La Direttiva NIS2 e le strutture sanitarie private: brevi note sui profili applicativi
Sommario: 1. Premessa: la cybersicurezza nazionale e il settore sanitario. – 2. Le norme sulla cybersicurezza e le strutture sanitarie private. – 2.1. L’ambito di applicazione. – 2.2. L’obbligo di registrazione e il punto di contatto. – 2.3. Gli organi di amministrazione e direttivi. – 2.4. Gli obblighi di cybersicurezza e le sanzioni. – 3. Rilievi conclusivi.
Abstract: Le recenti evoluzioni normative hanno determinato una forte accelerazione verso il riconoscimento dell’importanza della tutela dei sistemi informatici da eventuali attacchi cibernetici. Fin dal d.lgs. 18 maggio 2018, n. 65, che ha attuato la Dir. UE 2016/1148, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (c.d. Direttiva NIS1), passando per i d.l. 21 settembre 2019, n. 105 e 14 giugno 2021, n. 82, che hanno istituito, rispettivamente, il Perimetro di sicurezza nazionale cibernetica e l’Agenzia per la cybersicurezza nazionale, il tema della cybersecurity ha acquisito enorme peso all’interno delle regole di governance di importanti realtà aziendali. Da ultimo, il d.lgs. 4 settembre 2024, n. 138, di recepimento della Dir. UE 2022/2555 (c.d. Direttiva NIS2), ha individuato un nuovo paradigma della materia “cybersicurezza”, che ha, ad oggi, autonoma rilevanza rispetto ad altri settori di intervento aziendale. Il presente contributo mira, in particolare, a evidenziare alcuni profili applicativi della normativa richiamata, soprattutto avendo riguardo ad uno specifico settore, quello delle strutture sanitarie private, le quali intervengono in un ambito che la stessa Direttiva NIS2 qualifica come “ad alta criticità”.
The on-going legislative development has significantly accelerated the importance of protecting IT systems against cyber threats. Since the entry into force of the Legislative Decree 18th May 2018, no. 65, which implemented Directive (EU) 2016/1148 concerning measures for a high common level of security of network and information systems across the Union (the so-called NIS 1 Directive), and continuing with Decree-Law 21th September 2019, no. 105 and Decree-Law 14th June 2021, no. 82, which established the National Cybersecurity Perimeter and the National Cybersecurity Agency, cybersecurity has assumed an increasingly central role within the corporate governance frameworks. Most recently, Legislative Decree 4th September 2024, no. 138, implementing Directive (EU) 2022/2555 (the so-called NIS2 Directive), has introduced a new regulatory pattern for cybersecurity, which has now acquired autonomous relevance. This article aims to examine several practical issues regarding the aforementioned regulatory framework, especially for those concerning the private healthcare sector, which operates in an area expressly classified as one of “high criticality”.