NIS2 en el sector sanitario: quién está afectado, de la clínica a la tecnología médica
Están afectados los prestadores de asistencia sanitaria, como hospitales y consultas, las empresas farmacéuticas y los fabricantes de productos sanitarios, a partir de 50 empleados o de una facturación anual y un balance de más de 10 millones de euros cada uno (§ 28 BSIG). La salud figura en el Anexo 1 del BSIG; la tecnología médica, en el Anexo 2. Las empresas afectadas se registran ante el BSI, toman medidas de seguridad y notifican los incidentes significativos.
Quién está afectado en el sector sanitario
El BSIG nombra estos tipos de entidad. Una empresa está afectada si además tiene el tamaño suficiente.
§ 28 BSIG · Anexos 1 y 2
| Quién | Dónde en el BSIG |
|---|---|
| Hospitales, consultas, farmacias y otros prestadores de asistencia sanitaria | Anexo 1 n.º 4.1.1 |
| Laboratorios de referencia de la UE | Anexo 1 n.º 4.1.2 |
| Empresas que investigan y desarrollan medicamentos | Anexo 1 n.º 4.1.3 |
| Fabricantes de productos farmacéuticos | Anexo 1 n.º 4.1.4 |
| Fabricantes de productos sanitarios considerados críticos durante una emergencia de salud pública | Anexo 1 n.º 4.1.5 |
| Todos los demás fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro | Anexo 2 n.º 5.1.1 |
Una empresa así es entidad importante a partir de 50 empleados, o con una facturación anual y un balance de más de 10 millones de euros cada uno.
Solo las empresas del Anexo 1 pueden ser entidades esenciales: a partir de 250 empleados, o con más de 50 millones de euros de facturación y más de 43 millones de euros de balance, o como operadoras de una instalación crítica.
Tecnología médica: Anexo 1 o Anexo 2
Los fabricantes de productos sanitarios según el MDR y de productos sanitarios para diagnóstico in vitro según el IVDR figuran en el Anexo 2. Son entidades importantes a partir de 50 empleados, aunque sean muy grandes.
Si un producto está en la lista de productos sanitarios críticos para emergencias de salud pública del art. 22 del Reglamento (UE) 2022/123, el fabricante entra en el Anexo 1. A partir de 250 empleados es entonces entidad esencial.
NIS2 se refiere a la informática del fabricante: desarrollo, producción, ventas, administración. La seguridad de los propios productos la regulan el MDR y el IVDR.
Anexo 1 n.º 4.1.5 · Anexo 2 n.º 5.1.1 BSIG
Qué tiene de particular el sector sanitario
Muchos productos sanitarios en red no pueden ser actualizados por quien los opera. Anote en la lista de sus activos a qué dispositivos afecta esto y cómo los protege, por ejemplo en un segmento de red separado.
Los datos de salud son una categoría especial de datos personales (art. 9 RGPD). Por eso un incidente puede dar lugar a una notificación al BSI y a otra a la autoridad de protección de datos.
En los hospitales autorizados, el BSI puede ordenar pruebas como pronto a partir del 6 de diciembre de 2030, dos años más tarde que para las demás entidades esenciales.
Ciertos deberes del BSIG no se aplican a gematik ni a los operadores de servicios de la infraestructura telemática, en lo que respecta a los servicios allí nombrados.
§ 28(6) n.º 2 · § 61(3) BSIG · Arts. 9 y 33 RGPD
Qué significa esto para una empresa de 50 a 150 empleados
Una clínica especializada, un gran centro de atención médica o un fabricante de tecnología médica de este tamaño suele ser entidad importante.
Una consulta con menos de 50 empleados no está afectada, salvo que su facturación y su balance superen ambos los 10 millones de euros. Las empresas vinculadas también cuentan.
La profundidad de cada medida depende del riesgo, del tamaño y del coste.
