Un hospital és avui un sistema d'informació amb llits al voltant: si els sistemes cauen, es desprogramen quiròfans i es desvien ambulàncies. La ciberseguretat sanitària descansa en dos marcs. L'Esquema Nacional de Seguretat obliga el sector públic i els qui li presten serveis. La Directiva NIS2 tracta la sanitat com a sector d'alta criticitat, però a finals d'octubre de 2026 Espanya encara no l'ha incorporada amb una llei pròpia.

Per què la sanitat és un objectiu

La Directiva NIS2 inclou la sanitat entre els sectors d'alta criticitat del seu annex I ². Ja ho feia la norma anterior: el Reial decret llei 12/2018 va situar la salut en el primer grup de sectors estratègics els serveis essencials dels quals s'havien d'identificar abans del 9 de novembre de 2018, juntament amb l'energia, el transport, el sistema financer, l'aigua i les infraestructures digitals ⁴. I defineix el servei essencial com el necessari per al manteniment de funcions socials bàsiques, entre les quals la salut, que depèn de xarxes i sistemes d'informació ⁴.

La raó és doble. Un centre sanitari guarda les dades personals més sensibles, que serveixen per extorsionar. I el seu servei no es pot aturar: qualsevol interrupció afecta la vida de les persones.

L'Esquema Nacional de Seguretat

L'ENS vigent el regula el Reial decret 311/2022, de 3 de maig, en vigor des del 5 de maig de 2022, que va derogar el Reial decret 3/2010 ¹. S'aplica a tot el sector públic i també a les entitats del sector privat que «prestin serveis o proveeixin solucions a les entitats del sector públic» (art. 2) ¹. En sanitat, això abasta el servei de salut i els seus hospitals públics, però també l'empresa que allotja la seva història clínica al núvol o en manté el sistema de laboratori.

Quan el sistema tracta dades personals, l'ENS conviu amb l'RGPD i la LOPDGDD; si l'anàlisi de riscos o l'avaluació d'impacte exigeixen mesures més estrictes, prevalen aquestes (art. 3) ¹.

Principis, requisits i categories

L'ENS es construeix en tres capes ¹:

• Principis bàsics (art. 5): la seguretat com a procés integral, la gestió basada en els riscos, la prevenció, detecció, resposta i conservació, les línies de defensa, la vigilància contínua, la reavaluació periòdica i la diferenciació de responsabilitats.
• Requisits mínims (art. 12): quinze, entre els quals l'organització de la seguretat, l'anàlisi de riscos, la gestió del personal, el control d'accessos, el registre d'activitat, la gestió d'incidents, la continuïtat de l'activitat i la millora contínua.
• Categories (art. 40): cada sistema es classifica en categoria bàsica, mitjana o alta segons l'impacte que tindria un incident sobre cinc dimensions: disponibilitat, autenticitat, integritat, confidencialitat i traçabilitat.

Font: Reial decret 311/2022 ¹. Les declaracions i certificacions s'han de publicar ¹. Els sistemes que ja existien tenien 24 mesos per adequar-se (disposició transitòria única) ¹.

Un sistema d'història clínica, del qual depèn l'assistència i que guarda dades de salut, tendirà a les categories més altes pel seu impacte en disponibilitat i confidencialitat. La categoria concreta la fixa cada organització en la seva anàlisi.

Qui respon a un incident

L'ENS encarrega al CCN-CERT, del Centre Criptològic Nacional, articular la resposta als incidents: les entitats del sector públic li notifiquen els que tinguin un impacte significatiu, i les organitzacions privades que els presten serveis notifiquen a l'INCIBE-CERT (art. 33) ¹. El Reial decret llei 12/2018 segueix el mateix repartiment d'equips de referència ⁴:

L'Agència de Ciberseguretat de Catalunya

Catalunya té el seu propi organisme. La Llei 15/2017 va crear l'Agència de Ciberseguretat de Catalunya com a entitat de dret públic de la Generalitat, amb personalitat jurídica pròpia, que ajusta la seva activitat al dret privat (art. 1) ⁵. El seu objectiu és executar les polítiques públiques de ciberseguretat: assessorar el Govern en els seus plans, executar-los, coordinar-se amb altres organismes i formar i conscienciar (art. 2.2) ⁵. Des del 2022 la llei declara les seves funcions essencials per al funcionament de l'Administració de la Generalitat i el seu sector públic (art. 1.4) ⁵. El Tribunal Constitucional va anul·lar l'apartat 1 de l'article 2 i va aixecar la suspensió de la resta de la llei en la sentència 142/2018 ⁵.

El seu paper concret amb els centres sanitaris del SISCAT, més enllà del que diu la llei, no es descriu aquí: [PENDIENTE: serveis que presta l'Agència als proveïdors sanitaris públics catalans, amb font oficial].

La Directiva NIS2

La Directiva (UE) 2022/2555 va substituir la primera directiva de seguretat de les xarxes des del 18 d'octubre de 2024 ². Els estats l'havien de transposar abans del 17 d'octubre de 2024 i aplicar-la des de l'endemà (art. 41) ².

