili da aggiornare. Tutto ciò rende complesso anche il bilanciamento tra gli investimenti in sicurezza informatica e quelli necessari per migliorare direttamente la qualità delle cure ai pazienti.

Infine, il settore deve confrontarsi con la gestione di catene di fornitura ICT molto articolate, comprese quelle che coinvolgono dispositivi medici connessi, e con una cronica carenza di professionisti specializzati in cybersecurity. Senza dimenticare il ruolo dell’errore umano, che continua a essere una delle principali cause di incidenti, e la presenza di intrusioni spesso difficili da rilevare, che possono rimanere inosservate per lunghi periodi.

Azioni strategiche per migliorare la cybersecurity degli ospedali

Alla luce di quanto sopra il Piano si basa allora su quattro priorità principali e correlate azioni da porre in essere.

Più esattamente le priorità sono

• Prevenzione degli incidenti di cybersecurity:
• Miglioramento delle capacità europee di rilevamento delle minacce cibernetiche contro il settore sanitario:
• Miglioramento della rapidità di risposta e ripristino:
• Deterrenza degli autori di minacce cibernetiche:

Azioni da attuare

Per gestire le priorità di cui sopra il Piano d’Azione sulla cybersecurity propone una serie articolata di interventi che mirano a rafforzare in modo concreto la sicurezza informatica del settore sanitario europeo.

Tra le principali iniziative previste, troviamo innanzitutto la definizione di linee guida su pratiche critiche di cybersecurity, accompagnate da uno strumento utile per orientarsi tra le normative vigenti. Parallelamente, si intende sviluppare un quadro di riferimento per valutare il livello di maturità digitale delle strutture sanitarie, con l’obiettivo di effettuare valutazioni annuali sulla loro resilienza informatica.

Sul fronte del supporto finanziario e delle buone pratiche, il piano prevede il potenziamento del programma di voucher per la cybersecurity e l’elaborazione di linee guida dedicate agli appalti sicuri, così da garantire forniture informatiche più affidabili e protette.

Un altro passo importante sarà la creazione di una rete europea dei CISO (Chief Information Security Officers) operanti nel settore sanitario, affiancata da iniziative formative come corsi e moduli online destinati ai professionisti della sanità, per innalzare il livello di competenza diffuso.

Per affrontare in modo più efficace le minacce emergenti, si punta anche alla creazione di un catalogo europeo KEV specifico per i dispositivi medici, oltre all’introduzione di un sistema di allerta precoce a livello UE. In questo contesto si inserisce anche il sostegno all’European Health ISAC, la comunità europea per la condivisione di informazioni in ambito sanitario.

Un altro strumento fondamentale sarà l’integrazione di un servizio di risposta rapida dedicato al settore sanitario all’interno della Riserva Europea per la Cybersecurity (istituto introdotto dal Cyber Solidarity Act) insieme alla realizzazione di playbook su misura per la gestione degli incidenti cibernetici, da utilizzare anche in esercitazioni nazionali.

Per quanto riguarda i ransomware, il piano prevede l’attivazione di un servizio in abbonamento per il ripristino dei dati colpiti, l’identificazione delle principali varianti esistenti e l’ampliamento del repertorio di strumenti di decrittazione disponibili. Saranno inoltre predisposte linee guida per scoraggiare il pagamento dei riscatti.

Non manca l’attenzione alle catene di fornitura: sarà condotta una valutazione del rischio coordinata a livello europeo, in particolare per quanto riguarda i dispositivi medici. Gli Stati membri verranno supportati nella definizione dei propri piani d’azione nazionali e verranno istituiti Centri Nazionali di Supporto alla Cybersicurezza.

Il piano promuove anche la collaborazione tra i fornitori di servizi sanitari, incentivando la condivisione di risorse, la definizione di benchmark comuni e l’individuazione di obiettivi chiari in termini di finanziamenti per la cybersecurity.

In chiave strategica, verrà istituito un Advisory Board congiunto sulla sicurezza informatica in ambito sanitario e sarà lanciato un invito all’azione rivolto direttamente alle aziende del settore cybersecurity. Il tutto sarà accompagnato da un utilizzo mirato del Cyber Diplomacy Toolbox e da un rafforzamento della cooperazione internazionale nella lotta contro il ransomware.

