NIS2 nel settore Life Science: 
come organizzarsi?

Parlare di normative nel settore Life Science è inevitabile: la produzione di farmaci è fortemente disciplinata per garantire la qualità, la sicurezza e l’efficacia dei prodotti, tutelando così la salute dei pazienti.

Tuttavia, l’avvento delle NIS2 non è stato accolto con particolare entusiasmo dagli operatori del settore farmaceutico: nuove procedure, verifiche e documentazione da gestire.

Ma con reati informatici sempre più diffusi, i governi europei sono obbligati ad imporre alle aziende dei principali settori economici di alzare le difese ed allinearsi con gli standard di sicurezza più elevati.

La direttiva europea richiede infatti alle aziende che rientrano nei settori definiti critici (tra cui il farmaceutico) di garantire che la sicurezza digitale diventi una priorità e sia inserita nella “quotidianità” delle operation.

Cosa richiede la NIS2 per il Life Science?

La NIS 2 impone per le aziende del settore Life Science, ma non solo, obblighi sia tecnologici che organizzativi: la sicurezza informatica può esser garantita solamente dell’unione di implementazioni tecnologicamente moderne e “secure by design” con adeguate procedure e formazione per il personale.

I principali requisiti NIS possono essere così riassunti:

• Attribuzione di ruoli e responsabilità: la cybersecurity deve diventare un obiettivo quotidiano all’interno delle aziende, a partire dal management.
• Misure tecniche di sicurezza: i sistemi e la reti devono esser implementati e manutenuti, includendo meccanismi di controllo degli accessi, protezione dei dati, procedure di back up\recovery e monitoraggio\log degli eventi.
• Gestione del rischio: analizzare periodicamente le vulnerabilità e le conseguenze di un attacco, per redigere piani di mitigazione del rischio ed aggiornamento dei sistemi sempre aggiornati.
• Garanzia di continuità operativa: implementare architetture resilienti che garantiscano la continuità operativa delle funzioni essenziali e dotarsi di procedure di disaster recovery.
• Gestione e notifica degli incidenti: identificare tempestivamente un incidente e reagire applicando piani di recupero. Inoltre è obbligatorio notificare a CSIRT/ACN (ente per la sicurezza informatica) gli incidenti significativi.
• Sicurezza della catena di fornitura: verificare che i propri fornitori rispettino requisiti di sicurezza anche qualora non fossero direttamente sottoposti a NIS2.
• Formazione del personale: sensibilizzare il personale sui rischi cyber e fornire formazione periodica sulle buone pratiche di sicurezza.

Cos'ha la NIS 2 in più,
rispetto alle norme già esistenti?

Le normative come 21 CFR part 11 o Annex 11 includono già diverse delle buone pratiche di sicurezza: la verifica e il log degli accessi, la tutela dell’integrità dei dati, la gestione del rischio e pratiche di back up e disaster recovery. La NIS ha un’applicabilità più estesa: non si limita alle aree sottoposte a GMP, ma copre l’intera infrastruttura di comunicazione informatica. 

Le normative farmaceutiche "base" garantiscono l'accuratezza e l’integrità dei dati; la NIS2 garantisce la sicurezza dei sistemi che li detengono e della rete in cui essi operano.

Come gestire l’implementazione di nuovi progetti NIS2 nel settore Life Science?

Per supportare le aziende del Life Science sottoposte a NIS2 a dotarsi di tecnologie adeguate, in linea con i principi di cyber security, l’autorità europea ha introdotto il Cyber Resilience Act (CRA) che si applica a tutti i produttori e fornitori di tecnologia che commercializzano dispositivi digitali all’interno dell’Unione Europea.

👉Cyber Resilience Act (CRA): cosa cambia per le aziende in Europa

Cosa richiede il CRA?

A partire da Dicembre 2027, tutti i dispositivi digitali commercializzati in EU devono aver ottenuto il marchio CE di conformità. Per ottenere il marchio, il fornitore deve dimostrare di aver rispettato i requisiti CRA. L’obiettivo è chiaro: assicurarsi che le tecnologie utilizzate in Europa implementino e dimostrino la propria rispondenza alle necessità di sicurezza informatica.

