Il settore sanitario si trova al centro di una doppia transizione: quella digitale, che ne trasforma profondamente le modalità operative, e quella securitaria, che ne ridisegna i perimetri di rischio.
L’accelerazione della digitalizzazione – dalle cartelle cliniche elettroniche alla telemedicina, dai dispositivi medici connessi all’intelligenza artificiale applicata alla diagnostica – ha ampliato in misura esponenziale la superficie di attacco disponibile per gli attori ostili, rendendo ospedali, cliniche e fornitori di servizi sanitari bersagli privilegiati di campagne ransomware, esfiltrazione di dati e attacchi alle infrastrutture critiche.
Indice degli argomenti
Lo stato dell’arte della cybersecurity: la Sanità sempre più bersaglio di attacchi
Secondo il Rapporto Clusit 2026, la Sanità si colloca al terzo posto nella classifica mondiale per volume di incidenti cyber, con oltre un migliaio di attacchi confermati a livello globale nel solo 2025 e una quota di impatti classificati come critici o estremi.
Le analisi dell’Agenzia dell’Unione Europea per la Cybersicurezza (ENISA) confermano che la Sanità è il comparto più colpito nell’Unione Europea da quattro anni consecutivi.
In Italia, i dati dell’Agenzia per la Cybersicurezza Nazionale (ACN) documentano una vulnerabilità strutturale diffusa: configurazioni errate, dispositivi esposti, sistemi obsoleti e una governance IT frammentata che lascia le strutture sanitarie cronicamente esposte anche ad attacchi non sofisticati.
Le contromisure dell’Unione Europea
Di fronte a questa escalation, l’Unione Europea ha scelto di rispondere con la prima strategia settoriale sistemica mai adottata in materia: il Piano di Azione europeo sulla cybersicurezza degli ospedali e dei fornitori di assistenza sanitaria[1], adottato dalla Commissione il 15 gennaio 2025. Il cuore operativo del Piano è l’istituzione, nell’ambito di ENISA, di uno European Cybersecurity Support Centre for Hospitals and Healthcare Providers, organismo chiamato a sviluppare un catalogo integrato di servizi – dalla valutazione della maturità all’early warning, dai playbook di risposta agli incidenti ai programmi di formazione – e a fungere da riferimento unico per le strutture sanitarie di tutta Europa.
Attorno a questo centro gravitano strumenti complementari: i piani d’azione nazionali, i voucher di cybersicurezza per le realtà più piccole, il servizio di risposta rapida nell’ambito della EU Cybersecurity Reserve e un sistema coordinato di condivisione delle informazioni sulle minacce.
Per l’Italia, il Piano europeo si innesta su un patrimonio operativo già consolidato. L’ACN ha accumulato un’esperienza diretta significativa attraverso interventi forensi nelle strutture colpite, il monitoraggio proattivo della superficie d’attacco e la produzione di raccomandazioni basate su evidenze concrete. Questo capitale di conoscenza rappresenta la base più solida su cui costruire il National Cybersecurity Support Centre previsto dal Piano e su cui ancorare l’attuazione degli indirizzi europei alla realtà operativa del sistema sanitario nazionale.
Il nodo critico, tuttavia, non è normativo né strategico: è implementativo. Tradurre architetture di policy in misure concrete all’interno di strutture sanitarie spesso caratterizzate da risorse limitate, personale IT non dedicato alla sicurezza e pressioni operative quotidiane richiede un cambiamento di paradigma che va ben oltre l’adeguamento tecnico.
Il messaggio che emerge in modo convergente dal confronto tra i dati Clusit, le analisi ENISA e le evidenze ACN è che la cybersecurity in Sanità non può continuare a essere trattata come una questione tecnica da delegare ai reparti IT. È una dimensione della sicurezza del paziente, della continuità delle cure e della fiducia pubblica nelle istituzioni sanitarie. Come tale, richiede il coinvolgimento diretto del management, risorse proporzionate al rischio e una visione strategica di lungo periodo che integri la sicurezza informatica nei processi decisionali al più alto livello.
