Concienciación NIS2 para organizaciones sanitarias

¿Qué organizaciones sanitarias quedan en el alcance?

Bajo la transposición española de NIS2, los hospitales públicos y privados, los servicios autonómicos de salud, las grandes clínicas, los centros de atención primaria de gran tamaño, los laboratorios clínicos relevantes y los fabricantes y distribuidores farmacéuticos son designados como entidades esenciales o importantes a partir de los umbrales habituales.

Determinadas entidades sanitarias críticas pueden quedar designadas con independencia del tamaño, por ejemplo los centros de coordinación de emergencias o los centros de referencia para patologías de alta complejidad. La coordinación recae en el CCN-CERT y el INCIBE-CERT, junto con el Ministerio de Sanidad y los servicios autonómicos de salud (SAS, SESCAM, SERMAS, ICS, OSAKIDETZA, etc.).

Las pequeñas consultas (centros médicos independientes, farmacias, profesionales sanitarios autónomos) normalmente no entran directamente en el alcance de NIS2, pero reciben requisitos por la vía contractual cuando intercambian datos con un hospital o utilizan plataformas de receta electrónica, historia clínica digital o sistemas de citas autonómicos.

Riesgos específicos del sector sanitario

El sector sanitario combina varios factores de riesgo que hacen que la concienciación sea especialmente urgente:

• Datos de pacientes. Los datos de salud son categorías especiales de datos personales según el artículo 9 del RGPD y tienen un alto valor en el mercado clandestino. Una brecha activa al mismo tiempo la obligación de notificación bajo el RGPD (a la AEPD) y la obligación de notificación NIS2 (al CSIRT competente).
• Dispositivos médicos conectados (IoMT). Bombas de infusión, respiradores, equipos de imagen, marcapasos suelen tener ciclos de vida largos y capacidades de parcheo limitadas. Un ataque de ransomware puede poner directamente en riesgo la seguridad del paciente, como demostraron los ataques al Hospital Clínic de Barcelona y otros hospitales españoles en 2023.
• Continuidad de la atención urgente. A diferencia de otros sectores, un hospital no puede pausar la actividad mientras se resuelve un incidente. Los planes de continuidad deben asegurar la atención al paciente incluso con caída total del sistema, con vuelta al papel, derivación de pacientes y coordinación regional.
• Phishing e ingeniería social. El personal sanitario trabaja bajo presión de tiempo y suele disponer de permisos amplios sobre la historia clínica electrónica. El spear phishing dirigido a médicos o personal administrativo es una vía de entrada frecuente.
• Shadow IT y BYOD. Grupos de WhatsApp para guardias, correos personales para informes, dispositivos personales en consulta: debilidades estructurales que la formación de concienciación debe abordar de manera específica.

Enfoque de concienciación para el personal sanitario

Un programa de concienciación conforme a NIS2 y al ENS combina módulos genéricos de seguridad con contenidos específicos del sector sanitario. El ENS, en su perfil de sector salud y en sus controles del Real Decreto 311/2022, identifica explícitamente la formación y concienciación como medida organizativa obligatoria, con frecuencia y participación medibles.

• Formación por rol. Distinción entre personal asistencial (foco: datos de pacientes, higiene de uso de la HCE, reconocimiento de phishing), personal administrativo (foco: fraude del CEO, ingeniería social hacia facturación) y personal IT (foco: respuesta a incidentes, desarrollo seguro).
• Frecuencia. Como mínimo, una formación completa anual, complementada con micropíldoras trimestrales. Con alta rotación (personal temporal, sustituciones), formación de acogida obligatoria en las dos semanas siguientes a la incorporación.
• Simulaciones de phishing. Escenarios sectoriales: correos falsos del Servicio de Salud autonómico, falsas peticiones de compañeros para acceder a la HCE, mensajes simulando ser del Colegio de Médicos o del Ministerio.
• Notificación de incidentes. Canal de bajo umbral, idealmente un botón integrado en la HCE o un buzón de seguridad dedicado. Una cultura justa (sin sanción por notificar) es clave, ya que la infranotificación es un problema conocido en sanidad.
• Formación del consejo. NIS2 y la transposición española exigen formación específica para los miembros del órgano de gobierno. En un hospital público, esto incluye al gerente, dirección médica, dirección de enfermería y dirección de gestión, que deben recibir formación trazable.

Normas sectoriales: ENS, Plan de Salud Digital y RGPD

El Esquema Nacional de Seguridad (ENS), regulado por el Real Decreto 311/2022, es el marco de referencia obligatorio para el sector público sanitario y para los proveedores que le prestan servicios. Los hospitales públicos suelen operar en categoría media o alta del ENS, con controles asociados. La certificación o adecuación al ENS debe revisarse periódicamente y es auditada por el CCN.

El Plan de Salud Digital del Ministerio de Sanidad articula la transformación digital del Sistema Nacional de Salud, con la Interoperabilidad de la Historia Clínica Digital (HCDSNS) y la Receta Electrónica del SNS como infraestructuras nacionales. La seguridad de estos sistemas se rige por el ENS, complementado con guías específicas del CCN-CERT para el sector salud.

