El ENS en medicina obliga a hospitales del SNS y a las empresas que les prestan servicio a proteger sus sistemas clínicos según el RD 311/2022.
Te ayudamos a saber si te aplica, en qué categoría encaja tu sistema y cómo llegar a la auditoría con todo preparado, y a que después puedas mantenerlo sin depender de nosotros.
En el ámbito sanitario, las siglas ENS también se usan para la Encuesta Nacional de Salud. En esta página hablamos del Esquema Nacional de Seguridad, la norma de ciberseguridad del sector público español.
Qué exige el ENS en medicina y sanidad
El Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, fija cómo deben proteger sus sistemas de información las entidades del sector público y las empresas privadas que les prestan servicios o aportan soluciones. En sanidad, eso alcanza a la historia clínica electrónica, la citación, el PACS de imagen médica, la receta electrónica o una plataforma de telemedicina conectada a un servicio de salud. Cada uno debe cumplir un conjunto de medidas proporcional a su riesgo.
En este sector la exigencia va más allá del texto legal. La Estrategia de Ciberseguridad del Sistema Nacional de Salud 2025-2028 sitúa el ENS y NIS2 entre los estándares que hay que cumplir, y el Centro Criptológico Nacional (CCN) publica las guías CCN-STIC que sirven de referencia en las auditorías. Además, si tratas datos de pacientes, el RGPD los considera categoría especial (artículo 9).
Si quieres repasar el ENS en general, lo explicamos en nuestra guía del Esquema Nacional de Seguridad. Aquí nos centramos en lo que cambia cuando trabajas en sanidad.
¿QUIERES CONSEGUIR EL CERTIFICADO ENS PARA TU EMPRESA?
Qué entidades sanitarias deben cumplir el ENS
El ENS no depende de ser «del sector sanitario», sino de tu relación con la sanidad pública. Estos son los cuatro perfiles con los que trabajamos más a menudo:
Hospitales y centros del Sistema Nacional de Salud
Hospitales públicos, centros de atención primaria, servicios autonómicos de salud y consorcios sanitarios forman parte del sector público, así que el ENS les aplica de forma directa. También es habitual en hospitales de gestión privada integrados en una red pública por concesión. Lo más frecuente es partir de una ISO 27001 que ya existe y extenderla al ENS, en lugar de empezar de cero.
Empresas de tecnología sanitaria que venden a la sanidad pública
Fabricantes y distribuidores de equipos de diagnóstico, software clínico o dispositivos conectados que se instalan o mantienen en hospitales públicos. Cada vez más pliegos piden acreditar el ENS para el sistema que se suministra, y es el perfil donde más se está moviendo el mercado. Si además fabricas producto sanitario, conviene integrar el ENS con tu sistema ISO 13485.
Proveedores de software clínico, telemedicina y servicios externalizados
Laboratorios con análisis externalizados, empresas de peritación sanitaria, plataformas de telemedicina, centros de cita previa o servicios de soporte TI hospitalario. El ENS te aplica cuando, por contrato, concesión o encargo, prestas un servicio o aportas una solución a una entidad sanitaria pública. Si tu caso es sobre todo de software o cloud, te interesa también nuestra página de ENS para proveedores tecnológicos de la Administración.
Colegios profesionales sanitarios
Los colegios de médicos, enfermería o farmacia son corporaciones de derecho público. Cuando gestionan electrónicamente funciones públicas (registro de colegiados, certificados, ventanilla única), conviene revisar con criterio técnico si sus sistemas deben alinearse con el ENS y en qué alcance. Es un caso que analizamos de forma individual.
Datos de salud y categoría ENS: por qué suele ser media o alta
El ENS clasifica cada sistema en categoría básica, media o alta según el impacto que tendría un incidente en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. En sanidad pesan especialmente dos:
- Confidencialidad: los datos de salud son categoría especial y su filtración tiene consecuencias legales y reputacionales graves.
- Disponibilidad: si cae la historia clínica, se para la consulta, el quirófano o la dispensación. La continuidad asistencial depende de los sistemas.
No es teoría. El ataque al Hospital Clínic de Barcelona en 2023 terminó con la filtración de unos 4,5 TB de información. Por eso la mayoría de los sistemas clínicos acaban en categoría media o alta, lo que implica auditoría externa por entidad acreditada, renovación periódica y un número mayor de medidas.
Nuestro criterio: no todos los sistemas de una organización sanitaria necesitan la misma categoría. Separar bien el alcance (la web informativa no es la historia clínica) evita sobredimensionar medidas y abarata la adecuación sin dejar huecos de seguridad.