Il quadro degli attacchi: è sempre il ransomware la minaccia più pervasiva per la cybersecurity in Sanità
I dati del Clusit 2026 riguardo la cybersecurity in Sanità fotografano un settore sotto assedio. Negli ultimi cinque anni il volume degli attacchi alla sanità è quintuplicato; nel 2025 si è registrata una media di 88 incidenti al mese a livello mondiale, con punte significative nei mesi primaverili (febbraio-aprile) e in luglio.
| Attacchi globali 2025 | 1.053 (+30% vs 2024, 5x rispetto al 2020) |
| Media mensile | 88 incidenti/mese (vs 68 nel 2024) |
| Posizione nel ranking globale | 3° posto per volume di incidenti |
| Quota Critical/Extreme | 64% degli incidenti (la più alta di tutti i settori) |
| Motivazione prevalente | 90% Cybercrime, 10% Hacktivism |
| Tecnica dominante | Malware/Ransomware (47%), seguito da Data Breach non dettagliati (30%) |
Il ransomware rimane la minaccia più pervasiva, e il suo impatto va ben oltre il semplice blocco dei sistemi.
Secondo la Commissione Europea, il 71% degli attacchi con effetti diretti sull’erogazione delle cure – ritardi nelle diagnosi, blocchi alle sale d’emergenza, interruzione del pronto soccorso – è riconducibile a campagne ransomware.
In Italia prevale la tecnica del DDoS
L’Italia presenta un andamento apparentemente meno preoccupante rispetto alla media globale: nel 2025 sono stati registrati 10 attacchi di successo nel settore sanitario (vs 13 nel 2024), con una quota dell’1,8% sul totale degli incidenti italiani. Tuttavia, il quadro richiede un’analisi più attenta.
Innanzitutto, la composizione degli attaccanti è cambiata sensibilmente: il 40% degli episodi è attribuibile all’hacktivism, un dato in forte aumento rispetto agli anni precedenti, legato alle tensioni geopolitiche e all’attività di gruppi filorussi contro Paesi NATO. Questa dinamica introduce rischi di tipo diverso rispetto al puro cybercrime: gli attivisti informatici puntano spesso a un impatto mediatico e sociale, rendendo le strutture sanitarie bersagli politicamente significativi.
In secondo luogo, la tecnica prevalente in Italia nel 2025 è stata il DDoS (40% degli attacchi), non il ransomware come nel resto del mondo. Ciò riflette le tattiche dei gruppi hacktivisti attivi nel periodo, ma non deve far abbassare la guardia: il rapporto ACN evidenzia che, anche in assenza di attacchi sofisticati, le infrastrutture difensive non hanno impedito le compromissioni, segnalando ampi margini di miglioramento nella postura di sicurezza del comparto sanitario italiano.
Cybersecurity: le vulnerabilità strutturali della Sanità
L’ACN, attraverso il monitoraggio passivo di oltre 50.000 indirizzi IP associati al comparto sanitario italiano (luglio 2023 – settembre 2024), ha identificato e suddiviso le criticità nelle tre categorie principali mostrate di seguito in tabella.
| Categoria | Descrizione | Quota rilevata |
| Configurazioni errate | Servizi che non rispettano le best practice di settore o presentano configurazioni insicure | 58% degli IP con criticità |
| Dispositivi esposti incautamente | Servizi e apparati che non dovrebbero essere esposti su Internet | 29% degli IP con criticità |
| Servizi vulnerabili o obsoleti | Software con vulnerabilità note o versioni End of Life non più aggiornabili | 13% degli IP con criticità |
A queste criticità tecniche si sommano fattori organizzativi strutturali:
- la gestione decentralizzata dei sistemi IT (ogni reparto acquista hardware e software in autonomia senza governance centralizzata);
- l’obsolescenza dei dispositivi medicali (costosi da sostituire e non aggiornabili);
- la carenza di personale dedicato alla cybersicurezza, che viene gestita dall’IT generale al meglio delle proprie possibilità.
