Foglio illustrativo: informazioni per l'utilizzatore
NIS2
D.Lgs. 4 settembre 2024, n. 138 · Direttiva (UE) 2022/2555
Che cos'è e a cosa serve
Una legge che chiede alle organizzazioni dei settori critici di proteggere reti e sistemi e di avvisare le autorità quando subiscono un incidente. La sanità è tra i settori ad alta criticità.
Allegato I · Settore sanitario
Indicazioni
- Strutture sanitarie di media o grande dimensione: da 50 dipendenti in su, oppure oltre 10 milioni di euro di fatturato e di bilancio.
- Strutture più piccole, se l'Agenzia per la Cybersicurezza Nazionale (ACN) le individua per il ruolo che hanno.
Posologia
- Registrazione sulla piattaforma ACN: ogni anno dal 1° gennaio al 28 febbraio. Art. 7, c. 1
- Aggiornamento dei dati: dal 15 aprile al 31 maggio. Art. 7, c. 4
- Incidente significativo: preallarme al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Art. 25
- Misure di sicurezza adeguate al rischio, nei termini indicati dall'ACN. Art. 24
Controindicazioni
- Non sostituisce il GDPR: i due si assumono insieme, i dati sanitari restano soggetti a entrambi.
- Non si delega per intero al fornitore informatico: gli organi di amministrazione approvano le misure e ne rispondono. Art. 23
Effetti indesiderati del non adeguarsi
- Soggetti essenziali: sanzione fino a 10 milioni di euro o al 2 % del fatturato annuo mondiale, se superiore. Art. 38, c. 9, lett. a)
- Soggetti importanti: fino a 7 milioni di euro o all'1,4 % del fatturato annuo mondiale. Art. 38, c. 9, lett. b)
- Effetti meno noti ma frequenti: reparti fermi, esami da ripetere, fiducia dei pazienti da ricostruire.
Avvertenze. In caso di dubbio sull'inquadramento, in particolare per RSA e gruppi, consultate un avvocato: lo prevede anche il nostro percorso. Tenere lontano dalla portata delle email sospette.