NIS2 e Studio Dentistico o Medico: Sei Davvero Obbligato? Guida 2026

Cos'è la Direttiva NIS2 e perché se ne parla anche negli studi sanitari

La Direttiva NIS2 (Direttiva UE 2022/2555) è la normativa europea che rafforza gli obblighi di sicurezza informatica per i soggetti considerati critici per la società: energia, trasporti, banche, infrastrutture digitali e, tra gli altri, il settore sanitario. In Italia è stata recepita con il Decreto Legislativo 138/2024, che affida all'Agenzia per la Cybersicurezza Nazionale (ACN) il compito di individuare i soggetti effettivamente tenuti agli obblighi.

Da quando la sanità compare tra i settori interessati, negli studi dentistici e negli ambulatori medici circola una domanda semplice quanto legittima: "la NIS2 riguarda anche me?". La risposta, nella maggior parte dei casi, è no per il singolo studio professionale, ma con alcune eccezioni concrete che vale la pena conoscere prima di scartare del tutto l'argomento.

Chi è escluso: il piccolo studio professionale

La NIS2 si applica, in linea generale, ai soggetti definiti "essenziali" o "importanti" in base al settore di attività e, soprattutto, alla dimensione dell'organizzazione (numero di dipendenti, fatturato o totale di bilancio). Micro e piccole imprese sono escluse dal perimetro nella maggior parte dei casi, salvo eccezioni specifiche previste dalla normativa per alcuni sottosettori.

Per un singolo dentista o medico titolare del proprio studio, con una o poche poltrone/ambulatori e un numero di collaboratori contenuto, questo si traduce tipicamente in un'esclusione dagli obblighi diretti della NIS2. Diverse fonti specialistiche del settore odontoiatrico e gli ordini professionali hanno confermato questa lettura nel corso del 2025 e del 2026.

Chi può rientrarci: le situazioni da non sottovalutare

L'esclusione del piccolo studio non è però una regola assoluta. Alcune situazioni concrete possono far rientrare una struttura sanitaria privata tra i soggetti obbligati, o comunque renderla un anello rilevante della catena di sicurezza di un soggetto obbligato:

• poliambulatori o cliniche di dimensioni medio-grandi, con più sedi e un'infrastruttura informatica complessa e condivisa tra più professionisti;
• strutture integrate con il Fascicolo Sanitario Elettronico o con altri sistemi centralizzati del Servizio Sanitario Nazionale su larga scala;
• catene di studi (gruppi odontoiatrici, reti di poliambulatori) che superano le soglie dimensionali previste per le medie imprese;
• strutture che erogano servizi di telemedicina avanzata o che gestiscono infrastrutture digitali condivise con ospedali o ASL;
• fornitori di servizi digitali per il settore sanitario, quando lo studio agisce anche come fornitore verso altri soggetti della filiera.

NIS2 e GDPR: due normative diverse, spesso confuse

Capita spesso che NIS2 e GDPR vengano accostati come se fossero la stessa cosa, ma tutelano aspetti diversi e non sono alternativi: uno studio può essere pienamente soggetto al GDPR (come lo è qualunque titolare che tratta dati dei pazienti) senza per questo rientrare tra i soggetti obbligati dalla NIS2.

Il punto pratico è questo: anche uno studio escluso dalla NIS2 resta comunque pienamente soggetto al GDPR, con i propri obblighi di sicurezza sui dati sanitari dei pazienti, indipendentemente da qualunque valutazione sulla direttiva sulla cybersicurezza.

Cosa comporta rientrare tra i soggetti obbligati

Per i soggetti che l'ACN individua come essenziali o importanti, la NIS2 introduce obblighi che vanno oltre la semplice protezione dei dati personali: misure di gestione del rischio informatico proporzionate, procedure per la notifica tempestiva degli incidenti significativi, e una responsabilità diretta degli organi di gestione della struttura sull'adeguatezza delle misure adottate.