Direttiva NIS2: i dirigenti di ospedali e strutture sanitarie sono responsabili dell’adeguatezza delle misure di cybersicurezza
La Direttiva (UE) 2022/2555, nota come NIS2, ha profondamente ridisegnato il panorama normativo europeo in materia di cybersicurezza. Per il settore sanitario il cambiamento è sostanziale: ospedali, cliniche e fornitori di servizi sanitari vengono classificati come entità essenziali o importanti, con obblighi stringenti in materia di gestione del rischio, notifica degli incidenti, sicurezza della supply chain e responsabilità del management.
La NIS2 introduce in particolare il concetto di accountability del vertice aziendale: i dirigenti di ospedali e strutture sanitarie sono personalmente responsabili dell’adeguatezza delle misure di cybersicurezza adottate. Questo cambiamento culturale e normativo è fondamentale, perché storicamente la cybersicurezza sanitaria è rimasta relegata ai reparti IT, senza il coinvolgimento attivo (e responsabile) della direzione.
La cybersecurity degli ospedali e dei fornitori di assistenza in sanità
A gennaio 2025, la Commissione Europea ha adottato il Piano d’Azione Europeo sulla cybersicurezza degli ospedali e dei fornitori di assistenza sanitaria.
Il Piano riconosce esplicitamente che il settore sanitario è diventato il comparto più attaccato nell’Unione Europea negli ultimi quattro anni e individua nella prevenzione la priorità assoluta, affiancata da un sistema di rilevamento precoce, risposta rapida e deterrenza.
Il Piano si articola intorno a quattro pilastri operativi:
- Prevenzione degli incidenti: sviluppo di linee guida sulle pratiche di cybersicurezza essenziali, strumenti di mappatura normativa, voucher di cybersicurezza per le strutture più piccole, framework per la valutazione della maturità e programmi di formazione per il personale sanitario;
- Rilevamento delle minacce: creazione di un catalogo europeo delle vulnerabilità note sfruttate (KEV) per dispositivi medici e sistemi sanitari, un servizio di early warning in tempo reale e il potenziamento dello European Health ISAC;
- Risposta e ripristino: un servizio di risposta rapida nell’ambito della EU Cybersecurity Reserve, playbook specifici per gli incidenti nel settore sanitario, esercitazioni nazionali e un servizio di abbonamento per il ripristino da ransomware;
- Deterrenza: utilizzo del Cyber Diplomacy Toolbox, cooperazione nella Counter Ransomware Initiative e nel G7 Cybersecurity Working Group, pieno coinvolgimento delle autorità di law enforcement.
Cybersecurity in Sanità: le azioni di implementazione
La risposta alla minaccia cyber nella sanità richiede un approccio strutturato su tre livelli interdipendenti: europeo, nazionale e operativo/aziendale. Le azioni di ciascun livello si alimentano e si rafforzano reciprocamente.
Di seguito vengono descritte le azioni definite nel Piano della Commissione Europea considerando i tre livelli appena citati.
Livello europeo: ENISA e il supporto agli Stati membri
Prevenzione e capacity building
ENISA ha il compito di tradurre le indicazioni politiche del Piano in strumenti concreti e, secondo l’action plan della Commissione Europea, l’Agenzia ha la responsabilità di pubblicare:
- le linee guida operative sulle pratiche di cybersecurity essenziali per la sanità;
- un regulatory mapping tool per aiutare le strutture a orientarsi nella complessità normativa (NIS2, Cyber Resilience Act, Medical Devices Regulation, GDPR, AI Act);
- un framework specifico per le valutazioni di maturità nel settore sanitario. È prevista, inoltre, la realizzazione di una Health Cyber Maturity Assessment annuale a livello UE.
