El Esquema Nacional de Seguridad en hospitales y centros sanitarios

El ENS se aplica en sanidad por dos vías. La primera: los hospitales, centros de salud y demás organismos sanitarios públicos forman parte del sector público, y el Real Decreto 311/2022 (artículo 2.1) se aplica «a todo el sector público» tal y como lo define el artículo 2 de la Ley 40/2015. La segunda: las entidades privadas —clínicas concertadas, laboratorios, empresas de telemedicina, proveedores tecnológicos sanitarios— quedan dentro del ámbito del ENS cuando, en virtud de una relación contractual, prestan servicios o proveen soluciones a esas entidades públicas (artículo 2.3). Es decir: un hospital público está obligado por serlo, y una empresa privada del sector salud lo está en la medida en que trabaje para la sanidad pública.

La particularidad del sector no es el «si», sino el «cuánto». Los datos de salud son categoría especial del RGPD y los servicios sanitarios son críticos por definición: la valoración de las dimensiones de seguridad rara vez sale baja, así que buena parte de los sistemas sanitarios acaba en categoría MEDIA o ALTA, con auditoría de certificación obligatoria. Esta guía sectorial recorre quién está obligado, cómo se categoriza cada sistema, cómo encaja el ENS con el RGPD y por dónde empezar. Para el marco general, la referencia es la guía completa del ENS y la página de consultoría ENS.

Quién está obligado en el sector sanitario

Conviene separar tres situaciones distintas.

Sanidad pública

Hospitales, centros de salud, servicios de emergencias y organismos dependientes de los servicios autonómicos de salud son sector público a efectos de la Ley 40/2015. El ENS les aplica de forma directa y completa: política de seguridad, análisis de riesgos, medidas del Anexo II según categoría y conformidad verificable (declaración o certificación).

Entidades privadas que trabajan para la sanidad pública

El artículo 2.3 del RD 311/2022 extiende el ENS a los sistemas de información de entidades del sector privado cuando, por contrato, prestan servicios o proveen soluciones a entidades públicas para el ejercicio de sus competencias. En sanidad esto alcanza a muchos perfiles:

• Clínicas y hospitales con concierto.
• Laboratorios de análisis que procesan muestras del sistema público.
• Servicios de diagnóstico por imagen externalizados.
• Plataformas de telemedicina o de cita previa contratadas por un servicio de salud.
• Empresas que alojan o mantienen la historia clínica electrónica.
• Proveedores de software hospitalario, cuando el sistema sustenta un servicio público.

El mismo artículo obliga a estas entidades a contar con una política de seguridad aprobada «por el órgano que ostente las máximas competencias ejecutivas», y prevé que la cautela se extienda a la cadena de suministro del contratista «en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos». El detalle de este supuesto está desarrollado en cuándo aplica el ENS al sector privado.

Sanidad estrictamente privada

Una clínica que solo atiende pacientes privados y no contrata con el sector público no está obligada por el ENS. Le siguen aplicando el RGPD y la LOPDGDD con todo su peso —los datos de salud no distinguen titularidad del centro—, y nada le impide adoptar el ENS voluntariamente o certificar ISO 27001, pero la obligación normativa del RD 311/2022 no le alcanza.

Un efecto práctico del artículo 2.3 que muchos proveedores descubren tarde: los pliegos de contratación del sector público deben contemplar los requisitos necesarios para asegurar la conformidad con el ENS de los sistemas que sustentan el servicio, «tales como la presentación de las correspondientes Declaraciones o Certificaciones de Conformidad». En la práctica, quien quiera concurrir a licitaciones sanitarias se encontrará la conformidad ENS como requisito en el pliego, no como recomendación.

Qué categoría ENS corresponde a un sistema sanitario

El ENS no fija categorías por sectores: se valora sistema a sistema. El Anexo I define cinco dimensiones de seguridad —confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad— y tres niveles por dimensión (bajo, medio, alto) según el perjuicio que causaría un incidente: limitado, grave o muy grave. La categoría del sistema sale de ahí: ALTA si alguna dimensión alcanza nivel alto, MEDIA si alguna alcanza nivel medio y ninguna el alto, BÁSICA en el resto de los casos. La mecánica completa está en cómo elegir entre categoría básica, media y alta y en la explicación de las cinco dimensiones de seguridad.

En sanidad, dos dimensiones tiran hacia arriba casi siempre:

• Confidencialidad. El Anexo I considera nivel alto el incidente que cause un perjuicio muy grave, incluyendo el daño grave a los individuos afectados y el incumplimiento grave de una ley. La difusión de una historia clínica encaja con facilidad en ese supuesto: es un dato de categoría especial cuya revelación puede ser irreparable para el paciente. Es difícil defender una valoración baja de la confidencialidad en un sistema que trata datos clínicos.
• Disponibilidad. En sistemas asistenciales (urgencias, quirófano, prescripción, laboratorio en tiempo real), la caída del sistema afecta directamente a la asistencia. Un incidente que impida consultar alergias o medicación activa de un paciente en urgencias no es un perjuicio «limitado».

