Il 16 settembre 2026, Cyber & Cyber riportava le dichiarazioni dell’assessore alla Salute del Friuli Venezia Giulia Riccardo Riccardi in risposta a un’interrogazione consiliare sull’attacco informatico che aveva colpito il Policlinico Triestino.
La risposta istituzionale era stata tempestiva — SOC regionale, CSIRT, Polizia Postale, ACN — e l’attacco era rimasto circoscritto ai sistemi del Policlinico senza propagarsi al Servizio Sanitario Regionale.
Un esito fortunato. Non una garanzia strutturale.
Perché quella vicenda — e la risposta che ha generato — fotografa con precisione il problema sistemico che attraversa l’intero sistema sanitario pubblico italiano: la cybersicurezza sanitaria viene ancora gestita in modo reattivo, attivata dall’emergenza, non costruita prima che l’emergenza arrivi.
Chi lavora da anni all’interfaccia tra industria Life Sciences e sistema sanitario pubblico italiano conosce bene questa fragilità. Le strutture sanitarie acquistano farmaci, dispositivi medici e tecnologie con standard regolatori sempre più stringenti — MDR, GMP, GDPR, Legge Gelli-Bianco.
Ma i sistemi interni di governance del rischio, digitale e clinico, restano spesso indietro.
Il risultato è un paradosso pericoloso: prodotti eccellenti, infrastrutture interne esposte.
Il dato che nessuno vuole guardare
Le strutture sanitarie italiane detengono alcune delle informazioni più sensibili che esistano: cartelle cliniche, dati genetici, profili farmacologici, storie di malattia.
Sono esattamente il tipo di dati che — come Luisa Torchia ha analizzato nel suo Potere digitale (Il Mulino, 2026) — costituiscono una nuova forma di potere: chi li controlla può modellare mercati, anticipare crisi, orientare investimenti.
Non sorprende che siano un bersaglio appetibile. Sorprende, invece, che la risposta sistemica sia ancora frammentata e reattiva.
Dal rischio clinico al rischio cyber: la stessa logica
La Legge Gelli-Bianco del 2017 ha imposto alle strutture sanitarie l’obbligo di dotarsi di modelli organizzativi per la prevenzione del rischio clinico.
È stata una svolta importante — ma incompleta. Il rischio clinico e il rischio cyber non sono universi separati: sono facce dello stesso problema di governance.
Un evento avverso in sala operatoria e un attacco ransomware che blocca il sistema di cartelle cliniche hanno la stessa matrice organizzativa: processi frammentati, segnalazioni non strutturate, dati che non parlano tra loro, una cultura organizzativa che reagisce invece di prevenire.
Il caso del Policlinico Triestino lo conferma.
L’assessore Riccardi ha dichiarato che la Regione ha già costituito una Cabina di regia che riunisce Direzione centrale Salute, Azienda regionale di coordinamento, Insiel e enti del SSR, con l’obiettivo di raccordare in modo esplicito sicurezza informatica, rischio clinico e tecnologie medicali.
È esattamente la direzione giusta. Ed è significativo che ci sia voluto un attacco per accelerarla.
Le soluzioni digitali di gestione integrata del rischio — quelle che mappano i processi, strutturano le segnalazioni di eventi avversi, automatizzano i workflow, producono dashboard in tempo reale — consentono alle strutture sanitarie di passare da una postura reattiva a una proattiva.
Non solo sul rischio clinico, ma su quello cyber, corruttivo e di compliance normativa.
NIS2, catena di approvvigionamento e il nodo degli erogatori privati
L’assessore Riccardi ha ricordato che la NIS2 estende gli obblighi di gestione del rischio anche alla catena di approvvigionamento e ai rapporti con fornitori e prestatori di servizi — un aspetto particolarmente rilevante per i SSR, nei quali gli erogatori privati accreditati operano in integrazione con il sistema informativo sanitario regionale.
Questo è il punto più critico e meno presidiato.
Un attacco che entra attraverso un fornitore privato — un laboratorio, una struttura riabilitativa, un fornitore di software — può propagarsi all’intera rete sanitaria regionale. La permeabilità della catena è la vulnerabilità più sottovalutata.
Il GDPR impone alle strutture sanitarie pubbliche di condurre una DPIA ogni volta che trattano dati particolari su larga scala.
I dati clinici rientrano per definizione in questa categoria.
Eppure, come il caso della Città Metropolitana di Sassari — sanzionata dal Garante nell’estate 2026 — dimostra, molte strutture pubbliche italiane non hanno ancora interiorizzato l’ABC della data protection.
Una piattaforma di gestione integrata del rischio che includa la mappatura dei trattamenti dati, la DPIA automatizzata e il monitoraggio delle vulnerabilità nella catena di fornitura trasforma un obbligo normativo in un processo organizzativo strutturato.
I fondi ci sono. Manca la governance per usarli
Il caso FVG è istruttivo anche sul piano delle risorse. La legge regionale 16 del 2023 ha finanziato con 1,5 milioni di euro di fondi PNRR l’attivazione del SOC e del CSIRT regionali.
Il Programma triennale ICT 2025-2027 e il Piano strategico 2026-2028 aggiungono ulteriori strumenti.
Le risorse ci sono. Il problema non è finanziario — è organizzativo e culturale. Come trasformare finanziamenti in processi stabili, competenze radicate, sistemi interoperabili tra strutture diverse.
Il PNRR Missione 6 ha stanziato risorse per la digitalizzazione sanitaria.
Ma la digitalizzazione senza governance del rischio è una vulnerabilità amplificata, non ridotta.
Più dati connessi, più superfici d’attacco. Più sistemi integrati, più punti di ingresso per un attore ostile.
Il punto geopolitico che manca nel dibattito
C’è una dimensione che raramente entra nel dibattito sulla cybersicurezza sanitaria italiana: quella geopolitica.
I dati sanitari di una popolazione — profili epidemiologici, mappe genetiche, storie farmacologiche — sono esattamente le nuove terre rare del potere digitale. C
hi li possiede può addestrare modelli predittivi, anticipare fabbisogni terapeutici, orientare gli investimenti dell’industria farmaceutica.
Un sistema sanitario pubblico che non protegge adeguatamente quei dati non sta solo violando la privacy dei pazienti.
Sta cedendo un asset strategico — a chi dispone degli strumenti per raccoglierlo e utilizzarlo.
La cybersicurezza sanitaria, in questa prospettiva, non è una questione tecnica. È una questione di sovranità.
Cosa serve adesso
Tre cose concrete, nell’ordine in cui contano.
Prima: estendere il modello FVG a livello nazionale — una Cabina di regia che raccordi rischio clinico, rischio cyber e compliance normativa non può essere un’eccezione regionale virtuosa. Deve diventare standard.
Seconda: standard di interoperabilità tra i sistemi di gestione del rischio e le infrastrutture digitali esistenti — cartelle cliniche elettroniche, sistemi ERP, fascicolo sanitario elettronico, sistemi degli erogatori privati accreditati.
La frammentazione dei dati è la prima vulnerabilità.
Terza: una cultura organizzativa che tratti il rischio come una variabile strutturale da governare, non come un’emergenza da gestire quando si manifesta.
L’industria Life Sciences ha impiegato vent’anni per costruire questa cultura attraverso GMP, ISO 13485, MDR.
Il sistema sanitario pubblico può farlo più velocemente — se le risorse, gli strumenti e la volontà politica convergono.
Il prossimo attacco non annuncerà il suo arrivo. Prepararsi adesso non è prudenza — è l’unica risposta razionale.
