NIS2 in sanità: chi rientra nell'ambito, dalla clinica alla tecnologia medica
Rientrano nell'ambito i prestatori di assistenza sanitaria come ospedali e studi medici, le aziende farmaceutiche e i fabbricanti di dispositivi medici, una volta che hanno almeno 50 dipendenti oppure un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno (§ 28 BSIG). La sanità è elencata nell'allegato 1 del BSIG, la tecnologia medica nell'allegato 2. Le aziende che rientrano nell'ambito si registrano presso il BSI, adottano misure di sicurezza e notificano gli incidenti significativi.
Chi rientra nell'ambito in sanità
Questi tipi di soggetti sono indicati nel BSIG. Un'azienda rientra nell'ambito se è anche abbastanza grande.
§ 28 BSIG · Allegati 1 e 2
| Chi | Dove nel BSIG |
|---|---|
| Ospedali, studi medici, farmacie e altri prestatori di assistenza sanitaria | Allegato 1 n. 4.1.1 |
| Laboratori di riferimento dell'UE | Allegato 1 n. 4.1.2 |
| Aziende che svolgono attività di ricerca e sviluppo sui medicinali | Allegato 1 n. 4.1.3 |
| Fabbricanti di prodotti farmaceutici | Allegato 1 n. 4.1.4 |
| Fabbricanti di dispositivi medici considerati critici durante un'emergenza di sanità pubblica | Allegato 1 n. 4.1.5 |
| Tutti gli altri fabbricanti di dispositivi medici e di dispositivi medico-diagnostici in vitro | Allegato 2 n. 5.1.1 |
Un'azienda così è un soggetto importante da 50 dipendenti, oppure con un fatturato annuo e un totale di bilancio superiori a 10 milioni di euro ciascuno.
Solo le aziende elencate nell'allegato 1 possono essere soggetti essenziali: da 250 dipendenti, oppure con più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio, oppure come gestori di un impianto critico.
Tecnologia medica: allegato 1 o allegato 2
I fabbricanti di dispositivi medici secondo l'MDR e di dispositivi medico-diagnostici in vitro secondo l'IVDR sono elencati nell'allegato 2. Sono soggetti importanti da 50 dipendenti, anche se sono molto grandi.
Se un prodotto è nell'elenco dei dispositivi medici critici per le emergenze di sanità pubblica previsto dall'art. 22 del regolamento (UE) 2022/123, il fabbricante rientra nell'allegato 1. Da 250 dipendenti è allora un soggetto essenziale.
La NIS2 riguarda l'IT del fabbricante: sviluppo, produzione, vendite, amministrazione. La sicurezza dei prodotti stessi è regolata dall'MDR e dall'IVDR.
Allegato 1 n. 4.1.5 · Allegato 2 n. 5.1.1 BSIG
Cosa c'è di particolare in sanità
Molti dispositivi medici in rete non possono essere aggiornati dal gestore. Annota nell'elenco dei tuoi asset quali dispositivi sono interessati e come li proteggi, per esempio in un segmento di rete separato.
I dati sanitari sono una categoria particolare di dati personali (Art. 9 GDPR). Un incidente può quindi richiedere una notifica al BSI e un'altra all'autorità per la protezione dei dati.
Per gli ospedali autorizzati, il BSI può ordinare prove non prima del 6 dicembre 2030, due anni dopo rispetto agli altri soggetti essenziali.
Alcuni obblighi del BSIG non si applicano alla gematik e ai gestori di servizi dell'infrastruttura telematica, per quanto riguarda i servizi lì indicati.
§ 28(6) n. 2 · § 61(3) BSIG · Art. 9 e 33 GDPR
Cosa significa per un'azienda con 50-150 dipendenti
Una clinica specialistica, un grande centro medico polispecialistico o un fabbricante di tecnologia medica di queste dimensioni è di solito un soggetto importante.
Uno studio medico con meno di 50 dipendenti non rientra nell'ambito, a meno che fatturato e totale di bilancio superino entrambi i 10 milioni di euro. Contano anche le imprese collegate.
Quanto debba essere approfondita ogni misura dipende da rischio, dimensioni e costi.
§ 28(2) e (4) · § 30(1), secondo periodo, BSIG
Un esempio
Un'azienda inventata: un fabbricante di dispositivi per la diagnostica di laboratorio (diagnostica in vitro) con 120 dipendenti.
I dispositivi medico-diagnostici in vitro sono elencati nell'allegato 2 del BSIG. Con 120 dipendenti l'azienda è un soggetto importante.
Si registra presso il BSI, con il certificato di organizzazione ELSTER che usa già per le tasse.
Annota con cosa lavora: sviluppo, produzione, gestione della qualità con la documentazione prevista dall'IVDR, ERP, posta elettronica e i fornitori di componenti e IT.
Da qui derivano le misure, per esempio backup verificati per la documentazione e un secondo fattore per l'accesso remoto.
L'amministratore segue una formazione e approva i documenti.
Come lo fa il percorso guidato
Nel percorso guidato su nisd2.eu il lavoro parte dall'elenco di ciò con cui lavora la tua azienda.
Un passo chiede di processi, software, dispositivi, locali e reti, e di chi li fornisce. Da qui nasce l'elenco dei tuoi asset.
Un passo registra la tua registrazione presso il BSI.
Dalle tue risposte nasce il tuo piano di risposta agli incidenti. Dice anche quando notifichi in aggiunta all'autorità per la protezione dei dati.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account.
Domande frequenti
La tecnologia medica rientra nella NIS2?
Sì. I fabbricanti di dispositivi medici e di dispositivi medico-diagnostici in vitro sono elencati nell'allegato 2 del BSIG, i fabbricanti di dispositivi medici critici nell'allegato 1. Rientrano nell'ambito da 50 dipendenti o con più di 10 milioni di euro sia di fatturato sia di totale di bilancio.
La NIS2 si applica agli studi medici?
Agli studi abbastanza grandi: da 50 dipendenti o con più di 10 milioni di euro sia di fatturato sia di totale di bilancio. Gli studi più piccoli non rientrano nell'ambito.
La NIS2 si applica alle case di cura?
L'allegato 1 rinvia alla direttiva 2011/24/UE. Quella direttiva non si applica ai servizi di assistenza di lunga durata (Art. 1(3)(a)). Se una casa di cura o un servizio di assistenza rientri nell'ambito va quindi verificato caso per caso.
Da quando il BSI può ispezionare un ospedale?
Il BSI può ordinare prove agli ospedali autorizzati non prima del 6 dicembre 2030 (§ 61(3) BSIG). Gli altri obblighi si applicano dal 6 dicembre 2025.
Fonti
- Legge sul BSI (BSIG) §§ 28, 30, 61, allegati 1 e 2, gesetze-im-internet.de/bsig_2025
- Direttiva 2011/24/UE, Art. 1(3) e Art. 3, EUR-Lex
- Regolamento (UE) 2022/123, Art. 22; regolamenti (UE) 2017/745 (MDR) e 2017/746 (IVDR), EUR-Lex
- Regolamento (UE) 2016/679 (GDPR), Art. 9 e 33
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