Un capitolo importante riguarda le piccole e medie strutture – studi medici, cliniche specialistiche, ambulatori di emergenza – che spesso non dispongono di team IT dedicati ma rimangono ugualmente esposte agli attacchi. Per queste realtà, il Piano prevede l’introduzione, su iniziativa degli Stati membri, di Cybersecurity Voucher: contributi finanziari per l’acquisizione di servizi e soluzioni di sicurezza informatica. Il Fondo Europeo di Sviluppo Regionale potrebbe fungere da veicolo principale per l’erogazione di questi strumenti.
Rilevamento e intelligence sulle minacce
Per colmare il gap nella capacità di rilevamento precoce, ENISA ha la responsabilità di sviluppare uno European Known Exploited Vulnerabilities (KEV) catalogue specifico per dispositivi medici, sistemi di cartella clinica elettronica e software ICT in ambito sanitario. Parallelamente, un servizio EU-wide di early warning con allerte in tempo quasi reale, alimentato da CSIRTs, produttori di dispositivi medici, OSINT e ISACs.
Il supporto allo European Health ISAC – l’Information Sharing and Analysis Centre per la sanità – dovrà essere potenziato con strumenti di analisi e report di situational awareness settoriali.
Risposta rapida e deterrenza
La EU Cybersecurity Reserve, istituita dal Cyber Solidarity Act, viene integrata con un Rapid Response Service specifico per la sanità: quando un ospedale subisce un attacco significativo che supera la capacità di risposta del CSIRT nazionale, può attivare questo servizio per ottenere supporto da fornitori di sicurezza certificati.
ENISA ed Europol collaboreranno per identificare i ceppi ransomware più diffusi nel settore e ampliare il repository di strumenti di decrittazione disponibili attraverso il progetto No More Ransom.
Raccomandazioni operative dell’ACN per le strutture sanitarie italiane: le 10 priorità per la cybersecurity in Sanità
In Italia, l’Agenzia per la Cybersicurezza Nazionale svolge un ruolo centrale nell’attuazione degli indirizzi europei e nel supporto diretto alle strutture sanitarie. Il CSIRT Italia, componente tecnico-operativa dell’ACN, è l’hub nazionale per la gestione delle notifiche obbligatorie e volontarie di incidenti cyber, e interviene direttamente in loco nelle strutture colpite per condurre analisi forensi e definire piani di ripristino.
Il Piano di Azione europeo chiede agli Stati membridi designare i National Cybersecurity Support Centres for Hospitals and Healthcare Providers– strutture che fungano da punti di riferimento nazionale per il settore, coordinate con il Support Centre europeo di ENISA- e di elaborare piani d’azione nazionali specifici per la cybersecurity in Sanità.
Le raccomandazioni operative formulate dall’ACN per le strutture sanitarie italiane si articolano nelle dieci aree prioritarie mostrate di seguito in tabella:
| Authentication | Autenticazione multi- fattore per tutti gli accessi, in particolare per VPN e sistemi critici |
| Privilege Management | Principio del minimo privilegio su account utente e di servizio, con revisione periodica |
| Log Management | Policy strutturata di gestione dei log con strumenti SIEM/SOAR e conservazione adeguata |
| Net Management | Segmentazione di rete, approccio Zero Trust per infrastrutture decentralizzate |
| Patch Management | Inventario dinamico di dispositivi e software, procedura formalizzata per il patching |
| Backup Management | Policy di backup con copie segregate, frequenza proporzionale alla criticità dei dati |
| Hardening Configuration | Configurazioni hardenizzate di Active Directory secondo le raccomandazioni del produttore |
| Detect & Respond | Soluzioni EDR o XDR per rilevare e bloccare comportamenti anomali negli endpoint |
| Internet Exposure | Analisi continua della superficie esposta su Internet, limitazione ai soli servizi necessari |
| Response Plan | Piano di risposta agli incidenti formalizzato, con ruoli, responsabilità e fornitori di riferimento |
Livello operativo: le azioni da intraprendere nelle strutture sanitarie
Governance e organizzazione
La sfida più profonda per il comparto sanitario italiano non è tecnologica ma organizzativa. L’ACN identifica nella gestione decentralizzata dei sistemi IT la causa radice di molte vulnerabilità: quando ogni reparto acquista in autonomia hardware, software e servizi IT senza una governance centrale, è impossibile garantire coerenza nelle pratiche di sicurezza.
