NIS2 e dati sanitari in Italia: davvero "sotto i 50 dipendenti" e "sotto i 10 milioni di fatturato" significa esserne fuori?

Molte strutture sanitarie private, poliambulatori, centri diagnostici e società che gestiscono software clinici ragionano così:

"Abbiamo meno di 50 dipendenti e meno di 10 milioni di fatturato: NIS2 non ci riguarda".

È un riflesso comprensibile, perché la direttiva NIS2 parla esplicitamente di soglie dimensionali. Ma con il recepimento in Italia tramite il D.Lgs. 138/2024, la realtà è più sfumata, soprattutto per chi tratta dati sanitari ad altissima sensibilità come le cartelle cliniche.

Il criterio dei "50 dipendenti / 10 milioni"

Per una struttura sanitaria piccola, "sotto i 50 dipendenti" non è un lasciapassare automatico: il D.Lgs. 138/2024 esclude in linea di principio le piccole imprese, ma prevede una serie di eccezioni che possono far rientrare anche realtà sotto soglia, soprattutto se svolgono servizi critici o sono nodi importanti della filiera.

La direttiva europea NIS2 (UE 2022/2555) nasce per alzare il livello di cybersicurezza nei settori considerati critici, tra cui la sanità. La logica di base è:

si applica a soggetti "essenziali" e "importanti";
in generale, il perimetro guarda a imprese di dimensione almeno media (sopra le soglie 50 FTE / 10 milioni fatturato);
tuttavia, gli Stati membri possono – e devono – includere anche realtà più piccole quando il servizio è comunque critico.

L'Italia ha recepito questa impostazione con il D.Lgs. 138/2024, che conferma la regola "piccole imprese escluse", ma introduce una lista piuttosto ampia di casi in cui anche micro e piccole possono rientrare. È qui che il messaggio si complica: chi legge solo il pezzo delle soglie rischia di fermarsi a una conclusione sbagliata.

Cosa dice davvero il decreto italiano sulle piccole imprese

L'articolo chiave del D.Lgs. 138/2024 chiarisce che la normativa non si applica in via generale alle piccole imprese, a meno che queste non rientrino in specifiche categorie. In particolare, una piccola impresa può comunque essere soggetta a NIS2 se, tra le altre ipotesi, è:

identificata come "critica" ai sensi della direttiva CER (sulla resilienza delle entità critiche);
l'unico fornitore nazionale di un servizio essenziale;
fornitore di un servizio che, se compromesso, può generare un rischio sistemico significativo;
considerata critica a livello nazionale, anche in funzione di ruolo, specializzazione o concentrazione del servizio;
un elemento sistemico nella catena di approvvigionamento di soggetti essenziali o importanti.

Tradotto per il mondo sanitario: non basta chiedersi "quanti siamo e quanto fatturiamo?", ma "quanto è critico il servizio che eroghiamo (o che abilitiamo per altri)?".

Un esempio concreto: poliambulatorio <50 dipendenti con cartelle cliniche digitali

Prendiamo l'esempio tipico:

poliambulatorio privato con 30 dipendenti;
fatturato annuo inferiore ai 10 milioni;
gestione interna di cartelle cliniche digitali, con dati sanitari molto sensibili;
utilizzo di un gestionale fornito da terzi in cloud;
servizi rivolti a pazienti di un territorio circoscritto, non unicità nazionale.

La domanda pratica è: questo ente è automaticamente soggetto a NIS2?

Alla luce del D.Lgs. 138/2024, la risposta onesta è:

in linea di principio, NO, perché rientra tra le piccole imprese;
POTREBBE rientrare, però, se l'ACN lo qualifica come critico in base a uno dei criteri previsti (es. ruolo nella filiera, particolare importanza a livello nazionale, unicità del servizio, rischi sistemici ecc.).

E qui sta il punto chiave per la comunicazione con i CEO e i responsabili IT: non è l'azienda a "decidersi" fuori da NIS2 solo perché è piccola; è l'ACN, sulla base delle informazioni fornite in fase di registrazione e degli elenchi che verranno definiti, a dire chi rientra e chi no.

