Direttiva UE NIS2: Guida pratica alla conformità per organizzazioni farmaceutiche e delle scienze della vita

La cybersecurity è diventata silenziosamente una delle sfide di conformità più pressanti nell'industria farmaceutica. I sistemi di produzione vengono interrotti da ransomware. I database degli studi clinici sono presi di mira per il furto di proprietà intellettuale. Le piattaforme di serializzazione vanno offline durante un attacco, interrompendo le catene di approvvigionamento da un giorno all'altro. L'UE ha riconosciuto questo rischio crescente e ha risposto con la Direttiva NIS2, un significativo aggiornamento del quadro Network and Information Security che ha conseguenze dirette e di ampia portata per il settore farmaceutico.

NIS2 (Directive 2022/2555) è entrata in vigore il 16 gennaio 2023, e gli Stati membri dell'UE dovevano recepirla nella legislazione nazionale entro il 17 ottobre 2024. Per i produttori farmaceutici, le aziende biotech, i produttori di dispositivi medici e le organizzazioni contrattuali che operano nell'UE, questo non è più un aspetto futuro. L'applicazione è attiva, gli obblighi sono vincolanti e la direzione aziendale è personalmente responsabile.

Questa guida spiega cosa significa concretamente la NIS2 per il settore delle scienze della vita, dalla sicurezza dei sistemi GxP agli obblighi di segnalazione in farmacovigilanza.

Perché il settore farmaceutico non può considerare la NIS2 come una semplice normativa IT in più

L'industria farmaceutica opera già in uno degli ambienti normativi più esigenti al mondo, con GMP, GCP, GDP, linee guida ICH, aspettative dell'EMA e requisiti di integrità dei dati che impongono notevoli oneri ai team qualità e IT. La NIS2 aggiunge un nuovo livello, ma si sovrappone anche a obblighi che le aziende farmaceutiche già hanno.

Un incidente di cybersecurity in un'organizzazione farmaceutica non è solo un problema IT. Può determinare una deviazione GMP se i sistemi di esecuzione produzione (MES) vengono compromessi. Può compromettere l'integrità dei dati elettronici degli studi clinici, sollevare questioni di conformità GCP e, nei casi peggiori, influire sulla sicurezza dei pazienti se i sistemi di rilascio del prodotto o le piattaforme di monitoraggio della catena del freddo vengono disabilitati. La NIS2 formalizza il dovere di proteggere questi sistemi e di segnalare quando qualcosa va storto.

Ransomware, furto di IP, attacchi alla catena di fornitura: il pharma è già un obiettivo primario. Ecco come appare realmente il panorama delle minacce.

→ Leggi: Cybersecurity nel settore farmaceutico | 5 minacce che non puoi ignorare

Quali organizzazioni farmaceutiche rientrano nella NIS2?

La NIS2 classifica le organizzazioni in due livelli in base al settore e alle dimensioni.

Entità essenziali nel settore farmaceutico includono:

1. Produttori di prodotti farmaceutici e di API (active pharmaceutical ingredients), in particolare quelli la cui interruzione avrebbe un significativo impatto sulla salute pubblica
2. Produttori di dispositivi medici critici (Classe IIa, IIb e III secondo EU MDR)
3. Fornitori di assistenza sanitaria, inclusi gli ospedali, che gestiscono siti di sperimentazione clinica

Entità importanti nel settore farmaceutico includono:

1. Produttori di dispositivi medici al di sotto della soglia critica
2. Organizzazioni di produzione a contratto (CMO) e organizzazioni di sviluppo e produzione a contratto (CDMO)
3. Organizzazioni di ricerca a contratto (CRO) che gestiscono dati clinici e operazioni di trial
4. Grossisti e distributori farmaceutici soggetti agli obblighi GDP
5. Istituti di ricerca e aziende biotech al di sopra della soglia dimensionale

La soglia generale di dimensione è per organizzazioni con 50 o più dipendenti e un fatturato annuo superiore a €10 millioni. Tuttavia, per alcuni settori, in particolare quelli in cui un'interruzione potrebbe avere conseguenze immediate per la salute pubblica, le autorità nazionali possono applicare la NIS2 indipendentemente dalle dimensioni.

NIS2 vs obblighi normativi farmaceutici esistenti: dove si sovrappongono

Questa sovrapposizione è sia un'opportunità sia una responsabilità. Le aziende farmaceutiche che già gestiscono sistemi di gestione della qualità maturi hanno una base su cui costruire. Tuttavia, NIS2 richiede una governance della cybersecurity formalizzata che va oltre quanto richiesto dalla maggior parte dei framework QMS attuali.