§ 28(2) y (4) · § 30(1), segunda frase, BSIG
Un ejemplo
Una empresa inventada: un fabricante de equipos de diagnóstico de laboratorio (diagnóstico in vitro) con 120 empleados.
Los productos sanitarios para diagnóstico in vitro figuran en el Anexo 2 del BSIG. Con 120 empleados, la empresa es entidad importante.
Se registra ante el BSI con el certificado de organización de ELSTER que ya usa para los impuestos.
Anota con qué trabaja: desarrollo, producción, gestión de la calidad con la documentación según el IVDR, ERP, correo electrónico y los proveedores de componentes y de informática.
De ahí se derivan las medidas, por ejemplo copias de seguridad probadas para la documentación y un segundo factor para el acceso remoto.
El gerente participa en una formación y aprueba los documentos.
Cómo lo hace el recorrido guiado
En el recorrido guiado de nisd2.eu, el trabajo empieza por la lista de aquello con lo que trabaja su empresa.
Un paso pregunta por procesos, software, dispositivos, salas y redes, y por quién los suministra. Así se obtiene la lista de sus activos.
Un paso registra su registro ante el BSI.
Con sus respuestas se genera su plan de respuesta a incidentes. También dice cuándo notifica además a la autoridad de protección de datos.
Al final, la dirección aprueba los documentos en la app, con su propia cuenta.
Preguntas frecuentes
¿Está afectada la tecnología médica por NIS2?
Sí. Los fabricantes de productos sanitarios y de productos sanitarios para diagnóstico in vitro figuran en el Anexo 2 del BSIG; los fabricantes de productos sanitarios críticos, en el Anexo 1. Están afectados a partir de 50 empleados o con más de 10 millones de euros tanto de facturación como de balance.
¿Se aplica NIS2 a las consultas médicas?
A las consultas que tienen el tamaño suficiente: a partir de 50 empleados o con más de 10 millones de euros tanto de facturación como de balance. Las consultas más pequeñas no están afectadas.
¿Se aplica NIS2 a las residencias de mayores?
El Anexo 1 remite a la Directiva 2011/24/UE. Esa directiva no se aplica a los servicios de cuidados de larga duración (art. 1(3)(a)). Por eso conviene comprobar caso por caso si una residencia o un servicio de cuidados está afectado.
¿Desde cuándo puede el BSI inspeccionar un hospital?
El BSI puede ordenar pruebas a los hospitales autorizados como pronto a partir del 6 de diciembre de 2030 (§ 61(3) BSIG). Los demás deberes se aplican desde el 6 de diciembre de 2025.
Fuentes
- Ley del BSI (BSIG) §§ 28, 30, 61, Anexos 1 y 2, gesetze-im-internet.de/bsig_2025
- Directiva 2011/24/UE, art. 1(3) y art. 3, EUR-Lex
- Reglamento (UE) 2022/123, art. 22; Reglamentos (UE) 2017/745 (MDR) y 2017/746 (IVDR), EUR-Lex
- Reglamento (UE) 2016/679 (RGPD), arts. 9 y 33
En la práctica
Dónde aparece esto en el recorrido guiado
El recorrido guiado lo convierte en pasos que usted rellena, con la ley explicada al lado de cada uno. Abra un paso para ver su pantalla, rellenada para una empresa ficticia.
El recorrido está en alemán y en inglés.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Lo que cuesta el recorrido guiado
4800 € sin IVA al año, más IVA
30 días de devolución del dineroCon factura, a pagar en 30 días. Cancelación dentro de los primeros 30 días: factura anulada o devolución del dinero.
Implantación guiada de NIS 2, paso a paso
Un historial de cambios y aprobaciones para mostrar a su autoridad supervisora
Plazos y recordatorios para cada requisito
Cuestionario de seguridad para sus proveedores
Exportación a PDF o CSV en cualquier momento
¿Le han encargado NIS2?
Le guiamos paso a paso. Usted rellena, nosotros explicamos cada punto con palabras sencillas y, al final, firma la dirección.