Dove nasce l'errore di molte realtà sanitarie

Le incomprensioni che vediamo più spesso sono tre:

1. Equivalenza "sotto soglia = esente"

Molti leggono solo la parte sulle soglie dimensionali e tralasciano completamente le eccezioni sulle piccole imprese critiche. Il decreto, invece, è molto chiaro: ci sono casi in cui anche realtà piccole rientrano eccome.

2. Confondere NIS2 con GDPR

Alcune strutture pensano: "se non siamo NIS2, allora è sufficiente il GDPR" – dimenticando che i requisiti di sicurezza richiesti dal GDPR e dalle migliori pratiche di settore stanno progressivamente convergendo verso i livelli richiesti anche da NIS2, in particolare nel settore sanitario.

3. Sottovalutare il ruolo di "fornitore critico"

Piccole software house che gestiscono la piattaforma di cartelle cliniche per diverse strutture sanitarie più grandi, o provider cloud verticali per la sanità, tendono a considerarsi "fuori" solo perché micro o piccole. In realtà, la normativa parla esplicitamente di soggetti critici in catene di approvvigionamento: qui la probabilità di rientrare cresce in modo significativo.

Quindi: la nostra azienda sanitaria <50 dipendenti è NIS2 o no?

Per dare una risposta più solida a un CEO o a un responsabile IT, serve un piccolo framework decisionale:

Verifica del settore – La vostra organizzazione opera in uno dei settori elencati nell'Allegato I o II della direttiva NIS2?
Verifica dimensionale – Siete al di sopra o al di sotto delle soglie di 50 dipendenti e 10 milioni di fatturato?
Valutazione delle eccezioni per piccole imprese – Anche se sotto soglia, rientrate in una delle categorie critiche (es. fornitore unico, ruolo sistemico nella filiera, criticità nazionale)?
Registrazione e confronto con ACN – In caso di dubbio, la registrazione presso l'ACN è il momento in cui viene chiarita la posizione ufficiale.

Perché la risposta non può essere solo "sì o no"

Per il management di una piccola realtà sanitaria, restare bloccati su "siamo dentro o fuori da NIS2?" rischia di far perdere di vista l'essenziale:

Rischio operativo: un attacco che blocca cartelle cliniche e referti ha un impatto immediato sulla capacità di erogare prestazioni.
Rischio reputazionale: un data breach sanitario è difficile da gestire a livello di fiducia dei pazienti e partner.
Rischio contrattuale: sempre più spesso sono i grandi operatori (ospedali, gruppi privati, assicurazioni) a chiedere ai partner di dimostrare livelli di sicurezza equivalenti a quelli NIS2, a prescindere dall'obbligo formale.

Per questo, la domanda strategica non è solo "siamo giuridicamente soggetti?", ma "che livello di sicurezza dobbiamo garantire per essere affidabili e sostenibili nel medio periodo?".

Per concludere

Nel quadro italiano, una piccola struttura sanitaria che tratta dati clinici altamente sensibili non è automaticamente soggetta a NIS2, ma non può nemmeno darsi per esclusa sulla base del solo parametro "sotto i 50 dipendenti / 10 milioni di fatturato". Il D.Lgs. 138/2024 costruisce un sistema in cui la dimensione conta, ma la criticità del servizio e il ruolo nella filiera contano altrettanto, e sono l'Agenzia per la Cybersicurezza Nazionale e gli elenchi ufficiali a fare da arbitro finale.

La scelta intelligente, per chi governa queste realtà, è duplice:

chiarire la propria posizione normativa con un assessment serio e un confronto con le indicazioni ACN;
portare comunque la sicurezza a livello NIS2-compatibile, perché la posta in gioco – dati sanitari, fiducia dei pazienti, continuità del servizio – va oltre l'adempimento formale.

Se pensi che questo argomento possa impattare anche la tua realtà, contattaci per un assessment NIS2.

Alterabit