Sulla base della ricerca del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

È uno scenario che solo dieci anni fa sarebbe sembrato fantascienza: un hacker preme un tasto e una clinica con centinaia di pazienti non può più eseguire operazioni, recuperare valori di laboratorio o gestire un pronto soccorso. Oggi questa è un'amara realtà, e sta mietendo vittime umane.

Gli ospedali sono tra i bersagli più appetibili per gli aggressori ransomware a livello globale. I motivi sono cinicamente semplici: le cliniche dipendono in modo esistenziale dalla loro infrastruttura IT, spesso obsoleta, e il loro mandato di cura genera una pressione massima per reagire rapidamente, se necessario pagando il riscatto. Il dott. Teichmann ha analizzato sistematicamente le dimensioni legali, etiche e organizzative di questa minaccia in diversi articoli. Le conclusioni sono allarmanti.

L’entità della minaccia: dati che fanno riflettere

Solo nel 2022, tre quarti di tutte le strutture sanitarie in Germania sono state vittime di attacchi informatici. Secondo l'Ufficio federale tedesco per la sicurezza informatica (BSI), il ransomware rappresenta attualmente la singola minaccia più grande nel settore sanitario. Il BSI descrive il livello di minaccia come il più alto di sempre (Teichmann, Cyberangriffe auf Kliniken: Patientengefährdungen, rechtliche Pflichten und ethische Herausforderungen, Ethik in der Medizin 2026, pp. 1–23).

I primi studi condotti negli Stati Uniti indicano che la mortalità ospedaliera può aumentare dal 20 al 35 percento durante un grave attacco informatico, a causa di ritardi nei trattamenti, del blocco dei sistemi di monitoraggio e della perdita di dati critici dei pazienti. Un terzo di tutti gli attacchi informatici alle strutture sanitarie ha un impatto significativo o quantomeno tangibile sull'assistenza ai pazienti: gli interventi chirurgici vengono rimandati, i trattamenti interrotti e i pazienti d'emergenza reindirizzati (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Queste non sono statistiche astratte. Dietro ognuno di questi numeri ci sono persone reali.

Il caso Düsseldorf 2020: quando un attacco informatico ha causato un decesso

Nessun evento evidenzia la dimensione potenzialmente letale degli attacchi ransomware agli ospedali in modo così incisivo come l'attacco all'Ospedale Universitario di Düsseldorf nel settembre 2020.

Per mesi, gli aggressori avevano sfruttato una nota vulnerabilità in un software VPN per infiltrarsi a fondo nella rete della clinica. Il 10 settembre 2020 sono passati all'azione: il ransomware DoppelPaymer ha crittografato quasi completamente i sistemi informatici della clinica. Il pronto soccorso ha dovuto chiudere. Per oltre 13 giorni – un periodo di tempo senza precedenti per un ospedale di massima urgenza – non è stato possibile accogliere pazienti d'emergenza. Centinaia di interventi e operazioni sono stati annullati (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Quella sera, una donna di 78 anni con un aneurisma aortico potenzialmente letale ha dovuto evitare Düsseldorf. L'ambulanza l'ha trasportata a Wuppertal, circa 30 chilometri più lontano. Il tempo guadagnato non è bastato. La paziente è deceduta poco dopo il ricovero.

La Procura di Düsseldorf ha avviato un'indagine per omicidio colposo; per la prima volta in Germania si è esaminato se un attacco informatico fosse la causa diretta di un decesso. Le indagini sono state infine archiviate perché il nesso di causalità non poteva essere dimostrato con la certezza richiesta. Ciononostante, l'impatto simbolico dell'evento è rimasto: gli attacchi informatici agli ospedali possono uccidere le persone (Teichmann, IT-Sicherheit im Krankenhaus – Neue Pflichten durch IT-SiG 2.0, KRITIS-Dachgesetz und § 391 SGB V, MedR 2025, pp. 959–968).

Una svolta singolare in questo caso: quando gli hacker hanno appreso di aver colpito un ospedale – e non, come apparentemente pianificato, solo l'università di riferimento – hanno fornito volontariamente un codice di decrittazione e hanno rinunciato alla richiesta di riscatto. Perfino i cybercriminali, come dimostra questo caso, hanno talvolta dei limiti morali. Ciononostante, il danno era ormai fatto.

Come gli aggressori colpiscono gli ospedali

Gli attacchi ransomware alle strutture sanitarie seguono un modello industriale perfezionato. Gruppi criminali altamente professionali lavorano con divisione dei compiti: i cosiddetti Initial Access Brokers ottengono inizialmente l'accesso alle reti tramite e-mail di phishing, software non aggiornati o credenziali rubate, per poi rivendere tale accesso nel Darknet. Gli effettivi operatori del ransomware prendono quindi il controllo per procedere alla crittografia e all'estorsione (Teichmann, Ransomware-Angriffe auf Krankenhäuser – Strafrechtliche, Medizinrechtliche und Datenschutzrechtliche Herausforderungen, Zeitschrift für Lebensrecht 2025, pp. 349–366).

