La Direttiva NIS2 (Network and Information Security 2) è ormai una realtà che impatta un numero crescente di organizzazioni, in particolare gli enti sanitari. Molti professionisti IT tendono a focalizzarsi sugli aspetti puramente tecnologici – firewall, antivirus, SIEM – ma l’esperienza sul campo dimostra che il vero scoglio è la definizione del perimetro di applicazione. Non si tratta solo di mettere in sicurezza i server o le workstation, ma di estendere la visione a ogni componente che contribuisce alla continuità operativa dei servizi essenziali, inclusi sistemi insospettabili come ascensori smart o impianti di condizionamento. La sfida è complessa e richiede un cambio di mentalità, coinvolgendo dipartimenti che tradizionalmente non sono associati alla sicurezza informatica, come il Facility Management o l’Ingegneria Clinica. L’obiettivo è garantire la resilienza operativa dell’intera struttura, non solo della sua infrastruttura digitale.
Testato su: Ente Sanitario Pubblico · Direttiva NIS2 · Luglio 2026
Prerequisiti / Ambiente di test
L’adeguamento NIS2 è un processo complesso che richiede una comprensione approfondita della direttiva e delle specifiche operative dell’organizzazione. Per la definizione del perimetro, è fondamentale avere accesso alla documentazione interna, inclusi organigrammi, planimetrie degli edifici, inventari degli asset (non solo IT), contratti con fornitori e un quadro chiaro dei servizi erogati. È essenziale anche una copia aggiornata della Direttiva NIS2 e delle eventuali leggi nazionali di recepimento. Il processo è stato applicato e testato in un ambiente enterprise con oltre 2.000 workstation e 300+ VM VMware, servendo un’ampia utenza e un elevato numero di servizi critici.
1. Comprendere la Direttiva NIS2 e il Contesto Sanitario
Il primo passo è una lettura approfondita della Direttiva NIS2, in particolare l’Articolo 21 che delinea le misure di gestione del rischio di cybersecurity. Per un ente sanitario, la posta in gioco è altissima: la continuità assistenziale, la protezione dei dati sensibili dei pazienti e la fiducia pubblica. Non si tratta solo di evitare sanzioni, ma di tutelare la vita delle persone. La direttiva introduce un approccio olistico alla sicurezza, che va oltre la semplice protezione dei sistemi IT e si estende alla resilienza operativa complessiva. Questo significa considerare ogni elemento che, se compromesso, potrebbe interrompere un servizio essenziale.
1.1. La Determina di Avvio: Il Documento Fondamentale
Ogni processo di adeguamento parte da un atto formale interno. Nel nostro caso, una “Determina di Avvio”, che stabilisce l’esistenza del progetto, le sue finalità, le risorse dedicate e le responsabilità. Questo documento è cruciale perché conferisce autorità al gruppo di lavoro e chiarisce l’ambito di applicazione. Senza un mandato chiaro, il lavoro di identificazione del perimetro può incontrare resistenze o mancare di legittimità. La Determina deve citare esplicitamente la Direttiva NIS2 e le sue implicazioni per l’organizzazione.
Ecco un esempio semplificato di come potrebbe essere strutturata una Determina di Avvio:
# Determina di Avvio Progetto Adeguamento NIS2
Titolo: Avvio Progetto Adeguamento alla Direttiva NIS2 (UE 2022/2555)
Data: 2026-07-31
Considerato che:
- La Direttiva (UE) 2022/2555 (NIS2) impone nuove e più stringenti misure di cybersecurity.
- L'ente [Nome Ente] rientra nell'ambito di applicazione della Direttiva NIS2 come 'soggetto essenziale'/'soggetto importante' (specificare).
- È necessario avviare un progetto organico per garantire la piena conformità entro i termini previsti.
