Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Dati di ricerca sensibili che valgono miliardi. Impianti di produzione altamente automatizzati la cui interruzione può causare colli di bottiglia nella fornitura di farmaci salvavita. Un ruolo chiave nell'assistenza sanitaria di interi paesi. L'industria farmaceutica riunisce tutto ciò che la rende un obiettivo primario per i cybercriminali e gli aggressori sponsorizzati dagli Stati. E a partire dalla direttiva NIS 2 e dal Cyber Resilience Act, è per la prima volta ampiamente regolamentata. Teichmann ha analizzato sistematicamente i requisiti concreti per il settore farmaceutico (Teichmann, Cybersecurity im Pharmasektor – Anforderungen der EU-NIS-2-Richtlinie und des Cyber Resilience Act, Pharma Recht 2025, pagg. 590–595).

Perché il settore farmaceutico è particolarmente a rischio

Le aziende farmaceutiche combinano diversi fattori di rischio. Possiedono dati di ricerca di alto valore – formule di principi attivi, risultati di studi clinici, informazioni sui brevetti – il cui furto consente lo spionaggio industriale su larga scala. Gestiscono impianti di produzione altamente automatizzati, la cui manipolazione o arresto mette a rischio la fornitura di medicinali. E svolgono un ruolo critico per il sistema, il che le rende un bersaglio per gli estorsori che puntano sulla massima pressione (Teichmann, Pharma Recht 2025, pagg. 590–595).

Il legislatore europeo ha risposto a questa situazione con due normative complementari: la direttiva NIS 2, che regolamenta l'attività delle aziende farmaceutiche, e il Cyber Resilience Act, che affronta la sicurezza dei prodotti digitali da esse utilizzati e fabbricati.

Le aziende farmaceutiche come infrastrutture critiche

La novità più importante della direttiva NIS 2 per il settore farmaceutico è l'esplicita classificazione come infrastruttura critica. Nel settore sanitario, la NIS 2 non copre solo ospedali e laboratori, ma esplicitamente anche i produttori di farmaci e le strutture di ricerca e sviluppo di medicinali. Si tratta di un cambiamento fondamentale: secondo la vecchia normativa tedesca KRITIS, nel settore sanitario erano considerati infrastrutture critiche principalmente gli ospedali, mentre i produttori farmaceutici non erano inclusi (Teichmann, Pharma Recht 2025, pagg. 590–595).

Con la NIS 2 tutto questo cambia radicalmente. L'Ufficio federale tedesco per la sicurezza informatica (BSI) stima che in Germania saranno circa 29.000 i nuovi soggetti obbligati complessivamente – incluse numerose aziende farmaceutiche che dovranno soddisfare per la prima volta requisiti completi di sicurezza informatica. La regola generale è: più di 50 dipendenti o più di 10 milioni di euro di fatturato annuo.

I requisiti concreti della NIS 2

Le aziende farmaceutiche interessate devono adottare misure di sicurezza tecniche, organizzative e operative adeguate e conformi allo stato dell'arte. Tra queste figurano una strategia di sicurezza globale con analisi costante del rischio, tenendo conto delle minacce specifiche del settore come lo spionaggio industriale, una gestione efficace della risposta agli incidenti, misure di continuità operativa con gestione dei backup e piani di emergenza, nonché la protezione sistematica della catena di fornitura (Teichmann, Pharma Recht 2025, pagg. 590–595).

Particolarmente rilevante per il settore farmaceutico è la sicurezza della catena di fornitura, in quanto gli impianti di produzione dipendono da una moltitudine di fornitori, sviluppatori di software e fornitori di servizi IT. Gli obblighi di segnalazione seguono un modello a tre fasi: preallarme entro 24 ore, segnalazione dell'incidente entro 72 ore e rapporto finale entro un mese.

Il Cyber Resilience Act: una particolarità per il settore farmaceutico

Con il Cyber Resilience Act si delinea un'importante differenziazione. I dispositivi medici stessi sono esclusi dal CRA, in quanto per essi il Regolamento sui dispositivi medici prevede già requisiti di sicurezza informatica specifici per il settore. Questo però non significa che il CRA sia irrilevante per le aziende farmaceutiche (Teichmann, Pharma Recht 2025, pagg. 590–595).

Le aziende farmaceutiche utilizzano infatti numerosi prodotti connessi che non sono considerati dispositivi medici: sistemi di controllo industriale, sensori IoT, apparecchiature di laboratorio con connessione di rete, hardware e software IT generale. Tutti questi prodotti dovranno soddisfare i requisiti del CRA a partire dal 2027. E qualora le aziende farmaceutiche sviluppino e commercializzino in prima persona prodotti connessi, su di esse ricadranno tutti gli obblighi previsti dal CRA in qualità di produttori.

Le conseguenze legali in caso di violazione

Le sanzioni previste dalla direttiva NIS 2 sono significative: per i soggetti essenziali sono previste sanzioni pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo globale. A ciò si aggiunge la responsabilità personale della dirigenza: la NIS 2 richiede al management aziendale di approvare ed monitorare attivamente le misure di cybersecurity e di seguire corsi di formazione in materia. Le violazioni dei doveri possono portare alla responsabilità civile personale all'interno dell'azienda (Teichmann, Pharma Recht 2025, pagg. 590–595).

Conclusione: la sicurezza informatica diventa sicurezza dell'approvvigionamento

Nel settore farmaceutico, la sicurezza informatica assume una dimensione che va oltre il singolo stabilimento: fa parte della sicurezza dell'approvvigionamento. Un attacco andato a buon fine contro un grande produttore di farmaci può causare colli di bottiglia nella distribuzione di medicinali vitali. Con la NIS 2 e il CRA, il legislatore europeo ha richiamato per la prima volta il settore farmaceutico a responsabilità complete. L'impegno richiesto è notevole, ma rappresenta un investimento nella resilienza di un settore il cui funzionamento è indispensabile per la salute di milioni di persone.

Tutti i riferimenti bibliografici rimandano a pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (aggiornato a maggio 2026).