Sempre più spesso viene impiegata la cosiddetta Double Extortion (doppia estorsione): prima della crittografia, i dati dei pazienti vengono esfiltrati. I criminali minacciano quindi non solo di bloccare i sistemi, ma anche di pubblicare dati sanitari altamente sensibili – uno strumento di pressione che funziona anche nel caso in cui la clinica possieda backup funzionanti.

Perché gli ospedali sono bersagli così attraenti? La dipendenza dall'IT è vitale e mette direttamente a rischio i pazienti. Molte cliniche lavorano con infrastrutture IT eterogenee e in parte obsolete, in cui patch e aggiornamenti non sono mai stati applicati in modo coerente. Inoltre, la pressione morale di dover ripristinare rapidamente l'operatività rende le cliniche vittime propense al pagamento. Gli aggressori professionisti calcolano quindi deliberatamente la richiesta di riscatto in modo che sia appena inferiore al costo stimato per un ripristino autonomo dei dati (Teichmann, Zeitschrift für Lebensrecht 2025, pp. 349–366).

Il quadro degli obblighi legali: cosa devono fare oggi gli ospedali

La Germania ha risposto alla crescente minaccia con un significativo ampliamento degli obblighi di sicurezza previsti dalla legge.

Gli ospedali più grandi sono considerati operatori di infrastrutture critiche (KRITIS) e sono soggetti alla legge BSI. Devono adottare misure di protezione tecniche e organizzative adeguate e all'avanguardia, farle verificare ogni due anni e segnalare tempestivamente al BSI eventuali incidenti IT gravi. Il rispetto di questi requisiti viene monitorato attivamente (Teichmann, MedR 2025, pp. 959–968).

Dal 1° gennaio 2022, ai sensi dell'articolo 391 del Codice sociale tedesco (SGB V), si applica un obbligo esteso: ora tutti gli ospedali – compresi quelli al di sotto della soglia KRITIS – devono implementare misure di sicurezza IT adeguate allo stato dell'arte e aggiornare i propri sistemi almeno ogni due anni. Il legislatore ha espressamente raccomandato di orientarsi agli standard KRITIS del BSI. Di conseguenza, per l'intero settore sanitario si applica di fatto uno standard di sicurezza uniforme (Teichmann, MedR 2025, pp. 959–968).

In parallelo si applicano i requisiti del GDPR. I dati dei pazienti sono dati sanitari che richiedono una protezione speciale. Le cliniche che subiscono una violazione dei dati a seguito di un attacco informatico devono segnalarlo all'autorità di controllo competente per la protezione dei dati entro 72 ore e, a seconda delle circostanze, informare i pazienti interessati. Le sanzioni finanziarie possono raggiungere i 20 milioni di euro o il quattro percento del fatturato annuo globale. Le prime cliniche in Europa sono già state condannate a sanzioni significative (Teichmann, Interdisziplinäre Aspekte der IT-Sicherheit im Gesundheitswesen, medstra 2025, pp. 218–222).

Responsabilità: quando i dirigenti clinici vengono chiamati a rispondere personalmente?

Teichmann pone al centro dell'attenzione una domanda scomoda per molti dirigenti sanitari: gli amministratori delegati o i medici primari possono essere ritenuti personalmente responsabili per una sicurezza IT insufficiente nel caso in cui i pazienti subiscano danni?

La risposta è: sì, in linea di principio. Dal punto di vista penale, potrebbero configurarsi reati di negligenza come l'omicidio colposo o le lesioni personali colpose, qualora si dimostrasse che gravi carenze nella sicurezza IT sono state la causa di un danno al paziente. Il parametro di riferimento sarebbe rappresentato dagli standard di sicurezza vigenti: i requisiti del BSI, l'art. 391 SGB V e gli standard di sicurezza riconosciuti del settore. Chi lascia vulnerabilità note non risolte per mesi o riduce sistematicamente i budget destinati alla sicurezza IT, subendo poi un attacco evitabile, rischia quantomeno l'accusa di violazione dei doveri professionali (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Dal punto di vista civile, si applica il principio della responsabilità organizzativa: le cliniche devono garantire ai propri pazienti un'organizzazione del servizio sicura secondo gli standard attuali. Oggi questo include anche la sicurezza IT. Inoltre, ai sensi del GDPR, si applica una regola di inversione dell'onere della prova sfavorevole: in caso di controversia, spetta all'ospedale dimostrare di aver adottato tutte le misure di protezione ragionevoli. In caso contrario, risponde dei danni non patrimoniali causati ai pazienti interessati (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Finora nessun dirigente ospedaliero in Germania è stato condannato penalmente per un incidente informatico. Tuttavia, Teichmann ritiene che sia solo questione di tempo prima che ciò accada. La tendenza legale è chiara: la sicurezza IT è una responsabilità della direzione, e l'inerzia non è più un'opzione praticabile.

Il dilemma etico: si può pagare un riscatto per proteggere i pazienti?