Sistemi GxP critici su cui NIS2 ha un impatto diretto

Le organizzazioni farmaceutiche si basano su sistemi digitali interconnessi che ora rientrano esplicitamente nel campo di applicazione di NIS2. Questi includono:

1. Sistemi di esecuzione della produzione (MES) — controllano direttamente la produzione dei lotti e sono soggetti all'Allegato 11 GMP; un attacco ransomware che colpisce i MES può fermare la produzione e generare non conformità GMP
2. Sistemi di gestione delle informazioni di laboratorio (LIMS) — contengono dati di test analitici e decisioni di rilascio; l'integrità dei dati LIMS è una preoccupazione diretta per l'integrità dei dati.
3. Sistemi di gestione elettronica dei documenti (EDMS) — contengono SOP, protocolli di validazione e sottomissioni regolatorie.
4. File master di prova elettronici (eTMF) — documentazione dei trial clinici che i regolatori possono ispezionare in qualsiasi momento
5. Banche dati di Farmacovigilanza — interruzioni o violazioni nei sistemi PV possono ritardare le sottomissioni ICSR e la reportistica PSUR/PBRER.
6. Piattaforme di serializzazione e tracciabilità (Track-and-Trace) — richieste dalla EU Falsified Medicines Directive; un guasto di cybersecurity qui ha conseguenze dirette sulla supply chain e sulla conformità
7. ERP e sistemi di gestione della supply chain — governano approvvigionamento, distribuzione e controllo degli stock

Ognuno di questi sistemi deve ora essere valutato, protetto e coperto da un piano di risposta agli incidenti documentato ai sensi di NIS2.

Ogni strumento SaaS GxP su cui fai affidamento è ora una superficie di rischio NIS2.

Ecco come valutare i fornitori prima che diventino una tua responsabilità.

→ Leggi: Scegliere il giusto fornitore SaaS GxP | Guida completa

L'obbligo di segnalazione degli incidenti — Cosa significa per il settore farmaceutico

NIS2 introduce un processo strutturato di segnalazione degli incidenti in tre fasi che le organizzazioni farmaceutiche devono seguire quando si verifica un incidente significativo:

Fase 1 — Allerta precoce (entro 24 ore): Notificare il CSIRT nazionale pertinente (Computer Security Incident Response Team) o l'autorità competente che si è verificato o è sospettato un incidente informatico significativo.

Fase 2 — Notifica dell'incidente (entro 72 ore): Inviare una notifica completa comprendente la natura dell'incidente, i sistemi interessati, la valutazione iniziale dell'impatto e gli indicatori di compromissione.

Fase 3 — Rapporto finale (entro un mese): Fornire un rapporto completo sull’incidente che copra la causa principale, le azioni di rimedio intraprese e eventuali implicazioni transfrontaliere o per la sanità pubblica.

Per il settore farmaceutico, un incidente significativo è quello che provoca o rischia di provocare gravi interruzioni operative — che in questo settore potrebbe significare il rilascio ritardato di lotti, dati clinici compromessi o l’interruzione della segnalazione della farmacovigilanza. Vale la pena notare che la segnalazione di incidenti ai sensi di NIS2 corre parallelamente, ma non sostituisce, gli obblighi esistenti come i tempi di presentazione delle ICSR ai sensi della normativa sulla farmacovigilanza, la segnalazione di incidenti GDP o la gestione delle deviazioni GMP.

Responsabilità della direzione: ciò che i dirigenti farmaceutici devono ora assumersi

NIS2 attribuisce responsabilità legali dirette agli organi di governo, che in un’azienda farmaceutica significano il consiglio di amministrazione, l’AD, il Chief Quality Officer e i dirigenti di pari livello. Ai sensi di NIS2, queste persone devono:

1. Approvare formalmente le misure di gestione del rischio informatico dell’organizzazione
2. Sovrintendere all’attuazione e mantenere consapevolezza continua
3. Seguire regolarmente formazione sulla cybersecurity pertinente al loro ruolo

Se si verifica un incidente significativo e si può dimostrare che la direzione non ha implementato misure adeguate o ha ignorato rischi noti, le autorità nazionali possono ritenere personalmente responsabili tali individui. Nei casi gravi possono essere imposte interdizioni temporanee dall’esercizio delle funzioni di gestione.

Per le aziende delle scienze della vita, questo pone la cybersecurity accanto a GMP e integrità dei dati come questione di governance a livello di consiglio, non qualcosa che può essere interamente delegato all’IT o al CISO.