Adecuación al ENS en el sector sanitario: cómo te acompañamos
Adaptamos nuestra consultoría ENS a la realidad de un entorno sanitario, donde los sistemas no se pueden parar y conviven equipos médicos, software clínico y proveedores externos:
- Diagnóstico de alcance: qué contratos, servicios y sistemas entran (historia clínica, PACS, laboratorio, dispositivos conectados, cloud) y qué pide exactamente tu pliego o tu cliente público.
- Categorización y análisis de riesgos con criterios sanitarios: continuidad asistencial, datos clínicos y dependencia de terceros.
- Plan de adecuación sobre lo que ya tienes: ISO 27001, ISO 13485 o tu cumplimiento RGPD. No duplicamos documentación.
- Implantación y formación del equipo técnico y asistencial, para que el sistema lo mantenga tu organización y no quede cautiva de la consultora.
- Auditoría interna y acompañamiento en la auditoría con la entidad certificadora acreditada por ENAC (AENOR, SGS, Applus o Bureau Veritas).
Más de 15 años de experiencia, proyectos en medicina e industria sanitaria, atención presencial en Madrid y online en toda España, y formación bonificable por FUNDAE.
Conformidad con el ENS en licitaciones sanitarias
Si vendes a la sanidad pública, lo normal es que el ENS aparezca en el pliego. Antes de presentarte conviene tener claro qué te van a pedir:
- Categoría básica: basta una declaración de conformidad, apoyada en una autoevaluación.
- Categoría media o alta: necesitas una certificación de conformidad, emitida por una entidad acreditada tras una auditoría.
- Subcontratación: quien firma el contrato es el responsable. Que tu subcontratista tenga el ENS no cubre tu parte del servicio.
- Mantenimiento: la conformidad se renueva con auditorías periódicas, así que hay que planificarla como un sistema vivo, no como un trámite puntual.
Te explicamos todo el proceso de certificación del ENS, plazos incluidos. Recuerda que el certificado lo emite la entidad de certificación: nuestro trabajo es que llegues a esa auditoría preparado para superarla. Si tienes un pliego encima de la mesa, envíanoslo y te decimos qué te exige.
ENS, NIS2, ISO 27001 e ISO 13485 en sanidad: qué te aplica a ti
Es la duda más habitual en el sector: cuatro marcos que se solapan y que no exigen lo mismo. Este resumen te ayuda a situarte:
| Marco | Qué es | A quién afecta en sanidad | Relación con el ENS |
|---|---|---|---|
| ENS (RD 311/2022) | Norma obligatoria de seguridad para el sector público español y sus proveedores | Hospitales públicos y empresas con contrato, concesión o encargo de la sanidad pública | Es el marco de referencia de esta página |
| NIS2 | Directiva europea de ciberseguridad; la sanidad es sector de alta criticidad | Prestadores sanitarios y fabricantes que entren en su ámbito según actividad y tamaño | Comparte el enfoque de riesgos: trabajar el ENS adelanta buena parte |
| ISO 27001 | Estándar internacional voluntario de gestión de la seguridad de la información | Cualquier organización sanitaria que quiera acreditar su seguridad | Gran solape de controles; base ideal para integrar el ENS |
| ISO 13485 | Gestión de la calidad de productos sanitarios | Fabricantes y distribuidores de producto sanitario | No es de ciberseguridad; se integra con el ENS cuando vendes a la sanidad pública |
En la práctica, la mayoría de las organizaciones sanitarias acaban combinando dos o tres de estos marcos. Lo eficiente es diseñar un único sistema de gestión que responda a todos. Si te afecta NIS2, trabajar el ENS te adelanta buena parte del camino.
Preguntas frecuentes del ENS para sector sanitario
Solo si presta servicios a la sanidad pública por contrato, concesión o encargo y esos servicios entran en el alcance. Si únicamente atiende a pacientes privados, le aplica el RGPD, aunque puede adoptar el ENS de forma voluntaria como garantía de seguridad.
Es una muy buena base, pero no lo sustituye. El ENS tiene su propia categorización, medidas y auditoría. Lo habitual es integrar ambos en un mismo sistema para no duplicar trabajo.
Depende de la valoración de cada caso, pero con datos clínicos y dependencia asistencial lo habitual es categoría media o alta.
Una entidad de certificación acreditada por ENAC. En Soluciones QES te preparamos para la auditoría y te acompañamos durante todo el proceso.
Te ayudamos en todas tus necesidades