Le RSA e le strutture sanitarie private inserite dall’ACN nell’elenco dei soggetti NIS devono adottare le misure di sicurezza di base entro ottobre 2026, cioè entro 18 mesi dalla comunicazione di inserimento ricevuta a partire da aprile 2025. Dal gennaio 2026 sono già tenute a notificare al CSIRT Italia gli incidenti informatici significativi. In questo approfondimento vediamo quando una RSA rientra nella NIS2, cosa chiedono in concreto le misure di base e quali passi completare nelle prossime settimane.
NIS2 in Italia: perché ottobre 2026 è una data chiave
La direttiva europea NIS2 (UE 2022/2555) è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L’Autorità nazionale competente è l’Agenzia per la cybersicurezza nazionale (ACN), che ha tradotto gli obblighi del decreto in specifiche tecniche con la determinazione ACN 379907/2025.
Il percorso è graduale e scandito da scadenze precise, calcolate a partire dalla comunicazione con cui l’ACN informa ciascun soggetto del suo inserimento nell’elenco nazionale NIS. Per chi è stato inserito nel 2025, il calendario è questo:
| Adempimento | Termine |
|---|---|
| Registrazione o aggiornamento sulla piattaforma ACN | dal 1° gennaio al 28 febbraio di ogni anno |
| Notifica degli incidenti significativi al CSIRT Italia | entro 9 mesi dall’inserimento (gennaio 2026) |
| Aggiornamento annuale delle informazioni | dal 15 aprile al 31 maggio di ogni anno |
| Adozione delle misure di sicurezza di base | entro 18 mesi dall’inserimento (ottobre 2026) |
Il termine di ottobre 2026 va quindi verificato sulla data della propria comunicazione di inserimento. Chi è entrato nell’elenco nel 2026 segue un calendario spostato in avanti: notifica degli incidenti dal 1° gennaio 2027 e misure di base entro il 31 luglio 2027.
Le RSA rientrano nella NIS2?
Il decreto NIS considera il settore sanitario tra quelli «altamente critici». Secondo lo schema pubblicato dall’ACN, in questo settore le grandi imprese sono di norma soggetti essenziali e le medie imprese soggetti importanti, mentre piccole e micro imprese restano fuori dall’ambito, salvo identificazione specifica da parte dell’Autorità. In base alla Raccomandazione 2003/361/CE, in sintesi, non è piccola impresa, e quindi rientra almeno tra le medie, chi ha 50 o più dipendenti oppure fatturato e totale di bilancio annui entrambi superiori a 10 milioni di euro.
La tipologia che interessa le strutture residenziali è quella dei prestatori di assistenza sanitaria, definiti dalla direttiva 2011/24/UE come qualsiasi soggetto che presti legalmente assistenza sanitaria, cioè servizi resi da professionisti sanitari ai pazienti per valutarne, mantenerne o ristabilirne lo stato di salute. La stessa direttiva esclude però i servizi di assistenza di lunga durata che hanno come scopo il sostegno nelle attività quotidiane.
In pratica: per una RSA che eroga prestazioni sanitarie (assistenza medica e infermieristica, riabilitazione) e supera le soglie dimensionali, l’inserimento nell’elenco NIS è un’ipotesi concreta; per strutture a prevalente carattere socio-assistenziale la valutazione è meno immediata. Il riferimento certo è la comunicazione dell’ACN: chi l’ha ricevuta deve rispettare le scadenze, chi ha dubbi può consultare le FAQ dell’Agenzia o chiedere assistenza tramite il portale NIS.
Il quadro è in movimento. A settembre 2026 l’ACN ha comunicato l’aggiornamento dell’elenco dei soggetti NIS, con oltre 2.000 registrazioni tardive e circa 2.000 istruttorie di revisione esaminate tra maggio e luglio. La prossima finestra di registrazione si apre il 1° gennaio 2027 e si chiude il 28 febbraio 2027.
Misure di sicurezza di base: cosa chiedono in concreto
Le misure di base sono organizzate secondo il Framework nazionale per la Cybersecurity e la Data Protection. Per i soggetti importanti (allegato 1 della determinazione) sono 37 misure articolate in 87 requisiti; per i soggetti essenziali (allegato 2) 43 misure e 116 requisiti. Sono tutte dovute: l’analisi del rischio ne modula la profondità, non consente di escluderle.
L’articolo 24 del decreto elenca gli ambiti minimi. Tradotti nella realtà di una RSA, significano:
- Analisi e gestione dei rischi: censire i sistemi su cui si regge l’assistenza (cartella clinica, gestione farmaci, rette, turni, posta elettronica) e valutare cosa succede se si fermano.
- Inventario degli asset: sapere quali PC, tablet, smartphone di reparto e dispositivi di rete sono in uso, chi li usa e con quali aggiornamenti.
- Controllo degli accessi e autenticazione a più fattori: utenze nominative, profili coerenti con il ruolo, revoca tempestiva delle credenziali di chi lascia la struttura.
- Continuità operativa e ripristino: backup verificati e una procedura scritta per continuare a somministrare terapie e garantire le consegne anche con i sistemi fermi.
- Sicurezza della catena di approvvigionamento: valutare i fornitori ICT, a partire da chi gestisce il software clinico e l’infrastruttura cloud.
- Igiene informatica e formazione: formazione periodica per direzione, coordinatori e operatori, che spesso usano dispositivi condivisi su più turni.
- Gestione degli incidenti: chi rileva, chi decide, chi notifica, con quali tempi.
