Approfondimento editoriale · fonti ufficiali ENISA e Commissione europeamedium
La sicurezza di un ospedale si decide nel capitolato: ENISA riscrive le linee guida sugli acquisti
Il 22 luglio 2026 ENISA ha pubblicato una nuova versione delle linee guida per gli appalti di cybersicurezza di ospedali e strutture sanitarie, primo risultato concreto del Piano d'azione europeo per la cybersicurezza della sanità lanciato dalla Commissione nel 2025. Lo stesso giorno è stato firmato un accordo di contributo da 6 milioni di euro, della durata di tre anni, fra ENISA e Commissione europea per costruire il meccanismo di supporto al settore. Non è un attacco: è il tentativo di spostare la sicurezza sanitaria dal momento in cui si reagisce a quello in cui si compra. Il documento copre tutte le fasi del ciclo di acquisto, fissa i requisiti che i fornitori devono soddisfare e si allinea a NIS2, regolamenti sui dispositivi medici, GDPR e spazio europeo dei dati sanitari.
Il momento in cui si decide tutto, e in cui non c'è nessuno del reparto sicurezza
Quando un ospedale finisce sui giornali per un attacco informatico, la ricostruzione parte sempre dallo stesso punto: il giorno dell'incidente. Il ransomware, i sistemi fermi, gli interventi rinviati, il ritorno alla carta.
C'è un altro momento, molto più silenzioso, in cui quell'incidente è stato reso possibile o improbabile: il giorno in cui è stato scritto il capitolato. Le condizioni di sicurezza di un sistema informativo sanitario si stabiliscono in larga parte quando si acquistano il software gestionale, la piattaforma di refertazione, il macchinario diagnostico che resterà in servizio dieci anni, il servizio di manutenzione remota. Se in quel documento la sicurezza non compare, o compare come una clausola generica, non c'è configurazione successiva che la recuperi del tutto.
È esattamente il punto in cui interviene il documento pubblicato da ENISA il 22 luglio 2026.
Cosa contengono le linee guida
Le Procurement guidelines for the cybersecurity of hospitals and healthcare providers sono una nuova iterazione — non un documento nato oggi — preparata da ENISA con il supporto del NIS Cooperation Group, dell'EU Health ISAC e della Commissione europea.
Il contenuto, per come lo descrive l'agenzia, si articola su quattro assi:
- 01Tutte le fasi del ciclo d'acquistodalla definizione del fabbisogno alla gestione del contratto
- 02Requisiti per i fornitoricosa devono garantire e quali informazioni devono fornire
- 03Tipologie critichedove le considerazioni di sicurezza pesano di più
- 04Checklist praticamisure legate a minacce specifiche per tipo di acquisto
Quest'ultimo elemento è il più utile per chi il capitolato deve scriverlo davvero: una lista di controllo di misure di cybersicurezza tarata sugli acquisti sanitari, in cui ogni misura è collegata a una minaccia specifica per quel tipo di fornitura. Non un elenco di buoni propositi uguale per tutti, ma un accoppiamento fra ciò che si compra e ciò da cui ci si difende.
Le linee guida sono allineate ai quadri normativi europei rilevanti: la direttiva NIS2, i regolamenti sui dispositivi medici, il GDPR e il regolamento sullo spazio europeo dei dati sanitari. È un dettaglio che sembra burocratico e non lo è: significa che i requisiti che una struttura inserisce in gara possono essere ricondotti a obblighi che quella struttura ha già, invece di sembrare pretese negoziabili.
Il documento è pensato per un pubblico volutamente ampio: dai profili tecnici senior della sanità ai team IT. Chi scrive materialmente le gare, in molti ospedali, non è un esperto di sicurezza — ed è questo il problema che il documento prova a risolvere.
I 6 milioni, e cosa ci si compra
Insieme alle linee guida, ENISA ha annunciato la firma di un accordo di contributo con la Commissione europea del valore di 6 milioni di euro, della durata di tre anni, destinato alla costruzione del meccanismo di supporto al settore sanitario.
Il fulcro è il proposto European Cybersecurity Support Centre: un meccanismo che dovrebbe fornire guida, strumenti e servizi su misura ai fornitori di servizi sanitari in tutta Europa. ENISA ha il compito di sviluppare il catalogo dei servizi di questo meccanismo, riutilizzando l'esperienza della precedente ENISA Cybersecurity Support Action. Il catalogo, allo stato attuale, raggruppa le azioni in quattro categorie: preparazione, rilevamento, risposta e governance.
L'accordo prevede inoltre di riconfezionare ed estendere l'offerta di servizi esistente, creare approcci armonizzati, riutilizzare metodologie e strategie di acquisto già consolidate e costruire l'offerta in consultazione con i gruppi di portatori d'interesse.
Perché questa è una notizia di sicurezza nazionale, non di procurement
La sanità è un settore ad alta criticità nell'Allegato I della direttiva NIS2, ed è il settore in cui il costo di un attacco non si misura in fatturato. La particolarità che rende l'acquisto così decisivo è strutturale: l'ospedale non sceglie liberamente il proprio livello di rischio.
Un'azienda che considera insicuro un fornitore può cambiarlo. Un ospedale che ha comprato un acceleratore lineare, un sistema PACS o un impianto di monitoraggio ha davanti dieci o quindici anni di vita utile, un contratto di manutenzione che spesso include l'accesso remoto del produttore, e un vincolo clinico che rende impensabile spegnere il dispositivo per un aggiornamento fuori finestra. Le decisioni prese in gara diventano quindi debito di sicurezza a lunghissimo termine, in un contesto in cui la sostituzione non è un'opzione realistica.
Da qui la logica dell'intervento europeo: se la leva è l'acquisto, allora è sugli acquisti che serve una posizione comune, perché ventisette sistemi sanitari che scrivono ventisette requisiti diversi non hanno alcun potere negoziale sui fornitori. Un requisito armonizzato, invece, cambia ciò che il mercato considera vendibile.
Cosa può fare oggi una struttura, senza aspettare nulla
Aprire il documento prima della prossima gara, non dopo. Le linee guida sono pubblicate e scaricabili: la checklist è la parte da portare al tavolo di chi scrive il capitolato.
Verificare i contratti in essere sul punto più caro: l'accesso del fornitore. La manutenzione remota è, in sanità, uno dei vettori più ricorrenti e meno governati. Quale fornitore entra, con quale identità, con quale registrazione, e chi la legge.
Riconoscere che questo è materiale di governance, non solo tecnico. Sotto NIS2 le decisioni sulla gestione del rischio sono responsabilità degli organi direttivi. Un requisito di sicurezza omesso in gara è una decisione di rischio presa, anche quando nessuno l'ha formulata come tale.
Una nota su cosa questo articolo non è: non è la valutazione di un attacco. È un approfondimento su un documento ufficiale appena pubblicato, con i fatti presi dalle pagine di ENISA. Il tema tornerà in agenda pubblica il 7 ottobre 2026, a Nicosia, alla undicesima conferenza ENISA sulla sicurezza dell'eHealth, dove il Piano d'azione e la sicurezza dei dispositivi medici sono fra i punti previsti.
