El sector sanitario es uno de los más afectados por ciberataques, con un aumento del 26% en incidentes en 2025, según el Incibe.
El 54% de los ataques a la sanidad europea corresponden a ransomware, lo que pone en riesgo la continuidad asistencial y los datos de los pacientes.
Los hospitales concentran el 42% de los incidentes en el ámbito sanitario, siendo objetivo principal de los ciberdelincuentes.
La transformación digital de la sanidad aumenta la exposición a amenazas, y la patronal pide reforzar la seguridad y adaptarse a la normativa europea NIS2.
El sector sanitario es uno de los que más amenazas y ataques cibernéticos ha sufrido en los últimos años. Esta tendencia, lejos de resolverse, cada vez va a peor.
Según el Instituto Nacional de Ciberseguridad (Incibe), los ciberataques y el robo de datos se dispararon un 26% (hasta los 122.223 incidentes) en 2025. Y la sanidad ha sido uno de los ámbitos más afectados.
Se "confirma el crecimiento sostenido de las amenazas digitales que afectan a ciudadanos, empresas y organizaciones esenciales", asegura la Alianza de la Sanidad Privada (ASPE), especialmente en el caso de la sanidad.
La patronal del sector sanitario privado ha hecho un llamamiento a continuar reforzando la protección de los datos de salud y aumentar la capacidad de respuesta de las organizaciones sanitarias ante un escenario cada vez más complejo.
La preocupación del sector tiene base. Los datos de la Unión Europea para la Ciberseguridad (Enisa) lo corroboran.
Según esta entidad comunitaria, la sanidad ha sido el sector más afectado por estos incidentes en Europa en los últimos cuatro años de los que existen datos más recientes (2020-2023).
El 54% de los ataques registrados en el sector sanitario europeo corresponden a ransomware (o secuestro de datos), una modalidad especialmente preocupante por su capacidad para paralizar sistemas críticos y comprometer la continuidad de la actividad asistencial.
Hospitales
Asimismo, los hospitales concentran el 42% de todos los incidentes notificados en el ámbito sanitario. Eso pone de manifiesto el especial interés que despiertan estas organizaciones para los ciberdelincuentes.
En una reciente jornada de Protección de Datos y Ciberseguridad, Margarita Martínez, responsable de Políticas y Cumplimiento de Ciberseguridad de QuironSalud, explicó que disponer de sistemas de seguridad maduros permite contener muchas amenazas antes de que tengan consecuencias relevantes.
Martínez destacó determinados fraudes digitales. El phishing (estafa que utiliza la suplantación de identidad) y el smishing (recurre a mensajes de texto falsos) son las principales puertas de entrada que usan los atacantes y ambos buscan el robo de credenciales.
Para ASPE, estos datos evidencian la necesidad de mantener una vigilancia constante. "La tendencia es clara y no hay motivos para creer que pueda sufrir un cambio drástico. El sector debe estar preparado y trabajar a diario para ello", explica José Manuel Baltar, presidente de ASPE.
Transformación tecnológica
La creciente relevancia de la ciberseguridad coincide con un momento de transformación tecnológica de la sanidad privada española.
Según ASPE, el 80% de los hospitales privados dispone ya de consulta digital implantada, mientras que el 50% realiza seguimiento digital de pacientes tras el alta hospitalaria y cerca del 30% ha comenzado a integrar información procedente de dispositivos wearables en sus sistemas de información.
La extensión de estas plataformas y la irrupción de herramientas de inteligencia artificial están permitiendo desarrollar modelos asistenciales más eficientes, accesibles y personalizados. Sin embargo, esta evolución también amplía la exposición a potenciales amenazas.
Un incidente grave puede afectar al funcionamiento de sistemas clínicos, agendas quirúrgicas, laboratorios, plataformas diagnósticas, herramientas de imagen médica o procesos administrativos fundamentales para la atención diaria.
Desde ASPE recuerdan que la información sanitaria constituye "uno de los activos más valiosos que gestionan las organizaciones sanitarias, tanto por su relevancia clínica como por la confianza que depositan los pacientes en los centros".
La patronal considera prioritario seguir avanzando en la implantación de modelos de gobernanza del dato, en la adaptación a los nuevos marcos regulatorios europeos y en la aplicación de medidas de seguridad que permitan afrontar los riesgos asociados "a un entorno cada vez más digitalizado e interconectado".
Normativa europea
ASPE cree que es especialmente relevante la adaptación del sector a las nuevas exigencias derivadas de la directiva europea NIS2 (normativa para reforzar las infraestructuras críticas y las empresas clave de la UE ante ciberataques), así como el fortalecimiento de la seguridad en toda la cadena de suministro tecnológica y la colaboración entre organizaciones para compartir buenas prácticas ante amenazas emergentes.
A su vez, en esa jornada de Ciberseguridad, Ricardo De Lorenzo, delegado de protección de datos del Consejo General de la Abogacía, identificó como una de las principales preocupaciones del sector la cadena de proveedores tecnológicos.
Para el también director de Derecho Digital del Bufete De Lorenzo Abogados todavía existe poca transparencia para conocer dónde se almacenan realmente los datos personales y si todos los proveedores cumplen plenamente con la normativa europea de protección de datos.
En este sentido, De Lorenzo defiende que las organizaciones sanitarias deben desarrollar políticas internas claras sobre el uso de la inteligencia artificial.