La sanidad figura entre los sectores de alta criticidad de NIS2, pero esa clasificación no convierte automáticamente a cualquier consulta, laboratorio o fabricante en entidad esencial. Deben comprobarse la actividad incluida en los anexos, el tamaño, las excepciones y la legislación nacional aplicable. Para un hospital, el trabajo útil consiste en unir esa evaluación jurídica con decisiones clínicas concretas: qué servicios deben continuar si fallan la historia electrónica, el laboratorio o las comunicaciones.
A 28 de septiembre de 2026, la revisión de fuentes oficiales no ha localizado en el BOE una ley española definitiva de transposición. La Comisión anunció el 8 de julio de 2026 la remisión de España al Tribunal de Justicia por falta de notificación de las medidas nacionales. Esta guía distingue el marco que debe transponerse de obligaciones ya aplicables, como protección de datos, ENS en su ámbito y la normativa española de seguridad de redes correspondiente.
Qué actividades sanitarias incluye NIS2
El anexo I de la Directiva (UE) 2022/2555 incluye a los prestadores de asistencia sanitaria definidos por la Directiva 2011/24/UE. Un hospital o una clínica deben examinar esa categoría a partir de su actividad real y de la entidad jurídica que presta el servicio. El nombre comercial de un grupo sanitario no determina por sí solo qué sociedades o establecimientos quedan comprendidos.
El anexo también incluye a los laboratorios de referencia de la Unión Europea, las entidades que investigan y desarrollan medicamentos y los fabricantes de productos farmacéuticos de base y especialidades farmacéuticas de la división 21 de la NACE Rev. 2. No dice que cualquier laboratorio que venda análisis o cualquier empresa relacionada con salud entre por idéntico motivo. Un laboratorio puede encajar como prestador asistencial, pero debe explicarse esa conexión en lugar de atribuirle la categoría específica de laboratorio de referencia europeo.
Para productos sanitarios, el anexo I se refiere a fabricantes de los considerados esenciales durante una emergencia de salud pública en la lista del Reglamento (UE) 2022/123. Otros fabricantes de productos sanitarios y de diagnóstico in vitro pueden encajar en el anexo II conforme a sus condiciones. La distinción importa para la clasificación posterior y evita afirmar que todo fabricante de material hospitalario pertenece al sector de máxima criticidad.
Tamaño, grupos y designaciones: el análisis antes de clasificarse
La regla general del artículo 2 alcanza a entidades de los tipos de los anexos que sean medianas empresas o superen los límites de las medianas conforme a la Recomendación 2003/361/CE. La evaluación combina efectivos y datos financieros y considera, cuando corresponde, empresas asociadas o vinculadas. No basta contar las personas que trabajan en una sede ni resumir el criterio como «cincuenta empleados o diez millones» sin analizar sus condiciones.
El artículo 3 considera esenciales, entre otras, las entidades del anexo I que superan los límites de mediana empresa. Las incluidas que no cumplen un supuesto de entidad esencial se clasifican como importantes. Hay vías de inclusión con independencia del tamaño, por ejemplo por la importancia de un servicio para la salud pública o por su carácter crítico, en los términos legales. Una clínica pequeña no debe autodeclararse fuera sin comprobar si concurre alguna de esas circunstancias.
Imaginemos una clínica con pocos trabajadores que forma parte de un grupo de centros y comparte sistemas, dirección y proveedores. La evaluación del tamaño necesita conocer los vínculos societarios y las reglas de agregación pertinentes. A la inversa, estar en un edificio hospitalario no convierte automáticamente a un profesional independiente en la misma entidad jurídica que el hospital. El análisis de entidades esenciales e importantes debe documentar esas decisiones y su fuente.
La condición europea prevista y su aplicación española deben mantenerse separadas. El anuncio de la Comisión de julio de 2026 acredita un problema de transposición, no una lista definitiva de hospitales españoles sujetos a la futura ley. La guía de NIS2 en España sirve para seguir esa evolución. Mientras tanto, prepara el análisis del perímetro y verifica las obligaciones nacionales que ya alcanzan a cada entidad.
El caso Clínic: continuidad asistencial y datos personales
El Hospital Clínic informó el 6 de marzo de 2023 de un ataque que afectó a sus sistemas y de la recuperación progresiva de actividad. La comunicación del Departamento de Seguridad Nacional del 7 de marzo describió un ataque de ransomware ocurrido el domingo anterior y señaló la suspensión de unas 150 intervenciones y entre 2.000 y 3.000 visitas. Son cifras de aquella comunicación, no un balance acumulado de toda la crisis.
El caso ilustra cómo la indisponibilidad informática puede alterar programación, acceso a información clínica y coordinación asistencial. No se presenta aquí como una sanción NIS2 ni como prueba de que todo hospital sufrirá el mismo ataque. Permite formular decisiones de continuidad: qué información necesita cada unidad para atender con seguridad, qué actividad puede aplazarse y quién decide derivaciones o recuperación gradual.
