La cybersecurity non è più soltanto un tema IT.
Negli ultimi anni è diventata un elemento centrale anche nel settore dei dispositivi medici, dove software, applicazioni cloud e dispositivi connessi fanno ormai parte integrante del prodotto.

Dalle piattaforme di monitoraggio remoto ai software medicali, fino alle soluzioni di digital health e connected care, la protezione dei dati e la resilienza dei sistemi rappresentano oggi aspetti fondamentali per garantire sicurezza, continuità del servizio e fiducia degli utilizzatori.

In questo contesto si inserisce la Direttiva NIS2 (Network and Information Systems Directive), il nuovo quadro normativo europeo dedicato alla cybersecurity delle organizzazioni che operano in settori considerati critici.

Ma quale impatto può avere questa normativa per i fabbricanti di dispositivi medici?

Cos’è la NIS2?

La Direttiva (UE) 2022/2555, nota come NIS2, sostituisce la precedente Direttiva NIS del 2016 e introduce requisiti più stringenti in materia di gestione del rischio cyber, continuità operativa, gestione degli incidenti e sicurezza della supply chain.

L’obiettivo della normativa è rafforzare il livello di sicurezza delle reti e dei sistemi informativi utilizzati dalle organizzazioni europee e migliorare la capacità di risposta ad attacchi o eventi informatici significativi.

La NIS2 si applica ai fabbricanti di dispositivi medici?

La risposta non è sempre immediata e dipende dalla struttura e dall’attività dell’azienda.

Molti fabbricanti di dispositivi medici, soprattutto startup e PMI innovative, potrebbero non rientrare direttamente nel campo di applicazione della NIS2 a causa delle dimensioni aziendali o del limitato impatto dei servizi erogati.

La direttiva prevede infatti, nella maggior parte dei casi, criteri dimensionali minimi per l’identificazione dei soggetti obbligati.

Tuttavia, il settore medicale è sempre più caratterizzato da:

• dispositivi connessi;
• piattaforme cloud;
• applicazioni mobile;
• raccolta e gestione di dati sanitari sensibili;
• infrastrutture per monitoraggio remoto (near-patient);
• integrazione con infrastrutture ospedaliere;
• servizi digitali utilizzati da pazienti e professionisti sanitari.

Anche quando non esiste un obbligo diretto, i principi introdotti dalla NIS2 stanno rapidamente diventando un riferimento di mercato. Sempre più spesso, durante audit o assessment regolatori, iniziano infatti a emergere temi legati alla gestione degli accessi, alla continuità operativa, alla sicurezza dei fornitori software o alla gestione delle vulnerabilità.

Dalla cybersecurity del prodotto alla cybersecurity dell’organizzazione

Uno degli aspetti più interessanti della NIS2 è proprio questo cambio di prospettiva. Nel mondo dei dispositivi medici, la cybersecurity è già presente da tempo attraverso standard come la IEC 62304, la IEC 81001-5-1 o documenti come la MDCG 2019-16. Questi riferimenti chiedono ai fabbricanti di considerare la sicurezza informatica durante lo sviluppo e il mantenimento del dispositivo.

La NIS2 affronta invece il tema a un livello più ampio. Non guarda soltanto al software o al device, ma alla capacità complessiva dell’organizzazione di prevenire, gestire e contenere eventi cyber. Per molte aziende MedTech questo significa iniziare a ragionare sulla cybersecurity come processo aziendale trasversale, e non più come attività isolata del reparto IT o sviluppo software.

Dove iniziano a emergere le criticità

Nella pratica, le aree più sensibili sono spesso quelle che rimangono tra i processi aziendali. Un esempio tipico riguarda la gestione dei fornitori IT o cloud. Molte aziende utilizzano infrastrutture esterne per hosting, backup o raccolta dati clinici senza avere una reale valutazione del rischio associato al servizio.

In altri casi il problema riguarda la continuità operativa. Un fabbricante che sviluppa software medicale cloud-based potrebbe avere un prodotto conforme dal punto di vista regolatorio, ma trovarsi in difficoltà nel momento in cui:

• non esistono procedure strutturate di disaster recovery;
• i backup non vengono verificati;
• la gestione delle vulnerabilità avviene in modo reattivo;
• gli accessi privilegiati non sono controllati.