La risposta è una governance centralizzata della cybersecurity in Sanità, con separazione dei ruoli (Segregation of Duties) e un Chief Information Security Officer con mandato e risorse adeguate.
Protezione dei dispositivi medici connessi (IoMT)
L’Internet of Medical Things (IoMT) – monitoraggio di parametri vitali, pompe di infusione, ventilatori, dispositivi wearable per il monitoraggio remoto dei pazienti – rappresenta la frontiera più esposta e al tempo stesso più trascurata della cybersecurity in Sanità. Questi dispositivi, infatti, utilizzano spesso firmware non aggiornati e/o aggiornabili, credenziali di default e protocolli di comunicazione non cifrati.
Le azioni prioritarie includono:
- inventari dinamici e aggiornati di tutti i dispositivi connessi;
- segmentazione di rete clinicamente consapevole dei soli i dispositivi medici dai sistemi amministrativi e dai sistemi clinici generali;
- monitoraggio passivo del traffico di rete tramite soluzioni basate su AI.
Supply chain e terze parti
Il picco di incidenti registrato in Italia è stato causato a volte da un attacco supply chain a un fornitore IT che ha generato impatti a cascata su più strutture sanitarie clienti.
La dipendenza da fornitori esterni è molto elevata: la NIS2 impone ora alle entità essenziali di eseguire valutazioni del rischio sulla propria catena di fornitura ICT.
Il Piano di Azione europeo prevede che il NIS Cooperation Group conduca una risk assessment coordinata sulle supply chain di dispositivi medici.
Formazione e cultura della cybersecurity in Sanità
L’errore umano è uno dei vettori di attacco principali. Secondo i dati 2024 dell’Eurobarometer on Cyberskills, solo il 25% delle aziende nel settore salute, istruzione e assistenza sociale ha fornito formazione o attività di sensibilizzazione sulla cybersicurezza nell’arco dei 12 mesi precedenti.
Il Piano prevede lo sviluppo di moduli formativi online specifici per il personale sanitario, da realizzare in collaborazione con la Cybersecurity Skills Academy dell’UE, e il potenziamento dei curricula formativi con contenuti su protezione dei dati dei pazienti e sicurezza dei dispositivi medici.
Cybersecurity in Sanità, le sfide aperte: risorse, maturità e coordinamento
Nonostante la solidità dell’impianto strategico, il percorso verso una cybersecurity in Sanità resiliente presenta sfide significative che i soli strumenti normativi non possono risolvere.[2]
Il gap di finanziamento
Il settore sanitario si posiziona solo al settimo posto tra i dodici settori analizzati da ENISA per quota di spesa in sicurezza informatica rispetto al totale della spesa IT, con una mediana dell’8,3%. I budget per la cybersicurezza negli ospedali sono storicamente compressi dalla competizione con investimenti in personale medico, attrezzature diagnostiche e innovazione clinica.
Il Piano di Azione europeo chiede agli Stati membri di stabilire benchmark non vincolanti e obiettivi di finanziamento monitorati, integrati nei piani nazionali di cybersicurezza sanitaria.
La varietà del panorama sanitario europeo
La governance sanitaria nell’UE è estremamente eterogenea: in alcuni Paesi, l’organizzazione è centralizzata a livello nazionale, in altri è frammentata su base regionale o locale; le strutture possono essere pubbliche o private; le dimensioni variano da grandi policlinici universitari a piccoli studi di medicina generale.
