La Comisión Europea ha lanzado una ambiciosa iniciativa para mejorar la ciberseguridad en el sector de la salud, abordando el creciente número de ciberataques a hospitales y organizaciones de salud en toda Europa.

Con la mitad de los hospitales europeos como objetivo de ciberataques, el Comisario de Salud Oliver Varhelyi y la Presidenta de la Comisión Ursula von der Leyen han priorizado la ciberseguridad para su segundo mandato, apuntando a un plazo de 100 días para abordar el problema.

El plan, anunciado el miércoles, sugiere el establecimiento de un Centro de Apoyo a la Ciberseguridad dedicado dentro de la Agencia de la Unión Europea para la Ciberseguridad (ENISA).

Este centro ofrecerá asistencia personalizada en ciberseguridad a las organizaciones de salud, buscando reducir los efectos de ataques cada vez más avanzados.

Una preocupación principal es la creciente incidencia de ransomware, responsable de más del 50% de los ciberataques en el sector de la salud desde 2021 hasta 2023.

Estos ataques a menudo obligan a las instituciones de salud a pagar rescates para recuperar el acceso a sistemas críticos, poniendo en peligro la atención y seguridad de los pacientes.

Además del centro de apoyo, el plan propone crear recursos educativos sobre ciberseguridad para profesionales de la salud y lanzar un servicio de alerta para 2026 para advertir al sector sobre amenazas emergentes. También subraya la importancia de una respuesta europea unificada a incidentes cibernéticos a gran escala a través de la Reserva de Ciberseguridad de la UE del Acta de Solidaridad Cibernética, que ofrecería asistencia técnica, coordinación y recursos financieros a los estados miembros de la UE.

La Comisión insta a los países de la UE a proporcionar respaldo financiero para la iniciativa, sugiriendo el desarrollo de 'Bonos de Ciberseguridad' para ayudar a las organizaciones de salud más pequeñas a mejorar sus defensas cibernéticas.

Estos bonos se asemejarían a los 'bonos de innovación' utilizados anteriormente para apoyar a las pymes.

Además, la Comisión está alentando a los países a exigir que las entidades de salud informen sobre los pagos de rescates, un tema controvertido debido a la renuencia de muchas instituciones a divulgar tales pagos, lo que podría comprometer las investigaciones.

Aunque las instituciones de salud ya están sujetas a regulaciones cibernéticas de la UE, como la Directiva NIS2, que establece estándares de ciberseguridad y informes para sectores críticos, la Comisión señaló que muchos estados miembros han sido lentos en implementar estas regulaciones en la ley nacional.

El sector de la salud también se ve afectado por el Acta de Resiliencia Cibernética (CRA), que establece normas para la ciberseguridad de productos, incluido el software utilizado en dispositivos médicos.

El nuevo plan de acción de la Comisión busca proporcionar un marco completo para detectar, responder y recuperarse de amenazas cibernéticas en el sector de la salud, promoviendo una mayor colaboración y compartición de recursos en toda la UE. Se anticipa una consulta pública sobre el plan, con una recomendación no vinculante esperada para finales de 2025.

La salud es un objetivo principal para los ciberdelincuentes, atraídos por la naturaleza de alto riesgo del sector, donde los ataques exitosos pueden tener implicaciones de vida o muerte.

Sin embargo, muchas instituciones de salud enfrentan desafíos con la ciberseguridad debido a recursos limitados y la falta de personal especializado, resultando en vulnerabilidades que los ciberdelincuentes pueden explotar.

Mientras la Comisión se esfuerza por mejorar las protecciones de ciberseguridad para este sector crítico, el plan apunta a crear un ambiente más seguro para pacientes y proveedores de salud por igual.