Attacchi hacker, l'Azienda sanitaria è in regola con i sistemi di difesa? Zanella interroga l'Aula: ''Rischiamo sanzioni e c'è preoccupazione per la protezione di dati e ospedali''

TRENTO. Oggi la sanità trentina è pronta a difendersi dagli attacchi hacker o sta ancora lavorando per mettersi al sicuro rincorrendo purtroppo le emergenze che sono in continuo aumento? Quello che è avvenuto in Italia e in Europa con attacchi a supermercati, infrastrutture come il tunnel del Brennero e banche del sangue, hanno fatto salire la preoccupazione riportando al centro il tema della sicurezza informatica.

I settori più esposti agli attacchi informatici vanno dalla pubblica amministrazione, la sanità, la logistica fino ai trasporti.

In Trentino, tra settembre e ottobre, sono già stati registrati degli attacchi al sistema informativo di due Rsa: il 25 settembre alla struttura San Gaetano di Predazzo dove gli  hacker hanno bloccato ogni cosa dalle cartelle cliniche alle terapie con l'arrivo anche di una richiesta di riscatto per sbloccare l'intero sistema. 

Poco dopo, il 28 ottobre, c'è stato nuovo attacco alle strutture della Apsp Vannetti di Rovereto e anche in questo caso è stato compromesso il sistema informatico.  A seguito di questi due episodi l'Asuit, l'Azienda sanitaria universitaria integrata del Trentino, in accordo con Trentino Digitale, ha deciso di sospendere in maniera temporanea i canali di collegamento con le Rsa del territorio “a scopo di autotutela i massimi protocolli di sicurezza informatica a garanzia dell'integrità dei propri sistemi e dei dati sanitari dei cittadini”.

Quali sono, però, i sistemi di protezione che ha l'Azienda sanitaria? L'Asuit ha risposto alle linee dettate dall'Agenzia per la Cybersicurezza Nazionale con il rispetto di tutte le misure di sicurezza informatica imposte dalla normativa per i soggetti "essenziali" ad alta criticità? Insomma, i dati dei cittadini sono al sicuro?

Abbiamo provato a chiedere chiarimenti all’Azienda sanitaria. Ma, ancora una volta, nessuna risposta nel merito. Solo una formula fin troppo ricorrente: “Rispondiamo per le vie istituzionali”. Una replica che, anziché fare chiarezza, lascia domande senza risposte e alimenta ulteriormente dubbi e interrogativi.

Il consigliere provinciale del Pd, Paolo Zanella, nei giorni scorsi ha presentato un’interrogazione per sapere quali siano le misure adottate da Asuit per proteggere i propri sistemi informatici. 

“Asuit e Trentino Digitale sono state costrette a isolare d'urgenza la rete delle strutture residenziali per anziani, interrompendo servizi essenziali come la consultazione delle cartelle cliniche elettroniche, i teleconsulti e l'accettazione dei prelievi; se da un lato la disconnessione della rete rappresenta una misura di contenimento necessaria a proteggere l'infrastruttura centrale, dall'altro l'episodio evidenzia una gestione reattiva che arriva purtroppo a danno già avvenuto” scrive Zanella nel documento. 

Tra le criticità sollevate dal consigliere del Pd c'è quella del presunto “ritardo nell'adeguamento alle prescrizioni NIS2 (D.Lgs. 138/2024)”. Entro la fine di ottobre 2026, spiega Zanella,  scadeva il termine tassativo fissato dell'Agenzia per la Cybersicurezza Nazionale (ACN) per l'attuazione di tutte le misure di sicurezza informatica imposte dalla normativa per i soggetti "essenziali" ad alta criticità (grandi imprese pubbliche e private con almeno 250 dipendenti e bilanci di almeno 43 milioni di euro), notificati entro luglio 2025, tra cui dovrebbe rientrare anche Asuit. 

“L'isolamento drastico delle strutture a fronte di questi gravissimi incidenti depone a favore del fatto che Asuit – spiega Zanella - pur rientrando tra i soggetti 'essenziali' del settore sanitario, non sia riuscita ad adeguarsi per tempo a tutti i requisiti di prevenzione richiesti dalla normativa — come la segmentazione avanzata dei nodi e la protezione della catena di interconnessione — trovandosi costretta a bloccare l'operatività anziché contenere in modo mirato la minaccia”.

Esiste anche un “rischio sanzionatorio” e una “responsabilità della dirigenza”.  Se effettivamente risultasse un mancato o parziale completamento del percorso di conformità nei termini imposti dall'Agenzia per la cybersicurezza nazionale da parte di Asuit ci si esporrebbe a conseguenze sanzionatorie particolarmente severe. L'articolo 38 del Decreto legislativo 138/2024 prevede infatti sanzioni amministrative fino a 10 milioni di euro (o al 2% del fatturato annuo), a cui si sommano i rischi di altre sanzioni per la compromissione di dati sanitari sensibili e la responsabilità diretta degli organi direttivi per l'approvazione e la vigilanza sulle misure di sicurezza.

Gli interventi richiesti dall' Agenzia per la cybersicurezza nazionale sono di fondamentale importanza soprattutto alla luce delle crescenti minacce informatiche che, a livello globale, colpiscono sempre più frequentemente il settore sanitario, rendendolo uno dei bersagli più esposti agli attacchi hacker.

“Rispetto a questi due punti – continua il consigliere Paolo Zanella -  solleva grandi perplessità a conferma dell'ipotesi che Asuit non si sia adeguata ai requisiti di sicurezza informatica, il fatto che nella legge provinciale 7/2026 abbia modificato la legge provinciale numero 16/2012 introducendo all'articolo 6 bis il comma 4: 'al fine di garantire l'affidabilità delle infrastrutture digitali dell'Azienda sanitaria universitaria integrata del Trentino (ASUIT), l'innalzamento dei livelli di cybersicurezza nonché la protezione, la riservatezza e l'integrità della banche dati dell'azienda medesima, la Provincia definisce, d'intesa con Trentino digitale s.p.a. e l'azienda stessa, gli interventi e le misure per la realizzazione e lo sviluppo di un'infrastruttura per la gestione dei dati, ordinari e critici, nel rispetto della normativa nazionale ed europea in materia di trattamento dei dati personali, cybersicurezza delle infrastrutture digitali, senza cloud e appalti pubblici' che pare dichiarare che l'adeguamento non sia appunto ancora avvenuto”.

In merito all'adeguamento dell'Asuit alle prescrizioni NIS2  (entro ottobre) come richiesto dall'Agenzia per la cybersicurezza nazionale, nel “Piano integrato di attività e organizzazione 2026 – 2028”  (Qui il piano completo) dell'Asuit, si legge a pagina 185: “Il percorso di rafforzamento della cybersecurity si è concretizzato con l’avvio dell’assessment dedicato all’indagine dello status quo delle piattaforme, infrastrutture e servizi IT riguardo alle attività di cybersecurity. In ottemperanza agli obblighi normativi definiti dal framework regolatorio di Legge 90/2024 e regolamento NIS2, sono state definite le procedure di incident management e gestione degli asset IT, corredate dagli allegati tecnici richiesti”.

La domanda rimane quindi ancora aperta: l'Asuit ha completato nei tempi previsti l'implementazione delle misure di sicurezza minime previste a livello nazionale per i soggetti "essenziali" ad alta criticità? In sanità, arrivare dopo un attacco significa aver già messo a rischio qualcosa di molto più importante dei computer.