Respuesta corta: NIS2 (Directiva (UE) 2022/2555) es la ley de ciberseguridad de la UE para sectores críticos. La salud es un sector de alta criticidad (Anexo I): hospitales y otros proveedores de atención médica, laboratorios de referencia de la UE, fabricantes de productos farmacéuticos básicos y de dispositivos médicos críticos durante una emergencia de salud pública, y entidades que investigan y desarrollan productos medicinales. También se cubren los proveedores digitales de los que depende la salud: computación en la nube, centros de datos, servicios de seguridad gestionados y plataformas y mercados en línea. Las entidades por encima del umbral de tamaño (medianas: 50 empleados o 10 millones de euros de facturación) son esenciales o importantes dependiendo del sector y el tamaño, y deben implementar diez categorías de medidas de seguridad, informar incidentes significativos en 24 horas, 72 horas y un mes, y aceptar que la dirección es personalmente responsable. Los Estados miembros debían transponerla antes del 17 de octubre de 2024; varios lo hicieron tarde, y son las leyes nacionales, no la directiva, las que se aplican a usted.
Quién está incluido
NIS2 abarca el sector sanitario como un sector de alta criticidad: hospitales y otros proveedores de atención médica, laboratorios de referencia de la UE, fabricantes de productos farmacéuticos básicos y de dispositivos médicos críticos en una emergencia de salud pública, y entidades de I+D de productos medicinales, además de los proveedores de servicios en la nube, centros de datos y servicios gestionados de los que depende la salud. Las entidades medianas son generalmente importantes, las grandes son esenciales.
| Entidad | Anexo | Estado típico |
|---|---|---|
| Hospitales, clínicas, redes de médicos de cabecera, laboratorios, farmacias que prestan atención (proveedores de atención médica según la Directiva 2011/24) | I, salud | Esencial si es grande (más de 250 empleados o 50 millones de euros), importante si es mediana |
| Laboratorios de referencia de la UE | I, salud | Esencial |
| Fabricantes de productos y preparaciones farmacéuticas básicas | I, salud | Esencial o importante por tamaño |
| Fabricantes de dispositivos médicos considerados críticos durante una emergencia de salud pública (lista del Reglamento 2022/123) | I, salud | Esencial o importante por tamaño |
| Entidades que realizan I+D de productos medicinales | I, salud | Esencial o importante por tamaño |
| Proveedores de servicios de computación en la nube, proveedores de centros de datos, redes de entrega de contenido, proveedores de servicios gestionados (de seguridad), DNS, registros de TLD | I, infraestructura digital y gestión de servicios TIC | Esencial independientemente del tamaño para algunos (DNS, TLD, servicios de confianza); de lo contrario, por tamaño |
| Mercados en línea, motores de búsqueda, redes sociales | II, proveedores digitales | Importante por tamaño |
| Fabricantes de otros dispositivos médicos y de ordenadores, electrónica, maquinaria | II, fabricación | Importante por tamaño |
Un proveedor de SaaS de tecnología sanitaria no es un proveedor de atención médica, pero puede estar incluido como proveedor de servicios de computación en la nube (si ofrece servicios en la nube como su negocio) o ser incluido a través de sus clientes: el Artículo 21(2)(d) exige a las entidades esenciales e importantes que gestionen la seguridad de la cadena de suministro, por lo que los hospitales trasladan los requisitos de nivel NIS2 a los contratos con sus proveedores de software. Las micro y pequeñas empresas generalmente están fuera del alcance a menos que un Estado miembro las designe (por ejemplo, como únicos proveedores de un servicio crítico).
Las diez medidas, Artículo 21
El Artículo 21 de NIS2 exige que cada entidad incluida en su ámbito de aplicación adopte medidas proporcionadas en diez áreas: análisis de riesgos y políticas de seguridad, gestión de incidentes, continuidad del negocio y gestión de crisis, seguridad de la cadena de suministro, adquisición y desarrollo seguros, incluida la gestión de vulnerabilidades, evaluación de la eficacia, ciberhigiene y formación, criptografía y cifrado, seguridad de los recursos humanos y control de acceso, y autenticación multifactor con comunicaciones seguras.
