NIS 2 e sanità privata accreditata: chi rientra
La domanda che ricevo più spesso dalle strutture sanitarie private accreditate è sempre la stessa: la NIS 2 ci riguarda o no?
La risposta non sta nell'accreditamento istituzionale. Sta negli allegati del D.Lgs. 138/2024 e in un conteggio.
Primo punto. Il settore sanitario è tra i settori ad alta criticità dell'Allegato I del decreto, e dentro ci sono i prestatori di assistenza sanitaria senza distinzione fra pubblico e privato. Essere accreditati con il servizio sanitario regionale non è il criterio che fa entrare nel perimetro, e non essere accreditati non è una via d'uscita. Sono due piani diversi: uno è il titolo per erogare prestazioni in regime pubblico, l'altro è la classificazione di un soggetto ai fini della cybersicurezza.
Secondo punto, quello dove si sbaglia di più. La dimensione. Il decreto rimanda ai parametri europei per la definizione di media e grande impresa: dipendenti, fatturato, totale di bilancio. Una media impresa in Allegato I diventa soggetto importante, una grande impresa diventa soggetto essenziale, con obblighi e vigilanza diversi.
Il conto però non si fa guardando solo la singola società. Nella disciplina europea delle dimensioni d'impresa entrano anche le imprese collegate e associate. Una casa di cura con quaranta dipendenti sulla propria busta paga, dentro un gruppo che ne ha trecento, può superare la soglia. E nel conteggio del personale la composizione reale conta: specialisti in libera professione, somministrazione, servizi affidati all'esterno vanno trattati secondo le regole di calcolo, non a occhio.
Terzo punto. Restare fuori dal perimetro per dimensione non significa restare fuori dal problema. Se una struttura è fornitore di un'azienda sanitaria pubblica o di un altro soggetto in perimetro, le misure sulla sicurezza della catena di fornitura arrivano per via contrattuale. E il GDPR continua ad applicarsi a prescindere: i dati sui pazienti restano dati appartenenti a categorie particolari, con o senza NIS 2.
La registrazione sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale ha una finestra annuale che si apre all'inizio dell'anno. L'autovalutazione del perimetro va fatta prima, non durante.
Nella vostra struttura chi ha fatto questa verifica: la direzione sanitaria, l'amministrazione o il fornitore IT?