Sono aspetti che fino a pochi anni fa venivano considerati esclusivamente IT e che oggi iniziano invece a toccare direttamente qualità, compliance e gestione del rischio.

Le principali scadenze NIS2 nel 2026

Per le organizzazioni identificate come soggetti essenziali o importanti ai sensi del D.Lgs. 138/2024, il 2026 rappresenta il primo anno di piena operatività del framework NIS2 in Italia.

Tra le principali scadenze operative troviamo:

Entro il 31 maggio 2026

Aggiornamento delle informazioni sulla supply chain: I soggetti NIS devono aggiornare le informazioni relative ai fornitori critici e agli elementi della catena di approvvigionamento considerati rilevanti ai fini della cybersecurity.

Entro il 30 giugno 2026

Aggiornamento delle attività e dei servizi rilevanti: Le organizzazioni devono confermare o aggiornare le informazioni relative ai servizi e alle attività considerate rilevanti ai fini della classificazione NIS.

Entro il 31 ottobre 2026

Implementazione delle misure di sicurezza di base: I soggetti inclusi nel perimetro NIS2 dovranno aver implementato le misure tecniche, organizzative e procedurali richieste per la gestione del rischio cyber e la resilienza operativa.

Si tratta della scadenza più significativa perché rappresenta il passaggio dalla fase di identificazione e registrazione alla concreta dimostrazione della conformità.

È il momento di effettuare una gap analysis?

Anche nei casi in cui la NIS2 non risulti formalmente applicabile, una valutazione preliminare può essere estremamente utile. Molte organizzazioni scoprono infatti di avere già implementato parte dei controlli richiesti, spesso grazie ai processi introdotti con MDR, ISO 13485 o con le pratiche di sviluppo software.

Quello che manca, nella maggior parte dei casi, è una visione integrata. La cybersecurity viene ancora gestita come insieme di attività separate: backup, antivirus, gestione accessi, fornitori cloud, vulnerability management, ecc.. La NIS2 spinge invece verso una governance strutturata e documentata del rischio cyber.

Una gap analysis consente proprio di capire:

1. quanto l’organizzazione sia già matura;
2. quali aspetti risultino scoperti;
3. quali processi necessitino di integrazione o formalizzazione.

Una gap analysis rappresenta quindi un ottimo punto di partenza per comprendere il livello di maturità dell’organizzazione e definire un piano di miglioramento concreto e proporzionato.

Conclusioni

La NIS2 non nasce specificamente per il settore dei dispositivi medici, ma il suo impatto sul mondo MedTech sarà probabilmente molto più ampio di quanto oggi molte aziende percepiscano.

Temi come gestione dei fornitori critici, continuità operativa, controllo degli accessi, gestione delle vulnerabilità e governance del rischio stanno progressivamente diventando parte integrante anche delle aspettative regolatorie e qualitative del settore medicale.

Inoltre, considerando che il 2026 rappresenta il primo anno di piena operatività del framework NIS2, il processo di adeguamento è già concretamente iniziato. Molte organizzazioni stanno avviando attività di assessment interno, revisione dei processi IT e analisi della propria supply chain digitale proprio per arrivare preparate alle prossime scadenze operative.

Per molte aziende, il vero tema non sarà capire se la NIS2 si applica formalmente, ma comprendere quanto i propri processi siano realmente maturi rispetto a requisiti che il mercato e le autorità stanno iniziando a considerare sempre più centrali.

In particolare per le realtà che sviluppano software medicale, dispositivi connessi o piattaforme digitali per la salute, iniziare oggi una valutazione strutturata della propria resilienza cyber significa anticipare criticità che nei prossimi anni diventeranno sempre più rilevanti anche in ambito regolatorio e ispettivo.

In MD & IVD Consultant supportiamo aziende e realtà MedTech nell’analisi dei requisiti regolatori e qualitativi legati a software medicale, dispositivi connessi, supply chain e sistemi di gestione qualità.

Attraverso gap analysis, audit e assessment documentali aiutiamo le organizzazioni a comprendere il proprio livello di maturità rispetto ai requisiti MDR, IVDR, ISO 13485, 27001 e ai nuovi scenari legati alla cybersecurity e alla gestione delle sistemi informativi.

Comprendere oggi i potenziali gap significa prevenire domani criticità regolatorie, operative e ispettive.
Contattaci se ha bisogno di maggiori informazioni!