Questa complessità rende difficile applicare soluzioni standard per la cybersecurity in Sanità: le misure efficaci per un grande ospedale metropolitano possono essere inadeguate o inaccessibili per una clinica rurale che serve una comunità ristretta ma essenziale.
La carenza di professionisti
Il gap di professionisti della cybersicurezza stimato nell’UE è di circa 299.000 unità. Nel settore sanitario, il 66% dei ruoli di cybersicurezza è coperto da personale proveniente da posizioni non specialistiche, a riprova di quanto la formazione e il reskilling siano urgenti.
La creazione di una European Health CISOs Network vuole offrire in tal senso un punto di riferimento per chi già opera nel ruolo, ma la sfida strutturale richiede investimenti pluriennali in formazione.
Il confine tra IT e OT
Negli ospedali coesistono due mondi con priorità di sicurezza molto diverse: l’Information Technology (IT), che privilegia la riservatezza e sicurezza dei dati, e l’Operational Technology (OT), ovvero i sistemi che controllano direttamente le apparecchiature mediche, dove la priorità assoluta è la continuità operativa e la disponibilità.
Una violazione nell’IT può propagarsi ai sistemi OT con conseguenze dirette sulla sicurezza del paziente. Gestire questo confine richiede competenze multidisciplinari e architetture di rete progettate per contenere la propagazione degli incidenti.
La roadmap europea: principali scadenze definite nel Piano della Commissione Europea e relativo stato di implementazione
| Azione Piano | Responsabile | Stato con Evidenza e documento di atterraggio |
| Scadenza: Q1 2025 | ||
| Lancio della consultazione pubblica del Piano verso gli stakeholder | Commissione Europea | Fatto Consultazione avviata il 7 aprile 2025 (con uno slittamento rispetto al Q1), aperta fino al 30 giugno 2025. I risultati sono stati pubblicati dalla Commissione nel Summary Report disponibile su commission.europa.eu (pagina tematica Cybersecurity in Healthcare, aggiornata marzo 2026). Il EESC ha adottato un parere il 18 giugno 2025 (GU C/2025/4215 del 20 agosto 2025); il Comitato delle Regioni il 3 luglio 2025 (GU C/2025/4415 del 29 agosto 2025). |
| Costituzione di Health Cybersecurity Advisory Board | Commissione Europea / ENISA | In corso La Commissione ha pubblicato la call for applications per la selezione dei membri verso fine aprile 2025. Il Board è configurato come gruppo di esperti della Commissione, presieduto da DG CONNECT, con mandati biennali.[3] |
| Regulatory mapping tool | ENISA / Commissione Europea | In ritardo Nessuna pubblicazione ufficiale identificata alla data odierna. Lo strumento è previsto dal Piano d’Azione (COM(2025) 10, sez. 3.1) per aiutare le strutture sanitarie a orientarsi nel quadro normativo (NIS2, CRA, MDR, GDPR, AI Act). L’ENISA aveva indicato come scadenza Q1 2025 nell’Annex del Piano. L’Agenzia ha pubblicato: Guida Tecnica di Implementazione del Regolamento di Esecuzione (UE) 2024/2690 della Commissione del 17 ottobre 2024, recante norme per l’applicazione della Direttiva NIS2 con riguardo ai requisiti tecnici e metodologici delle misure di gestione del rischio di cybersicurezza. |
| Scadenza: Q2 2025 | ||
| Avvio lavori European Cybersecurity Support Centre for Hospitals | ENISA | In corso ENISA ha formalmente accolto il Piano (comunicato del 15 gennaio 2025) e confermato l’avvio dei lavori per l’istituzione del Support Centre. Il Centro non è ancora pienamente operativo. [4] |
