Cumplimiento de NIS2 para el sector sanitario

Los sistemas de salud dependen en gran medida de las tecnologías digitales para prestar atención al paciente, gestionar historias clínicas, operar equipos de diagnóstico y coordinar servicios de salud pública. A medida que los hospitales y los proveedores sanitarios se interconectan cada vez más, el riesgo de incidentes cibernéticos que afecten a la seguridad del paciente y la continuidad del servicio se ha intensificado.

La Directiva NIS2 establece obligaciones de ciberseguridad a nivel de la EU para las entidades Esenciales e Importantes y amplía de forma significativa el alcance del marco NIS original. El cumplimiento de NIS2 en el sector sanitario refleja la importancia social crítica de los servicios de salud y la necesidad de proteger los datos médicos y operativos sensibles.

NIS2 cubre principalmente a entidades medianas y grandes de sectores regulados. Las pequeñas empresas y microempresas quedan generalmente fuera del ámbito, salvo excepciones legales y designación nacional.

Si su organización opera en el sector sanitario, puede estar sujeta a NIS2 como entidad Esencial o Importante.

El anexo I identifica sectores de alta criticidad, sin clasificar automáticamente a todas sus entidades como esenciales. Según el artículo 3, la regla general basada en el tamaño es:

• Grandes empresas — entidades esenciales: 250 o más empleados, o tanto un volumen de negocios anual superior a 50 millones € como un balance general anual superior a 43 millones €.
• Medianas empresas — entidades importantes: sin ser grandes, 50 o más empleados, o tanto un volumen de negocios anual como un balance general anual superiores a 10 millones €.

Anexo pertinente: Anexo I (Sectores de alta criticidad)

Cobertura del subsector (Anexo I – Salud):

• Proveedores sanitarios según lo definido en la legislación sanitaria de la EU
• Laboratorios de referencia de la EU
• Entidades que llevan a cabo actividades de investigación y desarrollo de productos medicinales
• Entidades que fabrican productos farmacéuticos básicos y preparados farmacéuticos
• Entidades que fabrican dispositivos médicos considerados críticos durante una emergencia de salud pública

Se aplican las reglas de la UE sobre pymes, incluida la agregación de empresas asociadas y vinculadas cuando corresponda (Recomendación 2003/361/CE). Las pequeñas empresas y microempresas no están automáticamente sujetas a NIS2 por operar en un sector del anexo I. Las excepciones legales, la identificación nacional como entidad esencial o importante y la identificación como entidad crítica conforme a la Directiva CER pueden prevalecer sobre la regla general de tamaño (artículos 2 y 3).

El cumplimiento de NIS2 para el sector sanitario se aplica a:

• Empresas de tamaño medio (50 o más empleados, o volumen de negocios anual superior a 10 millones de euros y balance general superior a 10 millones de euros; se computan las empresas asociadas y vinculadas)
• Empresas grandes que superen esos umbrales
• Entidades designadas como proveedores sanitarios críticos según la legislación nacional, cuando proceda

Hospitales, clínicas privadas, fabricantes farmacéuticos, fabricantes de dispositivos médicos y determinadas entidades de investigación que cumplan los umbrales entran en el alcance.

Las entidades medianas y grandes de este sector generalmente cumplen el criterio de tamaño de NIS2. Las pequeñas empresas y microempresas quedan generalmente fuera del ámbito, salvo disposición legal independiente del tamaño o designación nacional formal. Aplique la definición de pyme de la UE y la agregación de empresas asociadas y vinculadas conforme a la Recomendación 2003/361/CE, y compruebe las normas sectoriales y la transposición nacional.

Según el Article 21 de la Directiva NIS2, las entidades sanitarias deben implementar medidas técnicas y organizativas apropiadas y proporcionadas para gestionar los riesgos de ciberseguridad.

Las medidas obligatorias incluyen:

• Marco de gestión de riesgos
• Procedimientos de gestión de incidentes
• Continuidad del negocio y recuperación ante desastres
• Seguridad de la cadena de suministro
• Desarrollo y mantenimiento seguros
• Políticas sobre cifrado y criptografía
• Control de accesos y autenticación multifactor (MFA)
• Gestión de vulnerabilidades y de parches
• Formación en higiene cibernética
• Uso de comunicaciones seguras

Para el sector sanitario, estas medidas de seguridad de NIS2 deben abordar los sistemas de registros electrónicos de salud, los dispositivos médicos conectados, los sistemas de laboratorio y los entornos de producción farmacéutica. La protección de la tecnología operacional (OT) en el equipamiento hospitalario y en las instalaciones de fabricación es crítica.

