Gli attacchi informatici alla sanità italiana sono passati da 27 a 57 casi in un anno e le proiezioni arrivano a 124 per il 2026. Il baricentro del danno si sposta dal dato rubato al blocco della continuità operativa.
I numeri sulla sanità italiana sotto attacco informatico, riportati da Il Sole 24 Ore, descrivono una curva che non ha ancora trovato il suo punto di flesso. Gli eventi contro ospedali e aziende sanitarie censiti dall’Agenzia per la cybersicurezza nazionale sono passati da 27 nel 2023 a 57 nel 2024, con un incremento del 111%. Le stime di Energieering, società specializzata nella sicurezza delle infrastrutture critiche, indicano circa 84 attacchi per il 2025, in crescita del 47,4%, e 124 per il 2026. Tradotto in frequenza: un attacco contro il sistema sanitario ogni tre giorni.
Il costo di una violazione in sanità
Il parametro economico arriva dal report IBM Cost of a Data Breach 2025, che colloca il costo medio di una violazione dei dati in ambito sanitario a 7,42 milioni di dollari. È una cifra che merita una lettura attenta, perché non descrive un risarcimento né un riscatto: è il costo complessivo che la violazione scarica sull’organizzazione colpita, dalla gestione dell’incidente al ripristino, fino alle conseguenze legali e regolamentari. Un costo di sinistro, non una voce di bilancio isolata.
Il danno si è spostato: dal dato rubato al sistema fermo
La distinzione che conta la spiega Massimo Dutto, responsabile IT settore sanitario dell’organismo certificatore Csqa, nelle dichiarazioni riportate dal quotidiano. «La realtà oggettiva è che questi attacchi continueranno ad aumentare. I rischi non sono più solo legati al furto di dati, ma riguardano anche il blocco della continuità operativa».
Sono due sinistri diversi che convivono sotto la stessa etichetta. Se l’intrusione si ferma al furto dei dati dei dipendenti, si è davanti a una violazione di privacy, con obblighi di notifica, esposizione sanzionatoria e possibili richieste risarcitorie, ma senza impatto clinico. Se invece l’attaccante cifra e sottrae tutto ciò che trova, escono dalla struttura anche le storie cliniche dei pazienti e i loro identificativi di percorso di cura, e con esse si ferma la macchina: paralisi del Cup, storico degli esami irreperibile, difficoltà nella distribuzione del sangue verso le sale operatorie. «Un aumento della probabilità di attacchi informatici alle strutture sanitarie causa quindi problemi per la salute dei cittadini, generando la paralisi del sistema e mandandolo in tilt. Ci si è resi conto a livello internazionale che questo è un rischio assolutamente reale», osserva Dutto.
È lo stesso spostamento già osservato in altri comparti ad alta digitalizzazione e bassa maturità cyber: nelle costruzioni, primo bersaglio del ransomware nel 2025, la posta in gioco non è più il dato ma i giorni di fermo. In sanità la variabile in più è che il fermo non si misura solo in euro.
Chi non paga il riscatto ha bisogno di altro
Il modello di attacco è quello classico dell’estorsione, con contropartita in denaro o, più spesso, in criptovalute per rendere difficile la tracciatura. Ma il comportamento delle strutture pubbliche cambia il profilo del sinistro: non pagano, spiega Dutto, «perché equivarrebbe a garantire l’intrusione successiva».
La scelta ha una conseguenza diretta sul disegno della copertura. Se la voce riscatto esce dal quadro, il peso si sposta interamente sulle componenti di ripristino, sull’incident response, sulla gestione forense e sulla business interruption, cioè proprio le garanzie che richiedono tempi di intervento contrattualizzati e fornitori accreditati per funzionare davvero. Una polizza cyber costruita attorno al rimborso dell’estorsione, in un ente che per policy non paga, protegge il rischio sbagliato.
Il contesto di mercato, peraltro, non è quello di un ramo in tensione tariffaria. Dopo tre anni di ribassi il cyber si muove su premi in calo e coperture più ampie, con margini sotto pressione e Italia tra i mercati più competitivi. La combinazione tra frequenza crescente dei sinistri e prezzi cedenti è esattamente la condizione in cui la selezione dei rischi torna a farsi severa sui singoli settori, anche quando l’indice generale scende.
La permeabilità del sistema passa dalle persone
Il rischio non si azzera. «Si può lavorare per abbassarlo», dice il responsabile IT di Csqa, consapevole che la porta d’ingresso resta il comportamento delle persone. La verifica di permeabilità che un organismo di certificazione può condurre serve a controllare che le contromisure ci siano e siano state prese per minimizzare i danni. A monte, la raccomandazione è di partire dalla governance aziendale, con sistemi di controllo allineati alle norme internazionali, e con un obiettivo dichiarato: «la continuità operativa, ossia garantire che il tuo sistema continui a funzionare a fronte di qualsiasi tipo di necessità o catastrofe».
Resta il capitolo formazione, che è poi la parte meno assicurabile e più decisiva. «L’aspetto culturale è fondamentale per fronteggiare questi rischi», sottolinea Dutto, elencando la chiavetta Usb personale usata sul computer aziendale, gli allegati sospetti aperti per abitudine, la password con doppia autenticazione ceduta al collega che ha dimenticato la sua. «Facendo così, culturalmente parlando, siamo consapevoli che c’è un rischio ma non facciamo nulla per evitarlo». Csqa, fondata nel 1990, opera con una rete di 500 auditor in 31 paesi e oltre 680 certificazioni attive in cybersecurity e protezione dati.
Per chi intermedia questi rischi, la traiettoria è leggibile. La domanda che un ospedale porta al tavolo non è più quanto vale il mio dato, ma quanti giorni posso restare fermo e chi arriva a rimettermi in piedi. Le due risposte stanno in punti diversi del contratto, e solo una delle due si scrive con un massimale.