Checklist specifica NIS2 per il settore farmaceutico

1.  Determinare se la vostra organizzazione rientra tra le Entità Essenziali o Importanti secondo la normativa di recepimento del vostro Stato membro.
2.  Registrarsi presso l’autorità nazionale competente pertinente se richiesto
3.  Assegnare la responsabilità a livello di consiglio per la gestione del rischio informatico
4.  Condurre una valutazione formale del rischio che copra tutti i sistemi computerizzati rilevanti per GxP (MES, LIMS, eTMF, database PV, ERP)
5.  Mappare i requisiti di sicurezza di NIS2 rispetto all’attuale Allegato 11, ICH Q9 e controlli QMS, identificare le lacune
6.  Istituire o aggiornare una procedura di risposta agli incidenti informatici allineata alle tempistiche di segnalazione 24 ore/72 ore/1 mese
7.  Valutare il rischio informatico di terze parti e della supply chain, inclusi CMO, CDMO, CRO e fornitori di servizi cloud
8.  Implementare l’autenticazione multi-fattore su tutti i punti di accesso ai sistemi critici
9.  Rivedere la documentazione CSV/CSA per garantire che i requisiti di sicurezza siano catturati nei cicli di vita di validazione
10.  Aggiornare i piani di continuità operativa e disaster recovery per affrontare specificamente le interruzioni legate alla cybersecurity
11.  Erogare formazione documentata sulla cybersecurity a tutto il personale, con contenuti specifici per ruolo per la direzione senior
12.  Considerare l’interazione tra la segnalazione di incidenti NIS2 e gli obblighi esistenti di farmacovigilanza, GDP e segnalazione delle deviazioni GMP

Sanzioni e applicazione

Le autorità nazionali dispongono ora di poteri di vigilanza attivi. Le entità essenziali sono soggette a supervisione proattiva (ex ante); audit e ispezioni possono avvenire in qualsiasi momento senza attendere un incidente. Le entità importanti sono soggette a supervisione reattiva (ex post), tipicamente avviata da un incidente o da elementi che evidenziano non conformità.

Le sanzioni amministrative massime sono:

1. Entità essenziali: fino a €10,000,000 o il 2% del fatturato annuo mondiale totale (quale valore sia maggiore)
2. Entità importanti: fino a €7,000,000 o l’1,4% del fatturato annuo mondiale totale (quale valore sia maggiore)

Oltre alle sanzioni finanziarie, una constatazione normativa di non conformità a NIS2 potrebbe sollevare preoccupazioni durante le ispezioni GMP o GDP, in particolare quando la lacuna di cybersecurity influisce direttamente sull’integrità dei dati o della catena di fornitura.

Il punto di partenza pratico

Per la maggior parte delle organizzazioni farmaceutiche, il passo iniziale più efficace è una valutazione strutturata delle lacune che mappi i controlli di cybersecurity esistenti rispetto ai requisiti NIS2 e incroci con gli obblighi GxP esistenti. Molti dei componenti fondamentali — gestione del rischio, change control, qualificazione dei fornitori, validazione e formazione — esistono già all’interno di un QMS ben gestito. Il compito è estenderli e formalizzarli per soddisfare le specifiche esigenze di NIS2.

È inoltre consigliabile interagire precocemente con la vostra autorità nazionale competente. Diversi Stati membri UE hanno pubblicato linee guida specifiche per il settore sanitario e farmaceutico e alcuni offrono strumenti di autovalutazione per aiutare a determinare l’applicabilità e l’ambito.

FAQ

1. NIS2 si applica alle aziende farmaceutiche?

Sì. I produttori farmaceutici, i produttori di dispositivi medici, i CMO, i CDMO e i CRO che operano nell’UE sono coperti da NIS2 come Entità Essenziali o Importanti, a seconda del settore e della dimensione.

2. Come si rapporta NIS2 all’Allegato 11 GMP nel settore farmaceutico?

NIS2 e l’Allegato 11 si sovrappongono in modo significativo — entrambi trattano la sicurezza dei sistemi computerizzati, i controlli di accesso e l’integrità dei dati. NIS2 estende questi obblighi includendo la governance formale della cybersecurity, la segnalazione degli incidenti e la responsabilità a livello di consiglio.

3. Quali sistemi GxP sono maggiormente a rischio ai sensi di NIS2?

I sistemi di esecuzione della produzione (MES), i LIMS, i database di farmacovigilanza, gli eTMF, le piattaforme di serializzazione e i sistemi ERP sono tutti in ambito e devono essere coperti da misure documentate di sicurezza e risposta agli incidenti.

4. Quali sono i termini di notifica previsti da NIS2 per un incidente informatico?

Le organizzazioni devono inviare un avviso preliminare entro 24 ore, una notifica completa dell’incidente entro 72 ore e un rapporto finale dettagliato entro un mese dalla rilevazione di un incidente significativo.

5. I dirigenti delle aziende farmaceutiche possono essere ritenuti personalmente responsabili ai sensi di NIS2? 

Sì. NIS2 introduce la responsabilità personale diretta per l’alta dirigenza, compresi i membri del consiglio, che non approvino e non sovrintendano a misure di cybersecurity adeguate. In casi gravi possono essere imposti divieti temporanei di ricoprire incarichi direttivi.