| Designazione National Cybersecurity Support Centres per la sanità | Stati membri | In ritardo Non risultano designazioni formali pubblicate dalla maggioranza degli Stati membri entro la scadenza. Il Piano d’Azione (sez. 4) chiede agli Stati di designare strutture esistenti (es. CSIRT nazionali o autorità competenti) come National Cybersecurity Support Centres. In Italia, il ruolo è funzionalmente svolto da ACN/CSIRT Italia, ma la designazione formale ai sensi del Piano non risulta formalizzata. Non trovata dichiarazione ufficiale di completamento da parte della Commissione. |
| Scadenza: Q3 2025 | ||
| Linee guida pratiche di cybersicurezza essenziali per la sanità | ENISA | Fatto ENISA ha pubblicato il 16 settembre 2025 il documento “Cyber Hygiene in the Health Sector” in occasione della 10ª eHealth Security Conference. La guida fornisce indicazioni pratiche per ospedali, cliniche specialistiche e medici di base su: protezione di sistemi e reti, sicurezza dei dispositivi, tutela dei dati dei pazienti, supply chain ICT e sensibilizzazione.[5] |
| Framework per valutazioni di maturità specifiche per la sanità | ENISA | In ritardo L’ENISA NIS360 Report (2025) classifica la sanità come “in risk zone” ma non costituisce il framework settoriale dedicato previsto dal Piano. La Annual Health Cyber Maturity Assessment UE è prevista nel periodo 2025-2026 e non risulta ancora pubblicata. |
| Linee guida procurement cybersicurezza per ospedali | ENISA | In ritardo Il documento dovrebbe aggiornare le ENISA Procurement Guidelines for Cybersecurity in Hospitals del febbraio 2020, incorporando sviluppi recenti su cloudificazione, supply chain medica, MSSP. |
| Playbook risposta incidenti per la sanità | ENISA / CSIRTs Network / Europol | In ritardo Nessun playbook formale specifico per la sanità trovato pubblicato da ENISA entro Q3 2025. Il Piano prevede playbook sviluppati in collaborazione con NIS Cooperation Group, CSIRTs Network ed Europol. Previste anche esercitazioni nazionali da Q4 2025 in poi. |
| Orientamenti per evitare pagamento riscatti (ENISA + Europol) | ENISA / Europol | In ritardo Il Piano prevede che ENISA e Europol sviluppino una guida accessibile per aiutare le strutture sanitarie ad evitare il pagamento di riscatti attraverso strumenti di decrittazione. Il progetto No More Ransom (nomoreransom.org) esiste già ma non rappresenta il nuovo documento previsto. |
| Scadenza: Q4 2025 | ||
| Piani nazionali per cybersicurezza sanitaria (Stati membri) | Stati membri | In corso Quadro disomogeneo. Alcuni Stati avanzati: la Francia ha il programma CaRE (Cybersécurité accélération et Résilience des Établissements), citato nel Piano come best practice; la Spagna ha approvato un disegno di legge a gennaio 2025 e istituito il Centro Nacional de Ciberseguridad. I Paesi Bassi applicano già standard come NEN 7510. Italia, L’ACN ha pubblicato analisi e raccomandazioni settoriali ma non un piano strutturato. |
| Risk assessment coordinata supply chain dispositivi medici (NIS Cooperation Group) | Stati membri / NIS CG | In ritardo L’azione è prevista dall’art. 22 della Direttiva NIS2 e richiede coordinamento nel NIS Cooperation Group. Il Piano la associa anche alla collaborazione con il Medical Device Coordination Group. |
| Catalogo KEV europeo per dispositivi medici ed EHR | ENISA | In ritardo Nessun catalogo KEV europeo specifico per dispositivi medici trovato pubblicato da ENISA. Il catalogo dovrebbe essere alimentato da CSIRTs, produttori di dispositivi, OSINT e ISACs. L’azione è collegata alla piattaforma di segnalazione del Cyber Resilience Act (attiva da dicembre 2027) ma una versione iniziale era prevista per Q4 2025. |
| Rapid Response Service per la sanità nella EU Cybersecurity Reserve | Commissione Europea/ ENISA | In corso La EU Cybersecurity Reserve è stata istituita dal Cyber Solidarity Act. La Commissione ha firmato un accordo con ENISA per la gestione della Reserve (Digital Europe Programme). Tuttavia, il servizio dedicato specificamente alla sanità (health-specific Rapid Response) non risulta ancora separatamente attivato e annunciato.[6] |
