NIS2 y el sector sanitario: obligaciones para clínicas, hospitales y proveedores de salud
La Directiva NIS2, que los estados miembros de la Unión Europea debían transponer antes de octubre de 2024, amplía significativamente el alcance de las obligaciones de ciberseguridad en sectores críticos. El sanitario es uno de los más afectados: la directiva incluye explícitamente hospitales, clínicas, laboratorios, fabricantes de dispositivos médicos y otros proveedores de atención sanitaria entre las entidades obligadas.
¿Qué es la NIS2 y por qué afecta al sector sanitario?
La Directiva NIS2 (Network and Information Security 2) actualiza y amplía la anterior directiva NIS de 2016. Su objetivo es elevar el nivel general de ciberseguridad en la Unión Europea, especialmente en los sectores cuya interrupción podría tener consecuencias graves para la sociedad.
El sector sanitario ocupa un lugar destacado porque los ciberataques a hospitales tienen consecuencias que van más allá de lo económico: en 2020, en Alemania, el primer caso documentado de muerte relacionada con un ciberataque ocurrió cuando un ransomware dejó fuera de servicio el sistema informático de un hospital y una paciente falleció mientras era trasladada a otro centro.
¿Qué organizaciones sanitarias están obligadas?
La NIS2 distingue entre entidades esenciales e importantes, con obligaciones y régimen sancionador diferentes:
Entidades esenciales
Hospitales, centros de atención sanitaria de urgencias, laboratorios de referencia, fabricantes de medicamentos críticos y dispositivos médicos de alta importancia. Están sujetos a supervisión proactiva por parte de las autoridades.
Entidades importantes
El resto de proveedores de atención sanitaria de mayor tamaño: clínicas privadas, centros de diagnóstico, empresas de servicios sanitarios. Están sujetos a supervisión reactiva (cuando se produce un incidente o se detecta incumplimiento).
Los umbrales de tamaño importan: las microempresas (menos de 10 empleados y menos de 2 millones de euros de facturación) quedan generalmente excluidas, salvo que sean proveedores críticos.
Las obligaciones principales bajo NIS2
Gestión del riesgo de ciberseguridad
Las organizaciones deben implementar medidas técnicas y organizativas apropiadas para gestionar los riesgos para la seguridad de sus redes y sistemas de información. Esto incluye, como mínimo: políticas de análisis de riesgos, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad de la cadena de suministro, seguridad en la adquisición y desarrollo de sistemas, políticas de control de acceso y gestión de activos, y uso de criptografía.
Notificación de incidentes
Las organizaciones deben notificar los incidentes significativos a la autoridad competente (en España, el CCN-CERT o el INCIBE-CERT según el tipo de entidad) en plazos muy estrictos: alerta temprana en 24 horas, notificación completa en 72 horas e informe final en un mes.
Responsabilidad de la dirección
Una de las novedades más importantes de la NIS2 es que hace responsables personalmente a los órganos de dirección del cumplimiento de las medidas de ciberseguridad. Los directivos pueden ser sancionados personalmente si no aprueban las medidas necesarias o no supervisan su implementación.
La cadena de suministro sanitaria: un riesgo ignorado
Los hospitales y clínicas dependen de docenas de proveedores de software, sistemas de gestión hospitalaria, equipos de diagnóstico conectados y servicios en la nube. La NIS2 exige que las organizaciones gestionen activamente la seguridad de su cadena de suministro: evaluar a los proveedores, incluir cláusulas de seguridad en los contratos y verificar que cumplen los estándares adecuados.
Un dispositivo de diagnóstico conectado a la red hospitalaria sin seguridad adecuada puede ser el punto de entrada de un atacante. Esto no es teórico: en 2021, investigadores demostraron vulnerabilidades críticas en más de 40 modelos de dispositivos médicos conectados.
Sanciones por incumplimiento
Las entidades esenciales pueden ser sancionadas con hasta 10 millones de euros o el 2% de su facturación global anual (la cifra mayor). Las entidades importantes, hasta 7 millones de euros o el 1,4% de la facturación. Estas cifras son significativamente más altas que las de la directiva anterior.
Por dónde empezar
Si gestionas una organización sanitaria en España o en la Unión Europea, el punto de partida es determinar si estás incluido en el ámbito de aplicación de la NIS2. A partir de ahí, realizar un análisis de brechas entre tu situación actual y los requisitos de la directiva, y establecer un plan de mejora priorizado por nivel de riesgo.
Conclusión
La NIS2 no es burocracia regulatoria: responde a una realidad en la que los ciberataques al sector sanitario son frecuentes, graves y con consecuencias que van más allá de lo económico. Las organizaciones que lo vean como una oportunidad para mejorar su postura de seguridad saldrán más fuertes que las que lo traten como un mero ejercicio de cumplimiento.
¿Tu organización sanitaria entra en el ámbito de NIS2 y no tienes claro el nivel de protección que necesitas? Blindara proporciona la monitorización continua y la capacidad de detección y respuesta que exige NIS2 para entidades esenciales del sector salud, con informes mensuales que documentan tu postura de seguridad. Solicita tu análisis gratuito y descubre tu nivel de exposición real.
