NIS 2 in sanità: la responsabilità è della direzione
In molte strutture sanitarie la NIS 2 è ancora un tema per l'ufficio informatico. Il D.Lgs. 138/2024 la porta invece sul tavolo della direzione, con nome e cognome.
Il riferimento è l'articolo 23 del D.Lgs. 138/2024, dedicato agli organi di amministrazione e direttivi dei soggetti essenziali e importanti. Recepisce l'articolo 20 della Direttiva (UE) 2022/2555.
Che cosa chiede. Gli organi di vertice approvano le modalità con cui l'organizzazione applica le misure di gestione dei rischi per la sicurezza informatica previste dall'articolo 24. Ne sovrintendono l'attuazione. Rispondono delle violazioni. Devono anche seguire una formazione in materia di sicurezza informatica e promuoverla per il personale.
A chi si applica, in sanità. A chi ha la rappresentanza e la direzione del soggetto che rientra nel perimetro: il legale rappresentante di una casa di cura, il vertice di un laboratorio, la direzione di un'azienda sanitaria. La nomina di un referente tecnico resta utile, ma non trasferisce la responsabilità.
Che cosa cambia nella pratica. L'atto con cui la direzione approva le misure diventa una prova da conservare e da esibire. La formazione del vertice deve esistere ed essere documentata, non solo quella degli operatori.
In sanità il punto pesa più che altrove. Il fermo del sistema informativo di laboratorio o dell'archivio delle immagini diagnostiche è un incidente informatico e insieme un'interruzione dell'assistenza. Decidere quanto investire in continuità operativa, quali fornitori accettare, quale tempo di ripristino tollerare: sono scelte di governo della struttura, non scelte tecniche.
Per questo l'articolo 23 è, secondo me, il più sottovalutato del decreto. Le misure tecniche si trovano; chi se ne assume la paternità, meno.
Nella vostra struttura, chi ha approvato le misure di sicurezza informatica, e c'è un atto che lo dimostra?