Il caso fentanyl e la nuova frontiera della resilienza sanitaria

Perché il furto all’Ospedale Israelitico ci obbliga a ripensare il modello di sicurezza delle strutture sanitarie

Il furto di ottanta fiale di fentanyl dall’Ospedale Israelitico di Roma ha inevitabilmente catalizzato l’attenzione dell’opinione pubblica, delle istituzioni e degli operatori del settore. La rilevanza della sostanza sottratta, la convocazione di una riunione d’urgenza a Palazzo Chigi e l’avvio delle indagini da parte dei NAS testimoniano la gravità dell’accaduto.
Come sempre avviene in questi casi, il dibattito si è concentrato soprattutto su chi abbia materialmente sottratto il farmaco e sulle modalità con cui ciò sia stato possibile. È un approccio comprensibile, ma rischia di lasciare sullo sfondo la questione più importante.

La vera domanda non è chi abbia rubato il fentanyl.

La vera domanda è se il sistema di sicurezza di una moderna organizzazione sanitaria sia oggi progettato per affrontare minacce sempre più diverse, ma accomunate dalla capacità di compromettere un servizio essenziale.
È una domanda che va ben oltre il singolo episodio e che investe direttamente il nuovo concetto di resilienza introdotto dalla normativa europea.

Caso fentanyl: i limiti di un modello superato di come affrontare la sicurezza di un’organizzazione sanitaria 

Per molti anni abbiamo affrontato la sicurezza attraverso compartimenti distinti. Da una parte la sicurezza fisica, dall’altra la sicurezza informatica. In un’altra area ancora la prevenzione incendi, la gestione del farmaco, la sicurezza sul lavoro, la tutela del patrimonio, la continuità operativa.
Ogni rischio veniva gestito secondo logiche proprie, con professionalità dedicate e procedure spesso poco integrate tra loro.
Oggi questo modello mostra tutti i suoi limiti.

Un ospedale può disporre dei migliori sistemi di protezione informatica, essere dotato di firewall di ultima generazione, autenticazione multifattore, monitoraggio continuo, Security Operations Center, backup ridondati e procedure di risposta agli incidenti. Tutto questo è indispensabile.
Ma sarebbe sufficiente a impedire la sottrazione di un farmaco ad altissimo rischio?
Evidentemente no.

Allo stesso modo, una farmacia perfettamente protetta non garantisce automaticamente la continuità del servizio se un ransomware blocca i sistemi clinici, se un incendio rende inutilizzabile un reparto, se vengono sottratte apparecchiature diagnostiche o se il personale sanitario subisce un numero crescente di aggressioni.
È qui che emerge il vero significato della resilienza.

Il vero significato della resilienza e il punto d’incontro tra NIS e CER 

La resilienza non si misura dalla minaccia subita, ma dalla funzione che l’organizzazione riesce comunque a garantire.
Questa affermazione rappresenta, probabilmente, il punto di incontro tra la Direttiva NIS2 e la Direttiva CER.
La prima ha rafforzato la governance della cybersicurezza delle organizzazioni essenziali e importanti. La seconda amplia ulteriormente la prospettiva, chiedendo agli enti critici di garantire la continuità dei servizi essenziali indipendentemente dall’origine della minaccia.
Il punto centrale, quindi, non è stabilire se un evento appartenga alla sicurezza fisica o alla cybersicurezza.
Il punto centrale è comprendere se quell’evento sia in grado di interrompere o degradare un servizio essenziale.

Caso fentanil: caso di studio sulla resilienza organizzativa e la necessità di un salto culturale 

Sotto questo profilo il caso del fentanyl assume un significato che va oltre il procedimento giudiziario.
Non è soltanto un problema di sottrazione di un bene patrimoniale.
È un evento che richiama l’attenzione sulla

• custodia degli stupefacenti,
• sulla tracciabilità delle movimentazioni,
• sul controllo degli accessi,
• sul rischio insider,
• sulla segregazione delle funzioni,
• sulla videosorveglianza,
• sulle procedure di consegna e prelievo,
• sull’audit dei processi e, più in generale,
• sulla governance della sicurezza.

In altre parole, rappresenta un caso di studio sulla resilienza organizzativa.

Per verificare se ci troviamo realmente di fronte a un episodio isolato ho ricostruito un primo censimento ragionato degli eventi che, negli ultimi anni, hanno interessato il sistema sanitario italiano.
Il quadro che emerge è particolarmente significativo.
Le strutture sanitarie risultano esposte contemporaneamente a furti di farmaci ad alto valore economico, sottrazione di sostanze stupefacenti, furti di apparecchiature medicali, attacchi ransomware, violazioni massive di dati sanitari, incendi con evacuazione degli ospedali e aggressioni nei confronti del personale.
Sono eventi molto diversi tra loro.
Eppure, producono lo stesso effetto: mettono a rischio la continuità dell’assistenza sanitaria.
È proprio questa la ragione per cui ritengo che il dibattito sulla sicurezza sanitaria debba compiere un salto culturale.

Il salto culturale: esiste una sola sicurezza 

Non possiamo più continuare a parlare di sicurezza fisica, cybersicurezza, sicurezza del farmaco, sicurezza del personale o antincendio come mondi separati.
Esiste una sola sicurezza.
È la capacità dell’organizzazione di continuare a svolgere la propria funzione essenziale nonostante il verificarsi di eventi avversi, qualunque sia la loro origine.

Forse questa è la lezione più importante che possiamo trarre dal caso del fentanyl.
Le indagini chiariranno come siano andati i fatti e accerteranno eventuali responsabilità.

Ma, indipendentemente dal loro esito, una riflessione appare già oggi inevitabile: la resilienza non nasce dalla somma di misure specialistiche, bensì dalla loro integrazione all’interno di un unico modello di governo del rischio.
È questa, probabilmente, la vera sfida che attende la sanità italiana negli anni dell’attuazione della NIS2 e della CER.

Censimento ragionato degli eventi rilevanti che hanno interessato il sistema sanitario italiano (2017–2026)