ENS en el sector salud: qué proveedores TIC sanitarios necesitan certificarse.

El ENS en el sistema sanitario público español

El sistema sanitario público español —el Sistema Nacional de Salud (SNS)— es uno de los entornos más exigentes en cuanto a seguridad de la información: gestiona datos de salud de decenas de millones de ciudadanos, opera sistemas críticos de los que dependen vidas humanas y funciona a través de una red compleja de organismos —Ministerio de Sanidad, servicios autonómicos de salud, hospitales, centros de atención primaria, servicios de emergencias— que se interconectan entre sí y con una multitud de proveedores tecnológicos privados.

El RD 311/2022 que regula el ENS se aplica a cualquier entidad, pública o privada, que preste servicios o soluciones tecnológicas al sector público sanitario. En la práctica, esto significa que prácticamente todo el ecosistema de proveedores TIC del sector sanitario público español tiene obligación de cumplir el ENS: desde las grandes empresas que suministran sistemas de gestión hospitalaria hasta las pymes que desarrollan aplicaciones de cita previa o módulos de historia clínica.

Las comunidades autónomas, que gestionan sus propios servicios de salud (SERGAS, SAS, SERMAS, CatSalut, Osakidetza, etc.), han ido incorporando el cumplimiento ENS como requisito en sus pliegos de contratación a un ritmo acelerado desde 2023. Hoy es inusual encontrar un concurso de envergadura en el ámbito TIC sanitario público que no exija el certificado ENS como criterio de admisión.

¿Qué proveedores TIC sanitarios necesitan el ENS?

La pregunta más frecuente que nos llega de empresas del sector salud es si su caso concreto está realmente dentro del ámbito de aplicación del ENS. La respuesta depende de si los sistemas que desarrollan, mantienen u operan son sistemas de información del sector público sanitario o están directamente conectados a ellos. Los casos más habituales que requieren ENS incluyen:

• Sistemas de Historia Clínica Electrónica (HCE): cualquier proveedor de software de HCE que opere en hospitales o centros de salud públicos está en el ámbito ENS, independientemente de su tamaño.
• Sistemas de Información Hospitalaria (HIS): plataformas de gestión hospitalaria integral que cubren admisiones, urgencias, farmacia, laboratorio, quirófano y facturación.
• Sistemas de Radiología e Imagen Médica (RIS/PACS): sistemas de gestión de radiología y almacenamiento de imagen médica. Son especialmente críticos y suelen clasificarse en categoría Media o Alta.
• Plataformas de cita previa y acceso ciudadano: sistemas que permiten a los ciudadanos pedir cita, consultar sus datos de salud o recibir informes clínicos. Al dar acceso directo a datos de pacientes desde internet, requieren controles de seguridad especialmente estrictos.
• Sistemas de telemedicina y telemonitorización: plataformas de consulta médica a distancia, monitorización de pacientes crónicos y atención domiciliaria. Su crecimiento exponencial desde 2020 los ha convertido en un objetivo prioritario de los pliegos ENS.
• Infraestructura de red y telecomunicaciones sanitaria: empresas que operan las redes de datos de los hospitales, los servicios de conectividad de los centros de salud o las VPNs corporativas de los servicios autonómicos de salud.
• Empresas de ciberseguridad hospitalaria: proveedores de SOC, gestión de vulnerabilidades, análisis forense y respuesta a incidentes en entornos hospitalarios.
• Proveedores de cloud para datos de salud: cualquier empresa que ofrezca servicios IaaS, PaaS o SaaS para el almacenamiento o procesamiento de datos de salud de organismos públicos.

Categoría ENS en el sector salud

La categoría ENS de los sistemas del sector salud tiende a ser más alta que en otros sectores, por razones objetivas relacionadas con la sensibilidad de los datos tratados y el impacto potencial de un incidente de seguridad.

Categoría Básica puede aplicar a sistemas auxiliares con acceso muy limitado a datos de salud o sin datos de pacientes en alcance (por ejemplo, sistemas de gestión de mantenimiento de instalaciones hospitalarias que no incluyen datos clínicos, o software de formación interna del personal sanitario sin acceso a historias clínicas reales).

Categoría Media es la más frecuente para los proveedores TIC sanitarios. Aplica cuando un incidente de seguridad —pérdida de confidencialidad, indisponibilidad, manipulación de datos— tendría un impacto grave sobre los servicios sanitarios o sobre los ciudadanos, pero no catastrófico. Incluye: sistemas HCE de centros de salud y hospitales de tamaño medio, plataformas de cita previa, sistemas de telemedicina ambulatoria y la mayoría de los sistemas de apoyo al diagnóstico.

Categoría Alta aplica cuando el impacto de un incidente sería muy grave o podría afectar directamente a la vida de personas. Incluye: sistemas de gestión de urgencias y emergencias, sistemas de apoyo a la decisión clínica en UCI o quirófano, plataformas de historia clínica de ámbito regional o nacional, sistemas de farmacovigilancia y cualquier sistema cuya indisponibilidad pueda comprometer directamente la prestación asistencial urgente.

ENS y RGPD en salud: la doble obligación de los proveedores sanitarios

Los proveedores TIC del sector sanitario público enfrentan una doble obligación normativa que en la práctica deben gestionar de forma coordinada: el ENS y el RGPD. Los datos de salud son datos personales de categoría especial según el artículo 9 del RGPD, lo que implica que su tratamiento está sujeto a condiciones más estrictas que los datos personales ordinarios.