La valoración corresponde formalmente al responsable de la información y de los servicios, y la determinación de la categoría al responsable de la seguridad (artículo 41); las guías CCN-STIC de la serie 800 dan los criterios para hacerla con rigor. Pero el resultado habitual en hospitales es que los sistemas troncales asistenciales queden en categoría MEDIA como suelo, con la confidencialidad —y a menudo la disponibilidad— valoradas en nivel alto en los sistemas que concentran datos clínicos, lo que arrastra el sistema a categoría ALTA. La consecuencia no es menor: básica se resuelve con autoevaluación y declaración de conformidad; media y alta exigen auditoría de certificación (artículo 38 del RD 311/2022), y quien la emite tiene que estar acreditado por ENAC, exigencia que no está en ese artículo sino en la Instrucción Técnica de Seguridad de conformidad con el ENS.

ENS y RGPD sobre datos de salud: dos marcos que se suman

El artículo 3 del RD 311/2022 lo dice de forma expresa: cuando un sistema trata datos personales, se aplica además el RGPD y la Ley Orgánica 3/2018. El ENS no sustituye a la normativa de protección de datos ni al revés; en sanidad conviven y se refuerzan:

• El RGPD dice el porqué y el qué: los datos de salud son categoría especial (artículo 9), su tratamiento exige base jurídica reforzada, suele requerir evaluación de impacto y obliga a medidas técnicas y organizativas «apropiadas» sin concretar cuáles.
• El ENS dice el cómo: el Anexo II baja a medidas concretas y graduadas por categoría, con un marco organizativo, un marco operacional y medidas de protección verificables en auditoría.

Para un hospital público, cumplir el ENS es además la manera más sólida de acreditar ante la AEPD que las medidas del artículo 32 del RGPD existen y son proporcionadas al riesgo. Las dos obligaciones comparten análisis de riesgos, gestión de incidentes y control de accesos, así que abordarlas por separado duplica trabajo. La relación entre ambos marcos, con sus solapamientos y diferencias, está desarrollada en cómo encajan ENS y RGPD.

Sistemas típicos de un hospital y cómo se categorizan

Un hospital no es «un sistema»: es un mapa de decenas de ellos, y no todos merecen la misma categoría. Una segmentación bien hecha evita sobredimensionar (aplicar categoría alta a todo cuesta una fortuna) e infradimensionar (dejar la historia clínica en básica es indefendible). Ejemplos orientativos de cómo suele razonarse la valoración —la definitiva corresponde siempre a los responsables de cada organización—:

La electromedicina conectada (monitores, bombas de infusión, equipos de imagen enchufados a la red) forma parte del sistema de información a efectos de análisis de riesgos, y suele ser el eslabón más débil: equipos con sistemas operativos antiguos que no admiten parches y que hay que segmentar en red.

Y la interoperabilidad —receta interoperable, historia clínica compartida, anexos entre niveles asistenciales— implica que el sistema propio intercambia datos con sistemas de terceros; el análisis de riesgos tiene que cubrir esos flujos, no solo lo que pasa dentro del perímetro.

El artículo 30 prevé además perfiles de cumplimiento específicos: conjuntos de medidas ajustados a entidades o sectores concretos por proporcionalidad. Si el CCN publica o valida un perfil aplicable al ámbito sanitario del que dependa tu caso, puede simplificar la adecuación; qué son y cómo funcionan está explicado en perfiles de cumplimiento específicos del ENS.

Medidas del Anexo II con más impacto en sanidad

El Anexo II organiza las medidas en tres bloques: marco organizativo (la organización global de la seguridad), marco operacional (la protección de la operación del sistema) y medidas de protección (centradas en activos concretos). Sin repasar las setenta y tantas medidas, estas son las que más trabajo dan en entornos sanitarios:

• Control de acceso e identificación. Miles de usuarios con rotación alta (residentes, guardias, personal eventual) y necesidad de acceso rápido en urgencias. El reto es conciliar autenticación robusta con la realidad asistencial: perfiles por rol clínico, cierre de sesiones en equipos compartidos de planta y procedimientos de acceso de emergencia que queden registrados.
• Registro de actividad y trazabilidad. El artículo 24 exige registrar la actividad de los usuarios con garantías. En sanidad es doblemente crítico: los accesos indebidos a historias clínicas por personal sin relación asistencial son el incidente interno más repetido, y sin trazas no hay forma de detectarlos ni de sancionarlos.
• Continuidad y copias de seguridad. Un hospital no puede «cerrar mientras se restaura»: la continuidad asistencial exige plan de contingencia probado, procedimientos en papel de respaldo y copias cuya restauración se haya ensayado de verdad.
• Protección de la información. Cifrado de datos en tránsito y en reposo según nivel, limpieza de metadatos, y calificación de la información: la historia clínica no viaja por correo sin protección, tampoco entre profesionales.
• Seguridad en la externalización. Alojamiento de la HCE en nube, mantenimiento remoto de equipos por el fabricante, laboratorio externalizado: cada tercero que toca el sistema entra en el alcance, y el pliego o contrato debe trasladarle los requisitos ENS que le correspondan.