Infine, un aspetto cruciale sarà la trasparenza: le entità soggette alla direttiva NIS2 saranno invitate a segnalare eventuali intenzioni di pagamento di riscatti, così da monitorare con maggiore efficacia l’impatto di questi attacchi e rispondere in modo più coordinato a livello europeo.

Gli attori coinvolti nella cybersecurity ospedaliera europea

Oltre all’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) e ai singoli Stati membri, ci sono altri attori fondamentali che saranno coinvolti direttamente nell’attuazione del Piano d’Azione sulla cybersecurity in ambito sanitario.

Gli ospedali e i fornitori di assistenza sanitaria

Sono i soggetti principali a cui il piano è rivolto. Infatti, saranno loro a mettere in pratica molte delle azioni previste. Per questo motivo, saranno coinvolti attivamente attraverso momenti di consultazione e collaborazioni dirette, in modo da adattare il piano alle reali esigenze operative del settore.

L’industria europea della cybersecurity

Le aziende e gli esperti del settore della sicurezza informatica avranno un ruolo centrale nello sviluppo di soluzioni tecniche. Il loro know-how sarà prezioso per creare strumenti efficaci e adeguati alle sfide specifiche del mondo sanitario.

Le reti europee già esistenti

Saranno coinvolte anche varie reti di collaborazione già operative a livello europeo, come:

• Il Gruppo di Cooperazione NIS, che supporta l’attuazione della Direttiva NIS sulla sicurezza delle reti e dei sistemi informativi;
• La Rete CSIRTs, cioè i gruppi di risposta agli incidenti informatici;
• La rete eHealth, dedicata alla sanità digitale;
• E, quando pertinente, anche il Comitato europeo per lo spazio di dati sanitari, che lavora per creare un’infrastruttura comune per la gestione sicura dei dati sanitari in Europa.

L’European Cybersecurity Competence Centre (ECCC)

Questo centro, in corso di formazione, collaborerà con la Commissione Europea per avviare progetti pilota in ambito cybersecurity, che serviranno da modello per iniziative più ampie.

L’European Health ISAC (Information Sharing and Analysis Centre)

Una rete collaborativa che riunisce organizzazioni sanitarie europee, CSIRT nazionali e settoriali, ed ENISA (l’Agenzia dell’Unione europea per la cybersicurezza), con l’obiettivo di rafforzare la sicurezza informatica e la resilienza del settore sanitario nell’UE.​

Europol

Infine, anche l’agenzia europea di polizia sarà coinvolta. Collaborerà con ENISA su tematiche legate al ransomware e allo scambio di informazioni, contribuendo a una risposta più efficace contro i crimini informatici che colpiscono il settore sanitario.

Roadmap per l’attuazione della cybersecurity ospedaliera

La tempistica prevista è molto incalzante:

Primo trimestre 2025

• Esplorazione dell’identificazione della sanità come settore per il sostegno a test di preparazione coordinati nell’ambito del Cyber Solidarity Act.
• Sviluppo di uno strumento di mappatura normativa.
• Istituzione di un comitato consultivo congiunto per la cybersecurity nel settore sanitario.
• Avvio di consultazioni approfondite con le parti interessate.
• Creazione da parte dell’ENISA di una rete europea di CISO del settore sanitario.
• Progettazione e promozione da parte dell’ENISA di moduli e corsi di formazione per i professionisti sanitari.

Secondo trimestre 2025

• L’ENISA inizierà i lavori per istituire un Centro europeo di supporto per la cybersecurity per ospedali e operatori sanitari.
• Avvio di un invito all’azione per aziende di cybersecurity, fondazioni, istituzioni educative e stakeholder del settore.
• Gli Stati membri designeranno i Centri nazionali di supporto per la cybersecurity per ospedali e operatori sanitari.

Terzo trimestre 2025

• Pubblicazione da parte dell’ENISA di orientamenti che evidenziano le pratiche di cybersecurity più critiche.
• Sviluppo da parte dell’ENISA di un quadro per le valutazioni di maturità della cybersecurity specifico per l’assistenza sanitaria.
• Sviluppo da parte dell’ENISA di nuove linee guida per gli appalti in materia di cybersecurity per ospedali e operatori sanitari.
• Sviluppo da parte dell’ENISA, in collaborazione con la rete CSIRTs, di playbook per la risposta agli incidenti informatici su misura per l’assistenza sanitaria.
• Sviluppo da parte dell’ENISA, insieme a Europol, di orientamenti accessibili per aiutare gli operatori sanitari a evitare di pagare riscatti.

