Un corridoio stretto al distretto sanitario, tre persone in fila ad aspettare che si sblocchi la schermata, e un monitor dell’operatore con un foglietto giallo incollato sulla cornice di plastica: c’è scritta la password per accedere ai referti, a penna, tutta in maiuscolo.
Se entrate stamattina in un qualunque sportello pubblico tra San Pietro a Patierno, il Frullone o Fuorigrotta, la scena è quasi sempre questa.
Eppure sui tavoli istituzionali la narrazione racconta tutt’altro.
CENTOSEDICI REQUISITI CONTRO UN FOGLIETTO DI CARTA
Il quadro normativo dice che il tempo della ricreazione è finito. Con il Decreto Legislativo 4 settembre 2024, n. 138, l’Italia ha recepito la direttiva europea NIS2 e affidato all’Agenzia per la Cybersicurezza Nazionale (ACN) poteri di controllo severissimi sulle infrastrutture critiche del Paese.
Tra queste ci sono gli ospedali, le aziende sanitarie locali e le pubbliche amministrazioni, catalogate a tutti gli effetti come soggetti essenziali.
La Determinazione ACN 379907/2025 ha fissato la tabella di marcia: diciotto mesi di tempo dalla comunicazione formale di inserimento negli elenchi per blindare i sistemi. Per la prima tornata di enti pubblici notificati nella primavera 2025, la data limite è il 31 ottobre 2026.
Non si tratta di fare un corso online di un quarto d’ora. Per i soggetti essenziali i requisiti minimi obbligatori sono centosedici: tracciamento puntuale degli accessi, crittografia dei dati sanitari, segmentazione delle reti, piani operativi di continuità e controllo su tutti i fornitori esterni di software e algoritmi.
Tradotto per chi non mastica il gergo tecnico: non basta più avere una policy scritta sul faldone impolverato dell’ufficio protocollo. Servono le EVIDENZE, cioè le tracce informatiche che provano che nessuno può entrare nelle cartelle cliniche con una password condivisa su una chat.
LA FINE DELLA TOLLERANZA E LE SANZIONI A SETTE ZERI
Tra le delibere regionali e la quotidianità delle corsie c’è di mezzo un abisso. Ed è precisamente dentro questo abisso che continuano a sparire o a essere violati i dati più sensibili dei cittadini.
Dal 1° novembre 2026 l’ACN esce dalla fase di accompagnamento e fa partire le verifiche ispettive.
Le conseguenze non sono raccomandazioni bonarie. L’articolo 38 del decreto prevede sanzioni fino a 10 milioni di euro o al 2% del totale delle entrate per i soggetti essenziali, con una misura che scuote i palazzi: la sospensione temporanea dall’incarico per i dirigenti responsabili che ignorano gli obblighi.
Mentre si acquistano licenze per piattaforme digitali o moduli di intelligenza artificiale per smistare le prenotazioni, le reti dei presidi sanitari di quartiere restano colabrodi dove basta una chiavetta USB per bloccare i server.
I PASSI DA PRETENDERE QUESTA MATTINA
Chi segue i sistemi informatici e le reti sa bene che la sicurezza non è un programma da installare, ma una disciplina da applicare ogni giorno.
Ecco cosa bisogna verificare:
1. Chiedete al Responsabile della Transizione Digitale (RTD) e al DPO della vostra ASL di riferimento se l’ente ha completato la mappatura delle 116 misure previste dalla Determinazione ACN 379907/2025.
2. Segnalate formalmente per iscritto l’uso di credenziali condivise, foglietti con codici di accesso a vista o terminali lasciati incustoditi negli uffici aperti al pubblico.
3. Pretendete che i fornitori terzi che gestiscono software sanitari e gestionali abbiano certificazioni documentate e non semplici autocertificazioni.
Ai vertici dell’ASL Napoli 1 Centro e ai dirigenti dei servizi informatici comunali lo dico chiaramente: il tempo delle scuse e delle proroghe sulla carta è scaduto.
I dati clinici dei cittadini non si difendono con le promesse nei convegni, ma togliendo quel post-it dal monitor.
FONTI
– Gazzetta Ufficiale della Repubblica Italiana, Decreto Legislativo 4 settembre 2024, n. 138 (Recepimento Direttiva UE 2022/2555 – NIS2), 1 ottobre 2024 (gazzettaufficiale.it)
– Agenzia per la Cybersicurezza Nazionale (ACN), Determinazione 379907/2025: Specifiche di base per l’adempimento agli obblighi di cybersicurezza, 2025 (acn.gov.it)
– Regolamento (UE) 2024/2847 del Parlamento Europeo e del Consiglio (Cyber Resilience Act), 23 ottobre 2024 (eur-lex.europa.eu)