I requisiti chiave del CRA si possono riassumere in:

• Prodotti “Secure by design”: ogni funzionalità del dispositivo deve essere sviluppata valutando sempre anche la sua sicurezza.
• Misure tecniche di sicurezza: devono esser garantiti meccanismi di sicurezza nativi, in linea con i requisiti NIS2, come la gestione degli accesi e la protezione dei dati.
• Gestione delle vulnerabilità: il prodotto deve essere esente da vulnerabilità note ed il fornitore deve periodicamente verificare l’effettiva sicurezza del prodotto ed eventualmente rilasciare i dovuti aggiornamenti.
• Garanzia sul ciclo di vita del prodotto: ogni fornitore deve garantire 5 anni di supporto e aggiornamenti cyber. Il ciclo di vita e manutenzione deve essere condiviso in una documentazione dedicata e deve essere garantita la fornitura di patch di sicurezza.
• Documentazione: i fornitori devo produrre una documentazione sulle pratiche di installazione ed utilizzo sicuro del prodotto. Inoltre, per le soluzioni software, si deve condividere la software Bill of Material (sBOM) con tutti i componenti terzi utilizzati.
• Denuncia delle vulnerabilità: in caso di incidenti, il produttore deve informare tempestivamente l’autorità per la Cyber Secuirity della nuova vulnerabilità ed agire per la sua risoluzione informando i clienti.

Grazie alla CRA, gli operatori farmaceutici hanno ora un mezzo un più per garantire che le soluzioni adottate siano in linea con gli obblighi di sicurezza e che i propri fornitori offrano il corretto supporto per un tempo garantito.

Come gestire la base installata?

A partire da Dicembre 2027, la CRA garantirà che le tecnologie acquistate siano in linea con i requisiti di sicurezza. Ma cosa fare oggi con la propria base installata?

🔎Cyber Resilience Act: Come puoi preparare il tuo SCADA?

Nel settore Life Science il processo di validazione delle soluzioni sotto GMP richiede un importate impegno: un cambio di tecnologia o anche solo un aggiornamento di versione generano un nuovo processo, che richiede risorse. Questo porta spesso gli operatori farmaceutici a diluire il più possibile nel tempo l’implementazione di aggiornamenti significativi. Tuttavia i sistemi sottoposti a GMP hanno una serie di meccanismi nativi di sicurezza, monitoraggio e procedure di backup\rispostino che mitigano, in parte, i rischi.

Come trovare il giusto equilibrio?

Occorre ricordare che la NIS2 si applica su tutta la base installata, anche quella non sottoposta direttamente a GMP, come le “black utilities”. Queste, non avendo gli stessi obblighi normativi GMP, rischiano di essere un punto debole nella rete.

La raccomandazione principale è quella di dimostrare di avere la “situazione sotto controllo” attraverso il monitoraggio e una costante analisi dei rischi. Come?

• Censimento completo di tutte le tecnologie utilizzate, con le relative versioni. Questo include anche tecnologie “embedded” nelle soluzioni non sempre evidenti (da qui l’importanza della sBOM).
• Verifica dei fornitori di questi sistemi e monitoraggio delle soluzioni che si stanno avvicinando alla fine del supporto, per rivelare dove si è maggiormente esposti.
• Risk assessment per evidenziare criticità relative alle vulnerabilità note e alle possibili conseguenze.
• Coinvolgimento de i fornitori per avere evidenza del loro piano di compliance verso la CRA e dell’attuale attenzione verso le vulnerabilità.

Da qui, come richiede la NIS2, si può redigere un piano di mitigazione dei rischi con un programma di manutenzione o aggiornamento delle soluzioni con le relative priorità.

Se da un lato è evidente che non è possibile aggiornare tutto e subito, dall’altro è fondamentale avere un piano d’azione. I sistemi più critici non possono attendere oltre il fine vita del prodotto e necessitano di azioni nel breve periodo. Altri sistemi possono essere isolati, monitorati da vicino e accettati come rischio gestito. La chiave è fare scelte consapevoli, invece di lasciarsi andare verso la non conformità a causa di mancanza di decisioni.

L’importanza dei fornitori nella cyber security

Sul tema della cyber security è fondamentale coinvolgere i fornitori. Le normative stesse impongono di verificare la catena di fornitura: sia la NIS che il CRA, richiedendo infatti esplicitamente di condividere documenti come la sBOM.

Il coinvolgimento deve essere si formale, inserendo nei capitolati di fornitura esplicite richieste di rispetto dei requisiti di sicurezza, ma anche operativi. La sicurezza non può limitarsi alla verifica di un acquisto tecnologicamente “sicuro”.