Si determina:
1. L'avvio del progetto 'Adeguamento NIS2'.
2. La costituzione di un Gruppo di Lavoro interfunzionale (specificare componenti).
3. La definizione del perimetro di applicazione, esteso a tutti gli asset e servizi critici.
4. L'allocazione delle risorse necessarie (budget, personale, strumenti).
5. La nomina del Responsabile del Progetto (specificare).
6. L'implementazione delle misure di gestione del rischio di cybersecurity (Art. 21 NIS2).
Firma: [Direttore Generale/Legale Rappresentante]2. Identificazione del Perimetro Reale: Oltre l’IT Tradizionale
Il cuore dell’adeguamento NIS2 è la corretta identificazione del perimetro. Un ente sanitario dipende da una miriade di sistemi che vanno ben oltre i server e i PC. Pensiamo agli strumenti di diagnosi per immagini (risonanze, TAC), ai sistemi di monitoraggio dei pazienti, ai dispenser automatici di farmaci, agli impianti di climatizzazione per le sale operatorie o per i data center, e persino agli ascensori intelligenti che gestiscono flussi di persone e materiali. Ogni punto di contatto digitale, ogni sistema connesso, ogni fornitore di servizio (dalla pulizia al catering, se gestiscono accessi o dati) deve essere valutato. Leggi anche: Kubernetes Resource: Limits, Requests e HPA in Produzione
2.1. Asset Critici e Interdipendenze
L’analisi deve partire dai servizi essenziali erogati dall’ente (es. Pronto Soccorso, Chirurgia, Laboratorio Analisi) e risalire a tutti gli asset (IT e non) necessari al loro funzionamento. È fondamentale mappare le interdipendenze: cosa succede se un sistema A va giù? Quali altri sistemi B, C, D ne risentono? Questo approccio rivela spesso dipendenze inaspettate, come un sistema PACS (Picture Archiving and Communication System) che dipende da un sistema di storage esterno gestito da un fornitore terzo, o un sistema di gestione degli accessi che si basa su una rete di sensori fisici. Leggi anche: HAProxy: Bilanciamento del Carico e Alta Disponibilità per Applicazioni Web (2026)
Un’attività che ho trovato estremamente utile è stata condurre workshop interfunzionali con i responsabili di dipartimento. Spesso, il Facilities Manager o il primario di un reparto conoscono meglio di chiunque altro le dipendenze operative critiche.
3. Coinvolgimento Interfunzionale e Gestione del Rischio
L’adeguamento NIS2 non è un progetto IT, ma un progetto aziendale. Richiede il coinvolgimento attivo di tutte le funzioni, dal Facility Management per gli impianti, all’Ingegneria Clinica per le apparecchiature medicali, fino all’Ufficio Legale per la contrattualistica con i fornitori e la gestione degli incidenti. Ogni dipartimento deve contribuire all’identificazione dei rischi specifici e alla definizione delle contromisure.
3.1. Valutazione dei Rischi dei Fornitori (Supply Chain Security)
La Direttiva NIS2 pone un forte accento sulla sicurezza della supply chain. Non basta che l’ente sia sicuro, è necessario che lo siano anche i suoi fornitori critici. Questo include fornitori di software, hardware, servizi cloud, ma anche fornitori di servizi meno ovvi come manutenzione di impianti o servizi di pulizia che possono avere accesso fisico a infrastrutture critiche. È essenziale rivedere i contratti e integrare clausole di sicurezza specifiche, richiedere audit o certificazioni. Leggi anche: CISA KEV Luglio 2026: Vulnerabilità Enti Italiani
Un esempio pratico è la gestione degli accessi remoti da parte dei fornitori per la manutenzione di diagnostici medicali. Questi accessi devono essere monitorati, limitati nel tempo e con privilegi minimi. Un comodo script per controllare le sessioni attive su un bastion host potrebbe essere:
#!/bin/bash
# Script per monitorare sessioni SSH attive e utenti connessi
echo "Monitoraggio Sessioni SSH Attive:"
who -a | grep -E 'pts|tty'
echo "\nUtenti Connessi e loro TTY/PTS:"
w | grep -v 'USER'
echo "\nFile di Log SSH Recenti (ultime 10 righe):"
journalctl -u sshd.service -n 10 --no-pagerQuesto script fornisce una rapida panoramica delle connessioni attive, utile per identificare accessi non autorizzati o sessioni dimenticate, un rischio comune nella gestione di fornitori esterni.
