Auditoría EN ISO 27799:2026
Organizaciones sanitarias y cualquier entidad que custodie información personal de salud.
La auditoría de conformidad con la norma EN ISO 27799:2026 es un servicio especializado dirigido a organizaciones sanitarias y a cualquier entidad que custodie información personal de salud.
La norma, publicada por ISO/TC 215 «Health informatics» en colaboración con CEN/TC 251 y aprobada por CEN el 14 de diciembre de 2025, constituye la referencia europea para la aplicación de los controles de seguridad de ISO/IEC 27002:2022 en el entorno sanitario, y sustituye a la EN ISO 27799:2016.
Nuestro servicio evalúa de forma sistemática el grado de implantación de los controles de seguridad exigibles a los sistemas de información sanitarios, aplicando el principio «comply or explain» que la propia norma establece: cuando existe guía específica para sanidad y no se sigue, la organización debe documentar el motivo y explicar cómo se alcanza el propósito del control por vías alternativas. La auditoría verifica precisamente esa trazabilidad, identifica las brechas de cumplimiento y prioriza las acciones correctivas en función del riesgo, teniendo en cuenta una particularidad esencial del sector: la interdependencia entre seguridad, seguridad del paciente (safety) y efectividad asistencial. Un control mal diseñado puede comprometer la disponibilidad de datos en el punto de atención y, con ello, la propia seguridad clínica.
Alcance del servicio de asesoramiento
Un alcance completo y práctico:
El alcance de la auditoría abarca todo lo que la norma define como su ámbito de aplicación. Se incluyen no solo los equipos y software TIC genéricos, sino también los sistemas específicamente sanitarios: historias clínicas electrónicas, dispositivos médicos que incorporan software sanitario (programados o programables, con software, firmware o ambos) y equipamiento digital auxiliar presente en instalaciones asistenciales, como sistemas de control ambiental y de infecciones, gestión de edificios y seguridad física.
La auditoría aplica a la información en todas sus formas —texto, números, grabaciones de sonido, imágenes, vídeo— y en todos sus soportes y medios de transmisión, tanto en papel como electrónicos, en infraestructura local o en la nube. Cubre asimismo todos los entornos físicos donde se presta asistencia: hospitales, clínicas, ambulancias, unidades móviles de diagnóstico por imagen, atención domiciliaria y telemedicina o asistencia virtual. El servicio es aplicable a organizaciones de cualquier tipo y tamaño que presten asistencia sanitaria o custodien información personal de salud por otros motivos (aseguradoras, mutuas, laboratorios, CROs, proveedores tecnológicos del sector salud).
¿En qué consiste nuestro servicio?
La auditoría se estructura sobre el marco completo de ISO/IEC 27002:2022, es decir, los 93 controles organizados en cuatro capítulos temáticos (organizativos, de personas, físicos y tecnológicos), revisados todos ellos bajo el prisma sanitario que aporta la norma.
Sobre esa base, la EN ISO 27799:2026 introduce en su Anexo A 22 controles con exigencias específicas para sanidad, que constituyen el núcleo diferencial de la auditoría: 14 controles suplementarios, que endurecen o precisan controles ya existentes en ISO/IEC 27002 (por ejemplo, clasificación de la información personal de salud como confidencial como mínimo, autenticación de al menos dos factores en sistemas que traten datos de salud, cifrado obligatorio de copias de seguridad y de soportes extraíbles, o registro formal de usuarios con acceso a información sanitaria), y 8 controles adicionales exclusivos del sector, identificados con el prefijo «HLT», que no existen en ISO/IEC 27001:2022: análisis y especificación de requisitos de seguridad, identificación unívoca del paciente, validación de datos mostrados e impresos, información sanitaria públicamente disponible, comunicación de emergencia ante caída de las TIC, notificación externa de incidentes, formación de la dirección y principios de confianza cero (zero trust).
Cuatro de estos controles HLT son completamente nuevos respecto a la edición de 2016 (comunicación de emergencia, notificación externa de incidentes, formación directiva y zero trust), lo que hace especialmente relevante la auditoría de transición para organizaciones que ya trabajaban con la norma anterior.
Ofrecemos
Asesoramos desde el diseño:
El trabajo se desarrolla conforme a una metodología de auditoría basada en evidencias, alineada con las prácticas de auditoría de sistemas de información (CISA/ITAF) y con la estructura de la propia norma. Incluye la revisión documental de políticas y procedimientos, entrevistas con responsables de seguridad, sistemas y áreas asistenciales, verificación técnica muestral de los controles implantados y análisis de los flujos de información dentro y entre organizaciones, incluidas las plataformas de integración, que la norma exige inventariar expresamente.
El entregable principal es un informe de auditoría que documenta, control por control, el estado de conformidad, las no conformidades y observaciones detectadas, las evidencias examinadas y un plan de acción priorizado por riesgo. Cuando la organización dispone o aspira a un SGSI certificable, el informe incorpora la correspondencia con la Declaración de Aplicabilidad exigida por ISO/IEC 27001:2022 (cláusula 6.1.3), dado que el Anexo A de la norma complementa directamente el Anexo A de ISO/IEC 27001. Para adquisiciones y desarrollos de sistemas sanitarios, la auditoría puede extenderse a la evaluación de requisitos del Anexo D de la norma, que mapea los requisitos de seguridad y privacidad con las capacidades de seguridad de IEC/TS 81001-2-2 y con el MDS2 (declaración del fabricante sobre seguridad de dispositivos médicos), especialmente útil en la evaluación de proveedores.
Ventajas:
La primera ventaja es regulatoria y de mercado: la norma es el estándar europeo armonizado para la seguridad de la información sanitaria desde 2026, y las normas nacionales en conflicto deben retirarse. Auditarse frente a ella posiciona a la organización en la referencia vigente, no en la edición superada de 2016, y facilita la transición gracias al mapeo de correspondencias del Anexo B.
En segundo lugar, la auditoría reduce el riesgo legal y reputacional asociado al tratamiento de datos de salud, que son categoría especial bajo el RGPD. Controles como el cifrado de soportes y copias, la doble autenticación, el control de accesos basado en roles y la identificación unívoca del paciente son precisamente los que un regulador, un juez o un perito examinarán tras una brecha. Disponer de un informe de auditoría independiente constituye evidencia de diligencia debida.
En tercer lugar, integra la seguridad de la información con la seguridad del paciente, evitando que los controles de seguridad generen riesgos clínicos por indisponibilidad o workarounds del personal asistencial, un equilibrio que la norma trata como principio rector y que las auditorías genéricas de ISO 27001 no abordan.
Por último, el servicio genera valor operativo directo: prepara a la organización para la certificación o el mantenimiento de un SGSI ISO/IEC 27001 con alcance sanitario, ordena la relación con proveedores tecnológicos y fabricantes de dispositivos médicos mediante requisitos verificables, y refuerza la resiliencia frente a incidentes con los nuevos controles de comunicación de emergencia y notificación externa, alineados con las obligaciones de reporte de normativas como NIS2.
