Un hospital es hoy un sistema de información con camas alrededor: si los sistemas caen, se desprograman quirófanos y se desvían ambulancias. La ciberseguridad sanitaria descansa en dos marcos. El Esquema Nacional de Seguridad obliga al sector público y a quienes le prestan servicios. La Directiva NIS2 trata la sanidad como sector de alta criticidad, pero a finales de octubre de 2026 España aún no la ha incorporado con una ley propia.

Por qué la sanidad es un objetivo

La Directiva NIS2 incluye la sanidad entre los sectores de alta criticidad de su anexo I ². Ya lo hacía la norma anterior: el Real Decreto-ley 12/2018 situó la salud en el primer grupo de sectores estratégicos cuyos servicios esenciales debían identificarse antes del 9 de noviembre de 2018, junto con la energía, el transporte, el sistema financiero, el agua y las infraestructuras digitales ⁴. Y define el servicio esencial como el necesario para el mantenimiento de funciones sociales básicas, entre ellas la salud, que depende de redes y sistemas de información ⁴.

La razón es doble. Un centro sanitario guarda los datos personales más sensibles, que valen para extorsionar. Y su servicio no puede pararse: cualquier interrupción afecta a la vida de las personas.

El Esquema Nacional de Seguridad

El ENS vigente lo regula el Real Decreto 311/2022, de 3 de mayo, en vigor desde el 5 de mayo de 2022, que derogó el Real Decreto 3/2010 ¹. Se aplica a todo el sector público y también a las entidades del sector privado que «presten servicios o provean soluciones a las entidades del sector público» (art. 2) ¹. En sanidad, eso abarca al servicio de salud y a sus hospitales públicos, pero también a la empresa que aloja su historia clínica en la nube o mantiene su sistema de laboratorio.

Cuando el sistema trata datos personales, el ENS convive con el RGPD y la LOPDGDD; si el análisis de riesgos o la evaluación de impacto exigen medidas más estrictas, prevalecen estas (art. 3) ¹.

Principios, requisitos y categorías

El ENS se construye en tres capas ¹:

• Principios básicos (art. 5): la seguridad como proceso integral, la gestión basada en los riesgos, la prevención, detección, respuesta y conservación, las líneas de defensa, la vigilancia continua, la reevaluación periódica y la diferenciación de responsabilidades.
• Requisitos mínimos (art. 12): quince, entre ellos la organización de la seguridad, el análisis de riesgos, la gestión del personal, el control de accesos, el registro de actividad, la gestión de incidentes, la continuidad de la actividad y la mejora continua.
• Categorías (art. 40): cada sistema se clasifica en categoría básica, media o alta según el impacto que tendría un incidente sobre cinco dimensiones: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.

Fuente: Real Decreto 311/2022 ¹. Las declaraciones y certificaciones deben publicarse ¹. Los sistemas que ya existían tenían 24 meses para adecuarse (disposición transitoria única) ¹.

Un sistema de historia clínica, del que depende la asistencia y que guarda datos de salud, tenderá a las categorías más altas por su impacto en disponibilidad y confidencialidad. La categoría concreta la fija cada organización en su análisis.

Quién responde a un incidente

El ENS encarga al CCN-CERT, del Centro Criptológico Nacional, articular la respuesta a los incidentes: las entidades del sector público le notifican los que tengan un impacto significativo, y las organizaciones privadas que les prestan servicios notifican al INCIBE-CERT (art. 33) ¹. El Real Decreto-ley 12/2018 sigue el mismo reparto de equipos de referencia ⁴:

La Agència de Ciberseguretat de Catalunya

Cataluña tiene su propio organismo. La Llei 15/2017 creó la Agència de Ciberseguretat de Catalunya como entidad de derecho público de la Generalitat, con personalidad jurídica propia, que ajusta su actividad al derecho privado (art. 1) ⁵. Su objetivo es ejecutar las políticas públicas de ciberseguridad: asesorar al Govern en sus planes, ejecutarlos, coordinarse con otros organismos y formar y concienciar (art. 2.2) ⁵. Desde 2022 la ley declara sus funciones esenciales para el funcionamiento de la Administración de la Generalitat y su sector público (art. 1.4) ⁵. El Tribunal Constitucional anuló el apartado 1 del artículo 2 y levantó la suspensión del resto de la ley en su sentencia 142/2018 ⁵.

Su papel concreto con los centros sanitarios del SISCAT, más allá de lo que dice la ley, no se describe aquí: [PENDIENTE: servicios que presta la Agència a los proveedores sanitarios públicos catalanes, con fuente oficial].

La Directiva NIS2

La Directiva (UE) 2022/2555 sustituyó a la primera directiva de seguridad de las redes desde el 18 de octubre de 2024 ². Los Estados debían transponerla antes del 17 de octubre de 2024 y aplicarla desde el día siguiente (art. 41) ².

