/ Septiembre-Octubre 2026 26 Seguridad en Hospitales serán aplicables progresivamente desde 2027 y 2028. Estas normas no deben entenderse como compartimentos independientes. Todas convergen en un mismo objetivo, la seguridad y la protección integral. Departamento de Seguridad La seguridad hospitalaria se ha entendido tradicionalmente como una función compartida entre múltiples departamentos: informática, mantenimiento, prevención de riesgos laborales, protección de datos, calidad asistencial y seguridad física. La seguridad integral exige coordinación, dirección y una visión común del riesgo. La IA hace aún más necesaria esta integración. La Ley 5/2014, de 4 de abril, de Seguridad Privada, atribuye al director de seguridad funciones de identificación, análisis y evaluación de riesgos, así como de planificación, organización y control de las medidas de seguridad. En el ámbito de las infraestructuras críticas, la Ley 8/2011, de 28 de abril, establece la figura del Responsable de Seguridad y Enlace, que debe contar con la habilitación de director de seguridad. Este marco se proyecta sobre el modelo europeo de resiliencia de las entidades críticas y las obligaciones derivadas de CER, NIS2 y el ENS. Cuando el Departamento de Seguridad está debidamente constituido, la Dirección de Seguridad debe actuar como elemento vertebrador de la seguridad Arquitectura normativa El marco europeo y español configura una arquitectura normativa convergente en torno a la seguridad y resiliencia hospitalaria. La Directiva CER establece la resiliencia de las entidades críticas. La Directiva NIS2 refuerza la ciberseguridad y la gestión de riesgos. Además, el Esquema Nacional de Seguridad (ENS) articula en España un modelo basado en prevención, detección, respuesta y vigilancia continua. Se suma la protección reforzada de la información sanitaria mediante el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y la Ley 41/2002 (reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica), que exigen garantizar la confidencialidad, integridad, disponibilidad, control de acceso y trazabilidad de la información clínica. La creciente interoperabilidad de los sistemas sanitarios aumenta tanto su valor asistencial como la necesidad de controlar identidades, permisos y accesos. El AI Act incorpora la dimensión específica de la inteligencia artificial, estableciendo para los sistemas de alto riesgo requisitos de gestión de riesgos, trazabilidad, supervisión humana y ciberseguridad. Tras su modificación por el Reglamento (UE) 2026/1744, las principales obligaciones para estos sistemas El caso de Kettering Health es ilustrativo. Tras 41 días de permanencia en la red, un acceso no autorizado derivó en el cifrado de sistemas y en una afectación masiva de información sanitaria. El incidente muestra que una intrusión prolongada puede comprometer simultáneamente tecnología, datos clínicos y continuidad asistencial. La resiliencia, por tanto, no debe medirse solo por la capacidad del SOC, sino por el tiempo necesario para detectar, aislar y recuperar los sistemas críticos. ‘Deepfakes’ La IA generativa introduce una nueva dimensión en la suplantación de identidad y la ingeniería social (voces, imágenes y vídeos sintéticos capaces de imitar de forma convincente a personas con autoridad). Pueden utilizarse para inducir a personal técnico, directivo o asistencial a divulgar información, autorizar operaciones o ejecutar acciones indebidas. La autenticación no debe descansar exclusivamente en la voz o la imagen. La verificación mediante un segundo canal independiente constituye una medida sencilla y eficaz frente a estas formas de suplantación. El ataque híbrido La seguridad hospitalaria no puede tratar la amenaza física y la ciberseguridad como compartimentos estancos. Un atacante puede utilizar el entorno digital para facilitar una intrusión física, o una intrusión física para obtener acceso lógico, combinando ciberataques, sabotaje e ingeniería social, incluso aprovechando una emergencia para ocultar o amplificar sus efectos. Los simulacros deben, por tanto, contemplar escenarios híbridos que combinen ciberataque, amenaza física, emergencia asistencial e interrupción de las comunicaciones. Acabamos de conocer el primer caso público de un agente autónomo de IA que accedió sin autorización a sistemas públicos de Salud del Gobierno australiano
RkJQdWJsaXNoZXIy MTI4MzQz