Un plan que solo restaura servidores puede dejar sin resolver la reconciliación de datos generados en papel durante la caída. Debe prever cómo registrar después prescripciones, pruebas y actuaciones sin duplicidades o errores de identificación. Esa es una recomendación operativa derivada del riesgo clínico: la disponibilidad técnica del sistema y su utilización segura por profesionales no siempre se recuperan al mismo tiempo.
Qué obligaciones españolas deben revisarse ahora
El Real Decreto-ley 12/2018 y el Real Decreto 43/2021 regulan el marco español de seguridad de redes y sistemas, con su propio ámbito y criterios de identificación. No debe sustituirse una designación o deber vigente por una clasificación informal basada en NIS2. Tampoco puede afirmarse que, por retrasarse la transposición, desaparezcan los deberes de un operador ya sujeto al régimen anterior.
El Real Decreto 311/2022, regulador del ENS, se aplica al sector público en los términos de su artículo 2. También alcanza a determinados sistemas privados que prestan servicios o soluciones al sector público en las condiciones legales y contractuales previstas. No toda clínica privada queda sometida al ENS simplemente por tratar datos de salud, ni cualquier contrato hospitalario transmite idénticas exigencias a todos los sistemas del proveedor.
La protección de datos se analiza además conforme al RGPD y la LOPDGDD. Los datos de salud son categorías especiales; el tratamiento necesita base del artículo 6 y una condición válida del artículo 9, junto a las restantes garantías. La guía de RGPD en sanidad desarrolla esas decisiones. El deber de seguridad del artículo 32 se adapta al riesgo y ya exige considerar confidencialidad, integridad, disponibilidad, resiliencia y recuperación.
Por tanto, conviene elaborar una relación de obligaciones aplicables por entidad, servicio y sistema. Una misma medida puede aportar evidencia para ENS, RGPD y la preparación de NIS2, pero la coincidencia parcial no significa equivalencia completa. La comparación entre NIS2 y RGPD y la guía del Esquema Nacional de Seguridad ayudan a identificar qué finalidad cubre cada control y qué verificación falta.
Traducir el artículo 21 a servicios clínicos
El artículo 21 de NIS2 prevé medidas técnicas, operativas y organizativas proporcionadas a los riesgos. Para prepararse, resulta útil empezar por servicios: admisión, urgencias, laboratorio, imagen, farmacia o hospitalización. Identifica los sistemas de los que depende cada uno y el impacto de perderlos. Así puede priorizarse una medida por su efecto asistencial y no solo por el valor económico del equipo afectado.
La segmentación de redes puede limitar la propagación, pero no debe prometerse que impedirá cualquier ataque. Conviene comprobar qué comunicaciones necesitan los equipos clínicos, cuáles pueden restringirse y cómo se gestiona una excepción urgente. En dispositivos cuya actualización exige validación del fabricante o una ventana de mantenimiento, la decisión debe considerar también el riesgo de intervenir sobre un equipo en uso asistencial.
Las copias de seguridad necesitan verificaciones de recuperación: contenido, integridad, separación y tiempo necesario para devolver un servicio a una situación utilizable. Una copia accesible desde las mismas credenciales comprometidas puede verse afectada. Una prueba satisfactoria de un servidor tampoco acredita la recuperación de todo el circuito clínico. Documentar el escenario probado y sus límites evita atribuir a una evidencia más alcance del que tiene.
Los accesos de profesionales y personal externo deben responder a sus funciones y a la necesidad de atención. Es razonable prever mecanismos de acceso excepcional en situaciones clínicas justificadas, con trazabilidad y revisión. Eso no convierte una cuenta compartida o un acceso permanente de mantenimiento en una solución aceptable por defecto. El objetivo es mantener la asistencia y poder explicar después quién accedió, por qué y durante cuánto tiempo.
Proveedores: dependencia técnica y papel jurídico
El artículo 21 exige atender a la seguridad de la cadena de suministro, incluidos proveedores y prestadores directos. Un hospital necesita conocer qué servicios dependen de un centro de datos, un software clínico, un laboratorio externo o un mantenedor de equipos. Es útil acordar interlocutores, escalado de incidentes, acceso a evidencias, recuperación y sustitución del servicio. La criticidad no se deduce únicamente del importe del contrato.
El papel de protección de datos se decide separadamente. Un proveedor que trata datos por cuenta del hospital puede ser encargado; otro puede actuar como responsable de su propia actividad. La guía de responsable y encargado ayuda a evitar clasificar automáticamente a todo proveedor sanitario como encargado. La actividad, las decisiones y las instrucciones deben coincidir con el documento que regula la relación.