Per ogni misura l’ACN chiede evidenze documentali: politiche approvate, registri, piani. Per orientarsi l’Agenzia ha pubblicato due linee guida, una di lettura delle specifiche di base e una sul processo di gestione degli incidenti.
Notifica degli incidenti: 24 ore, 72 ore, un mese
Dal gennaio 2026 i soggetti inseriti nel 2025 devono notificare al CSIRT Italia gli incidenti significativi individuati dall’ACN: tre tipologie per i soggetti importanti, quattro per gli essenziali. I tempi previsti dall’articolo 25 del decreto sono stretti:
- pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente;
- notifica entro 72 ore, con una prima valutazione della gravità e dell’impatto;
- relazione finale entro un mese dalla notifica (o relazione sui progressi, se l’incidente è ancora in corso).
Per una RSA il punto critico è organizzativo: un ransomware scoperto il sabato notte deve arrivare in poche ore a chi ha l’autorità di notificare. Serve una catena di reperibilità chiara, che non coincida solo con il fornitore informatico: l’obbligo resta in capo alla struttura. Se l’incidente coinvolge dati personali, si aggiunge la notifica al Garante privacy entro 72 ore prevista dal GDPR.
Responsabilità della direzione e sanzioni
La NIS2 porta la cybersicurezza al vertice. Secondo l’articolo 23 del decreto, gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure, ne sovrintendono l’applicazione e sono tenuti a seguire una formazione specifica. Nel luglio 2026 l’ACN ha aggiornato le FAQ dedicate proprio a questi obblighi.
Per le violazioni più gravi, come la mancata adozione delle misure o la mancata notifica degli incidenti, l’articolo 38 prevede sanzioni fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo per i soggetti importanti, e fino a 10 milioni o al 2% per gli essenziali. Oltre all’importo, conta il rischio reputazionale con famiglie, ASL e Regione.
Checklist per le prossime settimane
- Recuperare la comunicazione ACN di inserimento e calcolare la propria scadenza dei 18 mesi.
- Scaricare l’allegato delle misure di base (formato xlsx sul portale ACN) e compilare una prima autovalutazione requisito per requisito.
- Far approvare dall’organo amministrativo il piano di adeguamento e programmare la formazione dei vertici.
- Formalizzare la procedura di gestione e notifica degli incidenti, con nomi, numeri di reperibilità e modelli pronti.
- Verificare backup e piano di continuità con una prova pratica di ripristino.
- Censire i fornitori ICT e raccogliere da ciascuno le evidenze di sicurezza (certificazioni, qualificazioni, clausole contrattuali).
- Preparare la registrazione o l’aggiornamento sulla piattaforma ACN per la finestra 1° gennaio – 28 febbraio 2027.
Il ruolo del software gestionale e dei fornitori cloud
Una parte rilevante dei requisiti riguarda i sistemi che custodiscono i dati degli ospiti: cartella clinica, terapie, PAI, documenti amministrativi. Scegliere fornitori con garanzie verificabili riduce il lavoro di adeguamento e rende più solida la valutazione della catena di approvvigionamento.
MediHome, sviluppato da LORAN, è un servizio cloud qualificato ACN e presente nel marketplace dell’Agenzia: un’evidenza utile da documentare nel censimento dei fornitori. Su sicurezza, NIS2 e qualificazione ACN di MediHome trovi i dettagli; la cartella clinica elettronica per RSA e l’app MediMobile per operatori e familiari centralizzano in un unico ambiente le informazioni che altrimenti restano su fogli, chiavette e PC di reparto. Resta comunque responsabilità della struttura definire accessi, procedure e formazione. Se stai lavorando anche sui flussi sanitari, può esserti utile il nostro approfondimento su FSE 2.0 nelle RSA.
Domande frequenti
Come faccio a sapere se la mia RSA è un soggetto NIS?
L’inserimento nell’elenco nazionale NIS è comunicato dall’ACN tramite la propria piattaforma dopo la registrazione. Rilevano il settore (assistenza sanitaria) e la dimensione (almeno media impresa). In caso di dubbio si possono consultare le FAQ ACN o chiedere assistenza all’Agenzia.
Le misure di sicurezza di base sono tutte obbligatorie?
Sì. Per i soggetti importanti sono 37 misure e 87 requisiti, per gli essenziali 43 misure e 116 requisiti. L’analisi del rischio serve a calibrarne l’attuazione, non a escluderne alcuna.
Se la struttura non rientra nella NIS2 cosa cambia?
Restano gli obblighi del GDPR, che per i dati sanitari richiede misure tecniche e organizzative adeguate al rischio e la notifica delle violazioni al Garante. Le misure ACN sono comunque un buon riferimento per organizzare la sicurezza.
Stai valutando come mettere in sicurezza cartella clinica e dati degli ospiti in vista della NIS2? Ti mostriamo MediHome sui tuoi processi reali, senza impegno.
Fonti: Gazzetta Ufficiale – D.Lgs. 4 settembre 2024, n. 138; ACN – Normativa NIS; ACN – Modalità e specifiche di base (determinazione 379907/2025); ACN – Ambito di applicazione; ACN – Le novità per i soggetti NIS (18 settembre 2026); EUR-Lex – Direttiva 2011/24/UE; EUR-Lex – Raccomandazione 2003/361/CE; EUR-Lex – Regolamento (UE) 2016/679 (GDPR); ICT Security Magazine – NIS2, la mappa degli adempimenti. Le informazioni hanno scopo divulgativo: per gli obblighi specifici della propria struttura fare riferimento alle indicazioni regionali.