NIS2 dispositivi medici: produttori essenziali o importanti?

Un cliente ti manda il certificato ISO 13485 e chiede: «Quindi siamo coperti, no?». È un produttore di diagnostici in vitro lombardo, 180 dipendenti. Il certificato non dice nulla sulla NIS2.

La normativa di prodotto e la cybersicurezza dell'organizzazione sono due regimi diversi. MDR e IVDR regolano il dispositivo. La NIS2, recepita in Italia con il D.Lgs. 138/2024, regola l'azienda che lo produce. Se assisti produttori di dispositivi medici sotto NIS2, devi sapere, cliente per cliente, in quale allegato rientra. Ne dipendono il modello di vigilanza, il tetto delle sanzioni e la pressione ispettiva.

Farmaceutica e dispositivi medici: due allegati

La NIS2 (direttiva (UE) 2022/2555) colloca i soggetti life sciences in due punti. Il D.Lgs. 138/2024 ne riprende la struttura negli Allegati I e II.

Allegato I, settore 5 (sanità) comprende, tra gli altri:

• produttori di prodotti farmaceutici di base e di preparati farmaceutici;
• soggetti che svolgono attività di ricerca e sviluppo di medicinali;
• laboratori di riferimento dell'UE;
• produttori di dispositivi medici considerati critici durante un'emergenza di sanità pubblica, cioè quelli dell'elenco previsto dall'articolo 22 del regolamento (UE) 2022/123.

Allegato II, settore 5 (fabbricazione di prodotti critici) comprende i produttori di dispositivi medici e di dispositivi medico-diagnostici in vitro non presenti in quell'elenco di emergenza.

Essenziale o importante: decide la dimensione

Secondo l'articolo 3 della direttiva, un soggetto grande di un settore dell'Allegato I è essenziale. Un soggetto medio dell'Allegato I è importante. Ogni soggetto incluso nell'Allegato II è importante.

Cliente	Allegato	Classificazione tipica
Grande produttore farmaceutico	I	Essenziale
Azienda media di R&S di medicinali	I	Importante
Grande produttore di dispositivi dell'elenco di emergenza	I	Essenziale
Produttore medio di diagnostici in vitro	II	Importante
Grande produttore di dispositivi medici generici	II	Importante

La dimensione deriva dalla raccomandazione 2003/361/CE: media significa almeno 50 dipendenti o più di 10 milioni di euro di fatturato o totale di bilancio. Piccole e microimprese sono in genere escluse, con eccezioni limitate.

Non dare per scontato che un produttore di dispositivi sia nell'Allegato I. La maggior parte no. L'elenco di emergenza diventa rilevante solo dopo il riconoscimento di un'emergenza di sanità pubblica; il cliente tipico è nell'Allegato II.

Italia: ACN e il calendario 2026-2027

In Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità nazionale competente. Per i soggetti già censiti, le misure di sicurezza di base vanno attuate entro il 31 ottobre 2026; la prossima finestra di registrazione va dal 1° gennaio al 28 febbraio 2027. Le misure rafforzate sono ancora in consultazione. Per il contesto, leggi Italia NIS2: la scadenza ACN di giugno 2026.

Per il settore sanitario è stato istituito un tavolo settoriale presso il Ministero della Salute; verifica con il cliente quale interlocutore settoriale lo riguarda. Le due categorie hanno gli stessi obblighi di gestione del rischio (articolo 21 NIS2) e di notifica (articolo 23). Cambiano vigilanza e sanzioni. I soggetti essenziali sono sottoposti a vigilanza proattiva, quelli importanti a vigilanza reattiva. L'articolo 34 prevede fino a 10 milioni di euro o il 2 % del fatturato mondiale per gli essenziali, e 7 milioni o l'1,4 % per gli importanti.

Vigilanza reattiva non significa vigilanza leggera. Quando il produttore di una pompa a infusione connessa subisce un ransomware, «importante» consola poco.

Cosa trova un audit in un cliente life sciences

I sistemi qualità sono maturi. La governance della sicurezza, di rado.

Reti OT e di laboratorio. Linee produttive, camere bianche e strumenti girano su sistemi legacy non aggiornabili con i tempi IT. La segmentazione è la misura realistica. Vedi NIS2 per i produttori: il confine IT/OT.

Sistemi validati. La validazione dei sistemi computerizzati congela le versioni software. I team lo usano come motivo per non aggiornare. La NIS2 chiede un processo documentato di gestione delle vulnerabilità con misure compensative, non silenzio.

Rischio fornitori. Terzisti, CRO, LIMS in cloud e fornitori software rientrano nell'articolo 21, paragrafo 2, lettera d). Un accordo di qualità non è una valutazione di sicurezza.

Responsabilità degli organi di gestione. L'articolo 20 rende l'organo di gestione responsabile dell'approvazione e della supervisione delle misure. Il responsabile qualità non può firmare al posto suo.

Sicurezza di prodotto non è sicurezza aziendale. I requisiti MDR e IVDR sulla cybersicurezza dei dispositivi riguardano il ciclo di vita del prodotto. Non offrono un processo di incidente per la rete aziendale, né registrazione, né preallarme entro 24 ore.

La notifica corre accanto alla vigilanza sui dispositivi

Un incidente significativo richiede un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Questi termini sono distinti dalle segnalazioni di vigilanza sui dispositivi medici. Un solo evento può attivarli entrambi.

Costruisci un unico playbook: chi decide se è significativo, chi notifica all'ACN e al CSIRT, chi invia la segnalazione di vigilanza. Provalo una volta. I termini completi sono in NIS2: 24 ore, 72 ore e 1 mese.

Produttori con sedi in più paesi

Germania, Italia, Polonia e Paesi Bassi hanno leggi in vigore; Francia e Spagna sono state deferite alla Corte di giustizia a luglio 2026. Un produttore multinazionale può rientrare in più regimi.

Conferma per ogni persona giuridica quale legge si applica e quale autorità vigila. Vedi articolo 26.

Cosa fare questo mese

1. Elenca le persone giuridiche. La NIS2 si applica per soggetto, non per marchio di gruppo.
2. Classifica ogni soggetto secondo gli Allegati I e II e applica il criterio dimensionale.
3. Verifica se un prodotto è nell'elenco di emergenza.
4. Conferma la registrazione sulla piattaforma ACN e negli altri paesi.
5. Confronta i gap con le dieci misure dell'articolo 21, partendo da supply chain e gestione delle vulnerabilità.

Ti serve un punto di partenza rapido e difendibile? Parti da una valutazione di readiness. Avvia il Quick Scan NIS2 gratuito e ottieni una gap analysis da portare al consiglio di amministrazione.

Classifica il cliente, trova i gap, sistema prima supply chain e vulnerabilità. È lì che i produttori perdono più punti in audit.