El RGPD y la LOPDGDD se aplican en paralelo a todos los datos personales de salud, con la AEPD como autoridad de control (junto con las autoridades autonómicas en País Vasco, Cataluña y Andalucía). Una brecha de datos sanitarios puede activar simultáneamente la notificación a la AEPD (72h bajo RGPD) y la notificación al CSIRT competente bajo NIS2 (24h en alerta temprana). Los procedimientos internos deben coordinarse para responder a ambas obligaciones.

Coordinación con el sistema autonómico

España articula la atención sanitaria a través del Sistema Nacional de Salud, gestionado en gran parte por las comunidades autónomas. Cada servicio autonómico (SAS Andalucía, SERMAS Madrid, ICS Cataluña, OSAKIDETZA País Vasco, SESCAM Castilla-La Mancha, entre otros) opera su propia plataforma de historia clínica electrónica y receta electrónica, con sus propios CSIRT autonómicos en muchos casos.

Para un hospital concreto, la cadena de responsabilidad combina al menos cuatro actores: el servicio autonómico (titular del sistema), el CCN-CERT (referencia nacional para el sector público), el INCIBE-CERT (apoyo y coordinación), y la AEPD (datos personales). Los proveedores tecnológicos deben cumplir simultáneamente con las exigencias autonómicas y nacionales.

Para grupos privados con presencia en varias comunidades autónomas, conviene cartografiar de manera explícita qué autoridad supervisa qué actividad y cuáles son las obligaciones específicas de cada comunidad, dado que algunas (como Cataluña con la APDCAT) tienen autoridades de protección de datos propias y políticas adicionales.

Artículos relacionados

• El Real Decreto-ley español de transposición NIS2
• ENS sanidad y concienciación en seguridad
• La obligación de formación del consejo bajo NIS2 en España

Fuentes

• Real Decreto 311/2022, Esquema Nacional de Seguridad
• CCN-CERT, Centro Criptológico Nacional
• Ministerio de Sanidad, Salud Digital
• AEPD, Agencia Española de Protección de Datos
• Directiva NIS2 (EUR-Lex)

FAQ

¿Qué umbrales se aplican a los hospitales en España?

Los hospitales suelen quedar designados como entidades esenciales cuando superan los 50 empleados o €10M de facturación, lo que se cumple en prácticamente todos los hospitales públicos y la mayor parte de los privados de cierto tamaño. Determinadas entidades críticas pueden quedar incluidas con independencia del tamaño. El CCN-CERT y el INCIBE-CERT publican guías de alcance específicas para el sector.

¿La transposición de NIS2 sustituye al ENS para el sector salud?

No. El ENS (RD 311/2022) sigue siendo obligatorio para el sector público sanitario y sus proveedores. La transposición de NIS2 añade una capa adicional de obligaciones (notificación de incidentes, gobernanza, supervisión sectorial). En la práctica, los hospitales que ya operan en categoría media o alta del ENS cubren una parte importante de las exigencias de NIS2, pero deben añadir los procesos específicos de notificación y formación del órgano de gobierno.

¿Cuál es la obligación de notificación ante un ataque de ransomware?

Los incidentes significativos deben notificarse al CSIRT competente en tres fases: alerta temprana en 24 horas, informe intermedio en 72 horas, informe final en un mes. En el sector público sanitario, el CSIRT de referencia es el CCN-CERT. Si se ven afectados datos de pacientes, se activa también la notificación a la AEPD bajo RGPD en 72 horas. Algunos servicios autonómicos disponen de sus propios CSIRT con canales adicionales.

¿Quién es responsable en caso de brecha de datos sanitarios?

Bajo la transposición de NIS2, el órgano de gobierno (gerencia hospitalaria, consejo de administración) es responsable de aprobar las medidas de gestión de riesgos y puede incurrir en responsabilidad personal por incumplimientos graves. Bajo el RGPD, la organización es responsable de tratamiento. En el sector público, la responsabilidad patrimonial de la Administración puede activarse adicionalmente. La AEPD ha impuesto sanciones significativas a entidades sanitarias en los últimos años.

¿Con qué frecuencia debe formarse al personal sanitario?

Ni NIS2 ni el ENS imponen una frecuencia fija, pero la práctica habitual es una formación completa anual complementada con micromódulos trimestrales. En entornos de alta rotación (sustituciones, personal de refuerzo) se recomienda una formación de acogida obligatoria en las dos semanas siguientes a la incorporación. La participación debe quedar registrada y ser auditable.

¿Mi consulta médica privada también está obligada?

Una consulta médica privada pequeña no suele entrar directamente en el alcance de la transposición de NIS2 al no alcanzar los umbrales. El RGPD y la LOPDGDD se aplican siempre. Cuando se conecta a sistemas autonómicos (receta electrónica, historia clínica digital interoperable) o a hospitales, los requisitos pueden transmitirse por la vía contractual, con exigencias específicas de seguridad y formación.