Respuesta corta: ISO/IEC 27001 especifica un sistema de gestión de seguridad de la información (SGSI): cómo una organización identifica sus riesgos de información, elige controles, los implementa y los mejora, con un auditor que certifica el resultado. Su complemento, ISO/IEC 27002, describe los controles en sí. ISO 27799 (informática de la salud: gestión de la seguridad de la información en salud utilizando ISO/IEC 27002) toma esos controles y explica cómo aplicarlos a la información personal de salud: requisitos mínimos, riesgos específicos de salud y controles que un hospital o proveedor de software de salud debe considerar obligatorios en lugar de opcionales. Usted se certifica según 27001; usted usa 27799 para decidir qué debe cubrir el certificado cuando los datos son datos de salud. Los hospitales y los programas nacionales piden cada vez más el certificado más pruebas de que se consideraron los aspectos específicos de salud, o un esquema nacional que los incorpore.
ISO/IEC 27001:2022 en un párrafo
ISO/IEC 27001:2022 es el estándar internacional certificable para un sistema de gestión de seguridad de la información. Las cláusulas 4 a 10 establecen los requisitos para el contexto, liderazgo, planificación basada en riesgos, soporte, operación, evaluación del desempeño y mejora; el Anexo A enumera 93 controles en cuatro temas, seleccionados y justificados en una Declaración de Aplicabilidad. La certificación implica una auditoría en dos etapas, vigilancia anual y recertificación cada tres años.
El estándar tiene diez cláusulas; las cláusulas 4 a 10 son los requisitos: contexto y alcance, liderazgo, planificación (evaluación y tratamiento de riesgos, objetivos), soporte (recursos, competencia, documentación), operación, evaluación del desempeño (seguimiento, auditoría interna, revisión por la dirección) y mejora. El Anexo A enumera 93 controles en cuatro temas (organizacionales, personas, físicos, tecnológicos), reorganizados en 2022 a partir de los 114 controles de la edición de 2013, con nuevos controles para inteligencia de amenazas, servicios en la nube, preparación de las TIC para la continuidad del negocio, enmascaramiento de datos, prevención de fugas de datos, monitorización, filtrado web y codificación segura. No tiene que implementar todos los controles; debe justificar, en una Declaración de Aplicabilidad, cuáles aplica y por qué los demás no son relevantes. La certificación es una auditoría de etapa 1 y etapa 2, seguida de vigilancia anual y recertificación cada tres años.
Lo que añade ISO 27799
ISO 27799 añade orientación específica para la salud a los controles de ISO/IEC 27002: para la información de salud personal, hace que varios controles sean obligatorios, incluyendo la identificación única de usuarios, el control de acceso basado en roles y relaciones de atención, el registro de auditoría de cada acceso a los registros de salud, el cifrado en dispositivos móviles y en tránsito, la eliminación segura, la gestión de incidentes y la continuidad del negocio, y describe amenazas específicas para las organizaciones de salud.
27799 (edición actual 2016) recorre los controles de 27002 y, para cada uno, indica lo que las organizaciones de salud deben hacer. Eleva varios de "debería considerar" a "debe": una política de seguridad de la información documentada específica para la información de salud; identificación única de usuario (sin cuentas compartidas en sistemas clínicos); control de acceso basado en roles y en la relación de atención; registro de auditoría de cada acceso a información personal de salud, conservado y revisable; cifrado de información de salud en dispositivos móviles y en tránsito; eliminación segura; gestión de incidentes que incluye violaciones de privacidad; y continuidad del negocio porque un registro no disponible puede perjudicar a un paciente. También explica las amenazas específicas de la salud: navegación interna de registros de personas conocidas, archivado erróneo entre pacientes, el punto débil de los extractos de investigación y los largos períodos de retención que mantienen expuestos los datos antiguos.
Los dos juntos, y los vecinos
ISO/IEC 27001 e ISO 27799 trabajan juntas: 27001 es el sistema de gestión certificable y 27799 la guía del sector de la salud sobre qué controles incluir. Estándares y esquemas vecinos cubren necesidades: ISO 27701 para privacidad, ISO 27017 y 27018 para la nube, SOC 2 y HITRUST para clientes de EE. UU., HDS (Francia), C5 (Alemania), el NHS DSPT (Inglaterra) y ENS (España) para la contratación pública nacional.
| Estándar o esquema | Tipo | Úselo para |
|---|---|---|
| ISO/IEC 27001:2022 | Requisitos de SGSI certificables | El certificado que piden los hospitales y las licitaciones |
| ISO/IEC 27002:2022 | Guía de controles | Implementación de los controles del Anexo A |
| ISO 27799:2016 | Guía del sector de la salud | Definición del alcance y justificación de controles para datos de salud; evidencia en diligencia debida |
| ISO/IEC 27701:2019 | Extensión de privacidad a 27001/27002 | Demostración de la gestión de privacidad alineada con GDPR como controlador y procesador |
| ISO/IEC 27017 y 27018 | Guía de seguridad y privacidad en la nube | Proveedores de nube y SaaS que manejan datos personales |
| SOC 2 (AICPA) | Informe de atestación de EE. UU. (Tipo I o II) sobre criterios de confianza | Clientes e inversores de EE. UU.; no es un certificado |
| HITRUST CSF | Marco y certificación de atención médica de EE. UU. | Sistemas de salud y pagadores de EE. UU. que lo requieran |
| HDS (Francia) | Certificación obligatoria para alojar datos de salud en Francia | Cualquier proveedor que aloje datos de salud franceses; se basa en 27001 |
| C5 (Alemania) | Atestación de nube del BSI | Sector público alemán y adquisiciones hospitalarias |
| NHS DSPT (Inglaterra) | Kit de autoevaluación anual | Cualquier proveedor del NHS |
| ENS (España) | Marco nacional de seguridad | Sistemas del sector público español |
| IEC 81001-5-1 | Ciclo de vida seguro del producto para software de salud | Ciberseguridad del software de dispositivos médicos, junto con IEC 62304 |
La mayoría de estos se superponen considerablemente con el conjunto de controles de 27001; las organizaciones mapean una vez y reutilizan la evidencia. Varios esquemas nacionales (HDS, C5, ENS) se basan en 27001 y añaden requisitos sectoriales o de país, por lo que 27001 es el primer certificado sensato para una empresa de tecnología de la salud que vende en Europa.