Il settore farmaceutico utilizza spesso soluzioni tecnologiche sviluppate “ad hoc” e che si inseriscono in architetture complesse ed articolate. Risulta quindi fondamentale una collaborazione proattiva tra cliente e fornitore nel verificare e documentare quelle che devono essere le migliori pratiche di utilizzo e manutenzione dei sistemi lungo tutto il loro ciclo di vita.

È essenziale ingaggiare da subito i fornitori di tecnologia e saper individuare quelli che su questo tema dimostrano competenza e impegno proattivo, verificando anche a che punto sono con il percorso di certificazione CRA.

Cosa si pone AVEVA sul tema Cyber Security?

AVEVA è un fornitore globale di tecnologia software industriale selezionato da numerose aziende in ambito Life Science nel mondo proprio per la sua capacità di fornire tecnologia allineata con le normative di settore.

AVEVA ha già iniziato da molto tempo ad affrontare il tema della cyber security:

• Tutti i centri di ricerca e sviluppo AVEVA hanno raggiunto la certificazione IEC 62443-4-1 dedicata a chi sviluppa tecnologia industriale. La certificazione, validata da un ente esterno, viene periodicamente aggiornata.
• Il ciclo di vita di tutte le soluzioni AVEVA è documentato in “Software Lifecycle and Retirement Policy”. Oltre al percorso standard minimo di 5 anni di manutenzione, viene implementata anche una versione “Extended” che fornisce 7 anni di manutenzione della specifica versione.
• AVEVA fornisce l'accesso strutturato a tutta la sua documentazione di prodotto, con linee guida dedicate alle best practice implementative di Cyber Security.
• AVEVA ha intrapreso un'importante analisi di tutte le librerie esterne, valutandole dal punto di vista di sicurezza e manutenzione. Per alcuni prodotti (es. System Platform) già si condivide la sBOM.
• Attraverso il portale Security Central di AVEVA è disponibile lo stato di verifica degli aggiornamenti Microsoft, aggiornato ogni 15 giorni.
• AVEVA sta sviluppando tutte le nuove versioni dei suoi prodotti affinché siano tutti disponibili con l’etichetta di conformità CE e quindi conformi al CRA.
  🔎Qui la posizione ufficiale di AVEVA:
  https://www.aveva.com/en/legal/policies-compliance/eu-cyber-resilience-act/
• AVEVA ha istituito internamente i processi e le figure responsabili che garantiscono l’attuazione degli obblighi CRA, tra cui la notifica tempestiva in caso di scoperta di vulnerabilità e la relativa diffusione di Alert e dei metodi di risoluzione e mitigazione dei rischi.

Come fornitore globale di tecnologia, AVEVA, oltre alle normative europee, sta proattivamente monitorando l’evoluzione di altre direttive nel resto del mondo. L’impegno è quello di validare la propria tecnologia verso tutte le normative dei principali paesi, garantendo l’utilizzo sicuro dei propri software ovunque.

Per un’azienda farmaceutica con più siti nel mondo o per un costruttore di macchine che opera a livello globale, questo significa che la scelta della tecnologia AVEVA porta a lavorare con un partner che è in grado di supportati in tutte le tue implementazioni.

Conclusioni

La NIS2 rinforza gli obblighi di cybersecurity degli operatori farmaceutici che operano in Europa. Tutte le aziende farmaceutiche di medie e grandi dimensioni devono ora considerare la cybersecurity come una priorità aziendale, con una gestione del rischio documentata, implementazione di misure tecniche e verifica dei fornitori.

Attraverso la normativa CRA, le aziende hanno uno strumento per verificare che i propri fornitori di tecnologia siano allineati sulla priorità di sicurezza. Tuttavia, limitarsi ad una semplice verifica amministrativa dei requisiti non è sufficiente. La chiave sta nel scegliere fornitori che dimostrano un impegno proattivo su questo tema, in grado di diventare partner.

Nessuna soluzione può essere sicura al 100% sempre, occorre un lavoro di monitoraggio costante e condivisione trasparente delle informazioni. AVEVA ha scelto di trasformare gli obblighi derivanti dal CRA in un’opportunità per distinguersi sul mercato.

Per questo Factory Software, rivenditore esclusivo dei prodotti AVEVA in Europa, è il parter giusto per supportare le aziende del Life Science nel loro percorso di digitalizzazione. 

Leggi anche

🔎Perché i dati industriali sono essenziali per il settore Life Science?

🔎Come l'industria farmaceutica sta accelerando la digitalizzazione delle operation:
4 casi d’uso reali