Quarto trimestre 2025

• Adozione da parte della Commissione di raccomandazioni per affinare ulteriormente il Piano d’azione.
• Garantire, insieme all’ENISA, che la Riserva di cybersicurezza dell’UE includa un servizio di risposta rapida specificamente per il settore sanitario.
• Costruzione da parte dell’ENISA di un catalogo europeo di vulnerabilità sfruttate note (KEV) per dispositivi medici, sistemi di cartelle cliniche elettroniche e fornitori di apparecchiature e software ICT nel settore sanitario.
• Facilitazione di un ampio lancio di esercitazioni nazionali di cybersecurity.
• Identificazione, insieme a Europol, dei ceppi di ransomware più comuni e espansione del repository di strumenti di decrittazione attraverso il progetto No More Ransom.
• Gli Stati membri creeranno piani d’azione nazionali incentrati sulla cybersecurity nel settore sanitario.
• Gli Stati membri fisseranno parametri di riferimento non vincolanti e monitoreranno gli obiettivi di finanziamento specificamente destinati alla cybersecurity.
• Gli Stati membri richiederanno alle organizzazioni sanitarie e ad altri enti soggetti alla direttiva NIS2 di segnalare le loro intenzioni di pagare riscatti.
• Gli Stati membri condivideranno le notifiche di incidenti provenienti da ospedali e operatori sanitari ai sensi della NIS2 con il Centro europeo di supporto per la cybersecurity.
• Sviluppo da parte del Centro di supporto di un catalogo completo di servizi da fornire.
• Entro il quarto trimestre 2025, il NIS Cooperation Group effettuerà una valutazione coordinata del rischio di sicurezza, valutando i rischi tecnici e strategici relativi alle catene di approvvigionamento dei dispositivi medici.

A partire dal quarto trimestre 2025

• L’ENISA faciliterà un ampio lancio di esercitazioni nazionali di cybersecurity.

Nel corso dell’intero anno 2025 poi:

• La Commissione garantirà risorse adeguate per il Centro di supporto.
• Collaborazione con l’ECCC per lanciare progetti pilota.
• Esplorazione dell’uso delle misure del Cyber Diplomacy Toolbox.
• Avanzamento della cooperazione internazionale contro gli attori ransomware.
• Ricerca di cooperazione nel G7 Cybersecurity Working Group.
• L’ENISA assisterà gli Stati membri nello sviluppo di piani d’azione nazionali.
• Coordinamento degli sforzi per garantire che le risorse e le strategie dei singoli Stati membri si completino a vicenda.
• Fornitura regolare di aggiornamenti sul lavoro del Centro di supporto.
• Scambio continuo con il comitato consultivo per la cybersecurity nel settore sanitario.

A partire dal 2026

• Introduzione da parte dell’ENISA di un servizio di allerta precoce a livello UE per il settore sanitario.
• Fornitura da parte dell’ENISA di un servizio di abbonamento per il ripristino da ransomware.
• Gli Stati membri lanceranno esercitazioni nazionali di cybersecurity per testare i playbook.

La consultazione pubblica sul piano europeo per la cybersecurity degli ospedali

La  Commissione Europea, in attuazione alla tempistica stabilita, ha lanciato una consultazione mirata sull’Action Plan per la cybersecurity degli ospedali e dei fornitori di assistenza sanitaria.

I tempi per partecipare alla consultazione sono dal 7 aprile 2025 al 30 giugno 2025.

Le modalità per contribuire prevedono la compilazione di un questionario online disponibile sulla piattaforma EU Survey. La consultazione mira a raccogliere i punti di vista degli stakeholder, inclusi fornitori di assistenza sanitaria, esperti di cybersecurity, industria, autorità nazionali e altre parti interessate, per affinare ulteriormente il piano d’azione e le raccomandazioni che la Commissione intende presentare entro la fine del 2025. Il questionario copre diverse aree del piano d’azione, chiedendo opinioni sulle priorità, sulle azioni proposte e sulle sfide specifiche del settore.

La Commissione terrà conto dei risultati della consultazione per elaborare raccomandazioni più precise nel terzo/quarto trimestre del 2025.