El ENS y el RGPD se complementan: muchos de los controles técnicos y organizativos que exige el ENS —análisis de riesgos, gestión de incidentes, control de accesos, cifrado, copias de seguridad— son también las "medidas técnicas y organizativas apropiadas" que el RGPD exige a los responsables y encargados del tratamiento de datos de salud.

Sin embargo, el cumplimiento ENS no sustituye al cumplimiento RGPD. Los proveedores sanitarios deben además: firmar el contrato de encargo del tratamiento con el organismo sanitario público (artículo 28 RGPD), mantener el registro de actividades de tratamiento, realizar evaluaciones de impacto (EIPD) para los tratamientos de alto riesgo, y gestionar los derechos de los pacientes (acceso, rectificación, supresión). La interacción entre ENS y RGPD en el sector salud es compleja y requiere un enfoque integrado que evite duplicidades y garantice el cumplimiento conjunto.

Casos típicos de proveedores sanitarios que necesitan ENS

Proveedor de historia clínica electrónica

Una empresa que desarrolla y mantiene el software de HCE de un hospital público autonómico está procesando los datos de salud de todos los pacientes atendidos por ese hospital. El sistema es crítico para la continuidad asistencial: una indisponibilidad prolongada paralizaría la actividad del hospital. La categoría habitualmente resultante es Media o Alta. Los controles más críticos son: disponibilidad (copias de seguridad, continuidad del servicio), control de accesos (los datos de la HCE solo deben ser accesibles por el personal asistencial autorizado), integridad (los datos clínicos no pueden modificarse sin registro de auditoría) y cifrado en tránsito y en reposo.

Proveedor de telemedicina

Una plataforma de teleconsulta médica que conecta a pacientes con médicos de un servicio autonómico de salud procesa datos de salud a través de internet, lo que amplifica significativamente el riesgo de seguridad. Además de los controles ENS habituales, debe prestar especial atención a la seguridad de las comunicaciones (cifrado de las videoconsultas), la autenticación robusta de pacientes y profesionales, y la protección de los registros de las consultas.

Empresa de ciberseguridad hospitalaria

Una empresa que presta servicios de SOC (Centro de Operaciones de Seguridad) a hospitales públicos tiene acceso privilegiado a los sistemas y datos de esos hospitales. Por ello, aunque su producto no sea un sistema sanitario en sí mismo, el alcance de sus accesos lo sitúa en el ámbito del ENS. Además, el contrato de servicio con el hospital debe incluir cláusulas de cumplimiento ENS y el encargo del tratamiento RGPD correspondiente.

ENS y el CCN-STIC en el ámbito sanitario

El Centro Criptológico Nacional (CCN) —organismo dependiente del CNI que tutela técnicamente el ENS— ha prestado especial atención al sector sanitario en sus guías y publicaciones. La serie CCN-STIC incluye guías específicas para la seguridad de los sistemas de información en el ámbito sanitario, con recomendaciones adaptadas a las particularidades del entorno clínico: integración de dispositivos médicos (IoMT), gestión de identidades en entornos hospitalarios de alta rotación de personal, seguridad en la compartición de imágenes médicas y protección de las redes OT de los sistemas de soporte vital.

El CCN también ha emitido alertas específicas sobre los ataques de ransomware al sector sanitario en España —que se han multiplicado desde 2021— y ha publicado guías de respuesta a incidentes para hospitales. La naturaleza crítica del entorno sanitario y la sensibilidad extrema de los datos tratados hacen que el CCN considere al sector salud como de máxima prioridad en su estrategia de seguridad nacional.

Cómo certificarse en ENS siendo proveedor sanitario

El proceso de certificación ENS para un proveedor TIC sanitario sigue las mismas fases generales que para cualquier otro proveedor —gap analysis, plan de adecuación, implantación, auditoría interna previa, auditoría de certificación— pero con algunas consideraciones específicas del sector.

La primera consideración es la definición del alcance. Los sistemas sanitarios suelen ser complejos, con múltiples integraciones entre subsistemas (HCE, laboratorio, farmacia, imagen médica, facturación) y con conexiones a sistemas externos (otros hospitales, atención primaria, farmacias, seguros). Definir un alcance que sea suficientemente representativo de los riesgos reales, pero manejable en términos de implementación, requiere experiencia en el sector.

La segunda consideración es la gestión de dispositivos médicos conectados (IoMT). Los hospitales modernos cuentan con cientos o miles de dispositivos médicos conectados a las redes hospitalarias —monitores de pacientes, bombas de infusión, ventiladores, sistemas de imagen médica— que forman parte del entorno de riesgo ENS pero que no siempre pueden ser actualizados o configurados según las políticas de seguridad estándar. La gestión de estos dispositivos requiere un enfoque específico.

La tercera es la continuidad del servicio. Para los sistemas sanitarios críticos, el plan de continuidad del servicio no es una formalidad: debe ser operativo, probado y capaz de mantener la asistencia a pacientes durante una interrupción de los sistemas informáticos. Los planes de continuidad en salud deben integrarse con los planes de gestión de crisis del hospital.

Preguntas frecuentes sobre el ENS en el sector salud