Salud & NIS2: las obligaciones de un sector esencial

¿De qué trata NIS2?

NIS2 distingue entre entidades esenciales e importantes. La sanidad figura entre los sectores altamente críticos (anexo I): los establecimientos y proveedores afectados están sujetos, por encima de los umbrales, a la categoría de entidades esenciales, sometidas a una supervisión más estricta que las importantes.

Las medidas del artículo 21 cubren una base completa: política de seguridad, gestión de incidentes, continuidad, cadena de suministro, cifrado, control de acceso, autenticación multifactor.

¿Está afectado el sector «Sanidad»?

Hospitales, clínicas, laboratorios y proveedores críticos de salud que superan los umbrales son entidades esenciales. Algunas entidades consideradas críticas pueden serlo independientemente de su tamaño.

Los editores y proveedores de servicios que les dan soporte se ven afectados por extensión, a través de la segurización de la cadena de suministro exigida a sus clientes.

Obligaciones detalladas

Sanciones y riesgos

Para las entidades esenciales, las multas pueden alcanzar 10 M€ o el 2 % del volumen de negocio mundial, con una supervisión reforzada (controles, auditorías) y una posible responsabilidad personal de los directivos.

El riesgo principal sigue siendo operativo y humano: un ataque exitoso puede interrumpir la atención a los pacientes.

Calendario de aplicación

• 1Directiva. Adoptada a finales de 2022.
• 2Francia. Transposición en proceso de finalización; anticipar las medidas desde ahora dado el nivel de amenaza.

Errores frecuentes en el sector

• 1Subestimar la amenaza. Descuidar la exposición del sector al ransomware.
• 2Cadena de suministro no asegurada. Permitir que editores o proveedores no evaluados accedan a los sistemas.
• 3Continuidad no probada. Disponer de un plan de recuperación teórico nunca probado.
• 4Dirección ausente. Limitar la ciberseguridad a lo técnico sin implicación de la dirección.

Caso práctico

Un centro sanitario sufre un ataque de ransomware introducido a través de un proveedor de mantenimiento no supervisado. A falta de un plan de continuidad probado, la actividad se ve perturbada durante varios días. La remediación NIS2 consiste en controlar los accesos de los proveedores, generalizar la autenticación multifactor, probar regularmente el plan de recuperación y formalizar la notificación de incidentes.

Hoja de ruta de cumplimiento

1. 1

   Calificar. Confirmar el estatus de entidad esencial.

2. 2

   Analizar los riesgos. Realizar un análisis de riesgos y un diagnóstico respecto al artículo 21.

3. 3

   Desplegar las medidas. Implementar las medidas faltantes, un plan de continuidad y un plan de respuesta a incidentes.

4. 4

   Proteger a los proveedores. Encuadrar editores y proveedores críticos.

5. 5

   Instrumentar la notificación. Implementar el proceso de alerta y notificación.

Preguntas frecuentes