Un audit è una verifica sistematica e indipendente che consente di accertare se i processi, le misure e i controlli di un’organizzazione siano effettivamente conformi a quanto richiesto dalla normativa. In materia di privacy, non si tratta di un’opzione: il GDPR richiede che i titolari del trattamento riesaminino periodicamente le proprie misure di sicurezza, nell’ambito del principio di responsabilizzazione (accountabilityResponsabilità nell' adozione di approcci e politiche aziend... Leggi). Per le strutture sanitarie, che trattano quotidianamente dati relativi alla salute – tra i più tutelati dal Regolamento – questo obbligo assume un’importanza ancora maggiore.
Perché il rischio è maggiore in ambito sanitario
I dati sanitari rientrano tra le categorie particolari di dati personali disciplinate dall’art. 9 del GDPR, e il loro trattamento su larga scala rientra generalmente tra le ipotesi per le quali l’Autorità di protezione dei dati richiede una valutazione d’impatto (DPIA), ai sensi dell’art. 35.
Questo significa che, per molte strutture sanitarie, l’audit periodico non è soltanto una buona pratica: costituisce parte di un obbligo normativo già esistente, spesso disatteso perché percepito come un mero adempimento amministrativo anziché come una reale misura di prevenzione del rischio.
La scadenza che cambia le priorità: NIS2
Oggi, a rendere il tema ancora più urgente, non è soltanto il GDPR. La Direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024) include il settore sanitario tra quelli ad alta criticità e, per le organizzazioni incluse nell’elenco dei soggetti NIS come entità essenziali o importanti, stabilisce ottobre 2026 come termine per la piena attuazione delle misure di sicurezza di base, secondo quanto previsto dalla Determinazione ACN n. 379907/2025.
A partire da tale data, l’Agenzia per la Cybersicurezza Nazionale passa dalla fase di accompagnamento a una vera e propria fase di vigilanza e ispezione, con controlli documentali, verifiche tecniche e, per i soggetti essenziali, un regime di vigilanza proattiva.
Le sanzioni previste dalla NIS2 in caso di inadempienza sono significative – fino a 10 milioni di euro o al 2% del fatturato globale per i soggetti essenziali – ma, in questa fase, vi è un altro aspetto particolarmente delicato: le autorità di vigilanza possono disporre audit di sicurezza indipendenti a carico del soggetto sottoposto a controllo e rendere pubblica un’eventuale situazione di non conformità.
Audit interno o esterno?
Le strutture sanitarie possono ricorrere ad audit interni, svolti da personale qualificato ma indipendente rispetto ai processi oggetto di verifica, oppure ad audit esterni, affidati a professionisti o società specializzate in grado di assicurare terzietà e competenze certificate.
Questo requisito assume particolare importanza quando l’audit deve sostenere un controllo da parte dell’Autorità o essere utilizzato come evidenza di conformità normativa.
Gli standard internazionali di riferimento sono l’ISO/IEC 27001, per la gestione della sicurezza delle informazioni, e l’ISO/IEC 19011, che definisce la metodologia e i criteri per condurre gli audit in modo strutturato.
Nella pratica, molte strutture adottano un approccio combinato: audit interni periodici affiancati da audit esterni per le valutazioni che richiedono un maggiore livello di oggettività.
Quando conviene programmare l’audit
Realizzare un audit con un adeguato margine di anticipo consente di intervenire sulle eventuali criticità prima che diventino oggetto di un’ispezione o di un incidente.
Effettuarlo a ridosso della scadenza, o peggio ancora dopo un data breach o un controllo dell’ACN, lascia molto meno margine di intervento, sia per correggere le non conformità sia per limitarne le conseguenze.
Il nostro team supporta le strutture sanitarie nella pianificazione, conduzione e redazione della reportistica relativa ad audit esterni in materia di privacy e cybersecurity, secondo gli standard ISO e in coerenza con gli obblighi previsti dal GDPR e dalla NIS2.
Se non hai ancora verificato il livello di preparazione della tua struttura, richiedi un audit con i nostri esperti.
