Las organizaciones de salud (entre las que se encuentran los hospitales, clínicas, centros de salud, centros de asistencia, laboratorios, farmacias o empresas farmacéuticas, entre otros) cuentan con sistemas y herramientas digitales y tecnológicas que les permiten mejorar la atención de los pacientes. Además, los datos electrónicos de salud son el alma de una organización de atención médica y deben mantenerse confidenciales, se debe preservar su integridad y deben estar disponibles bajo petición dónde y cuándo se necesiten. Por este motivo, los sistemas de información de salud, las redes y los dispositivos médicos son particularmente atacados porque son esenciales para la prestación de servicios de salud y poseen y procesan información como datos de salud protegidos de los pacientes, identificación personal y propiedad intelectual relacionada con la investigación e innovación médicas, representando un alto valor monetario y de inteligencia para los ciberdelincuentes. El acceso a los datos privados de los pacientes no solo les abre la puerta a robar la información o extorsionar con su publicación tanto al centro como al paciente, sino también a alterar los datos intencionalmente, lo que junto a la disrupción de los sistemas de información, podría tener efectos graves en la salud de los pacientes.

La superficie de ataque de un centro sanitario es muy amplia, considerando la cadena de suministro, las infraestructuras basadas en la nube, los sistemas de automatización de edificios (climatización, por ejemplo), Internet de las cosas médicas, etc., sin menospreciar la propia seguridad física, al ser muchos de ellos centros abiertos al público para la prestación de servicios asistenciales. Adicionalmente, los servicios de atención médica dependen de sistemas heredados, sistemas informáticos obsoletos que todavía están en uso y brindan menos protección y una mayor susceptibilidad a un ataque.

Es fundamental que las organizaciones sanitarias comprendan que la ciberseguridad está directamente relacionada con la seguridad y privacidad del paciente y sepan cómo mantener seguros los sistemas y los ecosistemas de datos sanitarios. 

Por todo ello, la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, conocida como NIS2, establece requisitos y medidas para garantizar la ciberseguridad de las infraestructuras críticas y los servicios digitales esenciales en toda la Unión Europea, entre los que se encuentran la mayoría de entidades del sector sanitario.

Desde este espacio de sectores estratégicos de INCIBE se presta apoyo a las entidades del sector salud no solo para facilitar el cumplimiento de las obligaciones establecidas por la directiva, sino también para cualquier necesidad que puedan tener en el ámbito de la ciberseguridad.