In tre sistemi clinici molto diffusi in Svizzera sono emerse oltre 40 vulnerabilità medie o gravi. La falla non era negli ospedali.

Immagini la scena: una clinica di medicina estetica a Lugano firma con un fornitore di prenotazioni online. Per collegarlo al software della clinica, il fornitore chiede un accesso remoto permanente, nel caso ci sia da correggere qualcosa. Nessuno chiede chi, in quell’azienda, possa usarlo, da dove e come venga registrato. Due anni dopo la clinica ha sei fornitori con un accesso simile e nessun elenco.

Quando si parla di cybersicurezza in una clinica si pensa all’antivirus e alla password della reception. I risultati svizzeri del 2025 indicano un altro punto: i programmi che la clinica compra e chi li mantiene.

Che cosa ha trovato l’istituto nazionale di test.

A gennaio 2025 l’Istituto nazionale di test per la cibersicurezza (NTC) ha pubblicato i risultati di un anno di analisi di tre sistemi informativi clinici molto diffusi negli ospedali svizzeri, in condizioni reali. Ha trovato più di 40 vulnerabilità medie o gravi, tre delle quali di criticità massima. Secondo il rapporto, molte erano così evidenti e facili da sfruttare che, poche ore dopo l’inizio dei test, consentivano il controllo completo del sistema e dei dati dei pazienti.

Il rapporto aggiunge due dettagli da leggere con calma. Primo: alcuni produttori hanno chiesto all’istituto e agli ospedali di firmare accordi di riservatezza che avrebbero impedito di avvisare altri interessati, e l’NTC ha rifiutato. Secondo: la maggior parte delle falle è stata poi corretta, ma alcuni problemi di fondo richiedono di rifare l’architettura del software, cosa che, secondo gli stessi produttori, può richiedere diversi anni.

Che cosa è cambiato nel 2025.

Dal 1° aprile 2025 la legge svizzera sulla sicurezza delle informazioni obbliga un elenco di organizzazioni a segnalare un attacco informatico all’Ufficio federale della cibersicurezza (UFCS) entro 24 ore dalla scoperta. Nell’elenco figurano le strutture sanitarie iscritte nell’elenco cantonale degli ospedali e anche, se ne parla meno, i produttori di software usato da infrastrutture critiche quando il software ha un accesso di manutenzione remota. Da ottobre 2025, chi non dà seguito a una decisione dell’ufficio rischia una multa fino a 100’000 franchi.

Secondo il rapporto annuale dell’ufficio, citato dalla stampa svizzera, nel 2025 sono arrivate 222 segnalazioni obbligatorie, quasi una al giorno, oltre a 64’733 segnalazioni volontarie. E ad agosto 2025 18 ospedali hanno fondato un’associazione per condividere informazioni sugli attacchi, l’Healthcare Cyber Security Center, aperta da settembre agli ospedali con mandato pubblico.

Il punto cieco: la clinica privata è sola.

Una clinica estetica, dentistica o di longevità che non figura nell’elenco cantonale degli ospedali, in generale, non ha l’obbligo di segnalare e non può entrare nell’associazione creata dagli ospedali. Può segnalare volontariamente all’ufficio, ed è utile saperlo. Ma non condivide informazioni con nessuno in modo automatico, e i suoi fornitori, per il sito, le prenotazioni, il chatbot o il CRM, hanno spesso più accesso di quanto sia annotato da qualche parte.

La legge stessa riconosce il rischio: tra i soggetti tenuti a segnalare include i produttori di software con accesso di manutenzione remota. Se il legislatore considera quell’accesso una porta da sorvegliare in un ospedale, lo è anche in una clinica privata.

La Sua clinica è sicura quanto il fornitore meno sorvegliato che ne ha una chiave.

La mia posizione.

Credo che una clinica privata dovrebbe chiedere ai suoi fornitori digitali ciò che l’istituto raccomanda agli ospedali: requisiti di sicurezza scritti nel contratto prima dell’acquisto, test regolari, aggiornamenti tempestivi, la rete dei pazienti separata da quella di lavoro e nessun accordo di riservatezza che impedisca di avvisare chi di dovere. E un elenco sempre aggiornato di chi ha accesso a che cosa. Il sito e il modulo di contatto ne fanno parte, perché è da lì che entrano i dati sanitari. La sicurezza non si compra con il software. Si pretende nel contratto e si verifica dopo.

Se la Sua clinica sia tenuta a segnalare lo conferma su richiesta lo stesso ufficio, oppure il Suo studio legale. Non sono un avvocato, e questa nota non sostituisce quella consulenza.

Che cosa verificherei.

• L’elenco degli accessi. Quali fornitori possono entrare nei Suoi sistemi, con quale account e da dove.
• I contratti. Se prevedono requisiti di sicurezza, tempi di correzione e l’obbligo di segnalarLe un incidente.
• Le clausole di silenzio. Se un accordo Le impedisce di comunicare una falla ad altri interessati o alle autorità.
• Il modulo del sito. Dove vengono conservati i dati lasciati da un paziente e chi può vederli.
• Il piano delle 24 ore. Chi chiama la clinica se qualcosa si guasta di sabato e chi decide di segnalarlo.

Da dove cominciare.

1. Questa settimana

   Fare l’elenco

   Ogni fornitore con accesso ai Suoi sistemi, al Suo sito o ai Suoi dati, e quale accesso ha.

2. Questo mese

   Leggere i contratti

   Sicurezza, segnalazione degli incidenti e riservatezza, fornitore per fornitore.

3. Questo trimestre

   Chiudere le porte

   Togliere gli accessi che nessuno usa e separare la rete dei pazienti da quella di lavoro.

4. Ogni anno

   Testare

   Un test di sicurezza indipendente del sito e dei sistemi che trattano dati dei pazienti.

Una domanda per il prossimo comitato: se domani il Suo fornitore di software clinico scoprisse una vulnerabilità grave, quanto tempo ci metterebbe Lei a saperlo? E da chi: dal fornitore, dalla stampa o da un paziente?

E un’altra che quasi nessuno fa ad alta voce: quante persone che non lavorano nella Sua clinica possono entrare oggi nei Suoi sistemi, e quando qualcuno ha controllato quell’elenco l’ultima volta?

Se vuole che verifichi da dove entrano oggi i dati dei Suoi pazienti nel Suo sito e chi altro li tocca, cominci dalla Diagnosi strategica. Quali fornitori mantenere e a quali condizioni lo decide la direzione della Sua clinica, non un designer.