Cuando existe encargo, el artículo 28 exige contrato escrito, incluido electrónico, o un acto jurídico vinculante de la Unión o de un Estado miembro. Deben abordarse instrucciones, seguridad, subencargos y asistencia, entre otros contenidos. La notificación del encargado al responsable de una brecha debe realizarse sin dilación indebida; un plazo comercial no puede utilizarse para vaciar ese deber ni impedir que el hospital valore a tiempo sus propias obligaciones.
Relaciona esas dependencias con el registro de actividades de tratamiento. Un inventario técnico indica dónde funciona la aplicación; el registro permite entender para qué se utilizan los datos, quién responde y a quién se comunican. La conexión resulta especialmente útil si varias entidades comparten infraestructura: recuperar la plataforma no asigna por sí solo las responsabilidades de notificar ni las decisiones sobre los datos de cada una.
Notificación NIS2: preparar el calendario europeo sin anticipar la ley española
El artículo 23 contempla incidentes significativos: graves perturbaciones operativas o pérdidas económicas, o perjuicios materiales o inmateriales considerables para otras personas, producidos o potenciales en los términos del precepto. No exige que se hayan robado datos para considerar relevante una interrupción. La organización debe poder justificar la clasificación con la información disponible y actualizarla cuando conoce mejor el alcance.
El calendario europeo exige, sin demora indebida, alerta temprana dentro de 24 horas desde la constancia del incidente significativo y notificación dentro de 72. Prevé informe intermedio si se solicita y un informe final, como máximo, un mes después de la notificación. Si el incidente sigue en curso entonces, se presenta un informe de situación y el final dentro del mes siguiente a su gestión. La excepción de notificación en 24 horas para prestadores de confianza afecta a incidentes significativos en sus servicios de confianza, no a cualquier hospital que utilice certificados digitales.
La guía de notificación NIS2 detalla ese recorrido. Para aplicarlo a una entidad española hay que verificar el marco nacional vigente, destinatarios y canales; no basta enviar un correo a un contacto genérico. Preparar roles, credenciales y sustitutos es útil antes de que cambie la ley, pero la planificación no convierte la directiva en un procedimiento nacional ya promulgado.
Brecha de datos y ENS: decisiones paralelas con criterios propios
El RGPD tiene un disparador diferente. Una violación de seguridad puede afectar a confidencialidad, integridad o disponibilidad de datos personales; no todo incidente técnico es una brecha. Cuando procede, se notifica a la autoridad competente sin dilación indebida y, de ser posible, en 72 horas desde su conocimiento, salvo que sea improbable el riesgo para derechos y libertades. Si se notifica después, hay que explicar la demora. Todas las brechas deben documentarse, incluso las que no se notifican.
La comunicación a pacientes u otras personas se evalúa conforme al artículo 34: cuando sea probable un alto riesgo, debe realizarse sin dilación indebida, con las excepciones legales correspondientes. No puede decidirse solo por el número de registros. Una indisponibilidad que impide atender una necesidad clínica urgente puede tener consecuencias relevantes aunque no se haya confirmado extracción de información. La guía de brechas RGPD ayuda a separar esas valoraciones.
El destinatario no siempre es la AEPD. Debe identificarse la autoridad de protección de datos competente; en Cataluña puede corresponder la APDCAT según su ámbito. La guía de la AEPD y los casos de protección de datos en sanidad sirven de contexto, sin sustituir esa comprobación. La intervención de un CSIRT tampoco equivale a notificar a la autoridad de datos.
Por su parte, el artículo 33 del ENS exige a las entidades del sector público notificar al CCN los incidentes con impacto significativo en la seguridad de sus sistemas conforme a la instrucción técnica correspondiente. Incluye un cauce específico para organizaciones privadas que prestan servicios a entidades públicas, a través de INCIBE-CERT en los términos del apartado séptimo. No se resume correctamente diciendo que se notifica únicamente según el nivel del sistema.
Organizar la recuperación y la rendición de cuentas
Durante una crisis, una cronología común debe recoger descubrimiento, servicios afectados, decisiones clínicas, contención, comunicaciones y recuperación. Cada notificación puede extraer de ella la información pertinente, con sus propios requisitos. Si se descubre un alcance mayor, deben revisarse las valoraciones y completarse las comunicaciones necesarias. Recuperar actividad no justifica cerrar sin más el análisis de exposición de datos o de proveedores afectados.
La dirección debe conocer qué riesgos quedan abiertos y qué medidas se han ejecutado realmente. Los ejercicios pueden incluir indisponibilidad nocturna, caída del canal de comunicación o ausencia de un proveedor crítico. Son recomendaciones de preparación, no nuevas obligaciones universales añadidas a la ley. Su valor consiste en revelar dependencias y decisiones pendientes antes de que se necesiten para mantener una atención segura y documentar la actuación del centro.