Le tempistiche di notifica degli incidenti e le sanzioni previste in caso di inadempienza sono stabilite nel dettaglio dal decreto di recepimento e dalle determinazioni ACN: trattandosi di una materia in evoluzione, per i dati aggiornati è sempre preferibile fare riferimento diretto alle fonti ufficiali dell'Agenzia piuttosto che a valori riportati genericamente.

Perché conviene adottare le buone pratiche anche senza esserne obbligati

Restare fuori dal perimetro NIS2 non significa che la sicurezza informatica sia un problema da rimandare. Gli studi medici e dentistici trattano quotidianamente dati sanitari, tra i più sensibili in assoluto, e sono un bersaglio concreto per attacchi informatici: accessi non autorizzati, ransomware su archivi clinici, smarrimento di dispositivi non protetti sono rischi reali indipendentemente da qualunque soglia dimensionale.

• un incidente informatico che coinvolge le cartelle cliniche resta comunque un data breach da gestire secondo il GDPR, con obbligo di valutazione e, nei casi previsti, di notifica al Garante entro 72 ore;
• la fiducia del paziente nello studio passa anche dalla percezione di serietaà nella gestione dei propri dati, in particolare in un momento in cui la digitalizzazione sanitaria (Fascicolo Sanitario Elettronico, ricetta dematerializzata, invio dati al Sistema TS) rende i sistemi informatici centrali per l'attività quotidiana;
• uno studio strutturato secondo criteri di sicurezza solidi è anche più pronto ad affrontare eventuali futuri allargamenti del perimetro normativo, senza dover rincorrere gli adeguamenti in emergenza.

Misure di sicurezza informatica applicate alla gestione dei dati di uno studio medico o dentistico

Checklist: le domande da farti per orientarti

Prima di trarre conclusioni sulla propria situazione, può essere utile rispondere ad alcune domande di base, da approfondire con un consulente se la risposta non è immediata:

• Lo studio è un'attività individuale o di piccole dimensioni, oppure fa parte di una rete, un gruppo o una catena con più sedi?
• L'infrastruttura informatica è gestita in autonomia dallo studio, oppure è condivisa con altre strutture, un ospedale o un'azienda sanitaria?
• Lo studio eroga servizi di telemedicina su larga scala o gestisce sistemi digitali per conto di altri soggetti sanitari?
• È mai arrivata una comunicazione formale dall'ACN relativa all'inclusione tra i soggetti essenziali o importanti?

Se la risposta a queste domande orienta verso l'esclusione, è comunque buona norma verificare periodicamente la propria posizione: i criteri di individuazione dei soggetti NIS2 possono essere aggiornati nel tempo.

Come funziona con I-Med

Indipendentemente dall'obbligo normativo, un gestionale pensato per gli studi sanitari deve offrire di suo un livello di sicurezza coerente con la sensibilità dei dati trattati. La sicurezza degli accessi di I-Med prevede autenticazione a più fattori e tracciamento dei tentativi di accesso non autorizzati, mentre il cloud italiano su cui gira la piattaforma mantiene i dati in server farm nazionali, con backup ridondati automatici più volte al giorno. Sul fronte della protezione dei dati personali, l'architettura è pensata fin dall'origine per essere conforme al GDPR, così da coprire l'obbligo che riguarda comunque ogni studio, a prescindere dal perimetro della NIS2.

Conclusione

Per la grande maggioranza degli studi dentistici e medici italiani, la NIS2 resta oggi una normativa che non si applica direttamente: riguarda soprattutto strutture di dimensioni medio-grandi, reti di poliambulatori o realtà fortemente integrate con sistemi sanitari centralizzati. Questo non toglie che la sicurezza informatica resti una responsabilità concreta di ogni studio, già imposta dal GDPR sui dati dei pazienti: la scelta di strumenti e fornitori solidi su questo fronte è una decisione che conviene indipendentemente da quale normativa, in senso stretto, obblighi a farla.

Domande Frequenti