El cumplimiento de NIS2 en el sector sanitario requiere integrar la ciberseguridad en la gobernanza de la seguridad del paciente y en los procesos de gestión del riesgo clínico. La planificación de la resiliencia debe contemplar la continuidad del servicio durante incidentes cibernéticos que puedan interrumpir la prestación de tratamientos.

Las entidades sanitarias deben cumplir los plazos de notificación de incidentes de NIS2 cuando se produzcan incidentes significativos.

Obligaciones de notificación incluyen:

Los informes deben presentarse al CSIRT nacional o a la autoridad competente.

La regla de notificación de 24 horas de NIS2 es especialmente relevante cuando los incidentes cibernéticos afectan a los sistemas de atención al paciente, la fabricación farmacéutica o dispositivos médicos críticos. Los incidentes que interrumpen la prestación de servicios sanitarios o comprometen la disponibilidad de los sistemas normalmente se considerarán significativos.

La falta de notificación dentro de los plazos prescritos puede dar lugar a medidas de ejecución y sanciones administrativas.

El cumplimiento de NIS2 para el sector sanitario impone responsabilidad directa al órgano de dirección.

Requisitos clave de gobernanza incluyen:

• Aprobación de las medidas de gestión de riesgos de ciberseguridad por el órgano de dirección
• Supervisión continua de la implementación
• Formación obligatoria en ciberseguridad para la dirección
• Posible exposición a responsabilidad personal conforme a la legislación nacional

El Article 21 de la Directiva NIS2 convierte la ciberseguridad en una responsabilidad a nivel del consejo. Los ejecutivos hospitalarios, directores de empresas farmacéuticas y administradores sanitarios deben garantizar que se implementen y mantengan controles adecuados y medidas de resiliencia.

Las fallas de ciberseguridad en la atención sanitaria pueden tener consecuencias directas para la seguridad del paciente y la confianza pública, lo que refuerza la importancia de la supervisión ejecutiva.

Como entidades incluidas en Annex I, las organizaciones sanitarias clasificadas como entidades Esenciales están sujetas a supervisión proactiva. Las autoridades competentes pueden llevar a cabo auditorías, inspecciones y evaluaciones de ciberseguridad independientemente de si ha ocurrido un incidente.

Las multas administrativas por incumplimiento son:

• Entidades Esenciales: Hasta €10 millones o 2% del volumen de negocios anual total mundial (la que sea mayor)

Las leyes nacionales de transposición pueden matizar los procedimientos de supervisión, pero la Directiva establece umbrales mínimos de sanción armonizados entre los Estados miembros.

Dada la importancia social de la continuidad de la atención sanitaria, se espera que la aplicación sea estructurada y basada en el riesgo.

Las empresas sanitarias deberían adoptar un enfoque estructurado para el cumplimiento de NIS2:

1. Realizar una evaluación de brechas de NIS2
2. Mapear los servicios sanitarios críticos y las dependencias digitales
3. Formalizar un marco documentado de gestión de riesgos de ciberseguridad
4. Actualizar y probar los planes de respuesta a incidentes y de continuidad
5. Revisar contratos con proveedores y con vendedores de tecnología médica
6. Formar a la dirección y a los altos responsables clínicos
7. Establecer un flujo de trabajo de notificación 24h/72h/1 mes

La preparación temprana reduce el riesgo de ejecución y protege la continuidad de la atención al paciente.

Las entidades sanitarias se enfrentan a riesgos específicos del sector bajo NIS2:

• Interrupción operativa: Los incidentes cibernéticos pueden interrumpir el tratamiento de pacientes y las operaciones hospitalarias.
• Riesgo para la seguridad del paciente: Los sistemas comprometidos pueden afectar la toma de decisiones clínicas o la funcionalidad de los dispositivos.
• Compromiso de la cadena de suministro: Los proveedores farmacéuticos y de dispositivos médicos introducen riesgos de terceros.
• Sanciones regulatorias: El incumplimiento expone a las organizaciones a penalizaciones significativas.
• Daño reputacional: La confianza pública en las instituciones sanitarias es muy sensible a las fallas de ciberseguridad.

Por tanto, el cumplimiento de NIS2 para el sector sanitario es tanto un requisito normativo como una obligación de seguridad para el paciente.