Cada entidad incluida debe tomar medidas técnicas, operativas y organizativas apropiadas y proporcionadas que cubran al menos:
- políticas sobre análisis de riesgos y seguridad de sistemas de información;
- gestión de incidentes;
- continuidad del negocio (copias de seguridad, recuperación ante desastres) y gestión de crisis;
- seguridad de la cadena de suministro, incluida la seguridad de las relaciones con los proveedores directos;
- seguridad en la adquisición, desarrollo y mantenimiento de sistemas, incluida la gestión y divulgación de vulnerabilidades;
- políticas para evaluar la eficacia de las medidas;
- prácticas básicas de ciberhigiene y formación;
- políticas sobre criptografía y, cuando proceda, cifrado;
- seguridad de los recursos humanos, control de acceso y gestión de activos;
- autenticación multifactorial o continua, comunicaciones seguras y comunicaciones de emergencia seguras.
Un reglamento de ejecución de octubre de 2024 (2024/2690) especifica estos detalles para proveedores de infraestructura digital y TIC, y las autoridades nacionales publican sus propios catálogos para la salud. La lista se corresponde estrechamente con el Anexo A de ISO/IEC 27001; una organización con un SGSI certificado que abarque los sistemas relevantes está en gran parte encaminada. Consulte ISO 27001 vs ISO 27799.
El reloj de incidentes, Artículo 23
Según el Artículo 23 de NIS2, un incidente significativo debe notificarse al CSIRT nacional o a la autoridad competente en tres pasos: una alerta temprana en un plazo de 24 horas desde que se tenga conocimiento, una notificación del incidente en un plazo de 72 horas con una evaluación inicial, y un informe final en el plazo de un mes que cubra la causa raíz y la mitigación, con un informe intermedio a petición.
Un incidente significativo (uno que cause o pueda causar una interrupción operativa grave o pérdidas financieras, o que afecte a otros con daños considerables) debe ser notificado al CSIRT nacional o a la autoridad competente:
- alerta temprana en un plazo de 24 horas desde que se tenga conocimiento, indicando si se sospecha de acción maliciosa y si hay un impacto transfronterizo;
- notificación del incidente en un plazo de 72 horas, con una evaluación inicial de la gravedad y el impacto, e indicadores de compromiso;
- un informe intermedio a petición;
- un informe final en un plazo de un mes, con causa raíz, mitigación e impacto transfronterizo.
Cuando se traten datos personales, la notificación de 72 horas del RGPD a la autoridad de protección de datos se ejecutará en paralelo; un ataque de ransomware a un hospital activa ambos. Los destinatarios de los servicios deben ser informados cuando el incidente pueda afectarles.
Gobernanza, responsabilidad, multas
NIS2 hace que la dirección sea personalmente responsable: los órganos de dirección deben aprobar las medidas de ciberseguridad, supervisar su aplicación y seguir formación, y pueden ser considerados responsables de las infracciones; para las entidades esenciales, las autoridades pueden suspender temporalmente a los directivos. Las multas ascienden a 10 millones de euros o al 2% de la facturación mundial para las entidades esenciales y a 7 millones de euros o al 1,4% para las entidades importantes.
Las autoridades pueden auditar, exigir pruebas y, en algunos Estados miembros, el registro de entidades es en sí mismo una obligación.
Estado de la transposición
NIS2 debía transponerse al derecho nacional antes del 17 de octubre de 2024. A mediados de 2025, aproximadamente la mitad de los Estados miembros tenían leyes en vigor, la Comisión había iniciado procedimientos de infracción contra los que se retrasaban, y el acto de aplicación de Alemania entró en vigor a finales de 2025. La ley nacional, no la directiva, establece el plazo de registro, la autoridad competente y cualquier catálogo del sector sanitario.