Errori comuni e troubleshooting
L’errore più comune è sottovalutare l’ampiezza del perimetro, concentrandosi solo sull’IT tradizionale. Un altro errore è non coinvolgere adeguatamente i dipartimenti non-IT, creando resistenza e lacune nella mappatura degli asset. Per rimediare, è fondamentale un’attività di sensibilizzazione e formazione interna, spiegando con esempi concreti come un attacco cyber possa impattare anche sistemi fisici apparentemente scollegati. Utilizzare un approccio basato sulle interruzioni di servizio (es. “se la TAC non funziona, quanti pazienti non possiamo curare?”) aiuta a far comprendere la posta in gioco. Un altro problema è la mancanza di un inventario aggiornato di tutti gli asset, che rende impossibile un’analisi di rischio efficace. La soluzione è dedicare risorse specifiche alla creazione e al mantenimento di un CMDB (Configuration Management Database) esteso.
FAQ — Domande Frequenti
Gli impianti di condizionamento rientrano nel perimetro NIS2?
Sì, se la loro compromissione può impattare la continuità operativa di servizi essenziali. Ad esempio, un impianto che raffredda un data center critico o una sala operatoria è un asset fondamentale la cui sicurezza deve essere garantita.
Come si gestiscono i fornitori esterni nell’ambito NIS2?
È necessario estendere le misure di gestione del rischio anche ai fornitori. Questo include la valutazione della loro postura di sicurezza, l’inserimento di clausole contrattuali specifiche, la richiesta di certificazioni (es. ISO 27001) e il monitoraggio degli accessi e delle attività che svolgono sui sistemi dell’ente.
Qual è il ruolo del Facility Management nell’adeguamento NIS2?
Il Facility Management è cruciale per identificare e proteggere gli asset fisici connessi che supportano i servizi essenziali. Devono collaborare con l’IT per mappare sistemi come controllo accessi, videosorveglianza, impianti antincendio, ascensori smart e sistemi di gestione energetica, verificando le loro vulnerabilità e implementando contromisure.
Devo riavviare un servizio dopo ogni modifica di sicurezza?
Non necessariamente. Dipende dalla natura della modifica. Per le configurazioni di firewall o le liste di controllo accessi, spesso è sufficiente ricaricare la configurazione senza riavviare il servizio. Per aggiornamenti di kernel o patch di sicurezza critiche, un riavvio potrebbe essere indispensabile per applicare le modifiche completamente.
La NIS2 riguarda solo gli attacchi informatici esterni?
No, la NIS2 copre un’ampia gamma di rischi, inclusi quelli derivanti da minacce interne, errori umani, disastri naturali, o guasti hardware e software. L’obiettivo è garantire la resilienza complessiva dei sistemi e dei servizi essenziali.
Conclusioni con takeaway operativi
L’adeguamento alla Direttiva NIS2 per un ente sanitario è un processo trasformativo che richiede una visione strategica e un impegno interfunzionale. Il takeaway principale è che il perimetro di sicurezza va ben oltre l’IT tradizionale, includendo tutti gli asset fisici e digitali che supportano i servizi essenziali. È fondamentale avviare il processo con una Determina chiara, coinvolgere attivamente tutti i dipartimenti e dedicare particolare attenzione alla sicurezza della supply chain. Un approccio proattivo nella mappatura delle interdipendenze e nella sensibilizzazione interna può fare la differenza tra una conformità solo formale e una resilienza operativa reale. Ignorare questi aspetti significa esporre l’intera organizzazione a rischi significativi, con conseguenze potenzialmente gravi sulla salute e la sicurezza pubblica.
Fonti
Aggiornato: luglio 2026