A quién se aplica en sanidad

El anexo I, sector «Sanitario», incluye ²:

• los prestadores de asistencia sanitaria, en el sentido de la directiva de asistencia transfronteriza;
• los laboratorios de referencia de la UE;
• las entidades que investigan y desarrollan medicamentos;
• los fabricantes de productos farmacéuticos de base y especialidades farmacéuticas;
• los fabricantes de productos sanitarios considerados esenciales en una emergencia de salud pública.

Son entidades esenciales, entre otras, las de los tipos del anexo I que superan los límites de la mediana empresa, además de las que el Estado identifique como tales (art. 3.1) ². Un hospital grande de cualquier titularidad entra de lleno.

Qué exige

Los órganos de dirección deben aprobar las medidas de gestión de riesgos, supervisar su aplicación y responder de su incumplimiento (art. 20) ². Las medidas mínimas del artículo 21.2 son diez ²:

1. Políticas de seguridad y análisis de riesgos.
2. Gestión de incidentes.
3. Continuidad: copias de seguridad, recuperación ante desastres y gestión de crisis.
4. Seguridad de la cadena de suministro, incluida la relación con cada proveedor directo.
5. Seguridad en la adquisición, el desarrollo y el mantenimiento de sistemas, con gestión de vulnerabilidades.
6. Evaluación de la eficacia de las medidas.
7. Ciberhigiene básica y formación.
8. Criptografía y, en su caso, cifrado.
9. Seguridad de los recursos humanos, control de acceso y gestión de activos.
10. Autenticación multifactor o continua y comunicaciones seguras, también las de emergencia.

Un incidente es significativo si causa o puede causar graves perturbaciones operativas o pérdidas, o perjuicios considerables a otras personas (art. 23.3) ². Entonces se notifica en tres tiempos (art. 23.4) ²:

Para las entidades esenciales que incumplan los artículos 21 o 23, cada Estado debe prever multas con un máximo de al menos 10 millones de euros o el 2 % del volumen de negocios mundial, la cantidad mayor. Para las importantes, el máximo es de al menos 7 millones o un porcentaje menor (art. 34) ².

La transposición en España, todavía pendiente

El 14 de enero de 2025 el Consejo de Ministros aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, que incorporará la NIS2 cuando se apruebe definitivamente ³. Según la referencia oficial, afectará a entidades de sectores de alta criticidad, entre ellos el sanitario; exigirá un responsable de la seguridad de la información; y creará un Centro Nacional de Ciberseguridad como punto de contacto único con la UE, adscrito a la Secretaría General de la Presidencia del Gobierno ³.

A 26 de octubre de 2026 no figura en la legislación consolidada del BOE ninguna ley con ese contenido: la búsqueda por «ciberseguridad» en el título no devuelve normas posteriores a 2019, con resultados publicados hasta el 21 de octubre de 2026 ⁶. Mientras tanto siguen vigentes el Real Decreto-ley 12/2018 ⁴ y el ENS ¹. [PENDIENTE: revisar este apartado cuando se publique en el BOE la ley que transpone la NIS2].

Caso práctico

Un lunes a las 6 de la mañana, un hospital público detecta que un programa de secuestro ha cifrado los servidores de su laboratorio y de su sistema de imagen. Urgencias pasa a trabajar en papel, se suspenden las pruebas no urgentes y se avisa al servicio de emergencias para derivar los casos que necesiten pruebas de imagen.

Como entidad del sector público, el hospital notifica el incidente al CCN-CERT ^{1 4}. Si hay datos personales afectados, su delegado de protección de datos prepara en paralelo la notificación a la autoridad de protección de datos en 72 horas. El calendario de NIS2 (24 horas, 72 horas, un mes) es la referencia a la que tenderá la ley española cuando se apruebe ².

La recuperación depende de lo que se hizo antes: copias de seguridad aisladas, un plan de continuidad ensayado y una red segmentada que impida que el ataque salte del laboratorio a la historia clínica. Son, casi palabra por palabra, las medidas del artículo 21.2 de la NIS2 ².

Qué implica para los sistemas

Exigencia	Qué hay que tener	Con quién se relaciona
Categorización ENS de cada sistema	Inventario de sistemas con su categoría y su valoración en las cinco dimensiones	Auditoría y certificación; pliegos de compra
Proveedores en el ámbito del ENS	Exigir su declaración o certificación de conformidad	Contratación del centro y cada proveedor de sistemas
Gestión de incidentes	Registro con hora de detección, clasificación y notificaciones hechas	CCN-CERT o INCIBE-CERT; autoridad de protección de datos
Continuidad	Copias aisladas, procedimientos en papel para urgencias, laboratorio y farmacia	Servicios clínicos, que deben ensayarlos
Equipos médicos conectados	Inventario de electromedicina en red, segmentación y parches del fabricante	Ingeniería clínica y fabricantes
Accesos	Autenticación multifactor en accesos remotos y cuentas privilegiadas	Proveedores con mantenimiento remoto