El sector sanitario se ha convertido en el objetivo preferido del ransomware en Europa. Según el panorama de amenazas del sector salud de ENISA, esta familia de ataques concentra más de la mitad de los incidentes analizados, y son los hospitales los que se llevan la peor parte. No es casualidad: un quirófano parado, una historia clínica cifrada o un servicio de urgencias sin sistemas es una presión que pocas juntas directivas pueden soportar más de unas horas.
A esa realidad se suma un cambio de marco: bajo la directiva NIS2, la mayoría de las organizaciones sanitarias europeas son entidades esenciales, con obligaciones concretas de gestión de riesgo, notificación de incidentes y responsabilidad de la dirección. Este artículo reúne lo que dicen los datos, lo que exige la norma y cómo se protege en la práctica un grupo hospitalario sin frenar la asistencia.
En esencia
- La amenaza: el ransomware supone más de la mitad de las ciberamenazas del sector salud según ENISA, y los hospitales son los más golpeados.
- El daño: no se mide solo en euros; los ataques retrasan pruebas y procedimientos y se han asociado a peores resultados clínicos.
- La norma: la sanidad es entidad esencial bajo NIS2, con sanciones de hasta 10 millones de euros o el 2% de la facturación mundial y responsabilidad directa de la dirección.
- La superficie: identidad, dispositivos médicos conectados (IoMT), proveedores y sistemas heredados amplían el terreno a defender.
- La prioridad: identidad reforzada, detección 24/7, copias inmutables y un plan de continuidad probado, por ese orden.
¿Por qué la sanidad es el objetivo preferido del ransomware?
La respuesta corta es que la sanidad combina alto valor y baja tolerancia a la parada. Los datos clínicos son de categoría especial y muy monetizables; a la vez, la presión asistencial hace que cada hora de interrupción tenga un coste humano, no solo económico, lo que convierte a los hospitales en pagadores más probables.
Los datos de ENISA lo confirman: en su análisis del sector, los proveedores sanitarios —hospitales a la cabeza— fueron los más afectados, y las consecuencias más habituales fueron la brecha o el robo de datos y la interrupción de la asistencia. El informe de panorama de amenazas 2025 de ENISA mantiene al ransomware entre las principales amenazas del entorno europeo, sin señales de que la presión afloje.
El coste real no se mide solo en euros
El error más común al valorar un incidente sanitario es reducirlo a la factura de recuperación. La consecuencia que define a este sector es otra: el impacto en la seguridad del paciente. Un estudio recogido por Help Net Security indica que el 72% de las organizaciones encuestadas sufrió al menos un incidente que interrumpió la atención al paciente, con retrasos en pruebas y procedimientos asociados a peores resultados clínicos.
La parada operativa añade una segunda capa. Las cifras estadounidenses sirven de referencia de escala —cada día de inactividad por ransomware se estima en torno a 1,9 millones de dólares para una organización sanitaria—, y aunque los importes varían por país, el patrón es universal: en sanidad el tiempo de recuperación es tan crítico como la recuperación misma. Por eso la continuidad de negocio y la recuperación dejan de ser un anexo del plan para convertirse en su núcleo.
¿Dónde está la superficie de ataque en un grupo hospitalario?
Un grupo sanitario no defiende una red, sino varias superpuestas: la ofimática clínica, los sistemas de información hospitalaria, la tecnología biomédica y la cadena de proveedores que sostiene todo lo anterior. Cada capa tiene su propio punto débil.
| Capa | Riesgo dominante | Control prioritario |
|---|---|---|
| Identidad y correo | Phishing y robo de credenciales como puerta de entrada al ransomware | MFA resistente al phishing y protección de Microsoft 365 |
| Dispositivos médicos (IoMT) | Equipos conectados con vulnerabilidades conocidas y sin poder parchear en caliente | Segmentación de red y monitorización tipo OT |
| Proveedores y cadena de suministro | Un proveedor comprometido que arrastra a decenas de centros | Gestión de riesgo de terceros |
| Sistemas heredados | Aplicaciones clínicas antiguas imposibles de actualizar | Aislamiento, bastionado y compensación de controles |
Elaboración propia a partir de los patrones de incidentes descritos por ENISA y del análisis del sector, 2025-2026.