Qué certificar, y cuándo
Para una empresa de tecnología de la salud que vende en Europa, el orden habitual es certificar primero ISO/IEC 27001, con el alcance de la plataforma y los equipos que la gestionan, después de implementar los controles de salud de ISO 27799 (registros de acceso por registro, acceso basado en relaciones, cifrado, sin cuentas compartidas, restauraciones probadas), y luego añadir ISO 27701, HDS, C5 o SOC 2 cuando un mercado los demande.
- Alcance estrecho y honesto: la plataforma y los equipos que la ejecutan, no los portátiles de toda la empresa, a menos que toquen los datos. Los hospitales leen la declaración de alcance.
- Realice los aspectos específicos de salud incluso antes de la certificación: registros de acceso por registro de paciente, acceso basado en roles y relaciones, cifrado en todas partes, sin cuentas compartidas, restauraciones probadas. El cuestionario de seguridad de un hospital solicita esto; 27799 es la lista de verificación.
- Certifique 27001 primero, añada 27701 si procesa como controlador y procesador para muchos clientes, añada HDS o C5 cuando un mercado lo exija, SOC 2 cuando lo hagan los clientes de EE. UU.
- Mantenga visible el enlace GDPR: El Artículo 32 solicita seguridad apropiada al riesgo, y un certificado 27001 con un alcance informado por 27799 es la forma más reconocida de demostrarlo. La sección de medidas de la DPIA y el plan de tratamiento de riesgos del SGSI deben ser la misma lista. Consulte DPIA para una aplicación de salud.
- NIS2 (para entidades incluidas en el ámbito) y la actualización propuesta de la HIPAA Security Rule se leen como el Anexo A de 27001 con autenticación multifactor obligatoria e informes de incidentes; un SGSI responde a los tres. Consulte NIS2 para hospitales y proveedores.
En Anpheros
Anpheros ejecuta su programa de seguridad siguiendo la estructura de ISO 27001 con los controles de salud que 27799 considera obligatorios: registros de acceso por registro que la persona puede leer, acceso limitado por consentimiento y tiempo, cifrado en reposo y en tránsito, alojamiento en la UE, sin cuentas compartidas, copias de seguridad probadas y un proceso de incidentes con el reloj de 72 horas del GDPR. El sitio para desarrolladores documenta la seguridad de la plataforma y la auditoría se encuentra en la revisión de seguridad de octubre de 2026.
Esta página explica la regulación para equipos de producto e ingeniería. No es asesoramiento legal; los textos enlazados en Fuentes son la autoridad, y su oficial de protección de datos, organismo notificado o abogado decide para su caso. Última revisión: Octubre de 2026.
Páginas relacionadas
- NIS2 para hospitales y proveedores de tecnología de la salud
- DPIA para una aplicación de salud
- HIPAA vs GDPR
- ¿Quién vio mi historial médico?
- Mapa de regulación de datos de salud
- Seguridad de la plataforma (sitio para desarrolladores)
Fuentes
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Informática de la salud: gestión de la seguridad de la información en salud utilizando ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (Francia): Certificación HDS
- BSI (Alemania): Catálogo de criterios C5
- NHS England: Data Security and Protection Toolkit
Preguntas frecuentes
¿Puedo certificarme según ISO 27799?
No. 27799 es una guía; los organismos de certificación certifican ISO/IEC 27001. Puede tener el alcance de 27001 y la Declaración de Aplicabilidad que hagan referencia a 27799 para que el certificado cubra demostrablemente los controles específicos de salud.
¿Es SOC 2 equivalente a ISO 27001?
Se superponen pero difieren en tipo: SOC 2 es un informe de auditoría sobre controles durante un período contra criterios de confianza, común en EE. UU.; 27001 es un sistema de gestión certificado, común en Europa e internacionalmente. Muchas empresas de tecnología de la salud tienen ambos.
¿Necesito HDS para atender a clínicas francesas?
Si aloja datos de salud para proveedores de atención franceses, sí: la certificación HDS es un requisito legal según el código de salud pública francés, y la mayoría de los clientes franceses no firmarán sin ella. Se basa en 27001, así que empiece por ahí.
¿Cuánto tiempo lleva ISO 27001?
Para un alcance enfocado con un equipo comprometido, de seis a doce meses desde el inicio hasta el certificado, la mayor parte del tiempo se dedica a hacer que los controles sean reales y a recopilar evidencia. La auditoría en sí dura unos días.
Pruébalo gratis en el sandbox
Tu primera llamada FHIR en 5 minutos. Una API HL7 FHIR R4 con el consentimiento del paciente integrado: pruébala en el sandbox y luego conecta tu propia app o sistema de clínica.
Gratis · 30 pacientes sintéticos · sin tarjeta
Anpheros crea un historial médico que el paciente controla y puede compartir con cualquier clínica, en una plataforma HL7 FHIR R4, con sede en la UE. Estas guías te ayudan a entender y organizar tu salud; no reemplazan a tu médico.
Sobre Anpheros →