A qui s'aplica en sanitat

L'annex I, sector «Sanitari», inclou ²:

• els prestadors d'assistència sanitària, en el sentit de la directiva d'assistència transfronterera;
• els laboratoris de referència de la UE;
• les entitats que investiguen i desenvolupen medicaments;
• els fabricants de productes farmacèutics de base i especialitats farmacèutiques;
• els fabricants de productes sanitaris considerats essencials en una emergència de salut pública.

Són entitats essencials, entre d'altres, les dels tipus de l'annex I que superen els límits de la mitjana empresa, a més de les que l'Estat identifiqui com a tals (art. 3.1) ². Un hospital gran de qualsevol titularitat hi entra de ple.

Què exigeix

Els òrgans de direcció han d'aprovar les mesures de gestió de riscos, supervisar-ne l'aplicació i respondre del seu incompliment (art. 20) ². Les mesures mínimes de l'article 21.2 són deu ²:

1. Polítiques de seguretat i anàlisi de riscos.
2. Gestió d'incidents.
3. Continuïtat: còpies de seguretat, recuperació en cas de desastre i gestió de crisis.
4. Seguretat de la cadena de subministrament, inclosa la relació amb cada proveïdor directe.
5. Seguretat en l'adquisició, el desenvolupament i el manteniment de sistemes, amb gestió de vulnerabilitats.
6. Avaluació de l'eficàcia de les mesures.
7. Ciberhigiene bàsica i formació.
8. Criptografia i, si escau, xifratge.
9. Seguretat dels recursos humans, control d'accés i gestió d'actius.
10. Autenticació multifactor o contínua i comunicacions segures, també les d'emergència.

Un incident és significatiu si causa o pot causar pertorbacions operatives greus o pèrdues, o perjudicis considerables a altres persones (art. 23.3) ². Llavors es notifica en tres temps (art. 23.4) ²:

Per a les entitats essencials que incompleixin els articles 21 o 23, cada estat ha de preveure multes amb un màxim d'almenys 10 milions d'euros o el 2 % del volum de negoci mundial, la quantitat més alta. Per a les importants, el màxim és d'almenys 7 milions o un percentatge menor (art. 34) ².

La transposició a Espanya, encara pendent

El 14 de gener de 2025 el Consell de Ministres va aprovar l'avantprojecte de llei de coordinació i governança de la ciberseguretat, que incorporarà la NIS2 quan s'aprovi definitivament ³. Segons la referència oficial, afectarà entitats de sectors d'alta criticitat, entre els quals el sanitari; exigirà un responsable de la seguretat de la informació; i crearà un Centre Nacional de Ciberseguretat com a punt de contacte únic amb la UE, adscrit a la Secretaria General de la Presidència del Govern ³.

A 26 d'octubre de 2026 no figura a la legislació consolidada del BOE cap llei amb aquest contingut: la cerca per «ciberseguridad» al títol no retorna normes posteriors al 2019, amb resultats publicats fins al 21 d'octubre de 2026 ⁶. Mentrestant continuen vigents el Reial decret llei 12/2018 ⁴ i l'ENS ¹. [PENDIENTE: revisar aquest apartat quan es publiqui al BOE la llei que transposa la NIS2].

Cas pràctic

Un dilluns a les 6 del matí, un hospital públic detecta que un programa de segrest ha xifrat els servidors del seu laboratori i del seu sistema d'imatge. Urgències passa a treballar en paper, se suspenen les proves no urgents i s'avisa el servei d'emergències per derivar els casos que necessitin proves d'imatge.

Com a entitat del sector públic, l'hospital notifica l'incident al CCN-CERT ^{1 4}. Si hi ha dades personals afectades, el seu delegat de protecció de dades prepara en paral·lel la notificació a l'autoritat de protecció de dades en 72 hores. El calendari de la NIS2 (24 hores, 72 hores, un mes) és la referència a la qual tendirà la llei espanyola quan s'aprovi ².

La recuperació depèn del que es va fer abans: còpies de seguretat aïllades, un pla de continuïtat assajat i una xarxa segmentada que impedeixi que l'atac salti del laboratori a la història clínica. Són, gairebé paraula per paraula, les mesures de l'article 21.2 de la NIS2 ².

Què implica per als sistemes

Exigència	Què cal tenir	Amb qui es relaciona
Categorització ENS de cada sistema	Inventari de sistemes amb la seva categoria i la seva valoració en les cinc dimensions	Auditoria i certificació; plecs de compra
Proveïdors en l'àmbit de l'ENS	Exigir-ne la declaració o la certificació de conformitat	Contractació del centre i cada proveïdor de sistemes
Gestió d'incidents	Registre amb hora de detecció, classificació i notificacions fetes	CCN-CERT o INCIBE-CERT; autoritat de protecció de dades
Continuïtat	Còpies aïllades, procediments en paper per a urgències, laboratori i farmàcia	Serveis clínics, que els han d'assajar
Equips mèdics connectats	Inventari d'electromedicina en xarxa, segmentació i pedaços del fabricant	Enginyeria clínica i fabricants
Accessos	Autenticació multifactor en els accessos remots i els comptes privilegiats	Proveïdors amb manteniment remot