La capa que más crece es la de los dispositivos médicos conectados. Las estimaciones del sector apuntan a más de siete millones de dispositivos IoMT en hospitales inteligentes para 2026, y buena parte de ellos arrastra vulnerabilidades conocidas que no siempre pueden corregirse sin detener el equipo (análisis de dispositivos médicos). Tratarlos como lo que son —tecnología de operación— y protegerlos con lógica de seguridad OT es más realista que pretender parchearlos como un portátil.
¿Qué exige NIS2 a las entidades sanitarias?
La directiva NIS2 sitúa a la sanidad entre los sectores de alta criticidad de su Anexo I. En la práctica, la mayoría de proveedores sanitarios que superan el umbral de tamaño quedan clasificados como entidades esenciales, el nivel de mayor exigencia y supervisión.
Eso se traduce en tres obligaciones que conviene no confundir. Primera, medidas de gestión de riesgo proporcionadas (artículo 21): control de accesos, gestión de vulnerabilidades, seguridad de la cadena de suministro, cifrado y planes de continuidad. Segunda, notificación de incidentes significativos (artículo 23) en plazos escalonados, con un primer aviso temprano. Tercera, responsabilidad de la dirección: los órganos de gobierno deben aprobar y supervisar las medidas, y pueden responder por su incumplimiento.
El incentivo es tangible. Para las entidades esenciales, NIS2 fija sanciones máximas de al menos 10 millones de euros o el 2% de la facturación anual mundial, la cifra que resulte mayor (texto de la directiva). En España, la transposición sigue en tramitación a mediados de 2026 —el anteproyecto de ley se aprobó en Consejo de Ministros en enero de 2025 y el plazo europeo venció en octubre de 2024—, de modo que las obligaciones ya están sobre la mesa aunque el detalle nacional se esté cerrando (seguimiento de la Comisión Europea). Preparar la adecuación a NIS2 ahora es la opción prudente.
Cómo proteger un grupo sanitario: prioridades reales
Con presupuesto y personal limitados, el orden importa más que la lista. Estas son las prioridades que mueven la aguja:
- Blindar la identidad. La mayoría de los ataques de ransomware empiezan por una credencial robada o un phishing. MFA resistente al phishing y una protección adecuada de Microsoft 365 cierran la puerta más usada.
- Detectar en tiempo real, 24/7. El ransomware no descansa en fines de semana ni en guardias. Un SOC gestionado con capacidad de detección y respuesta gestionada (MDR) reduce el tiempo entre la intrusión y la contención, que es donde se gana o se pierde el incidente.
- Copias inmutables y probadas. Unas copias de seguridad inmutables, aisladas y verificadas con restauraciones reales son la diferencia entre recuperar en horas o negociar un rescate.
- Priorizar la vulnerabilidad por exposición. Una gestión de vulnerabilidades que ordene por riesgo real —qué está expuesto y qué se explota— rinde más que perseguir cada CVE por igual.
- Controlar a los terceros. Gran parte del riesgo entra por proveedores. Una gestión de riesgo de terceros evita que el fallo de un proveedor se convierta en el tuyo.
- Ensayar la respuesta. Un plan de respuesta a incidentes probado con simulacros convierte el caos en procedimiento el día que toca.
Lo que vemos en la práctica
En los grupos sanitarios con los que trabajamos, el salto de madurez rara vez llega comprando más herramientas. Llega cuando alguien vigila la telemetría de forma continua y sabe qué hacer en los primeros minutos. En nuestro SOC gestionado para un grupo sanitario, la diferencia no la marcó una tecnología concreta, sino la combinación de detección 24/7, procedimientos ensayados y copias que de verdad restauraban. Ese es el patrón que se repite: la resiliencia sanitaria es más una cuestión de operación disciplinada que de catálogo.
El fondo del asunto
La sanidad no es un objetivo del ransomware por casualidad, sino por diseño: mucho valor, poca tolerancia a la parada y una superficie que no deja de crecer. NIS2 pone nombre y consecuencias a esa exposición, pero la protección real no se demuestra con un certificado, sino con la rapidez con la que un grupo detecta, contiene y recupera. La pregunta útil para cualquier dirección sanitaria no es si sufrirá un intento, sino cuántos minutos tardaría hoy en darse cuenta.