| Raccomandazioni per perfezionare il Piano d’Azione + prima Health Cyber Maturity Assessment UE | Commissione Europea/ ENISA | In ritardo La consultazione (aperta fino al 30 giugno 2025) si è conclusa. I risultati sono stati pubblicati nel Summary Report. Tuttavia, le Raccomandazioni della Commissione per raffinare il Piano, previste per Q4 2025, non risultano ancora pubblicate alla data di verifica (maggio 2026).[7] |
| Scadenza: Q1 2026 | ||
| European Health CISOs Network; moduli formativi online per professionisti sanitari | ENISA | Il Piano prevede la rete come punto di incontro per i CISO sanitari europei, per condivisione di best practice e strategie di talent retention. Da monitorare su enisa.europa.eu. |
| Scadenza: 2026 | ||
| Early warning service EU-wide; ransomware recovery subscription; espansione No More Ransom | ENISA / Europol | Scadenze ancora nel corso del 2026. La pagina commission.europa.eu conferma che l’early warning service sarà operativo ‘by 2026’. Il progetto No More Ransom (nomoreransom.org) è già attivo (partnership ENISA-Europol) ma l’espansione specifica al settore sanitario è in programma. |
Dalla conformità normativa alla resilienza del sistema sanitario
La sfida della cybersecurity in Sanità non è più soltanto quella di proteggere dati e infrastrutture digitali, ma di garantire la continuità delle cure e la sicurezza dei pazienti in un contesto di minacce sempre più frequenti e complesse.
Il Piano d’Azione europeo e la direttiva NIS2 hanno definito un quadro di riferimento articolato, ma il vero banco di prova sarà la capacità di tradurre gli indirizzi normativi in interventi concreti e sostenibili. I ritardi nell’attuazione di diverse misure europee, insieme alla carenza di risorse economiche e competenze specialistiche, evidenziano quanto sia ancora ampio il divario tra obiettivi e capacità operative. Per colmarlo, serviranno investimenti mirati, una governance più solida, una maggiore collaborazione tra istituzioni e strutture sanitarie e un’attenzione costante alla formazione del personale.
La cybersecurity deve diventare parte integrante della governance sanitaria, non un adempimento da affrontare in risposta a nuovi obblighi o dopo un incidente. Solo attraverso questo cambio di prospettiva sarà possibile costruire un sistema sanitario realmente resiliente, nel quale la trasformazione digitale possa procedere senza compromettere la qualità, l’accessibilità e la sicurezza dell’assistenza.
Riferimenti bibliografici
[1] Commissione Europea, COM(2025) 10 final – European action plan on the cybersecurity of hospitals and healthcare providers, 15 gennaio 2025
[2] ENISA, 2024 Report on the State of Cybersecurity in the Union; Flash Eurobarometer 547 on Cyberskills, maggio 2024.
[3] digital-strategy.ec.europa.eu – “Commission launches call for the selection of members of newly launched Health Cybersecurity Advisory Board” (aprile 2025).
[4] enisa.europa.eu – “Proposed ENISA role to safeguard cybersecurity of health sector” (gennaio 2025); enisa.europa.eu/topics/health (aggiornato 2025-2026). La 10ª eHealth Security Conference (Bucarest, 16 settembre 2025) ha confermato i lavori in corso.
[5] enisa.europa.eu/publications/cyber-hygiene-in-the-health-sector (settembre 2025).
[6] industrialcyber.co – “Last month, the European Commission signed a €36 million agreement with ENISA to establish and administer the EU Cybersecurity Reserve” (settembre 2025).
[7]commission.europa.eu/cybersecurity-healthcare (aggiornata marzo 2026)
Partecipa alla community