Gli attacchi ransomware alle cliniche pongono i responsabili di fronte a un dilemma morale particolarmente acuto. Da un lato, le autorità e gli esperti sconsigliano vivamente di pagare i riscatti, poiché ogni pagamento finanzia il modello di business degli aggressori e ne incoraggia di nuovi. Dall'altro, in gioco ci sono vite umane.

Teichmann analizza questo dilemma basandosi sui classici principi bioetici – non maleficenza, beneficenza, giustizia e autonomia (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Il principio di non maleficenza entra in un conflitto interno: non pagare potrebbe consentire un danno evitabile per i pazienti attuali. Pagare incoraggia la criminalità e provoca attacchi futuri che metteranno a rischio altri pazienti. Si contrappone un danno immediato e certo a un danno indiretto, ma diffuso.

Il principio di beneficenza sembrerebbe inizialmente deporre a favore del pagamento, qualora questo rappresentasse effettivamente la via più rapida per ripristinare l'operatività. Tuttavia, anche in questo caso, il pagamento non è una garanzia. Molti ospedali che hanno pagato riferiscono di decrittazioni parziali o persino di nuovi attacchi perpetrati dallo stesso gruppo.

Teichmann non giunge a una formula semplice, perché non esiste. La sua raccomandazione è invece quella di agire tramite una prevenzione sistematica per evitare che tale decisione debba essere presa in caso di emergenza. Chi dispone di backup offline funzionanti, conosce e ha testato i piani di emergenza e ha segmentato i sistemi non è ricattabile, o per lo meno non interamente (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Cosa ha dimostrato l'attacco WannaCry al NHS britannico

Un evento di riferimento internazionale è l'attacco WannaCry del maggio 2017, che ha colpito duramente il Servizio Sanitario Nazionale britannico (NHS). In pochi giorni sono stati annullati migliaia di appuntamenti e interventi chirurgici; in cinque regioni dell'Inghilterra, i pronto soccorso non hanno potuto accogliere pazienti per periodi prolungati, costringendo le ambulanze a percorrere tragitti molto più lunghi (Teichmann, Ethik in der Medizin 2026, pp. 1–23).

Il NHS non aveva applicato la patch che avrebbe corretto la vulnerabilità di Windows sfruttata, sebbene fosse disponibile da mesi. Il risultato: un'emergenza sanitaria nazionale che avrebbe potuto essere evitata con un semplice aggiornamento di routine non eseguito.

Questa lezione rimane valida oggi: gli attacchi più pericolosi spesso non si basano su exploit altamente avanzati, bensì sul semplice sfruttamento di vulnerabilità note e non corrette. Questa non è una questione tecnica, ma di natura organizzativa e di leadership culturale.

Cosa devono fare ora i dirigenti ospedalieri

Sulla base delle sue analisi legali ed etiche, Teichmann sviluppa raccomandazioni d'azione concrete (Teichmann, Ethik in der Medizin 2026, pp. 1–23; ibidem, MedR 2025, pp. 959–968).

Gli aggiornamenti di sicurezza devono essere considerati una priorità operativa assoluta, e non una routine IT da posticipare in caso di dubbio. Le vulnerabilità note non devono rimanere aperte per mesi. I backup non devono solo esistere, ma devono essere salvati offline, testati regolarmente e verificati nella loro effettiva capacità di ripristino. I piani di emergenza che consentono un'operatività ospedaliera parziale senza IT – procedure cartacee, canali di comunicazione ridondanti, piani di deviazione regionale – non sono una formalità, ma una preparazione salvavita.

La segmentazione della rete è una delle misure di protezione tecnica più efficaci: se i sistemi critici, come il monitoraggio della terapia intensiva, il laboratorio e l'amministrazione IT, sono separati tra loro, un aggressore che compromette un reparto non può paralizzare immediatamente l'intera clinica. La formazione dei dipendenti per il riconoscimento del phishing e del social engineering colma la lacuna umana che le sole misure tecniche non possono coprire.

Infine, il consiglio d'amministrazione deve includere regolarmente questi temi all'ordine del giorno. I rapporti sulla sicurezza IT appartengono alle riunioni esecutive, non solo al reparto IT.

Conclusione: la sicurezza del paziente e la sicurezza IT sono inscindibili

La ricerca di Teichmann porta a una conclusione chiara: la sicurezza dei pazienti e la sicurezza dei sistemi IT su cui si basa la loro cura non sono più separabili. Gli ospedali che investono nella sicurezza IT investono nella protezione del paziente. Gli ospedali che la trascurano mettono a rischio vite umane e espongono i loro dirigenti a gravi responsabilità personali.

In Germania gli obblighi legali oggi sono chiari. Ciò che in molti casi manca ancora è l'interiorizzazione culturale: considerare la sicurezza IT come una responsabilità della direzione, un obbligo etico e parte del dovere medico di diligenza. Il caso di Düsseldorf del 2020 è stato un campanello d'allarme. La domanda è quante altre sollecitazioni saranno necessarie affinché questo messaggio venga recepito ovunque.

Tutti i riferimenti si basano su pubblicazioni scientifiche del Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliografia completa è documentata nell'elenco delle pubblicazioni (stato aggiornato a maggio 2026).