Un ejemplo reciente y muy ilustrativo de estos riesgos es la sentencia del Tribunal Superior de Justicia de Castilla-La Mancha de 4 de mayo de 2026, que confirma la condena a una enfermera del SESCAM por acceder sin justificación médica ni consentimiento al historial clínico de su cuñada. La acusada consultó durante 13 minutos los datos sensibles de la paciente en el contexto de trámites de divorcio. Aunque no consta que difundiera la información, el tribunal consideró que el mero acceso indebido ya constituye delito de descubrimiento y revelación de secretos (art. 197 Código Penal), condenándola a 15 meses de prisión, 1.000 euros de indemnización y 3 años de inhabilitación.

Este caso demuestra con crudeza que, en la práctica diaria del hospital inteligente, el riesgo no solo proviene de ciberataques externos o fallos técnicos, sino también del factor humano interno, y es una cuestión que se ve en el día a día cuando se hacen auditorías aleatorias por el Servicio de Informática de los hospitales. La experiencia práctica en centros del sistema público de salud confirma que estas auditorías, cuando se llevan a cabo de manera habitual, permiten detectar accesos indebidos a historiales clínicos que, de otro modo, pasarían desapercibidos. Lo que en teoría podría parecer un riesgo excepcional o aislado, en la práctica diaria se revela como un problema estructural que exige controles permanentes, trazabilidad real y una cultura de cumplimiento que debe partir de la propia dirección del centro. Cuando la historia clínica electrónica está disponible con un simple clic para miles de profesionales, la gobernanza del acceso (roles, auditorías, trazabilidad y sanciones efectivas) deja de ser una cuestión técnica y se convierte en una obligación jurídica ineludible de la dirección del centro.

El plan único que falta: resiliencia integral hospitalaria

Si el riesgo se ha integrado, el gobierno del riesgo no puede seguir fragmentado. La realidad de muchos hospitales es un mosaico de documentos: plan de autoprotección, por un lado, plan de contingencia TIC por otro, protocolos clínicos de continuidad asistencial, planes de seguridad del paciente, manuales de mantenimiento de instalaciones y anexos contractuales dispersos con proveedores críticos. Cada pieza responde a una lógica sectorial distinta y, casi siempre, a órganos diferentes dentro de la organización. El resultado es que nadie mira el sistema completo y los incidentes siguen gestionándose como problemas aislados, aunque sus efectos ya no lo sean.

El enfoque de CER y NIS2 empuja precisamente en sentido contrario. Si el hospital se considera una entidad crítica que presta un servicio esencial, lo que importa no es tanto cuántos documentos tiene, sino si existe un plan único de resiliencia que conecte los riesgos físicos, digitales, organizativos y contractuales bajo una misma cadena de decisión. Ese plan debería identificar con claridad los activos y servicios críticos, mapear sus interdependencias, definir qué se considera un incidente grave, establecer quién decide qué en cada fase, y fijar prioridades explícitas de recuperación cuando todos los recursos no alcanzan para recuperar todo a la vez. Sin esa pieza, los riesgos huérfanos que genera el hospital inteligente seguirán circulando por la organización sin dueño claro.

Contratación pública y continuidad asistencial

Una parte decisiva de la vulnerabilidad del hospital inteligente no se juega en el comité de dirección ni en el departamento TIC, sino en la mesa de contratación. Sistemas de información clínica, mantenimiento de instalaciones, suministro energético, gases medicinales, electromedicina, laboratorio, diagnóstico por imagen, limpieza, logística interna o comunicaciones dependen de contratos que, si se redactan como si el peor escenario fuera un retraso o una incidencia menor, dejan desprotegida la continuidad asistencial. Externalizar servicios sin traducir la resiliencia en obligaciones contractuales es, en la práctica, externalizar la prestación, pero mantener dentro el riesgo.

El Derecho de contratos públicos ofrece herramientas suficientes para evitarlo. Si se toma en serio la condición del hospital como entidad crítica, los pliegos deben incorporar niveles de servicio exigibles, tiempos máximos de indisponibilidad para los sistemas y servicios críticos, obligaciones de notificación de incidentes, planes de continuidad de negocio del proveedor, pruebas periódicas de esos planes, derechos de auditoría y, llegado el caso, penalidades proporcionadas o incluso resolución cuando el riesgo que el proveedor aporta al sistema se vuelve inaceptable. No se trata de cargar a las empresas con imposibles, sino de reconocer que la resiliencia hospitalaria también se contrata: un pliego ciego al riesgo convierte al hospital en rehén de la parte más débil de su cadena de suministros y servicios.

Propuesta mínima para un hospital inteligente jurídicamente serio

El hospital inteligente no necesita otro eslogan, necesita decisiones de gobierno claras. La primera es de reconocimiento: admitir, de forma explícita, que la transformación digital ha cambiado la naturaleza del riesgo hospitalario y que el centro encaja hoy en la categoría de entidad crítica sometida al doble marco de resiliencia física-organizativa y ciberseguridad. La segunda es elaborar un mapa integrado de activos y servicios críticos, con sus interdependencias y sus responsables, que sirva de base al resto de decisiones. La tercera es aprobar un plan único de resiliencia que reúna bajo un mismo paraguas la continuidad asistencial, la protección de instalaciones y la seguridad de la información, con reglas claras de activación, mando y coordinación.

La cuarta decisión es traducir ese plan a contratos, procedimientos y controles: revisar pliegos clave, ajustar las obligaciones de los proveedores críticos, definir indicadores de resiliencia y someterlos a seguimiento real, no solo a informes complacientes. Y la quinta, quizá la más incómoda, es asumir que la dirección del hospital ya no puede delegar la resiliencia en servicios técnicos o en terceros: gobernar el riesgo es hoy una función central del gobierno hospitalario. Un hospital inteligente que ignora este giro normativo y organizativo corre el riesgo de convertirse en un hospital vulnerable. No porque tenga más tecnología, sino porque ha dejado sin dueño los riesgos que esa tecnología introduce en el corazón mismo de la asistencia. Y un hospital vulnerable es una contradicción en términos cuando se habla de una entidad que, sencillamente, no puede parar sin que todo el sistema que la rodea se resienta.

Checklist mínimo de gobernanza hospitalaria CER-NIS2

· Identificar formalmente si el hospital entra en el perímetro material de entidad crítica y entidad esencial.
· Aprobar un mapa de activos y servicios críticos actualizado, con responsables y dependencias.
· Definir qué se considera incidente grave y quién activa la cadena de decisión.
· Integrar continuidad asistencial, ciberseguridad, mantenimiento e instalaciones en un único plan de resiliencia.
· Revisar los contratos críticos para incorporar SLA, tiempos de recuperación, notificación y continuidad del proveedor.
· Formar a la dirección y a los mandos intermedios en su papel de gobierno del riesgo.

Julio Ángel de Santiago Angulo