Proveedores sanitarios: cuándo os arrastra el ENS

Si tu empresa vende al sector sanitario público —software, servicios clínicos, diagnóstico, teleasistencia, hosting— el razonamiento es este:

1. ¿Hay relación contractual con una entidad pública para el ejercicio de sus competencias? Si la respuesta es sí, tus sistemas que sustentan ese servicio entran en el ámbito del ENS (artículo 2.3). No hace falta que el contrato lo diga: lo dice el real decreto.
2. ¿Qué categoría tiene el sistema que prestas? No la eliges tú a ciegas: depende de la información y los servicios públicos que sustenta. Si alojas historia clínica de un servicio de salud, hereda la valoración alta de esa información. El pliego suele indicar la categoría exigida.
3. ¿Qué te van a pedir? Declaración de conformidad (básica) o certificación (media y alta) emitida tras auditoría por entidad de certificación acreditada por ENAC, y su exhibición al órgano de contratación. Cada vez más pliegos la exigen como requisito de solvencia, no como mejora valorable.

El plazo de adecuación transitorio del RD 311/2022 —veinticuatro meses para sistemas preexistentes— venció en mayo de 2024: hoy no hay periodo de gracia y los sistemas nuevos deben aplicar el ENS «desde su concepción» (disposición transitoria única). Para un proveedor, llegar a la licitación sin la conformidad resuelta significa quedarse fuera o correr con una certificación exprés mal planteada. El proceso completo, plazos y costes orientativos están en certificación ENS: proceso, requisitos y costes.

Cómo abordar la adecuación: fases realistas

En un entorno sanitario, la adecuación suele ordenarse así:

1. Alcance y categorización. Inventario de sistemas, valoración de información y servicios por los responsables, categoría por sistema. Es la fase que condiciona todo: una categorización fina evita aplicar medidas de categoría alta donde no tocan.
2. Análisis de riesgos. Con una metodología reconocida, cubriendo también electromedicina, interoperabilidad y terceros.
3. Declaración de aplicabilidad y plan de adecuación. Qué medidas del Anexo II aplican, cuáles ya se cumplen y plan para el resto, con responsables y fechas.
4. Implantación. Priorizando lo que reduce más riesgo: control de accesos, trazabilidad, copias y continuidad suelen ir primero.
5. Auditoría y conformidad. Autoevaluación (básica) o auditoría de certificación (media/alta), y publicación de la declaración o certificación. Después, mantenimiento: la auditoría regular es al menos bienal y la categoría se revisa cuando cambian los sistemas.

Antes de contratar nada, el autodiagnóstico ENS sitúa en menos de tres minutos en qué punto está tu organización y qué categoría te correspondería razonablemente.

Errores frecuentes en sanidad

• Categorizar todo el hospital como un único sistema. O sale una categoría alta que encarece todo, o una media que deja la HCE infraprotegida. Segmentar es la primera decisión de diseño.
• Dejar la electromedicina fuera del alcance porque «eso es de mantenimiento». Si está en red y toca datos de pacientes, está dentro.
• Confundir cumplir el RGPD con cumplir el ENS. Tener registro de actividades de tratamiento y DPD no equivale a tener las medidas del Anexo II implantadas y auditadas; son marcos complementarios, no intercambiables.
• En proveedores: esperar al pliego. La certificación de un sistema de categoría media no se improvisa en las semanas de plazo de una licitación.
• Tratar la conformidad como un hito y no como un ciclo. Sin mantenimiento, la certificación caduca y la seguridad real se degrada antes que el papel.

Preguntas frecuentes

Fuentes

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (texto consolidado, BOE-A-2022-7191): artículos 2, 3, 24, 28, 30, 31, 38, 40 y 41; Anexos I a III; disposición transitoria única.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, artículo 2 (definición de sector público).
• Reglamento (UE) 2016/679 (RGPD), en particular artículos 9 y 32, y Ley Orgánica 3/2018 (LOPDGDD).
• Guías CCN-STIC de la serie 800 (CCN), como desarrollo de los criterios de categorización y aplicación de medidas del ENS.
• Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad (Resolución de 13 de octubre de 2016, BOE-A-2016-10109), apartado VI: acreditación de las entidades certificadoras por ENAC conforme a UNE-EN ISO/IEC 17065:2012.