El plazo de transposición fue el 17 de octubre de 2024. A mediados de 2025, aproximadamente la mitad de los Estados miembros tenían leyes en vigor (Bélgica, Croacia, Hungría, Italia, Letonia, Lituania, Rumanía, Eslovaquia entre los primeros), y la Comisión inició procedimientos de infracción contra los que se retrasaron; la ley de aplicación de NIS2 en Alemania entró en vigor a finales de 2025. Consulte su ley nacional para conocer el plazo de registro, la autoridad (a menudo la agencia nacional de ciberseguridad para la salud, a veces un regulador del sector sanitario) y los catálogos sectoriales específicos. Fuera de la UE, el Reino Unido sigue con la Ley de Ciberseguridad y Resiliencia.
Para un proveedor de tecnología sanitaria, en la práctica
Para un proveedor de tecnología sanitaria, NIS2 llega principalmente a través de contratos con hospitales: los clientes incluidos en su ámbito de aplicación deben gestionar la seguridad de la cadena de suministro, por lo que exigen la notificación de incidentes en cuestión de horas, pruebas de las diez medidas del Artículo 21, divulgación de vulnerabilidades, listas de subcontratistas y planes de salida y continuidad. Un sistema de gestión de la seguridad de la información con estos elementos documentados una vez es la forma más económica de responder.
Anpheros publica su práctica de seguridad en el sitio para desarrolladores (security, reliability) y gestiona la respuesta a incidentes con los plazos de NIS2 y GDPR en el mismo runbook.
Esta página explica la regulación para equipos de producto e ingeniería. No constituye asesoramiento legal; los textos enlazados en Fuentes son la autoridad, y su responsable de protección de datos, organismo notificado o abogado decidirá para su caso. Última revisión: octubre de 2026.
Páginas relacionadas
- ISO 27001 vs ISO 27799
- Artículo 9 del RGPD para datos de salud
- Mapa de regulación de datos de salud
- EIPD para una aplicación de salud
- Seguridad de la plataforma (sitio para desarrolladores)
Fuentes
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690 (Requisitos técnicos NIS2 para proveedores digitales), EUR-Lex
- Comisión Europea: Resumen de la Directiva NIS2
- Reglamento (UE) 2022/123 (Papel reforzado de la EMA; lista de dispositivos médicos críticos), EUR-Lex
Preguntas frecuentes
¿Está mi empresa de software sanitario de 30 personas incluida?
Normalmente no directamente, a menos que su ley nacional le designe o usted proporcione un servicio listado en el Anexo I independientemente del tamaño. Aun así, cumplirá con NIS2 a través de las obligaciones de cadena de suministro de sus clientes hospitalarios, que se trasladan a los contratos.
¿Qué es un incidente significativo?
Uno que cause o pueda causar una interrupción operativa grave o pérdidas financieras para la entidad, o que afecte a otras personas u organizaciones con daños materiales o inmateriales considerables. Un ataque de ransomware a un hospital es el caso típico; una breve interrupción sin impacto en los datos generalmente no lo es.
¿NIS2 reemplaza la notificación de incumplimiento del RGPD?
No. Se ejecutan en paralelo con diferentes destinatarios (el CSIRT o la autoridad de ciberseguridad frente a la autoridad de protección de datos), diferentes desencadenantes (interrupción del servicio frente a violación de datos personales) y plazos superpuestos.
¿La certificación ISO 27001 es prueba de cumplimiento de NIS2?
No formalmente, pero varios Estados miembros y ENISA consideran un SGSI certificado sobre el alcance relevante como una prueba sólida, y algunos esquemas nacionales lo aceptan como una presunción para la mayoría de las medidas. Los deberes de notificación de incidentes y formación de gestión aún deben demostrarse por separado.
Pruébalo gratis en el sandbox
Tu primera llamada FHIR en 5 minutos. Una API HL7 FHIR R4 con el consentimiento del paciente integrado: pruébala en el sandbox y luego conecta tu propia app o sistema de clínica.
Gratis · 30 pacientes sintéticos · sin tarjeta
Anpheros crea un historial médico que el paciente controla y puede compartir con cualquier clínica, en una plataforma HL7 FHIR R4, con sede en la UE. Estas guías te ayudan a entender y organizar tu salud; no reemplazan a tu médico.
Sobre Anpheros →